JOURNAL OFFICIEL du Grand-Duché de Luxembourg MÉMORIAL A - 372 du 31 mai 2019 La désignation d’un représentant par le fournisseur de service numérique est sans préjudice d’actions en justice qui pourraient être intentées contre le fournisseur de service numérique lui-même. (2) Le chapitre 4 ne s’applique pas aux microentreprises et petites entreprises telles que définies dans la recommandation 2003/361/CE de la Commission du 6 mai 2003 concernant la définition des micro, petites et moyennes entreprises. Art. 11. (1) Les fournisseurs de service numérique identifient les risques qui menacent la sécurité des réseaux et des systèmes d’information qu’ils utilisent pour offrir, dans l’Union européenne, un service numérique et prennent les mesures techniques et organisationnelles nécessaires et proportionnées pour les gérer. Ces mesures garantissent, compte tenu de l’état des connaissances, un niveau de sécurité des réseaux et des systèmes d’information adapté au risque existant et prennent en considération les éléments suivants : 1° la sécurité des systèmes et des installations ; 2° la gestion des incidents ; 3° la gestion de la continuité des activités ; 4° le suivi, l’audit et le contrôle ; 5° le respect des normes internationales. La gestion des risques qui menacent la sécurité des réseaux et des systèmes d’information des fournisseurs de service numérique se fait conformément au règlement d’exécution (UE) 2018/151 de la Commission du 30 janvier 2018 portant modalités d’application de la directive (UE) 2016/1148 du Parlement européen et du Conseil précisant les éléments à prendre en considération par les fournisseurs de service numérique pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information ainsi que les paramètres permettant de déterminer si un incident a un impact significatif. (2) Les fournisseurs de service numérique prennent des mesures pour éviter les incidents portant atteinte à la sécurité de leurs réseaux et systèmes d’information, et réduire au minimum l’impact de ces incidents sur les services numériques qui sont offerts dans l’Union européenne, de manière à garantir la continuité de ces services. (3) Les fournisseurs de service numérique notifient à l’autorité compétente concernée, sans retard injustifié, tout incident ayant un impact significatif sur la fourniture d’un service numérique qu’ils offrent dans l’Union européenne. Les modalités de cette notification, le format et le délai, sont déterminés par l’autorité compétente concernée par voie de règlement. Ces notifications sont transmises au CERT Gouvernemental et au CIRCL en fonction de leurs compétences respectives. Les notifications contiennent des informations permettant à l’autorité compétente concernée d’évaluer l’ampleur de l’éventuel impact au niveau transfrontalier. Cette notification n’accroît pas la responsabilité de la partie qui en est à l’origine. (4) L’importance de l’impact d’un incident est déterminée en tenant compte, en particulier, des paramètres suivants : 1° le nombre d’utilisateurs touchés par l’incident, en particulier ceux qui recourent au service pour la fourniture de leurs propres services ; 2° la durée de l’incident ; 3° la portée géographique eu égard à la zone touchée par l’incident ; 4° la gravité de la perturbation du fonctionnement du service ; 5° l’ampleur de l’impact sur les fonctions économiques et sociétales. L’obligation de notifier un incident ne s’applique que lorsque le fournisseur de service numérique a accès aux informations nécessaires pour évaluer l’impact de l’incident eu égard aux paramètres visés au premier alinéa. Les paramètres permettant de déterminer si un incident a un impact significatif sont précisés par le règlement d’exécution (UE) 2018/151 de la Commission du 30 janvier 2018 portant modalités d’application de la directive (UE) 2016/1148 du Parlement européen et du Conseil précisant les éléments à prendre en considération par les fournisseurs de service numérique pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information ainsi que les paramètres permettant de déterminer si un incident a un impact significatif. (5) Lorsqu’un opérateur de services essentiels s’appuie sur un tiers fournisseur de service numérique pour la prestation d’un service essentiel au maintien de fonctions sociétales et économiques critiques, tout impact A 372 - 6