Statut: vigent · Texte en vigueur au 24/10/2026 · Données jusqu’au BOPA du 22/10/2026 · Publiée au BOPA núm. 123, any 2022 (19/10/2022) · Page complète (historique des versions)
Text consolidat de treball elaborat per MCA Assessors a partir del BOPA. No és un text oficial: en cas de discrepància mana el BOPA. Les notes (remissions, disposicions de la llei original, correccions) són d'elaboració pròpia i estan pendents de revisió professional.
1. Le présent Règlement a pour objet de réglementer le Schéma national de sécurité de la Principauté d'Andorre (ENS-AD), conformément au mandat établi à la lettre a du paragraphe 2 de l'article 4 de la Loi 22/2022 , du 9 juin, relative aux mesures pour la sécurité des réseaux et des systèmes d'information (Loi NIS-AD), lequel est complété par les guides de mise en œuvre et d'audit, les politiques et les composants du catalogue d'actifs d'information standard que l'Agence nationale de cybersécurité (ANC-AD) publie en relation avec le Schéma sur son site web.
2. Le présent Règlement réglemente la mise en place du Système de gestion de la sécurité de l'information (SGSI) et d'une procédure visant à spécifier les conditions requises minimales de sécurité et les mesures de sécurité techniques et organisationnelles qui, au minimum, doivent être appliquées aux réseaux et aux systèmes d'information afin d'assurer un niveau de sécurité qui respecte la confidentialité, l'intégrité et la disponibilité de manière proportionnée à la nature de l'information traitée, aux services à fournir et aux risques auxquels ils sont exposés.
3. En outre, le présent Règlement clarifie, précise, simplifie et actualise certains des principaux concepts de la cybersécurité afin d'en homogénéiser l'utilisation.
1. Les termes suivants, utilisés dans le contexte de l'ENS-AD, ont la signification suivante :
a) Actif d'information de base : actif d'information qu'il n'est pas nécessaire de décomposer davantage car il est déjà facile d'analyser le risque auquel il est exposé, et de déterminer quelles sont ses menaces et quels ensembles de sauvegardes il conviendrait de mettre en œuvre pour lui conférer un niveau de sécurité déterminé. Sont des exemples d'actifs d'information de base le bâtiment et le câblage électrique, lorsque ce qui est analysé est une infrastructure ; les LAN et VPN, lorsque ce qui est analysé est un réseau ; les serveurs et leurs systèmes d'exploitation, lorsque ce qui est analysé est un système d'information, ou la base de données et l'application web, lorsque ce qui est analysé est une application.
b) Actif d'information standard : actif d'information de base qui a été analysé par l'ANC-AD, et pour lequel ont été identifiés les ensembles de mesures de référence qui doivent être mis en œuvre pour atteindre un niveau de sécurité déterminé. L'ANC-AD publie et tient à jour le catalogue d'actifs d'information standard.
c) Classe de sécurité : combinaison spécifique des trois sous-classes de sécurité. Le symbole de la classe de sécurité est formé à partir des symboles des sous-classes dans cet ordre : D-I-C (disponibilité, intégrité et confidentialité). Le nombre de toutes les combinaisons possibles est de 4x4x4, de sorte qu'il existe 64 classes de sécurité différentes.
d) Déclaration d'applicabilité : liste des mesures de référence qui s'appliquent à une entité, établie conformément à l'article 12.
e) DSI : délégué à la sécurité de l'information, conformément aux dispositions de l'article 18 de la Loi NIS-AD
f) Mesures de référence : mesures de sécurité types, cataloguées, pour lesquelles des méthodes de sélection ont été établies en fonction du niveau de sécurité requis.
g) Mesures de sécurité : actes et moyens organisationnels, processus techniques et mise en œuvre de moyens techniques pour l'obtention et la conservation de la sécurité des réseaux et des systèmes d'information.
h) Modéliser : ajuster à un archétype formé d'actifs d'information de base.
i) Sécurité de l'information : ensemble de processus pour la création, la sélection et la mise en œuvre de mesures de sécurité.
j) SGSI : Système de gestion de la sécurité de l'information, consistant en un ensemble intégral de mesures de gestion permettant de garantir la durabilité des services fournis par l'entité et la protection de ses actifs d'information.
k) Sous-classe de sécurité : niveau de sécurité associé à l'une des trois principales dimensions de la sécurité de l'information (disponibilité, intégrité et confidentialité), exprimé sur une échelle de quatre niveaux (0 à 3).
