Article 10. Plan de sécurité de l'entité

Article 10. Plan de sécurité de l'entité

1. Le Plan de sécurité de l'entité (ci-après, « PSE ») est l'ensemble des documents stratégiques qui définissent les politiques générales d'une entité critique ou d'une entité équivalente à une entité critique pour garantir la protection et la résilience des infrastructures critiques qu'elle possède ou gère. Le PSE doit contenir au minimum les documents suivants :

a) La politique générale de sécurité de l'entité, qui comprend, au minimum : i. La description des infrastructures critiques partagée avec l'ANC-AD pour les inclure au CNIC. ii. Les procédures de gestion et de maintien de la sécurité. iii. Les procédures établies pour la communication et l'échange d'informations relatives à la protection des infrastructures critiques. iv. La méthodologie d'analyse des risques (menaces physiques et de cybersécurité). v. La structure de gouvernance de la sécurité de l'entité ainsi que la description des fonctions et des responsabilités de chaque rôle de l'organigramme correspondant,. vi. Les coordonnées de son DSI, ou de son équivalent dans le cas des entités équivalentes à des entités critiques, et des DSI des entités qui fournissent les services essentiels qui dépendent de ces dernières, ainsi que des personnes qui les remplaceront lorsqu'ils ne seront pas disponibles.

b) La liste des services essentiels qui dépendent de chacune des infrastructures critiques que l'entité possède ou gère.

c) La liste des dépendances de chaque infrastructure critique à l'égard d'autres infrastructures critiques possédées ou gérées par la même entité ou par une autre entité.

d) Le résultat de l'analyse des risques de chacune des infrastructures critiques possédées ou gérées par l'entité.

e) L'inventaire des services sous-traités susceptibles d'avoir un impact de quelque manière que ce soit sur les infrastructures critiques. Pour chacun de ces services, outre la description de l'impact possible et la description du service sous-traité, doivent être identifiés l'entité sous-traitante, les certificats dont elle dispose en matière de sécurité et le siège à partir duquel elle fournit le service sous-traité, ainsi que les niveaux de service convenus. De même, doit être décrite la méthodologie au moyen de laquelle est effectuée la vérification du respect, par l'entité critique ou équivalente à une entité critique, des protocoles de sécurité mis en œuvre le cas échéant.

f) La liste des mesures techniques et organisationnelles (y compris les procédures d'alerte et de gestion de crise) jugées adéquates et proportionnées pour garantir la sécurité et la résilience de chaque infrastructure critique, documentées avec un niveau de détail suffisant pour atteindre les objectifs de l'entité, compte tenu des risques détectés. Il doit être indiqué lesquelles de ces mesures sont permanentes, et lesquelles sont graduelles et ne seront activées qu'à partir d'un niveau déterminé de risque et de menace.

g) La liste des mesures techniques et organisationnelles qui sont déjà mises en œuvre ou prêtes à être activées dans chaque infrastructure critique, en faisant référence, le cas échéant, à celles mentionnées au point précédent.

2. L'ANC-AD est autorisée à étendre le contenu minimal des PSE pour certaines ou toutes les entités ou équivalents à des entités critiques.

3. L'organe de direction de l'entité, le cas échéant avec la collaboration de son DSI, est responsable de :

a) Créer sans retard injustifié le PSE de l'entité.

b) Conserver les documents qui composent son PSE et en contrôler l'accès conformément aux niveaux de sécurité associés à leurs contenus, y compris pendant leur création ou leur modification.

c) Exécuter le PSE.

d) Surveiller et contrôler l'exécution du PSE.

e) Adapter le PSE, comme il convient, à sa réalité et aux directives qu'elle reçoit de son autorité compétente ou de l'ANC-AD.

f) Mettre le PSE à la disposition de l'autorité compétente correspondante.

g) Communiquer chaque nouvelle version du PSE à l'ANC-AD sans retard injustifié et, en tout état de cause, dans un délai maximal d'une semaine à compter du lendemain de l'approbation du PSE, et indépendamment des circonstances ayant donné lieu à la nouvelle version et du fait que les documents aient fait ou non l'objet de modifications.

h) Communiquer à l'ANC-AD, sans retard injustifié, l'adoption de toute mesure de sécurité qui n'a pas été incluse dans le PSE en raison de sa nature temporaire.

4. L'ANC-AD est responsable de l'approbation des PSE des entités critiques et des entités équivalentes à des entités critiques et, le cas échéant, de la proposition de mises à jour de ces plans.