JOURNAL OFFICIEL du Grand-Duché de Luxembourg MÉMORIAL A - 372 du 31 mai 2019 compétente concernée, ce signalement est effectué par le point de contact national unique qui transmettra la notification aux points de contact nationaux des autres États membres touchés. Ce faisant, l’autorité compétente concernée doit préserver la sécurité et les intérêts commerciaux de l’opérateur de services essentiels ainsi que la confidentialité des informations communiquées dans sa notification. Lorsque les circonstances le permettent, l’autorité compétente concernée fournit à l’opérateur de services essentiels qui est à l’origine de la notification des informations utiles au suivi de sa notification. (7) Une fois par an, l’autorité compétente concernée transmet au point de contact national unique un rapport de synthèse sur les notifications reçues, y compris le nombre de notifications et la nature des incidents notifiés, ainsi que sur les mesures prises conformément aux paragraphes 4 et 6. Tous les ans, le point de contact national unique transmet au groupe de coopération un rapport de synthèse sur les notifications reçues, y compris le nombre de notifications et la nature des incidents notifiés, ainsi que sur les mesures prises conformément aux paragraphes 4 et 6. (8) Après avoir consulté l’opérateur de services essentiels qui est à l’origine de la notification, l’autorité compétente concernée peut informer le public d’incidents particuliers ou imposer à l’opérateur de services essentiels de le faire, lorsque la sensibilisation du public est nécessaire pour prévenir un incident ou gérer un incident en cours, ou lorsque la divulgation de l’incident est dans l’intérêt public à d’autres égards. Art. 9. (1) À la demande de l’autorité compétente concernée, les opérateurs de services essentiels lui fournissent : 1° les informations nécessaires pour évaluer la sécurité de leurs réseaux et systèmes d’information, y compris les documents relatifs à leurs politiques de sécurité ; 2° des éléments prouvant la mise en œuvre effective des politiques de sécurité, tels que les résultats d’un audit de sécurité exécuté par l’autorité compétente concernée ou un auditeur qualifié et, dans ce dernier cas, qu’ils en mettent les résultats, y compris les éléments probants, à la disposition de l’autorité compétente concernée. L’autorité compétente concernée peut charger un auditeur externe de contrôler la mise en œuvre effective de la politique de sécurité à charge de l’opérateur de services essentiels ; 3° toute information nécessaire à l’accomplissement de ses missions en vertu de la présente loi. Les opérateurs de services essentiels fournissent ces informations en respectant les délais et le niveau de détail exigés par l’autorité compétente concernée. Au moment de formuler une telle demande d’informations et de preuves, l’autorité compétente concernée mentionne la finalité de la demande et précise quelles sont les informations exigées. er (2) Après évaluation des informations ou des résultats des audits de sécurité visés au paragraphe 1 , l’autorité compétente concernée peut donner des instructions contraignantes aux opérateurs de services essentiels pour remédier aux défaillances identifiées. (3) Pour traiter des incidents notifiés donnant lieu à des violations des données à caractère personnel, l’autorité compétente concernée coopère étroitement avec la Commission nationale pour la protection des données et lui transmet les informations en relation avec ces violations. Chapitre 4 - Fournisseurs de service numérique Art. 10. (1) Tombent dans le champ d’application de la présente loi, les fournisseurs de service numérique ayant leur établissement principal au Grand-Duché de Luxembourg. Un fournisseur de service numérique est réputé avoir son établissement principal au Grand-Duché de Luxembourg lorsque son siège social se trouve au Grand-Duché de Luxembourg. Le fournisseur de service numérique qui n’est pas établi dans l’Union européenne mais qui fournit un service numérique sur le territoire du Grand-Duché de Luxembourg et qui désigne un représentant au Grand-Duché de Luxembourg, relève de la compétence des autorités luxembourgeoises. Le représentant peut être contacté par l’autorité compétente concernée à la place du fournisseur de service numérique concernant les obligations incombant audit fournisseur de service numérique en vertu de la présente loi. A 372 - 5