2. Les autres termes employés dans le présent Règlement ont la signification que leur donne l'article 3 de la Loi NIS-AD.
Le champ d'application de l'ENS-AD s'étend à la totalité des actifs d'information qui sont nécessaires pour garantir la fourniture des services essentiels ou importants définis dans la Loi NIS-AD, avec la qualité que chacun d'eux requiert.
1. La sécurité de l'information traitée et des services fournis conformément à l'ENS-AD repose sur les principes de base suivants :
a) Sécurité entendue comme un processus intégral et systématique, qui inclut tous les éléments techniques, humains, matériels et organisationnels liés aux réseaux et aux systèmes d'information nécessaires pour fournir les services essentiels ou importants (principe de sécurité intégrale et systématique).
b) Gestion de la sécurité fondée sur la gestion des risques auxquels ces services sont exposés, de manière proportionnée à la nature de l'information traitée et aux services à fournir (principe de proportionnalité).
c) Modélisation des actifs d'information de base au moyen d'actifs d'information standard pour lesquels ils disposent de mesures standard de prévention, pour éliminer ou réduire la possibilité que les menaces se matérialisent ; de mesures standard de détection, pour découvrir la présence d'un cyberincident ; de mesures standard de réponse, pour restaurer l'information et les services qui auraient pu être affectés, et de mesures standard pour garantir la conservation des données et informations sur support électronique (principe de modélisation standard).
d) Stratification de la défense, en constituant des mesures qui forment des couches de sécurité, en ajoutant de nouvelles mesures à la couche de base pour construire la couche de niveau de sécurité moyen, et en ajoutant à nouveau davantage de mesures sur cette dernière pour constituer la couche de sécurité élevée, de manière à réduire la probabilité que la brèche dans une couche compromette tous les actifs d'information qui supportent les services auxquels s'applique l'ENS-AD (principe de stratification des mesures).
e) Surveillance continue pour détecter des activités ou des comportements anormaux, et réévaluation périodique pour adapter les mesures en fonction de l'évolution des risques auxquels sont exposés à chaque moment l'information traitée et les services à fournir (principe d'amélioration continue).
f) Différenciation des responsabilités concernant la fourniture des services et la sécurité des actifs d'information qui supportent ces services (principe de propriété des services et des actifs).
1. Sont établies trois sous-classes de sécurité associées aux trois dimensions de la sécurité de l'information que comprend l'ENS-AD : la disponibilité, l'intégrité et la confidentialité.
2. Sont établis quatre niveaux de sécurité pour chaque sous-classe, selon le niveau d'impact sur l'information ou le service que pourrait causer un cyberincident (équivalent, en vertu du principe de proportionnalité, au niveau de protection qui doit être atteint dans la dimension de la sécurité correspondante) :
a) Niveau 0 (critique) : impact qui empêche la prestation du service.
b) Niveau 1 (important) : impact qui dégrade la prestation du service au point qu'elle ne peut pas être garantie.
c) Niveau 2 (moyen) : impact qui permet de garantir la prestation du service, mais avec une qualité inférieure à celle requise.
d) Niveau 3 (faible) : impact très réduit sur le service, presque imperceptible. Le niveau de sécurité d'une sous-classe est décrit par une lettre, qui correspond à la dimension de la sécurité qui donne son nom à la sous-classe (D pour disponibilité, I pour intégrité et C pour confidentialité), suivie du niveau de protection qu'il est nécessaire d'atteindre, en format numérique.
3. La sous-classe Disponibilité est attribuée conformément à l'échelle suivante, avec la valeur la plus élevée sans excéder les conditions requises de l'actif d'information ou du service :
4. La sous-classe Intégrité est attribuée conformément à l'échelle suivante, avec la valeur la plus élevée sans excéder les conditions requises de l'actif d'information ou du service :
5. La sous-classe Confidentialité est attribuée conformément à l'échelle suivante :
6. Les autorités compétentes désignées à l'article 6 de la Loi NIS-AD sont autorisées à adapter ces niveaux pour certaines ou pour l'ensemble des entités placées sous leur supervision.
1. La classe de sécurité d'un actif d'information ou d'un service est la concaténation des niveaux de protection dont cet actif ou ce service a besoin dans chaque sous-classe : le niveau attribué à la sous-classe Disponibilité, le niveau attribué à la sous-classe Intégrité et le niveau attribué à la sous-classe Confidentialité (par exemple, D2I3C1).
