Article 14. Conditions requises minimales pour l'entité responsable des services

Article 14. Conditions requises minimales pour l'entité responsable des services

1. Afin de satisfaire aux conditions requises minimales établies dans le présent Règlement, les entités relevant de son champ d'application adoptent les mesures de sécurité mentionnées dans la déclaration d'applicabilité décrite à l'article 12 du présent Règlement.

2. Le DSI est autorisé à ne pas mettre en œuvre l'une de ces mesures de sécurité si elle ne réduit pas les risques ou si elle est trop coûteuse par rapport à la réduction des risques découlant de son application, ou s'il considère que les risques couverts par la mesure sont déjà couverts par d'autres mesures, tel que l'indique la déclaration d'applicabilité elle-même. Si le DSI décide de ne pas mettre en œuvre l'une des mesures, il doit informer les organes de direction de l'entité qui l'a désigné des risques découlant de cette non-mise en œuvre, afin qu'ils soient en mesure de prendre la décision d'approuver ou non les mesures de sécurité proposées, conformément à l'obligation que leur imposent les dispositions du paragraphe 1 de l'article 17 de la Loi NIS-AD.

3. L'existence d'une référence relative aux mesures de sécurité nécessaires pour les actifs d'information de base n'exonère pas le DSI de son obligation de gérer les risques, y compris ceux associés à des actifs d'information ou à des menaces non entièrement prévus dans le Catalogue décrit à l'article 7 du présent Règlement.

4. Lorsqu'un actif d'information traite des données à caractère personnel, les dispositions de la Loi 29/2021 , du 28 octobre, qualifiée de protection des données à caractère personnel (LQPD), ainsi que le reste de la réglementation nationale et internationale éventuellement applicable, lui sont applicables.

5. Si les services auxquels s'applique l'ENS-AD reposent sur des services sous-traités à une autre entité, l'entité qui les fournit doit tenir compte, en ce qui concerne l'infrastructure et les processus de cette autre entité prestataire de services, qu'ils peuvent ne pas être directement auditables (en particulier lorsqu'il s'agit de services fournis par des entreprises internationales ou qui fournissent des services en nuage).

Par conséquent, la mise en place de l'ENS-AD doit reposer en partie sur les termes du contrat visé au paragraphe 3 de l'article 15 du présent Règlement, ainsi que sur les conditions générales de prestation du service sous-traité et sur les certificats de sécurité du prestataire concernant le service sous-traité, et cela doit se refléter dans l'analyse des risques prévue à l'article 10 du présent Règlement et dans le principe de proportionnalité.

Cette analyse des risques doit également tenir compte des risques potentiels, tels qu'une interruption à long terme du réseau de tiers, la faillite du prestataire de services, et les autres menaces incluses dans l'actif d'information standard dénommé Sous-traitance.

Les aspects juridiques et de sécurité doivent être pris en compte pour les prestataires de services situés hors d'Andorre et de l'Union européenne.

Toutefois, étant donné que l'entité qui utilise le logiciel ou le service géré est, en tout état de cause, responsable de la sécurité de l'information de ses services, l'entité qui sous-traite doit définir clairement les responsabilités des parties dans le contrat de service visé au paragraphe 3 de l'article 15.

6. Le DSI doit signer la déclaration d'applicabilité et la communiquer à l'autorité compétente dont relève l'entité.

7. Les mesures visées aux paragraphes 1 à 4 du présent article ont le caractère de minimums exigibles et peuvent faire l'objet d'un audit conformément aux indications de l'article 16.