Règlement relatif aux infrastructures critiques de la Principauté d’Andorre, du 12 octobre 2022

Article 1. Objet

1. Le présent Règlement (ci-après, le « RIC-AD » ou « le Règlement ») régit l'établissement d'instruments de planification visant à mesurer et à améliorer le niveau de protection et de résilience des entités critiques et des entités équivalentes à des entités critiques, conformément au précepte établi à la lettre b du paragraphe 2 de l'article 4 de la Loi NIS-AD.

2. Le présent Règlement établit le droit des entités critiques à recevoir de l'Agence nationale de cybersécurité de la Principauté d'Andorre (ci-après, « l'ANC-AD ») un soutien et une orientation spécifiques destinés à atteindre un niveau élevé de résilience face à tous les risques pertinents.

Article 2. Définitions

1. Les termes suivants, utilisés dans le contexte du RIC-AD, ont la signification suivante :

a) ANC-AD : Agence nationale de cybersécurité de la Principauté d'Andorre.

b) CSIRT-AD : centre de réponse aux incidents de sécurité des réseaux et des systèmes d'information de référence dans la Principauté d'Andorre.

c) Catalogue national des infrastructures critiques (CNIC) : instrument qui contient l'évaluation et l'ensemble des informations complètes, actualisées et vérifiées relatives aux infrastructures critiques pour la Principauté d'Andorre. Le CNIC inclut les infrastructures critiques des entités critiques, celles des entités équivalentes à des entités critiques et celles situées hors de la Principauté d'Andorre.

d) CID et DIC : il s'agit dans les deux cas des sigles des mots confidentialité, intégrité et disponibilité, ordonnés selon la dimension qui, en principe, revêt le plus d'importance pour la sécurité. Dans le domaine des technologies de l'information, il est habituel d'utiliser le terme CID, tandis que dans le domaine la technologie opérationnelle on utilise généralement le terme DIC.

e) DSI : délégué à la sécurité de l'information, conformément aux dispositions de l'article 18 de la Loi NIS-AD.

f) Informations sensibles relatives aux infrastructures critiques : données spécifiques relatives aux infrastructures critiques qui, si elles étaient divulguées, pourraient être utilisées pour planifier et mener des actions ayant pour objectif de provoquer la perturbation ou la destruction de ces infrastructures.

g) Plan de soutien opérationnel : plans élaborés par la Police andorrane (Corps de police) de la Principauté d'Andorre avec la collaboration des entités critiques et des entités équivalentes à des entités critiques qui en ont besoin, afin de recueillir les mesures de surveillance, de prévention et de protection que doivent adopter les unités de police face à des menaces telles que, par exemple, la délinquance ou le terrorisme susceptibles d'affecter les infrastructures critiques, ainsi que la réaction à laquelle elles doivent être préparées si le risque associé à l'une de ces menaces se matérialise.

h) Sécurité : la capacité des réseaux et des systèmes d'information de résister, avec un niveau de fiabilité déterminé, à toute action qui compromet la disponibilité, l'authenticité, l'intégrité ou la confidentialité des données stockées, transmises ou traitées, ou des services correspondants offerts par lesdits réseaux et systèmes d'information ou accessibles par ces derniers.

2. Les autres termes employés dans le présent Règlement ont la signification définie à l'article 3 de la Loi NIS-AD.

Article 3. Champ d'application

1. Le champ d'application du présent Règlement s'étend aux infrastructures critiques des entités critiques et des entités équivalentes à des entités critiques, à ces entités et aux autorités compétentes, conformément aux définitions figurant à l'article 3 de la Loi NIS-AD.

2. En outre, et uniquement aux fins de la collaboration avec l'ANC-AD conformément aux dispositions de l'article 4 et de l'article 7 du présent Règlement, sont incluses dans son champ d'application les entités essentielles dont les services essentiels dépendent d'infrastructures critiques.

3. Enfin, et uniquement aux fins des dispositions de l'article 11 du présent Règlement, la Police andorrane (Corps de police) de la Principauté d'Andorre est incluse dans son champ d'application.

