Article 7. Catalogue national des infrastructures critiques

Article 7. Catalogue national des infrastructures critiques

1. Le Catalogue national des infrastructures critiques (ci-après « le CNIC » ou « le Catalogue ») est le registre de caractère administratif qui contient des informations complètes, actualisées et vérifiées sur les infrastructures critiques désignées conformément à l'article 5 et à l'article 6 du présent Règlement, qui supportent des services essentiels pour la Principauté d'Andorre. Le Catalogue :

a) Contient, entre autres données, celles relatives à la description des infrastructures, à leur emplacement, à leur administration et à leur titularité (y compris s'il s'agit d'une entité critique, d'une entité équivalente à une entité critique ou d'une entité étrangère qui gère une infrastructure critique pour la prestation d'un service essentiel dans la Principauté d'Andorre), aux services qu'elles fournissent, aux moyens de contact, au niveau de sécurité dont elles ont besoin en fonction des risques évalués et au plan de sécurité de l'entité, ainsi que les informations obtenues des forces et corps de sécurité.

b) Est secret, et les informations sensibles sur les infrastructures critiques n'y sont incluses que lorsqu'elles sont nécessaires à la finalité principale du Catalogue et se limitent à celles qui sont pertinentes et proportionnées à ces finalités, et leur confidentialité doit être préservée et elles doivent être protégées contre des intérêts étrangers à ceux prévus pour le CNIC.

c) Les réseaux et les systèmes d'information qui hébergent le Catalogue et y donnent accès, ainsi que les informations contenues dans le Catalogue, doivent disposer des mesures de sécurité nécessaires pour en garantir la confidentialité, l'intégrité et la disponibilité (CID) ou la disponibilité, l'intégrité et la confidentialité (DIC), selon le cas en fonction de la typologie de l'entité, conformément aux conditions requises de sécurité établies dans le Schéma national de sécurité de la Principauté d'Andorre pour le niveau de sécurité élevé.

2. La finalité principale du Catalogue est d'évaluer et de gérer les données disponibles des différentes infrastructures critiques, dans le but de concevoir les mécanismes de planification, de prévention, de protection et de réaction face à une éventuelle menace contre les données et, si nécessaire, d'activer, conformément aux dispositions du Plan des infrastructures critiques de la Principauté d'Andorre mentionné à l'article 8 du présent Règlement, une réponse rapide, opportune et proportionnée, en fonction du niveau et des caractéristiques de la menace concernée.

3. La compétence pour classer une infrastructure comme critique, ainsi que pour l'inclure dans le Catalogue, appartient à l'ANC-AD. Ainsi :

a) Il appartient à l'ANC-AD d'effectuer les inscriptions, radiations et modifications d'infrastructures critiques dans le Catalogue, ainsi que de déterminer le niveau de sécurité qu'elles requièrent. Pour l'accomplissement de ce point, l'ANC-AD peut bénéficier de la participation et des conseils de l'entité qui héberge l'infrastructure critique.

b) Aux fins de déterminer le niveau de sécurité de chaque infrastructure critique, l'ANC-AD peut demander aux entités essentielles qui en dépendent leur propre analyse des risques des services essentiels affectés par l'infrastructure critique.

4. Le CNIC est conservé, géré et tenu à jour par l'ANC-AD, et il est alimenté par les informations fournies à l'ANC-AD tant par les entités critiques et équivalentes à des entités critiques que par les entités essentielles qui dépendent d'infrastructures critiques situées à l'étranger, et il doit être actualisé selon une périodicité annuelle et, en tout état de cause, sur demande (mise en demeure) de l'ANC-AD et chaque fois que survient une modification significative qui affecte les infrastructures inscrites au Catalogue et qui présente un intérêt aux fins prévues par le présent Règlement.