16 Art. 27. Le Ministre d’État, conformément à l’article 23, fixe par arrêté ministériel les règles de sécurité nécessaires à la protection des systèmes d’information des opérateurs d’importance vitale. Aux fins d’application de la présente loi, on entend par opérateurs d’importance vitale, des opérateurs publics ou privés : - exerçant dans des secteurs essentiels pour le fonctionnement des institutions et des services publics, pour l’activité économique ou plus généralement pour la vie en Principauté ; - exploitant des établissements ou utilisant des installations ou des ouvrages dont l’indisponibilité risquerait d’affecter de façon importante les intérêts précités. Les règles de sécurité mentionnées au premier alinéa peuvent imposer aux opérateurs d’importance vitale de mettre en œuvre des systèmes qualifiés de détection. Ces systèmes sont exploités par des prestataires de services qualifiés en matière de sécurité de système d’information agréés par l’autorité administrative mentionnée à l’article 24. Art. 28. Les opérateurs d’importance vitale sont tenus d’appliquer les règles de sécurité à leurs frais et d’informer sans délai le Ministre d’État des incidents affectant le fonctionnement ou la sécurité des systèmes d’information mentionnés à l’article précédent. À la demande du Ministre d’État, lesdits opérateurs soumettent leurs systèmes d’information à des contrôles, effectués par l’autorité administrative mentionnée à l’article 24, destinés à vérifier le niveau et le respect des règles de sécurité. Le coût desdits contrôles est à la charge de l’opérateur concerné. L’autorité administrative mentionnée à l’article 24 préserve la confidentialité des informations recueillies à l’occasion des contrôles. Les conditions de mise en œuvre du présent article sont précisées par arrêté ministériel. Art. 29. Est puni d’une amende de 150.000 euros le fait, pour les dirigeants des opérateurs d’importance vitale, d’omettre d’établir un plan de protection ou de réaliser les travaux prévus à l’expiration du délai défini par une mise en demeure. Est puni d’une amende de 150.000 euros le fait, pour les mêmes personnes, d’omettre, après une mise en demeure, d’entretenir en bon état les dispositifs de protection antérieurement établis. Est puni d’une amende de 150.000 euros le fait, pour les mêmes personnes, de ne pas satisfaire aux obligations de contrôle prévues à l’article 28. Est puni d’une amende de 150.000 euros le fait, pour les mêmes personnes, d’omettre d’informer le Ministre d’État des incidents affectant le fonctionnement ou la sécurité des systèmes d’information mentionnés à l’article 27. Les personnes morales déclarées responsables des infractions prévues au présent article encourent une amende dont le montant est égal au quintuple de l’amende prévue pour les dirigeants des opérateurs d’importance vitale.