Article 15. Conditions requises minimales pour les entités sous-traitantes

Article 15. Conditions requises minimales pour les entités sous-traitantes

1. Les entités essentielles et importantes ont le devoir de choisir des fournisseurs (entités sous-traitantes) qui offrent des garanties suffisantes quant aux services sous-traités, ainsi que quant à la fourniture de toute technologie ou de tout produit, afin d'appliquer les mesures de sécurité techniques et organisationnelles adéquates en matière de sécurité que requièrent les services, la technologie ou les produits auxquels s'applique l'ENS-AD.

Parmi ces garanties peut figurer l'obligation qu'il s'agisse des services, de la technologie ou des produits inscrits au registre des composants certifiés établi à cet effet par l'ANC-AD à tout moment.

Ledit registre des composants certifiés est établi par l'ANC-AD en fonction des critères qu'elle estime appropriés, y compris les critères internationalement reconnus ou appliqués par des entités homologues de l'ANC-AD.

Lorsqu'une entité essentielle ou importante justifie qu'elle ne peut disposer de services, de technologie ou de produits inscrits au registre des composants certifiés visé à l'alinéa précédent, cette entité peut demander à l'ANC-AD une autorisation pour contracter les services, la technologie ou les produits correspondants.

Cette demande doit être dûment argumentée et doit justifier les motifs de la nécessité de disposer du service, de la technologie ou des produits proposés, et l'ANC-AD dispose de deux mois pour l'évaluer.

En l'absence de décision de l'ANC-AD dans le délai susmentionné, l'autorisation est réputée refusée par silence administratif négatif.

Dans le cadre des procédures de passation de contrats de services ou d'acquisition de technologie ou de produits par les entités essentielles et importantes auxquelles s'applique l'ENS-AD, lesdites entités sont tenues d'exiger des fournisseurs la présentation d'un audit de sécurité externe réalisé à une date antérieure de moins de douze mois à la date de présentation de leurs offres, lequel doit être effectué conformément aux cadres reconnus internationalement en matière de cybersécurité à tout moment.

Lorsqu'une entité essentielle ou importante justifie qu'elle ne peut disposer d'un fournisseur de services, de technologie ou de produits disposant de l'audit visé à l'alinéa précédent, ou que le fournisseur disposait déjà d'un ou de plusieurs certificats reconnus, elle peut demander à l'ANC-AD une autorisation pour contracter avec le fournisseur correspondant.

Cette demande doit être dûment argumentée et doit justifier les motifs du contrat proposé, et l'ANC-AD dispose de deux mois pour l'évaluer.

En l'absence de décision de l'ANC-AD dans le délai visé, l'autorisation est réputée refusée par silence administratif négatif.

2. Le fournisseur sélectionné par l'entité ne peut recourir à une sous-traitance (que la sous-traitance soit confiée à une entité ou à une personne physique) sans l'autorisation préalable, écrite, spécifique ou générale, de l'entité à laquelle il fournit le service auquel s'applique l'ENS-AD. Le fournisseur doit informer l'entité à laquelle il fournit le service et à laquelle s'applique l'ENS-AD de tout changement prévu concernant l'ajout ou le remplacement d'autres sous-traitants auxquels il délègue tout ou partie de la prestation du service contracté. Il est ainsi donné aux entités qui fournissent des services auxquels s'applique l'ENS-AD la possibilité de s'opposer à ces changements et, le cas échéant, de changer de fournisseur. Toutefois, les entités essentielles et importantes sont tenues d'exiger des entités sous-traitantes ultérieures la présentation d'un audit de sécurité externe réalisé à une date antérieure de moins de douze mois à la date à laquelle débute la sous-traitance ultérieure. Dans ces cas, l'entité essentielle ou importante a également la possibilité de demander à l'ANC-AD l'exception régie au paragraphe précédent, dans les cas où il est justifié de l'impossibilité de disposer d'un fournisseur pouvant disposer de cet audit.

3. Le service que l'entité sous-traitante fournit pour soutenir le service auquel s'applique l'ENS-AD doit être régi par un contrat écrit, y compris sous forme électronique, qui lie l'entité sous-traitante à l'entité qui fournit le service auquel s'applique l'ENS-AD et qui fixe, au minimum :

a) Le niveau de sécurité et l'accord de niveau de service que l'entité sous-traitante doit garantir pour le service sous-traité.

b) Les pénalités associées aux manquements relatifs au point précédent.

c) Les restrictions qui peuvent exister, pour des raisons de juridiction, quant à la localisation physique des actifs informationnels dont l'entité sous-traitante a besoin pour fournir son service, en particulier lorsque ces actifs informationnels sont critiques, lorsque des données personnelles ou tout autre type d'informations également sensibles sont traitées, ou lorsque l'un des actifs informationnels de l'entité sous-traitante doit être situé en dehors d'Andorre et de l'Espace économique européen.

d) La garantie que les personnes autorisées à traiter les informations ou à administrer, maintenir ou exploiter le service se sont engagées à respecter la confidentialité des informations ou sont soumises à une obligation de confidentialité de nature statutaire, et ont reçu la formation adéquate en matière de sécurité de l'information.

e) L'engagement que toutes les mesures nécessaires en matière de sécurité de l'information seront prises.

f) Le respect des conditions fixées au paragraphe 2 lors du recours à d'autres sous-traitances, et l'engagement de respecter, au moyen d'un contrat écrit, les mêmes obligations de sécurité de l'information que celles stipulées dans le présent contrat, notamment la fourniture de garanties suffisantes quant à l'application de mesures techniques et organisationnelles adéquates de manière que le service auquel s'applique l'ENS-AD soit conforme aux dispositions de la présente Loi. En outre, il doit être précisé que cette sous-traitance n'a en aucun cas pour effet de décharger l'entité sous-traitante de ses responsabilités envers l'entité qui fournit le service auquel s'applique l'ENS-AD.

g) L'assistance apportée à l'entité qui fournit le service auquel s'applique l'ENS-AD dans le cadre des obligations prévues aux articles 12 à 15 de la Loi NIS-AD.

h) Les conditions de reprise du service fourni par l'entité sous-traitante.

i) La mise à disposition de l'entité qui fournit le service auquel s'applique l'ENS-AD de toutes les informations nécessaires pour démontrer le respect des obligations prévues au présent article. De même, elle doit permettre la réalisation d'audits, y compris des inspections, et y contribuer, par l'entité qui fournit le service auquel s'applique l'ENS-AD, par l'autorité compétente qui supervise cette dernière ou par un autre auditeur habilité à réaliser ces audits.

j) L'obligation pour l'entité sous-traitante d'informer immédiatement l'entité qui fournit le service auquel s'applique l'ENS-AD si elle estime ne pas respecter le niveau de sécurité exigé, même temporairement.

4. Dans le secteur public, les compétences propres à une entité sous-traitante peuvent être attribuées à un organe déterminé de l'Administration publique concernée ou à ses organismes rattachés ou dépendants, au moyen de l'adoption d'une norme régissant lesdites compétences, qui doit intégrer le contenu prévu au paragraphe précédent.

5. Les entités essentielles et importantes doivent fournir à l'ANC-AD, sur une base annuelle, un résumé des contrats et des sous-traitances conclus conformément aux dispositions des paragraphes précédents du présent article, en faisant référence au Registre des composants certifiés contractés dans chaque cas. De même, en ce qui concerne les audits externes visés aux paragraphes précédents du présent article, les entités essentielles et importantes doivent informer annuellement l'ANC-AD des entreprises responsables des audits et des cadres normalisés utilisés par ces dernières.