Nº 6906 – 16 hija 1441 (6-8-2020) BULLETIN OFFICIEL 1295 – « Système d’information » : un ensemble organisé de ressources telles que les personnels, matériels, logiciels, données et procédures qui permettent de collecter, de classifier, de traiter et de diffuser l’information sur un environnement donné ; – « Crise cybernétique » : l’état résultant de l’occurrence d’un ou plusieurs événements de cybersécurité pouvant avoir un impact grave sur la vie des populations, l’exercice de l’autorité de l’Etat, le fonctionnement de l’économie, ou sur le maintien des capacités de sécurité et de défense du pays ; – « Système d’information sensible » : système d’information traitant des informations ou des données sensibles sur lesquelles une atteinte à la confidentialité, à l’intégrité ou à la disponibilité porterait préjudice à une entité ou à une infrastructure d’importance vitale ; – « Gestion des incidents de cybersécurité » : le processus de détection, de signalement et d’évaluation des incidents de cybersécurité, ainsi que les mesures d’intervention et de traitement y afférentes. – « Service de cybersécurité » : tout service de sécurité fourni par des prestataires de services de cybersécurité à une entité ou à une infrastructure d’importance vitale et portant sur la détection et le diagnostic des incidents de cybersécurité et le renforcement de la sécurité de leurs systèmes d’information ; – « Prestataire de services numériques » : toute personne physique ou morale qui fournit à distance, par voie électronique et à la demande d’un destinataire, l’un des services ci-après : • un service numérique qui permet à des consommateurs ou à des professionnels de conclure des contrats de vente ou de service en ligne ; • un service numérique qui permet aux utilisateurs d’effectuer des recherches sur les sites Internet ; • un service numérique qui permet l’accès à un ensemble modulable et variable de ressources informatiques pouvant être partagées, y compris les hébergeurs de données et/ou systèmes d’information (Datacenter) et les prestataires des services d’informatique en nuage (Cloud) ; – « Hébergement » : toute prestation de stockage de signaux, d’écrits, d’images, de sons ou de messages de toute nature fournie, à titre onéreux ou gratuit, par des prestataires de services numériques ; – « Externalisation d’un système d’information » : toute opération qui consiste à confier, en partie ou en totalité, le système d’information d’une entité à un prestataire dans le cadre d’un contrat fixant de façon précise notamment le niveau de services et la durée de l’externalisation ; – « Homologation des systèmes d’information » : document par lequel le responsable d’une infrastructure d’importance vitale atteste de sa connaissance du système d’information et des mesures de sécurité techniques, organisationnelles ou juridiques mises en œuvre et accepte les risques résiduels ; – « Incident de cybersécurité» : un ou plusieurs événements indésirables ou inattendus liés à la sécurité des systèmes d���information et présentant une forte probabilité de compromettre les activités d’une entité, d’une infrastructure d’importance vitale ou d’un opérateur ou de menacer la sécurité de leurs systèmes d’information ; Chapitre II Du dispositif de sécurité des systèmes d’information Section première. – Dispositions propres aux entités Article 3 Chaque entité doit veiller à ce que ses systèmes d’information soient conformes aux directives, règles, règlements, référentiels ou recommandations, édictés par l’autorité nationale. Article 4 Chaque entité doit élaborer et mettre en œuvre une politique de sécurité de ses systèmes d’information qui soit conforme aux directives de l’autorité nationale. Chaque entité est tenue d’identifier les risques qui menacent la sécurité de ses systèmes d’information et de prendre des mesures techniques et organisationnelles nécessaires pour gérer ces risques, éviter les incidents de nature à porter atteinte aux systèmes d’information ainsi que pour en réduire au minimum l’impact. Tout système d’information d’une entité offrant des services numériques à des tiers doit, avant sa mise en exploitation, faire l’objet d’un audit de sa sécurité. Chaque entité doit, régulièrement, auditer ses systèmes d’information. Article 5 Chaque entité doit classifier ses actifs informationnels et systèmes d’information selon leur niveau de sensibilité en termes de confidentialité, d’intégrité et de disponibilité. Les mesures de protection des actifs informationnels et systèmes d’information doivent être proportionnés au niveau de classification attribué. Chaque entité doit arrêter des procédures d’habilitation des personnes pouvant accéder aux informations classifiées et des conditions d’échange, de conservation ou de transport de ces informations. Le référentiel de classification des actifs informationnels et des systèmes d’information est fixé par voie réglementaire. Article 6 Chaque entité doit désigner un responsable de la sécurité des systèmes d’information qui veille à l’application de la politique de sécurité des systèmes d’information. Le responsable de la sécurité des systèmes d’information est l’interlocuteur de l’autorité nationale de la cybersécurité et doit jouir de l’indépendance requise dans l’exercice de sa mission.