2. Le niveau de sécurité d'un actif d'information ou d'un service peut être faible (B), moyen (M) ou élevé (A) et est déterminé, en fonction du niveau de protection de chacune de ses sous-classes de sécurité, en consultant le tableau suivant : D3 D2 D1 D0 I3 C3 B B M A C2 B B M A C1 M M M A C0 A A A A I2 C3 B B M A C2 B B M A C1 M M M A C0 A A A A I1 C3 M M M A C2 M M M A C1 M M M A C0 A A A A I0 C3 A A A A C2 A A A A C1 A A A A C0 A A A A Conformément au principe de stratification des mesures, les mesures de sécurité de chaque niveau de sécurité incluent celles du niveau précédent et ajoutent à ces dernières une couche de sécurité supplémentaire. Ainsi, si un actif d'information a un niveau de sécurité M, doivent lui être appliquées les mesures de sécurité du niveau B puis celles qui correspondent au niveau M. De même, si un actif d'information a un niveau de sécurité A, doivent lui être appliquées celles qui correspondraient au niveau M ainsi que les mesures supplémentaires spécifiées pour le niveau A.
3. Les autorités compétentes désignées à l'article 6 de la Loi NIS-AD sont autorisées à adapter ce tableau pour certaines ou pour l'ensemble des entités relevant de leur champ de supervision.
4. La classe de sécurité doit être réévaluée chaque fois que se produisent des modifications significatives des critères utilisés pour la déterminer, et au minimum annuellement. Cet indicateur constitue la base pour établir les mesures de référence obligatoires pour cet indicateur, qui sont sélectionnées sur la base des mesures de référence que l'ANC-AD a spécifiées pour la même classe dans l'actif d'information standard pouvant modéliser celui qui fait l'objet de l'analyse.
1. L’ANC-AD analyse les risques et spécifie chacun des actifs d’information qui s’avèrent nécessaires pour modéliser les services auxquels s’applique le présent Règlement. La spécification de ces actifs d’information standard comprend les menaces auxquelles ils sont exposés et les mesures de sécurité de l’information que, conformément au principe de stratification des mesures, leur conférerait chacun des trois niveaux de sécurité définis à l’article 6 du présent Règlement. Ces spécifications forment le Catalogue des actifs d’information standard (ci-après, « le Catalogue »).
2. Le Catalogue est publié au moins une fois par an sur le site web de l’ANC-AD, et chaque mise à jour peut comprendre des ajouts ou des suppressions d’actifs d’information standard, ainsi que des ajouts ou des modifications des menaces ou des mesures des actifs d’information standard qui faisaient déjà partie du Catalogue dans la version précédente.
3. Les autorités compétentes désignées à l’article 6 de la Loi NIS-AD communiquent à toutes les entités essentielles et importantes placées sous leur supervision la publication de chaque nouvelle version du Catalogue. Cette communication est effectuée sans retard injustifié et, en tout état de cause, au plus tard une semaine après la date de publication de la version du Catalogue concernée.
4. Un an après la publication d’une nouvelle version du Catalogue, les ajouts et les modifications sont intégrés à la liste des points à auditer que les autorités compétentes utiliseront pour s’acquitter de leur obligation de supervision.
1. Le principe de sécurité intégrale et systématique exige que la responsabilité d’initier, de gérer et de contrôler le Système de gestion de la sécurité de l’information (SGSI) de l’entité incombe à l’organe de direction de l’entité, qui délègue les tâches associées à cette responsabilité au DSI de l’entité, s’il y en a un.
2. Le responsable de la mise en œuvre du SGSI de l’entité doit en garantir l’efficacité, raison pour laquelle il doit exécuter les tâches suivantes :
a) Déterminer les lignes directrices qui régiront le cadre organisationnel et opérationnel de la sécurité de l’information de l’entité, en les sélectionnant parmi celles spécifiées par l’ANC-AD dans le paragraphe des Composants généraux du Catalogue que décrit l’article 7 du présent Règlement.
b) Organiser l’élaboration du plan d’action visant à établir les lignes directrices de la sécurité de l’entité identifiées au point précédent, et à gérer les risques de sécurité de l’information des services auxquels s’applique l’ENS-AD, et le réviser au moins une fois par an ou chaque fois qu’une modification est apportée à ces services.
3. Pour déterminer les lignes directrices qui régiront les cadres organisationnel et opérationnel de la sécurité de l’information de l’entité et pour l’élaboration du plan d’action visé au paragraphe 2.b du présent article, il convient de suivre la procédure de mise en œuvre que l’ANC-AD publiera sur son site web.
