JOURNAL OFFICIEL du Grand-Duché de Luxembourg MÉMORIAL A - 372 du 31 mai 2019 1° une entité fournit un service qui est essentiel au maintien d’activités sociétales et/ou économiques critiques ; 2° la fourniture de ce service est tributaire des réseaux et des systèmes d’information ; et 3° un incident aurait un effet disruptif important sur la fourniture dudit service. L’autorité compétente concernée notifie la décision d’identification à l’opérateur de services essentiels. (3) L’importance de l’effet disruptif visé au paragraphe 2, point 3, est déterminée sur base de facteurs transsectoriels et sectoriels, dont au moins : 1° le nombre d’utilisateurs tributaires du service fourni par l’entité concernée ; 2° la dépendance des autres secteurs visés en annexe à l’égard du service fourni par cette entité ; 3° les conséquences que des incidents pourraient avoir, en termes de degré et de durée, sur les fonctions économiques ou sociétales ou sur la sûreté publique ; 4° la part de marché de cette entité ; 5° la portée géographique eu égard à la zone susceptible d’être touchée par un incident ; 6° l’importance que revêt l’entité pour garantir un niveau de service suffisant, compte tenu de la disponibilité de solutions de rechange pour la fourniture de ce service. (4) La liste des services essentiels est fixée par l’autorité compétente concernée par voie de règlement. (5) Lorsqu’une entité fournit un service visé au paragraphe 2, point 1, dans un autre État membre, l’autorité compétente concernée consulte l’autorité compétente de l’autre État membre. La consultation intervient avant que l’identification ne fasse l’objet d’une décision. Art. 8. (1) Les opérateurs de services essentiels prennent les mesures techniques et organisationnelles nécessaires et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information qu’ils utilisent dans le cadre de leurs activités. Ces mesures garantissent, pour les réseaux et les systèmes d’information, un niveau de sécurité adapté au risque existant, compte tenu de l’état des connaissances. Afin d’identifier les risques, les opérateurs de services essentiels utilisent un cadre d’analyse de risques approprié pouvant être précisé par l’autorité compétente concernée par voie de règlement. (2) Les opérateurs de services essentiels prennent des mesures appropriées en vue de prévenir les incidents qui compromettent la sécurité des réseaux et des systèmes d’information utilisés pour la fourniture de ces services essentiels ou d’en limiter l’impact, en vue d’assurer la continuité de ces services. er (3) Les mesures prises sur base des paragraphes 1 et 2 sont notifiées à l’autorité compétente concernée. Les modalités de cette notification, le format et le délai, sont déterminées par l’autorité compétente concernée par voie de règlement. (4) Les opérateurs de services essentiels notifient à l’autorité compétente concernée, sans retard injustifié, les incidents qui ont un impact significatif sur la continuité des services essentiels qu’ils fournissent. Ces notifications sont transmises au CERT Gouvernemental et au CIRCL en fonction de leurs compétences respectives. Les notifications contiennent des informations permettant à l’autorité compétente concernée de déterminer si l’incident a un impact au niveau transfrontalier. Cette notification n’accroît pas la responsabilité de la partie qui en est à l’origine. (5) L’ampleur de l’impact d’un incident est déterminée en tenant compte, en particulier, des paramètres suivants : 1° le nombre d’utilisateurs touchés par la perturbation du service essentiel ; 2° la durée de l’incident ; 3° la portée g��ographique eu égard à la zone touchée par l’incident. L’autorité compétente concernée peut préciser, par voie de règlement, les paramètres, les modalités et délais des notifications des incidents qui ont un impact significatif sur la continuité des services essentiels qu’ils fournissent. (6) Sur la base des informations fournies dans la notification de l’opérateur de services essentiels, l’autorité compétente concernée signale aux autres États membres touchés si l’incident est susceptible d’avoir un impact significatif sur la continuité des services essentiels dans ces États membres. Sur demande de l’autorité A 372 - 4