Article 12. Audits de la sécurité et garanties minimales des services ou de la technologie ou des produits

Article 12. Audits de la sécurité et garanties minimales des services ou de la technologie ou des produits

1. Les entités critiques et les entités équivalentes à des entités critiques font l'objet, au moins annuellement, d'un audit externe ordinaire qui vérifie le respect des conditions requises établies dans le présent Règlement. À titre extraordinaire, cet audit doit être réalisé chaque fois que se produisent des modifications substantielles dans les infrastructures de l'entité inscrites au CNIC, ou dans un nombre significatif de mesures de sécurité requises conformément au PSE correspondant. Cet audit extraordinaire doit déterminer la date de référence pour le calcul de l'année en vue de la réalisation de l'audit ordinaire suivant, conformément à ce qui est indiqué à l'alinéa précédent.

2. L'audit est réalisé conformément au guide d'audit des infrastructures critiques publié par l'ANC-AD, et aux niveaux de sécurité que l'ANC-AD a attribués aux services essentiels qui dépendent de chaque infrastructure critique. Niveau exigé RIC-AD Niveau minimal RIC-AD Date li,ite de conformité minimale RIC-AD 2,3 2 01/03/2025 3 2,6 30/09/2025 4 3,6 31/03/2027 5 4,6 31/03/2029 Tableau des niveaux de maturité exigés par date L'audit externe annuel analyse le degré de conformité des entités critiques et des entités équivalentes à des entités critiques au regard des niveaux établis dans ce guide.

3. Le rapport d'audit permet à l'organe de direction de l'entité d'identifier les mesures que l'entité doit adopter pour corriger l'éventuel défaut d'adéquation au RIC-AD, et doit inclure la méthodologie employée, la portée et l'objectif de l'audit, le degré de respect et de non-respect du présent Règlement, les éléments probants qui démontrent les manquements détectés et les mesures qui doivent être adoptées pour remédier aux manquements.

4. Les rapports d'audit peuvent être requis par les autorités compétentes, et ceux de la dernière année doivent être mis à disposition, au plus tard, au cours du premier trimestre de l'année en cours, dans l'exercice de leur obligation de supervision conformément à ce qui est établi au chapitre troisième de la Loi NIS-AD.

5. L'absence d'adoption de mesures pour remédier aux déficiences détectées mentionnées au paragraphe 3 du présent article, lorsque ces déficiences constituent des vulnérabilités à des incidents ayant des effets perturbateurs significatifs, peut donner lieu à l'ouverture d'un dossier de sanction et à l'imposition de sanctions après l'instruction préalable du dossier correspondant conformément à ce que prévoit la Loi NIS-AD.

6. Garanties relatives aux sous-traitances :

a) Les entités critiques et les entités équivalentes à des entités critiques doivent garantir que les fournisseurs sous-traitants dont elles disposent présentent des garanties suffisantes concernant les services sous-traités, ainsi que concernant la fourniture de toute technologie ou de tout produit. Les entités critiques et les entités équivalentes à des entités critiques sont tenues de veiller à ce que ces services, cette technologie ou ces produits offerts figurent au Registre des composants certifiés établi à cet effet par l'ANC-AD à tout moment. Ledit Registre des composants certifiés est établi par l'ANC-AD en fonction des critères qu'elle juge appropriés, y compris les critères internationalement reconnus ou appliqués par des entités homologues de l'ANC-AD.

b) Dans le cas où une entité critique ou une entité équivalente à une entité critique ne peut pas disposer de services ou de technologie ou de produits figurant au Registre des composants certifiés visé à l'alinéa précédent, cette entité peut demander à l'ANC-AD une autorisation pour disposer des services ou de la technologie ou du produit correspondant. Cette demande doit être dûment argumentée et doit justifier les motifs de la nécessité de disposer du service ou de la technologie ou du produit proposé, et l'ANC-AD dispose de deux mois pour l'évaluer. En l'absence de décision de l'ANC-AD dans le délai susmentionné, l'autorisation est réputée refusée par silence administratif négatif.

c) Dans les cas de procédures de passation de marchés de services ou d'acquisition de technologie ou de produits par les entités critiques et les entités équivalentes à des entités critiques, ces entités sont tenues d'exiger des fournisseurs la présentation d'un audit de sécurité externe établi à une date de moins de dix-huit mois par rapport à la date de présentation de leurs offres, lequel doit être réalisé conformément aux cadres internationalement reconnus en matière de cybersécurité à tout moment.

d) Dans le cas où une entité critique ou une entité équivalente à une entité critique justifie qu'elle ne peut pas disposer d'un fournisseur de services ou de technologie ou de produits disposant de l'audit visé à l'alinéa précédent, ou que le fournisseur dispose déjà d'un ou de plusieurs certificats reconnus, elle peut demander à l'ANC-AD une autorisation pour contracter avec le fournisseur correspondant. Cette demande doit être dûment argumentée et doit justifier les motifs du contrat proposé, et l'ANC-AD dispose de deux mois pour l'évaluer. En l'absence de décision de l'ANC-AD dans ledit délai, l'autorisation est réputée refusée par silence administratif négatif.

e) Toutefois, les entités critiques et les entités équivalentes à des entités critiques sont tenues d'exiger des entités sous-traitantes ultérieures la présentation d'un audit de sécurité externe établi à une date de moins de dix-huit mois par rapport à la date à laquelle commence la sous-traitance ultérieure. Dans ce cas, l'entité critique ou l'entité équivalente à une entité critique a également la possibilité de demander à l'ANC-AD l'exception régie au paragraphe précédent, dans les cas où est justifiée l'absence de disponibilité d'un fournisseur pouvant disposer de cet audit.

f) Les entités critiques et les entités équivalentes à des entités critiques doivent fournir à l'ANC-AD, selon une périodicité annuelle, un résumé des contrats et sous-traitances conclus conformément à ce qu'établissent les paragraphes précédents du présent article, en faisant référence aux composants certifiés contractés dans chaque cas. De même, en ce qui concerne les audits externes mentionnés aux paragraphes précédents du présent article, les entités critiques et les entités équivalentes à des entités critiques doivent informer annuellement l'ANC-AD des entreprises responsables des audits et des cadres standard utilisés par celles-ci.