1. L’ENS-AD doit être mis en œuvre dans chacun des actifs d’information nécessaires pour garantir la prestation des services auxquels s’applique le présent Règlement avec la qualité qu’ils requièrent.
2. Nonobstant les dispositions du paragraphe précédent, le DSI est habilité à proposer à l’organe de direction de l’entité d’étendre le champ d’application de l’ENS-AD à tous les services que fournit l’entité. Si l’organe de direction approuve cette proposition, l’ENS-AD doit s’appliquer à la totalité des actifs d’information dont l’entité a besoin pour garantir la prestation de ses services avec la qualité requise.
Pour chaque service relevant du champ de mise en œuvre de l’ENS-AD, son gestionnaire ou responsable au sein de l’entité (ci-après, « propriétaire du service »), en collaboration avec le DSI de l’entité, analyse les niveaux de confidentialité, d’intégrité et de disponibilité requis pour garantir une qualité minimale acceptable du service dont il est propriétaire et les risques auxquels ce dernier est exposé, et lui attribue les sous-classes, la classe et le niveau de sécurité qui lui correspondent conformément aux dispositions de l’article 5 et de l’article 6 du présent Règlement.
1. Chaque service relevant du champ de la mise en œuvre de l’ENS-AD doit être modélisé au moyen des actifs d’information standard conformément aux dispositions de l’article 12 du présent Règlement. À cette fin, les infrastructures, les réseaux, les systèmes d’information ainsi que les applications et les logiciels qui supportent chacun de ces services doivent être décomposés jusqu’à atteindre le niveau de complexité des actifs d’information de base pouvant être modélisés au moyen d’actifs d’information standard. Le DSI est responsable de ce qui suit :
a) Réaliser l’inventaire des actifs d’information de base dont la sécurité doit être gérée, avec la collaboration du personnel TIC et administratif de l’entité, et avec un niveau de détail suffisant pour exercer les autres fonctions que décrit le présent article.
b) Coordonner, pour chaque actif de l’inventaire, l’attribution de sa classe de sécurité par ses propriétaires (personnel TIC), en collaboration avec les propriétaires des services que supporte l’actif et avec le conseil d’experts en sécurité de l’information.
c) Ajouter aux actifs d’information du point 1.a ceux qui constituent le cadre organisationnel et opérationnel de la sécurité de l’information permettant à l’entité de respecter les principes fondamentaux de l’ENS-AD, et leur attribuer les sous-classes de sécurité les plus critiques parmi celles attribuées aux autres actifs d’information au point précédent.
d) Déterminer le niveau de sécurité requis pour chaque actif d’information de l’inventaire conformément aux indications de l’article 6 du présent Règlement.
2. L’inventaire des actifs contient pour chaque actif, au minimum, les informations suivantes :
a) Identification de l’actif d’information de base.
b) Les services à la prestation desquels il participe.
c) Classe et niveau de sécurité.
d) Identification de l’actif d’information standard qui, conformément au guide de mise en œuvre de l’ENS-AD, a été sélectionné pour le modéliser.
3. L’ANC-AD est habilitée à préciser dans le guide de mise en œuvre de l’ENS-AD les critères nécessaires à une classification de sécurité adéquate des actifs d’information de base qui supportent les services auxquels s’applique l’ENS-AD, ainsi qu’à établir des profils de conformité spécifiques pour des entités ou des secteurs déterminés, qui doivent inclure les renforcements supplémentaires applicables dans chaque cas, ou les critères permettant de les déterminer.
1. Le DSI est responsable de ce qui suit :
a) Appliquer à chacun des actifs d'information de base contenus dans l'inventaire la procédure de modélisation avec des actifs d'information standard établie dans le guide de mise en œuvre de l'ENS-AD.
b) Compiler une liste de mesures de référence permettant d'atteindre le niveau de sécurité requis pour chaque actif d'information inventorié, conformément à la spécification des actifs d'information standard avec lesquels ils ont été modélisés et aux directives du guide de mise en place de l'ENS-AD.
c) Compléter la liste de mesures de référence du paragraphe 1.b par les mesures supplémentaires jugées nécessaires et proportionnées aux nouvelles menaces susceptibles d'apparaître et qui ne sont pas prises en compte dans le catalogue des menaces utilisé pour spécifier les actifs d'information standard.
