1296 BULLETIN OFFICIEL Article 7 Chaque entité met en place des moyens appropriés de supervision et de détection des évènements susceptibles d’affecter la sécurité de ses systèmes d’information et d’avoir un impact significatif sur la continuité des services qu’elle assure. Les données techniques générées par les moyens précités ne peuvent être exploitées par l’autorité nationale qu’aux seules fins de caractériser et traiter la menace affectant la sécurité des systèmes d’information de l’entité concernée. Article 8 Chaque entité doit, dès qu’elle prend connaissance d’un incident affectant la sécurité ou le fonctionnement de ses systèmes d’information, le déclarer à l’autorité nationale. Nº 6906 – 16 hija 1441 (6-8-2020) Section 2. – Dispositions propres aux infrastructures d’importance vitale disposant de systèmes d’information sensibles Article 14 Les dispositions de la section première du présent chapitre s’appliquent aux infrastructures d’importance vitale. Article 15 La liste des secteurs d’activités d’importance vitale et des autorités gouvernementales, établissements publics ou autres personnes morales de droit public, assurant la coordination de ces secteurs est fixée par voie réglementaire. Article 16 A la demande de l’autorité nationale, chaque entité lui communique, sans délai, les informations complémentaires relatives aux incidents affectant la sécurité ou le fonctionnement de ses systèmes d’information. Les infrastructures d’importance vitale sont désignées pour chaque secteur d’activité d’importance vitale par l’autorité gouvernementale, l’établissement public ou la personne morale de droit public dont relève la coordination de ce secteur, et ce après avis de l’autorité nationale. L’autorité nationale précise les données techniques et les informations relatives aux incidents qui doivent être communiquées ainsi que les modalités de leur transmission. La liste de ces infrastructures doit être tenue secrète et doit être actualisée à intervalles réguliers et au moins tous les deux ans. Elle adresse à l’entité concernée une synthèse des mesures et recommandations relatives au traitement de l’incident. Article 17 Article 9 Chaque entité prépare un plan de continuité ou de reprise d’activités intégrant l’ensemble des solutions de secours pour neutraliser les interruptions des activités, protéger les processus métier cruciaux des effets causés par les principales défaillances des systèmes d’information ou par des sinistres et garantir une reprise de ces processus dans les meilleurs délais. Le plan de continuité ou de reprise d’activités doit être testé régulièrement afin de le mettre à jour en fonction des évolutions propres de l’entité et de l’évolution des menaces. Article 10 En cas d’externalisation d’un système d’information sensible à un prestataire, ce dernier doit respecter les règles, règlements et référentiels techniques relatifs à la sécurité des systèmes d’information édictés par l’autorité nationale. Article 11 Les données sensibles doivent être exclusivement hébergées sur le territoire national. Article 12 Toute externalisation d’un système d’information sensible doit faire l’objet d’un contrat de droit marocain qui doit comprendre des engagements de protection de l’information, d’auditabilité et de réversibilité, ainsi que les exigences de sécurité et les niveaux de service voulus. Le responsable de l’infrastructure d’importance vitale établit, sur la base des résultats d’une analyse des risques, la liste des systèmes d’information sensibles et la transmet avec les mises à jour de celle-ci à l’autorité nationale. Article 18 L’autorité nationale peut faire des observations au responsable de l’infrastructure d’importance vitale sur la liste des systèmes d’information sensibles qui lui a été transmise. Dans ce cas, le responsable de l’infrastructure d’importance vitale est tenu de modifier sa liste conformément à ces observations et transmet la liste modifiée à l’autorité nationale dans un délai de deux mois à compter de la date de réception des observations. La liste des systèmes d’information sensibles doit être tenue secrète. Article 19 Tout système d’information sensible doit faire l’objet d’une homologation de sa sécurité avant sa mise en exploitation. Le guide d’homologation des systèmes d’information sensibles est fixé par l’autorité nationale. Article 20 Article 13 A la demande de l’autorité nationale, les responsables des infrastructures d’importance vitale soumettent les systèmes d’information sensibles desdites infrastructures à un audit effectué par cette autorité ou par des prestataires d’audit qualifiés par ladite autorité. L’autorité nationale fixe les règles et le référentiel technique régissant la sécurité relative à l’externalisation des systèmes d’information. Les critères de qualification des prestataires d’audit et les modalités de déroulement de l’audit sont fixés par voie réglementaire.