Article 4. Identification des infrastructures critiques

1. Les autorités compétentes désignées à l'article 6 de la Loi NIS-AD proposent les infrastructures critiques en fonction des résultats de leur évaluation des risques susceptibles d'affecter les services essentiels relevant de leur compétence, conformément à leurs critères sectoriels, tels que la durée admise des perturbations ou le temps de rétablissement.

2. Pour établir la proposition d'infrastructures critiques mentionnée au paragraphe précédent, les autorités compétentes peuvent bénéficier de la participation et du conseil technique des entités essentielles des secteurs relevant de leur compétence, lesquelles doivent collaborer à l'évaluation et à la description des infrastructures qu'elles gèrent ou dont elles dépendent.

3. L'ANC-AD est chargée d'identifier les infrastructures critiques dans la fourniture des services essentiels pour la Principauté d'Andorre, et applique à cet effet les critères de criticité horizontaux appropriés à tout moment, tels que les victimes potentielles, l'impact économique et l'impact public, à la proposition d'infrastructures critiques visée aux paragraphes 1 et 2 ci-dessus.

Article 5. Désignation des entités critiques et des entités équivalentes à des entités critiques

1. L'ANC-AD est chargée d'approuver la désignation d'une entité en tant qu'entité critique ou entité équivalente à une entité critique.

2. Pour désigner une entité en tant qu'entité critique ou entité équivalente à une entité critique, conformément aux définitions de ces deux notions figurant à l'article 3 de la Loi NIS-AD, il suffit qu'au moins une des infrastructures situées sur le territoire de la Principauté d'Andorre gérées par cette entité soit considérée comme une infrastructure critique identifiée conformément aux dispositions de l'article 4 du présent Règlement.

3. L'ANC-AD s'assure que l'autorité compétente correspondante, ou elle-même, notifie à ces entités qu'elles ont été identifiées comme entités critiques ou équivalentes à des entités critiques dans un délai d'un mois suivant cette identification, et les informe de leurs obligations conformément à la Loi NIS-AD et au présent Règlement, ainsi que de la date à partir de laquelle leur sont applicables les dispositions établies par la Loi NIS-AD et le RIC-AD concernant lesdites obligations.

Article 6. Désignation d'infrastructures critiques étrangères

1. L'ANC-AD est chargée d'approuver la désignation des infrastructures critiques pour la Principauté d'Andorre, identifiées en application des critères énumérés à l'article 4 du présent Règlement, qui sont situées à l'étranger, sur proposition des autorités compétentes désignées à l'article 6 de la Loi NIS-AD.

2. L'ANC-AD communique avec les agences nationales concernées des pays dans lesquels se trouvent les infrastructures critiques désignées conformément aux dispositions du paragraphe précédent, afin de recueillir les informations nécessaires pour inclure ces infrastructures dans le Catalogue national des infrastructures critiques et de coordonner les procédures de notification des menaces et incidents qui affectent ces infrastructures critiques pour la Principauté d'Andorre, ainsi que de convenir de plans de communication et d'action conjointe.

Article 7. Catalogue national des infrastructures critiques

1. Le Catalogue national des infrastructures critiques (ci-après « le CNIC » ou « le Catalogue ») est le registre de caractère administratif qui contient des informations complètes, actualisées et vérifiées sur les infrastructures critiques désignées conformément à l'article 5 et à l'article 6 du présent Règlement, qui supportent des services essentiels pour la Principauté d'Andorre. Le Catalogue :

a) Contient, entre autres données, celles relatives à la description des infrastructures, à leur emplacement, à leur administration et à leur titularité (y compris s'il s'agit d'une entité critique, d'une entité équivalente à une entité critique ou d'une entité étrangère qui gère une infrastructure critique pour la prestation d'un service essentiel dans la Principauté d'Andorre), aux services qu'elles fournissent, aux moyens de contact, au niveau de sécurité dont elles ont besoin en fonction des risques évalués et au plan de sécurité de l'entité, ainsi que les informations obtenues des forces et corps de sécurité.

b) Est secret, et les informations sensibles sur les infrastructures critiques n'y sont incluses que lorsqu'elles sont nécessaires à la finalité principale du Catalogue et se limitent à celles qui sont pertinentes et proportionnées à ces finalités, et leur confidentialité doit être préservée et elles doivent être protégées contre des intérêts étrangers à ceux prévus pour le CNIC.