d) Élaborer une proposition de déclaration d'applicabilité contenant : i. La liste des mesures de sécurité décrite au paragraphe 1.c. ii. Les actifs d'information standard employés au paragraphe 1.a auxquels s'applique chaque mesure de sécurité. iii. Si elles sont mises en œuvre complètement ou non ; et, dans ce dernier cas, iv. La justification de l'exclusion de la mise en place de l'une quelconque des mesures de référence pour l'un quelconque des actifs d'information de base auxquels elles s'appliquent. Cette exclusion est permise lorsque :
1. La mesure n'est pas jugée nécessaire après la réalisation d'une évaluation des risques de sécurité spécifique à l'actif d'information dont elle est exclue, afin de vérifier que les menaces prévues dans la spécification de l'actif d'information standard correspondant sont adaptées à sa situation de danger réelle ;
2. Une autre mesure équivalente à la mesure de référence a été mise en œuvre ; ou
3. Le guide de mise en œuvre de l'ENS-AD l'indique spécifiquement.
2. Cette proposition de déclaration d'applicabilité est présentée à l'organe de direction de l'entité afin qu'il la modifie et l'approuve, moment à partir duquel elle constitue la déclaration d'applicabilité de l'entité qui, conformément aux dispositions du paragraphe 3 de l'article 12 de la Loi NIS-AD, doit être transmise à l'autorité compétente dans un délai de six mois à compter de l'identification de l'entité en tant qu'entité essentielle ou importante.
1. Le DSI est responsable de :
a) Maintenir la configuration et la gestion des changements. Tout changement concernant les actifs d'information de base, les actifs d'information standard, les classes de sécurité, les mesures de référence ou les mesures supplémentaires doit être enregistré, et le registre des changements doit être à la disposition de l'autorité qui supervise l'entité. Si l'entité apporte des changements significatifs aux services ou aux actifs d'information inventoriés, l'ensemble du processus de mise en place de l'ENS-AD doit recommencer depuis le début ou depuis l'étape affectée par le changement.
b) Vérifier systématiquement la situation de sécurité réelle des actifs d'information inventoriés en tenant compte de leurs menaces réelles. En cas de dangers non couverts par la spécification de sécurité de l'actif d'information standard, le DSI doit vérifier l'adéquation des mesures de sécurité mises en œuvre dans les conditions réelles et, si nécessaire, appliquer des mesures de sécurité supplémentaires.
1. Afin de satisfaire aux conditions requises minimales établies dans le présent Règlement, les entités relevant de son champ d'application adoptent les mesures de sécurité mentionnées dans la déclaration d'applicabilité décrite à l'article 12 du présent Règlement.
2. Le DSI est autorisé à ne pas mettre en œuvre l'une de ces mesures de sécurité si elle ne réduit pas les risques ou si elle est trop coûteuse par rapport à la réduction des risques découlant de son application, ou s'il considère que les risques couverts par la mesure sont déjà couverts par d'autres mesures, tel que l'indique la déclaration d'applicabilité elle-même. Si le DSI décide de ne pas mettre en œuvre l'une des mesures, il doit informer les organes de direction de l'entité qui l'a désigné des risques découlant de cette non-mise en œuvre, afin qu'ils soient en mesure de prendre la décision d'approuver ou non les mesures de sécurité proposées, conformément à l'obligation que leur imposent les dispositions du paragraphe 1 de l'article 17 de la Loi NIS-AD.
3. L'existence d'une référence relative aux mesures de sécurité nécessaires pour les actifs d'information de base n'exonère pas le DSI de son obligation de gérer les risques, y compris ceux associés à des actifs d'information ou à des menaces non entièrement prévus dans le Catalogue décrit à l'article 7 du présent Règlement.
4. Lorsqu'un actif d'information traite des données à caractère personnel, les dispositions de la Loi 29/2021 , du 28 octobre, qualifiée de protection des données à caractère personnel (LQPD), ainsi que le reste de la réglementation nationale et internationale éventuellement applicable, lui sont applicables.
5. Si les services auxquels s'applique l'ENS-AD reposent sur des services sous-traités à une autre entité, l'entité qui les fournit doit tenir compte, en ce qui concerne l'infrastructure et les processus de cette autre entité prestataire de services, qu'ils peuvent ne pas être directement auditables (en particulier lorsqu'il s'agit de services fournis par des entreprises internationales ou qui fournissent des services en nuage).
Par conséquent, la mise en place de l'ENS-AD doit reposer en partie sur les termes du contrat visé au paragraphe 3 de l'article 15 du présent Règlement, ainsi que sur les conditions générales de prestation du service sous-traité et sur les certificats de sécurité du prestataire concernant le service sous-traité, et cela doit se refléter dans l'analyse des risques prévue à l'article 10 du présent Règlement et dans le principe de proportionnalité.
