1298 BULLETIN OFFICIEL Article 31 Les exploitants des réseaux publics de télécommunications et les fournisseurs d’accès à Internet doivent recourir, sur les réseaux de communications électroniques qu’ils exploitent, à des dispositifs de détection mettant en œuvre des marqueurs techniques fournis par l’autorité nationale, aux seules fins de détecter des événements susceptibles d’affecter la sécurité des systèmes d’information de leurs abonnés. Article 32 Les prestataires de services numériques sont tenus d’identifier les risques qui menacent la sécurité de leurs systèmes d’information et de prendre des mesures techniques et organisationnelles nécessaires pour gérer ces risques, pour éviter les incidents de nature à porter atteinte à leurs réseaux et systèmes d’information ainsi que pour en réduire au minimum l’impact, de manière à garantir la continuité de leurs services. Article 33 Les prestataires de services numériques doivent dès qu’ils en prennent connaissance, déclarer à l’autorité nationale les incidents affectant les réseaux et systèmes d’information nécessaires à la fourniture de leurs services, lorsque les informations dont ils disposent font apparaître que ces incidents ont un impact significatif sur la fourniture de ces services. Article 34 Lorsque l’autorité nationale est informée, par quelque moyen que ce soit, qu’un prestataire de services numériques ne satisfait pas à l’une des obligations prévues par la présente loi, elle peut le soumettre à des contrôles destinés à vérifier le respect de ces obligations ainsi que le niveau de sécurité des réseaux et systèmes d’information nécessaires à la fourniture de ses services. Les contrôles sont effectués par l’autorité nationale ou par des prestataires d’audit qualifiés par ladite autorité. Dans ce dernier cas, le coût des contrôles est à la charge du prestataire de services numériques. En cas de manquement constaté à l’occasion d’un contrôle, l’autorité nationale peut mettre en demeure les dirigeants du prestataire concerné de se conformer, dans un délai qu’elle fixe, aux obligations qui incombent au prestataire en vertu de la présente section. Chapitre III De la gouvernance de la cybersécurité Section première. – Du comité stratégique de la cybersécurité Article 35 Il est créé un comité stratégique de la cybersécurité chargé de : – élaborer les orientations stratégiques de l’Etat en matière de cybersécurité et veiller sur la résilience des systèmes d’information des entités, des infrastructures d’importance vitale et des opérateurs visés à la section III du chapitre II de la présente loi ; – évaluer annuellement le bilan d’activité de l’autorité nationale ; Nº 6906 – 16 hija 1441 (6-8-2020) – évaluer les travaux du comité national de gestion des crises et évènements cybernétiques majeurs prévu à l’article 36 ci-après ; – arrêter le périmètre des audits de la sécurité des systèmes d’information effectués par l’autorité nationale ; – promouvoir la recherche et développement dans le domaine de la cybersécurité ; – promouvoir les programmes et actions de sensibilisation et de renforcement des capacités en cybersécurité au profit des entités et des infrastructures d’importance vitale ; – donner son avis sur les projets de lois et de textes réglementaires se rapportant au domaine de la cybersécurité. La composition et les modalités de fonctionnement du comité stratégique de la cybersécurité sont fixées par voie réglementaire. Article 36 Il est institué, auprès du comité stratégique de la cybersécurité, un comité de gestion des crises et évènements cybernétiques majeurs, chargé d’assurer une intervention coordonnée en matière de prévention et de gestion de crise par suite d’incidents de cybersécurité. A cet effet, les exploitants des réseaux publics de télécommunications, les fournisseurs d’accès à Internet, les prestataires de services de cybersécurité et les prestataires de services numériques doivent répondre aux prescriptions et demandes de concours et d’assistance technique du comité de gestion des crises et évènements cybernétiques majeurs. La composition et les modalités de fonctionnement de ce comité ainsi que le domaine d’intervention de chacun de ses membres sont fixés par voie réglementaire. Article 37 Pour faire face aux incidents de cybersécurité majeurs, le comité de gestion des crises et évènements cybernétiques majeurs peut décider des mesures que les responsables des entités et des infrastructures d’importance vitale doivent mettre en œuvre et élaborer des recommandations et conseils destinés aux opérateurs du secteur privé et aux particuliers. Section 2. – De l’autorité nationale de la cybersécurité Article 38 L’autorité nationale est chargée de mettre en œuvre la stratégie de l’Etat en matière de cybersécurité. A cet effet, outre les missions qui lui sont dévolues par la présente loi, l’autorité nationale est chargée de : – coordonner les travaux relatifs à l’élaboration et à la mise en œuvre de la stratégie de l’Etat en matière de cybersécurité et veiller à l’application des orientations du comité stratégique de la cybersécurité ; – définir des mesures de protection des systèmes d’information et veiller à leur application ;