c) Les réseaux et les systèmes d'information qui hébergent le Catalogue et y donnent accès, ainsi que les informations contenues dans le Catalogue, doivent disposer des mesures de sécurité nécessaires pour en garantir la confidentialité, l'intégrité et la disponibilité (CID) ou la disponibilité, l'intégrité et la confidentialité (DIC), selon le cas en fonction de la typologie de l'entité, conformément aux conditions requises de sécurité établies dans le Schéma national de sécurité de la Principauté d'Andorre pour le niveau de sécurité élevé.

2. La finalité principale du Catalogue est d'évaluer et de gérer les données disponibles des différentes infrastructures critiques, dans le but de concevoir les mécanismes de planification, de prévention, de protection et de réaction face à une éventuelle menace contre les données et, si nécessaire, d'activer, conformément aux dispositions du Plan des infrastructures critiques de la Principauté d'Andorre mentionné à l'article 8 du présent Règlement, une réponse rapide, opportune et proportionnée, en fonction du niveau et des caractéristiques de la menace concernée.

3. La compétence pour classer une infrastructure comme critique, ainsi que pour l'inclure dans le Catalogue, appartient à l'ANC-AD. Ainsi :

a) Il appartient à l'ANC-AD d'effectuer les inscriptions, radiations et modifications d'infrastructures critiques dans le Catalogue, ainsi que de déterminer le niveau de sécurité qu'elles requièrent. Pour l'accomplissement de ce point, l'ANC-AD peut bénéficier de la participation et des conseils de l'entité qui héberge l'infrastructure critique.

b) Aux fins de déterminer le niveau de sécurité de chaque infrastructure critique, l'ANC-AD peut demander aux entités essentielles qui en dépendent leur propre analyse des risques des services essentiels affectés par l'infrastructure critique.

4. Le CNIC est conservé, géré et tenu à jour par l'ANC-AD, et il est alimenté par les informations fournies à l'ANC-AD tant par les entités critiques et équivalentes à des entités critiques que par les entités essentielles qui dépendent d'infrastructures critiques situées à l'étranger, et il doit être actualisé selon une périodicité annuelle et, en tout état de cause, sur demande (mise en demeure) de l'ANC-AD et chaque fois que survient une modification significative qui affecte les infrastructures inscrites au Catalogue et qui présente un intérêt aux fins prévues par le présent Règlement.

Article 8. Le Plan des infrastructures critiques de la Principauté d'Andorre

1. Le Plan des infrastructures critiques de la Principauté d'Andorre (ci-après, « PIC-AD ») est un recueil de documents, pour la plupart confidentiels, qui décrivent comment le pays doit s'organiser, contrôler, motiver, diriger et prendre des décisions afin d'atteindre les objectifs de protection et de résilience des infrastructures critiques pour les services essentiels pour la Principauté d'Andorre que fixe la Stratégie de cybersécurité de la Principauté d'Andorre, décrite l'article 4 de la Loi NIS-AD. Le PIC-AD :

a) Établit les critères et les directives précises pour articuler les mesures préventives nécessaires afin d'assurer, de manière actualisée et homogène, la protection permanente et la résilience des infrastructures critiques qui font partie du CNIC face aux menaces provenant d'attaques délibérées dirigées contre elles.

b) Prévoit différents niveaux de sécurité et d'intervention des forces et corps de sécurité, qui doivent être activés, dans chaque cas, en fonction des résultats de l'évaluation du niveau et du type de la menace à laquelle les infrastructures critiques qui font partie du CNIC sont confrontées à chaque moment.

c) Doit être actualisé au minimum à chaque nouvelle édition de la Stratégie de cybersécurité de la Principauté d'Andorre et, le cas échéant, lorsqu'il s'avère nécessaire de modifier l'une des données ou instructions figurant dans le plan.