Cette analyse des risques doit également tenir compte des risques potentiels, tels qu'une interruption à long terme du réseau de tiers, la faillite du prestataire de services, et les autres menaces incluses dans l'actif d'information standard dénommé Sous-traitance.
Les aspects juridiques et de sécurité doivent être pris en compte pour les prestataires de services situés hors d'Andorre et de l'Union européenne.
Toutefois, étant donné que l'entité qui utilise le logiciel ou le service géré est, en tout état de cause, responsable de la sécurité de l'information de ses services, l'entité qui sous-traite doit définir clairement les responsabilités des parties dans le contrat de service visé au paragraphe 3 de l'article 15.
6. Le DSI doit signer la déclaration d'applicabilité et la communiquer à l'autorité compétente dont relève l'entité.
7. Les mesures visées aux paragraphes 1 à 4 du présent article ont le caractère de minimums exigibles et peuvent faire l'objet d'un audit conformément aux indications de l'article 16.
1. Les entités essentielles et importantes ont le devoir de choisir des fournisseurs (entités sous-traitantes) qui offrent des garanties suffisantes quant aux services sous-traités, ainsi que quant à la fourniture de toute technologie ou de tout produit, afin d'appliquer les mesures de sécurité techniques et organisationnelles adéquates en matière de sécurité que requièrent les services, la technologie ou les produits auxquels s'applique l'ENS-AD.
Parmi ces garanties peut figurer l'obligation qu'il s'agisse des services, de la technologie ou des produits inscrits au registre des composants certifiés établi à cet effet par l'ANC-AD à tout moment.
Ledit registre des composants certifiés est établi par l'ANC-AD en fonction des critères qu'elle estime appropriés, y compris les critères internationalement reconnus ou appliqués par des entités homologues de l'ANC-AD.
Lorsqu'une entité essentielle ou importante justifie qu'elle ne peut disposer de services, de technologie ou de produits inscrits au registre des composants certifiés visé à l'alinéa précédent, cette entité peut demander à l'ANC-AD une autorisation pour contracter les services, la technologie ou les produits correspondants.
Cette demande doit être dûment argumentée et doit justifier les motifs de la nécessité de disposer du service, de la technologie ou des produits proposés, et l'ANC-AD dispose de deux mois pour l'évaluer.
En l'absence de décision de l'ANC-AD dans le délai susmentionné, l'autorisation est réputée refusée par silence administratif négatif.
Dans le cadre des procédures de passation de contrats de services ou d'acquisition de technologie ou de produits par les entités essentielles et importantes auxquelles s'applique l'ENS-AD, lesdites entités sont tenues d'exiger des fournisseurs la présentation d'un audit de sécurité externe réalisé à une date antérieure de moins de douze mois à la date de présentation de leurs offres, lequel doit être effectué conformément aux cadres reconnus internationalement en matière de cybersécurité à tout moment.
Lorsqu'une entité essentielle ou importante justifie qu'elle ne peut disposer d'un fournisseur de services, de technologie ou de produits disposant de l'audit visé à l'alinéa précédent, ou que le fournisseur disposait déjà d'un ou de plusieurs certificats reconnus, elle peut demander à l'ANC-AD une autorisation pour contracter avec le fournisseur correspondant.
Cette demande doit être dûment argumentée et doit justifier les motifs du contrat proposé, et l'ANC-AD dispose de deux mois pour l'évaluer.
En l'absence de décision de l'ANC-AD dans le délai visé, l'autorisation est réputée refusée par silence administratif négatif.
2. Le fournisseur sélectionné par l'entité ne peut recourir à une sous-traitance (que la sous-traitance soit confiée à une entité ou à une personne physique) sans l'autorisation préalable, écrite, spécifique ou générale, de l'entité à laquelle il fournit le service auquel s'applique l'ENS-AD. Le fournisseur doit informer l'entité à laquelle il fournit le service et à laquelle s'applique l'ENS-AD de tout changement prévu concernant l'ajout ou le remplacement d'autres sous-traitants auxquels il délègue tout ou partie de la prestation du service contracté. Il est ainsi donné aux entités qui fournissent des services auxquels s'applique l'ENS-AD la possibilité de s'opposer à ces changements et, le cas échéant, de changer de fournisseur. Toutefois, les entités essentielles et importantes sont tenues d'exiger des entités sous-traitantes ultérieures la présentation d'un audit de sécurité externe réalisé à une date antérieure de moins de douze mois à la date à laquelle débute la sous-traitance ultérieure. Dans ces cas, l'entité essentielle ou importante a également la possibilité de demander à l'ANC-AD l'exception régie au paragraphe précédent, dans les cas où il est justifié de l'impossibilité de disposer d'un fournisseur pouvant disposer de cet audit.
