Article 16. Audit de sécurité

Article 16. Audit de sécurité

1. Les actifs d'information nécessaires à la prestation des services auxquels s'applique l'ENS-AD font l'objet d'un audit externe ordinaire annuel qui vérifie le respect des conditions requises établies par le présent règlement. À titre extraordinaire, cet audit doit être réalisé chaque fois que surviennent des modifications substantielles dans les services auxquels s'applique l'ENS-AD ou dans les actifs d'information qui les supportent, ou dans un nombre significatif de mesures de sécurité requises conformément aux dispositions de l'article 14 du présent règlement. La réalisation de cet audit extraordinaire détermine la date de computation pour calculer les deux ans fixés pour effectuer l'audit ordinaire suivant, indiqués à l'alinéa précédent.

2. L'audit est réalisé conformément au guide d'audit de l'ENS-AD publié par l'ANC-AD, et selon les niveaux de maturité exigés. Niveau exigé ENS-AD Niveau minimal ENS-AD Date limite de conformité minimale ENS-AD 2,1 2 01/03/2025 3 2,6 30/09/2025 4 3,4 31/03/2027 5 4,4 31/03/2029 Tableau des niveaux de maturité exigés par date L'audit externe annuel analyse le degré de conformité des actifs d'information au regard des niveaux établis dans ce guide.

3. Le rapport d'audit sert à l'organe de direction de l'entité pour identifier les mesures que l'entité doit adopter pour corriger l'éventuel défaut d'adéquation avec l'ENS-AD, et doit inclure la méthodologie employée, la portée et l'objectif de l'audit, le degré de respect et de non-respect du présent règlement, les éléments probants qui étayent les manquements détectés, et les mesures qui doivent être adoptées pour remédier aux manquements.

4. Les rapports d'audit peuvent être requis par les autorités compétentes désignées à l'article 6 de la Loi NIS-AD, dans l'exercice de leur obligation de supervision conformément au chapitre troisième de la Loi NIS-AD.

5. L'absence d'adoption de mesures pour corriger les déficiences détectées mentionnées au paragraphe 3 du présent article, lorsque ces déficiences constituent des vulnérabilités à des incidents ayant des effets perturbateurs significatifs, peut donner lieu à l'ouverture d'un dossier de sanction et à l'imposition de sanctions après l'instruction préalable du dossier qui s'impose conformément aux dispositions de la Loi NIS-AD.