2. L'ANC-AD est chargée de :

a) Coordonner l'élaboration, sans retard injustifié, de chaque proposition de PIC-AD que jugent nécessaire l'ANC-AD elle-même, le secrétariat d'État auquel elle est rattachée ou le Comité spécialisé de sécurité décrit à l'article 10 du Décret 346/2021 , du 20 octobre 2021, portant création de l'Agence nationale de cybersécurité et de l'Équipe de réponse de référence de la Principauté d'Andorre pour le traitement des incidents de sécurité des réseaux et des systèmes d'information.

b) Assurer la garde des documents qui composent le PIC-AD et en contrôler l'accès conformément aux niveaux de sécurité associés à leurs contenus, y compris pendant leur création ou leur modification.

c) Exécuter le PIC-AD.

d) Surveiller et contrôler l'exécution du PIC-AD.

e) Coordonner l'analyse des propositions de modifications que le PIC-AD peut requérir à chaque moment.

3. L'ANC-AD est chargée d'approuver toutes les versions du PIC-AD.

Article 9. Plans stratégiques sectoriels

1. Les plans stratégiques sectoriels de la Principauté d'Andorre (ci-après, « les PES-AD ») décrivent, dans chacun des secteurs essentiels de l'annexe I de la Loi NIS-AD, quels sont les services essentiels fournis à la société au sein du secteur que couvre le PES-AD correspondant, le fonctionnement général de ces services, leurs risques, les infrastructures critiques pour garantir la prestation de chaque service essentiel avec la qualité requise, les conséquences potentielles de la matérialisation des risques identifiés pour chaque service essentiel et les mesures techniques et organisationnelles qu'il est nécessaire de mettre en œuvre, conformément au PIC-AD et à ce qui est spécifique au service essentiel correspondant, pour la protection et la résilience des infrastructures critiques dont ils dépendent.

2. L'ANC-AD, avec la collaboration de l'Autorité financière andorrane en ce qui concerne son domaine de compétence conformément aux dispositions de la Loi NIS-AD, et compte tenu de l'évaluation des risques qu'elle doit réaliser pour chaque service essentiel conformément au paragraphe 4.b de l'article 6 de la Loi NIS-AD, est chargée de :

a) Créer sans retard injustifié les PES-AD de chaque secteur essentiel.

b) Assurer la garde des documents qui composent chaque PES-AD et en contrôler l'accès conformément aux niveaux de sécurité associés à leurs contenus, y compris pendant leur création ou leur modification.

c) Exécuter les PES-AD.

d) Surveiller et contrôler l'exécution de chaque PES-AD.

e) Adapter les PES-AD, comme il convient, à la réalité du secteur correspondant à chaque moment et aux plans de sécurité des infrastructures critiques dont dépend chaque secteur.

3. Pour mettre en œuvre les PES-AD, l'ANC-AD peut bénéficier de la participation et du conseil technique des entités critiques et des entités équivalentes à des entités critiques.

Article 10. Plan de sécurité de l'entité

1. Le Plan de sécurité de l'entité (ci-après, « PSE ») est l'ensemble des documents stratégiques qui définissent les politiques générales d'une entité critique ou d'une entité équivalente à une entité critique pour garantir la protection et la résilience des infrastructures critiques qu'elle possède ou gère. Le PSE doit contenir au minimum les documents suivants :

a) La politique générale de sécurité de l'entité, qui comprend, au minimum : i. La description des infrastructures critiques partagée avec l'ANC-AD pour les inclure au CNIC. ii. Les procédures de gestion et de maintien de la sécurité. iii. Les procédures établies pour la communication et l'échange d'informations relatives à la protection des infrastructures critiques. iv. La méthodologie d'analyse des risques (menaces physiques et de cybersécurité). v. La structure de gouvernance de la sécurité de l'entité ainsi que la description des fonctions et des responsabilités de chaque rôle de l'organigramme correspondant,. vi. Les coordonnées de son DSI, ou de son équivalent dans le cas des entités équivalentes à des entités critiques, et des DSI des entités qui fournissent les services essentiels qui dépendent de ces dernières, ainsi que des personnes qui les remplaceront lorsqu'ils ne seront pas disponibles.

b) La liste des services essentiels qui dépendent de chacune des infrastructures critiques que l'entité possède ou gère.