3. Le service que l'entité sous-traitante fournit pour soutenir le service auquel s'applique l'ENS-AD doit être régi par un contrat écrit, y compris sous forme électronique, qui lie l'entité sous-traitante à l'entité qui fournit le service auquel s'applique l'ENS-AD et qui fixe, au minimum :
a) Le niveau de sécurité et l'accord de niveau de service que l'entité sous-traitante doit garantir pour le service sous-traité.
b) Les pénalités associées aux manquements relatifs au point précédent.
c) Les restrictions qui peuvent exister, pour des raisons de juridiction, quant à la localisation physique des actifs informationnels dont l'entité sous-traitante a besoin pour fournir son service, en particulier lorsque ces actifs informationnels sont critiques, lorsque des données personnelles ou tout autre type d'informations également sensibles sont traitées, ou lorsque l'un des actifs informationnels de l'entité sous-traitante doit être situé en dehors d'Andorre et de l'Espace économique européen.
d) La garantie que les personnes autorisées à traiter les informations ou à administrer, maintenir ou exploiter le service se sont engagées à respecter la confidentialité des informations ou sont soumises à une obligation de confidentialité de nature statutaire, et ont reçu la formation adéquate en matière de sécurité de l'information.
e) L'engagement que toutes les mesures nécessaires en matière de sécurité de l'information seront prises.
f) Le respect des conditions fixées au paragraphe 2 lors du recours à d'autres sous-traitances, et l'engagement de respecter, au moyen d'un contrat écrit, les mêmes obligations de sécurité de l'information que celles stipulées dans le présent contrat, notamment la fourniture de garanties suffisantes quant à l'application de mesures techniques et organisationnelles adéquates de manière que le service auquel s'applique l'ENS-AD soit conforme aux dispositions de la présente Loi. En outre, il doit être précisé que cette sous-traitance n'a en aucun cas pour effet de décharger l'entité sous-traitante de ses responsabilités envers l'entité qui fournit le service auquel s'applique l'ENS-AD.
g) L'assistance apportée à l'entité qui fournit le service auquel s'applique l'ENS-AD dans le cadre des obligations prévues aux articles 12 à 15 de la Loi NIS-AD.
h) Les conditions de reprise du service fourni par l'entité sous-traitante.
i) La mise à disposition de l'entité qui fournit le service auquel s'applique l'ENS-AD de toutes les informations nécessaires pour démontrer le respect des obligations prévues au présent article. De même, elle doit permettre la réalisation d'audits, y compris des inspections, et y contribuer, par l'entité qui fournit le service auquel s'applique l'ENS-AD, par l'autorité compétente qui supervise cette dernière ou par un autre auditeur habilité à réaliser ces audits.
j) L'obligation pour l'entité sous-traitante d'informer immédiatement l'entité qui fournit le service auquel s'applique l'ENS-AD si elle estime ne pas respecter le niveau de sécurité exigé, même temporairement.
4. Dans le secteur public, les compétences propres à une entité sous-traitante peuvent être attribuées à un organe déterminé de l'Administration publique concernée ou à ses organismes rattachés ou dépendants, au moyen de l'adoption d'une norme régissant lesdites compétences, qui doit intégrer le contenu prévu au paragraphe précédent.
5. Les entités essentielles et importantes doivent fournir à l'ANC-AD, sur une base annuelle, un résumé des contrats et des sous-traitances conclus conformément aux dispositions des paragraphes précédents du présent article, en faisant référence au Registre des composants certifiés contractés dans chaque cas. De même, en ce qui concerne les audits externes visés aux paragraphes précédents du présent article, les entités essentielles et importantes doivent informer annuellement l'ANC-AD des entreprises responsables des audits et des cadres normalisés utilisés par ces dernières.
Nota: S’ha corregit l’espai espuri de la font a «le s condicions», que queda com a «les condicions».
1. Les actifs d'information nécessaires à la prestation des services auxquels s'applique l'ENS-AD font l'objet d'un audit externe ordinaire annuel qui vérifie le respect des conditions requises établies par le présent règlement. À titre extraordinaire, cet audit doit être réalisé chaque fois que surviennent des modifications substantielles dans les services auxquels s'applique l'ENS-AD ou dans les actifs d'information qui les supportent, ou dans un nombre significatif de mesures de sécurité requises conformément aux dispositions de l'article 14 du présent règlement. La réalisation de cet audit extraordinaire détermine la date de computation pour calculer les deux ans fixés pour effectuer l'audit ordinaire suivant, indiqués à l'alinéa précédent.