c) La liste des dépendances de chaque infrastructure critique à l'égard d'autres infrastructures critiques possédées ou gérées par la même entité ou par une autre entité.

d) Le résultat de l'analyse des risques de chacune des infrastructures critiques possédées ou gérées par l'entité.

e) L'inventaire des services sous-traités susceptibles d'avoir un impact de quelque manière que ce soit sur les infrastructures critiques. Pour chacun de ces services, outre la description de l'impact possible et la description du service sous-traité, doivent être identifiés l'entité sous-traitante, les certificats dont elle dispose en matière de sécurité et le siège à partir duquel elle fournit le service sous-traité, ainsi que les niveaux de service convenus. De même, doit être décrite la méthodologie au moyen de laquelle est effectuée la vérification du respect, par l'entité critique ou équivalente à une entité critique, des protocoles de sécurité mis en œuvre le cas échéant.

f) La liste des mesures techniques et organisationnelles (y compris les procédures d'alerte et de gestion de crise) jugées adéquates et proportionnées pour garantir la sécurité et la résilience de chaque infrastructure critique, documentées avec un niveau de détail suffisant pour atteindre les objectifs de l'entité, compte tenu des risques détectés. Il doit être indiqué lesquelles de ces mesures sont permanentes, et lesquelles sont graduelles et ne seront activées qu'à partir d'un niveau déterminé de risque et de menace.

g) La liste des mesures techniques et organisationnelles qui sont déjà mises en œuvre ou prêtes à être activées dans chaque infrastructure critique, en faisant référence, le cas échéant, à celles mentionnées au point précédent.

2. L'ANC-AD est autorisée à étendre le contenu minimal des PSE pour certaines ou toutes les entités ou équivalents à des entités critiques.

3. L'organe de direction de l'entité, le cas échéant avec la collaboration de son DSI, est responsable de :

a) Créer sans retard injustifié le PSE de l'entité.

b) Conserver les documents qui composent son PSE et en contrôler l'accès conformément aux niveaux de sécurité associés à leurs contenus, y compris pendant leur création ou leur modification.

c) Exécuter le PSE.

d) Surveiller et contrôler l'exécution du PSE.

e) Adapter le PSE, comme il convient, à sa réalité et aux directives qu'elle reçoit de son autorité compétente ou de l'ANC-AD.

f) Mettre le PSE à la disposition de l'autorité compétente correspondante.

g) Communiquer chaque nouvelle version du PSE à l'ANC-AD sans retard injustifié et, en tout état de cause, dans un délai maximal d'une semaine à compter du lendemain de l'approbation du PSE, et indépendamment des circonstances ayant donné lieu à la nouvelle version et du fait que les documents aient fait ou non l'objet de modifications.

h) Communiquer à l'ANC-AD, sans retard injustifié, l'adoption de toute mesure de sécurité qui n'a pas été incluse dans le PSE en raison de sa nature temporaire.

4. L'ANC-AD est responsable de l'approbation des PSE des entités critiques et des entités équivalentes à des entités critiques et, le cas échéant, de la proposition de mises à jour de ces plans.

Article 11. Plans de soutien opérationnel

1. La Police andorrane (Corps de police) de la Principauté d'Andorre, à la demande de l'ANC-AD, est chargée de concevoir le plan de soutien opérationnel requis par chaque infrastructure critique du CNIC, et en assume la responsabilité.

2. Ces plans prévoient les mesures de surveillance, de prévention, de protection ou de réaction qui doivent être appliquées, de manière complémentaire à celles prévues par les entités critiques et les entités équivalentes à des entités critiques elles-mêmes.

Article 12. Audits de la sécurité et garanties minimales des services ou de la technologie ou des produits

1. Les entités critiques et les entités équivalentes à des entités critiques font l'objet, au moins annuellement, d'un audit externe ordinaire qui vérifie le respect des conditions requises établies dans le présent Règlement. À titre extraordinaire, cet audit doit être réalisé chaque fois que se produisent des modifications substantielles dans les infrastructures de l'entité inscrites au CNIC, ou dans un nombre significatif de mesures de sécurité requises conformément au PSE correspondant. Cet audit extraordinaire doit déterminer la date de référence pour le calcul de l'année en vue de la réalisation de l'audit ordinaire suivant, conformément à ce qui est indiqué à l'alinéa précédent.

2. L'audit est réalisé conformément au guide d'audit des infrastructures critiques publié par l'ANC-AD, et aux niveaux de sécurité que l'ANC-AD a attribués aux services essentiels qui dépendent de chaque infrastructure critique. Niveau exigé RIC-AD Niveau minimal RIC-AD Date li,ite de conformité minimale RIC-AD 2,3 2 01/03/2025 3 2,6 30/09/2025 4 3,6 31/03/2027 5 4,6 31/03/2029 Tableau des niveaux de maturité exigés par date L'audit externe annuel analyse le degré de conformité des entités critiques et des entités équivalentes à des entités critiques au regard des niveaux établis dans ce guide.

3. Le rapport d'audit permet à l'organe de direction de l'entité d'identifier les mesures que l'entité doit adopter pour corriger l'éventuel défaut d'adéquation au RIC-AD, et doit inclure la méthodologie employée, la portée et l'objectif de l'audit, le degré de respect et de non-respect du présent Règlement, les éléments probants qui démontrent les manquements détectés et les mesures qui doivent être adoptées pour remédier aux manquements.

4. Les rapports d'audit peuvent être requis par les autorités compétentes, et ceux de la dernière année doivent être mis à disposition, au plus tard, au cours du premier trimestre de l'année en cours, dans l'exercice de leur obligation de supervision conformément à ce qui est établi au chapitre troisième de la Loi NIS-AD.

5. L'absence d'adoption de mesures pour remédier aux déficiences détectées mentionnées au paragraphe 3 du présent article, lorsque ces déficiences constituent des vulnérabilités à des incidents ayant des effets perturbateurs significatifs, peut donner lieu à l'ouverture d'un dossier de sanction et à l'imposition de sanctions après l'instruction préalable du dossier correspondant conformément à ce que prévoit la Loi NIS-AD.

6. Garanties relatives aux sous-traitances :

a) Les entités critiques et les entités équivalentes à des entités critiques doivent garantir que les fournisseurs sous-traitants dont elles disposent présentent des garanties suffisantes concernant les services sous-traités, ainsi que concernant la fourniture de toute technologie ou de tout produit. Les entités critiques et les entités équivalentes à des entités critiques sont tenues de veiller à ce que ces services, cette technologie ou ces produits offerts figurent au Registre des composants certifiés établi à cet effet par l'ANC-AD à tout moment. Ledit Registre des composants certifiés est établi par l'ANC-AD en fonction des critères qu'elle juge appropriés, y compris les critères internationalement reconnus ou appliqués par des entités homologues de l'ANC-AD.

b) Dans le cas où une entité critique ou une entité équivalente à une entité critique ne peut pas disposer de services ou de technologie ou de produits figurant au Registre des composants certifiés visé à l'alinéa précédent, cette entité peut demander à l'ANC-AD une autorisation pour disposer des services ou de la technologie ou du produit correspondant. Cette demande doit être dûment argumentée et doit justifier les motifs de la nécessité de disposer du service ou de la technologie ou du produit proposé, et l'ANC-AD dispose de deux mois pour l'évaluer. En l'absence de décision de l'ANC-AD dans le délai susmentionné, l'autorisation est réputée refusée par silence administratif négatif.

c) Dans les cas de procédures de passation de marchés de services ou d'acquisition de technologie ou de produits par les entités critiques et les entités équivalentes à des entités critiques, ces entités sont tenues d'exiger des fournisseurs la présentation d'un audit de sécurité externe établi à une date de moins de dix-huit mois par rapport à la date de présentation de leurs offres, lequel doit être réalisé conformément aux cadres internationalement reconnus en matière de cybersécurité à tout moment.

d) Dans le cas où une entité critique ou une entité équivalente à une entité critique justifie qu'elle ne peut pas disposer d'un fournisseur de services ou de technologie ou de produits disposant de l'audit visé à l'alinéa précédent, ou que le fournisseur dispose déjà d'un ou de plusieurs certificats reconnus, elle peut demander à l'ANC-AD une autorisation pour contracter avec le fournisseur correspondant. Cette demande doit être dûment argumentée et doit justifier les motifs du contrat proposé, et l'ANC-AD dispose de deux mois pour l'évaluer. En l'absence de décision de l'ANC-AD dans ledit délai, l'autorisation est réputée refusée par silence administratif négatif.