2. L'audit est réalisé conformément au guide d'audit de l'ENS-AD publié par l'ANC-AD, et selon les niveaux de maturité exigés. Niveau exigé ENS-AD Niveau minimal ENS-AD Date limite de conformité minimale ENS-AD 2,1 2 01/03/2025 3 2,6 30/09/2025 4 3,4 31/03/2027 5 4,4 31/03/2029 Tableau des niveaux de maturité exigés par date L'audit externe annuel analyse le degré de conformité des actifs d'information au regard des niveaux établis dans ce guide.
3. Le rapport d'audit sert à l'organe de direction de l'entité pour identifier les mesures que l'entité doit adopter pour corriger l'éventuel défaut d'adéquation avec l'ENS-AD, et doit inclure la méthodologie employée, la portée et l'objectif de l'audit, le degré de respect et de non-respect du présent règlement, les éléments probants qui étayent les manquements détectés, et les mesures qui doivent être adoptées pour remédier aux manquements.
4. Les rapports d'audit peuvent être requis par les autorités compétentes désignées à l'article 6 de la Loi NIS-AD, dans l'exercice de leur obligation de supervision conformément au chapitre troisième de la Loi NIS-AD.
5. L'absence d'adoption de mesures pour corriger les déficiences détectées mentionnées au paragraphe 3 du présent article, lorsque ces déficiences constituent des vulnérabilités à des incidents ayant des effets perturbateurs significatifs, peut donner lieu à l'ouverture d'un dossier de sanction et à l'imposition de sanctions après l'instruction préalable du dossier qui s'impose conformément aux dispositions de la Loi NIS-AD.
Nota: S’han corregit els espais espuris «acti us» i «ma duresa». La taula es transcriu tal com apareix; la primera fila («2,1 2») és ambigua. El text manté «dos anys» tot i que l’auditoria és anual.
1. En application des dispositions du présent règlement, l'ANC-AD approuve les mises à jour du Catalogue d'actifs standard décrit par le présent règlement. L'ANC-AD élabore ce Catalogue en collaboration avec le CSIRT-AD et avec les autres autorités compétentes désignées à l'article 6 de la Loi NIS-AD.
2. Un an après leur publication, les mises à jour du Catalogue sont intégrées à l'ensemble documentaire utilisé pour réaliser les audits de l'ENS-AD.
1. L'entité accréditée pour la certification de l'ENS-AD est l'ANC-AD, qui, après avoir examiné et audité la documentation fournie, délivre le certificat correspondant à la classe de sécurité demandée.
2. La durée du certificat est de deux ans à compter de la date de délivrance, et le certificat doit comporter les données suivantes : entité, service, classe de sécurité, date de délivrance et date d'expiration.
3. Toutes les entités ayant des services certifiés conformément à l'ENS-AD sont publiées sur le site web de l'ANC-AD.
Les autorités compétentes désignées à l'article 6 de la Loi NIS-AD, en collaboration avec le CSIRT-AD et l'Université d'Andorre, entre autres, doivent développer des programmes de sensibilisation, de prise de conscience et de formation, destinés au personnel et à l'organe de direction des entités auxquelles s'applique la Loi NIS-AD, afin d'assurer une mise en œuvre adéquate de l'ENS-AD et un déploiement adéquat de l'information et des capacités juridiques, organisationnelles et techniques liées à la cybersécurité des services essentiels et des services importants, et de garantir la connaissance permanente de l'ENS-AD parmi ces entités.
Les entités essentielles et importantes disposent d'un délai de dix-huit mois à compter de la date d'entrée en vigueur du présent règlement pour se conformer aux obligations, exclusivement en ce qui concerne l'exigence de l'audit de sécurité externe prévu pour les entités sous-traitantes.
2. De même, les entités essentielles et importantes disposent d'un délai de dix-huit mois à compter de la date d'entrée en vigueur du présent règlement pour se conformer aux dispositions relatives à l'obligation de justifier que les services, les technologies ou les produits que ces entités acquièrent sont inscrits au Registre des composants certifiés élaboré par l'ANC-AD.
Nota: «Entrada en vigor d’aquest Reglament» és ambigu: pot referir-se al Reglament del 2022 o a aquest Decret modificador. Tampoc no se sap si el Reglament té altres disposicions on s’hauria d’inserir.