e) Toutefois, les entités critiques et les entités équivalentes à des entités critiques sont tenues d'exiger des entités sous-traitantes ultérieures la présentation d'un audit de sécurité externe établi à une date de moins de dix-huit mois par rapport à la date à laquelle commence la sous-traitance ultérieure. Dans ce cas, l'entité critique ou l'entité équivalente à une entité critique a également la possibilité de demander à l'ANC-AD l'exception régie au paragraphe précédent, dans les cas où est justifiée l'absence de disponibilité d'un fournisseur pouvant disposer de cet audit.

f) Les entités critiques et les entités équivalentes à des entités critiques doivent fournir à l'ANC-AD, selon une périodicité annuelle, un résumé des contrats et sous-traitances conclus conformément à ce qu'établissent les paragraphes précédents du présent article, en faisant référence aux composants certifiés contractés dans chaque cas. De même, en ce qui concerne les audits externes mentionnés aux paragraphes précédents du présent article, les entités critiques et les entités équivalentes à des entités critiques doivent informer annuellement l'ANC-AD des entreprises responsables des audits et des cadres standard utilisés par celles-ci.

Article 13. Incidents de cybersécurité

1. En cas d'incident de cybersécurité de niveau moyen ou élevé, l'entité critique ou équivalente à une entité critique doit fournir toutes les données et preuves de l'incident que l'ANC-AD, le CSIRT-AD ou la Police andorrane (Corps de police) de la Principauté d'Andorre lui demandent.

2. Les entités critiques et équivalentes à des entités critiques doivent notifier leurs incidents de sécurité conformément aux dispositions de la Loi NIS-AD pour le cas des entités essentielles.

Disposition additionnelle première. Soutien, orientation et exercices

L'ANC-AD, en collaboration avec le CSIRT-AD et l'Université d'Andorre, entre autres entités, élabore des supports et des méthodologies d'orientation, apporte son soutien à l'organisation d'exercices visant à vérifier la résilience des entités critiques et dispense des formations à leur personnel. En outre, l'ANC-AD, en collaboration avec le CSIRT-AD, conseille les entités critiques dans l'exécution de leurs obligations et doit entreprendre, lorsqu'elle l'estime nécessaire, des activités de soutien destinées à faciliter l'exécution de ces obligations.

Disposition additionnelle deuxième. Actes délégués

Afin de tenir compte des nouveaux risques, des progrès technologiques ou des spécificités d'un ou de plusieurs secteurs ou entités, sont déléguées à l'ANC-AD les compétences nécessaires pour définir, au moyen de la spécification de normes qui doivent être préalablement approuvées par l'ANC-AD, des mesures de résilience d'application obligatoire pour les entités critiques et les entités équivalentes à des entités critiques, ainsi que pour décrire plus en détail certaines de ces mesures ou leur totalité afin d'en garantir l'application effective et cohérente.

Disposition transitoire 1.

Les entités critiques et les entités équivalentes à des entités critiques disposent d'un délai de dix-huit mois à compter de la date d'entrée en vigueur du présent Règlement pour se mettre en conformité avec les obligations contenues dans le présent Règlement, exclusivement en ce qui concerne l'exigence de l'audit de sécurité externe prévu pour les entités sous-traitantes.

2. De même, les entités critiques et les entités équivalentes à des entités critiques disposent d'un délai de dix-huit mois à compter de la date d'entrée en vigueur du présent Règlement pour satisfaire aux obligations contenues dans le présent Règlement relatives à l'obligation de justifier que les services, les technologies ou les produits que ces entités acquièrent sont inscrits au Registre des composants certifiés élaboré par l'ANC-AD.

Disposition finale. Compétences en matière de protection civile

Les dispositions du présent Règlement s'entendent sans préjudice de ce que prévoit la réglementation de la Principauté d'Andorre en matière de protection civile.