Nº 6906 – 16 hija 1441 (6-8-2020) BULLETIN OFFICIEL Article 21 Les responsables des infrastructures d’importance vitale sont tenus de communiquer à l’autorité nationale ou au prestataire d’audit qualifié les informations et éléments nécessaires pour réaliser l’audit, y compris les documents relatifs à leur politique de sécurité et, le cas échéant, les résultats d’audit de sécurité précédents, et leur permettre d’accéder aux réseaux et systèmes d’information faisant l’objet du contrôle afin d’effectuer des analyses et des relevés d’informations techniques. 1297 Ces données techniques comprennent particulièrement les données de connexion, les journaux informatiques et les traces des évènements de sécurité générés par les systèmes d’exploitation, applications et produits de sécurité. La durée de conservation des données techniques nécessaires à l’identification et à l’analyse de l’incident est fixée à une année. Cette durée peut être modifiée par voie réglementaire. Article 27 Les prestataires d’audit qualifiés et leurs employés sont astreints, sous peine des sanctions prévues par le code pénal, au respect du secret professionnel pendant toute la durée de la mission d’audit et après son achèvement, sur les renseignements et documents recueillis ou portés à leur connaissance à l’occasion de cette mission. L e s e x p l o it a nt s d e s r é s e au x p u b l i c s d e télécommunications, les fournisseurs d’accès à Internet, les prestataires de services de cybersécurité, les prestataires de services numériques et les éditeurs de plateformes Internet informent leurs clients de la vulnérabilité de leurs systèmes d’information ou de l’atteinte qui pourrait les affecter. Article 22 Article 28 Lorsque l’audit est effectué par un prestataire d’audit qualifié, le rapport d’audit est transmis par le responsable de l’infrastructure d’importance vitale à l’autorité nationale. Pour les besoins de la sécurité des systèmes d’information des entités et des infrastructures d’importance vitale, les agents de l’autorité nationale habilités sont autorisés, aux seules fins de prévenir et de caractériser la cybermenace, à procéder auprès des exploitants des réseaux publics de télécommunications, des fournisseurs d’accès à Internet, des prestataires de services de cybersécurité, des prestataires de services numériques et des éditeurs de plateformes Internet, au recueil et à l’analyse des seules données techniques, à l’exclusion de toute autre exploitation. Le prestataire d’audit qualifié doit veiller à la confidentialité du rapport d’audit. Article 23 Lorsque les opérations d’audit sont effectuées par les prestataires d’audit qualifiés, les coûts sont supportés par le responsable de l’infrastructure d’importance vitale concernée par ces opérations. Article 24 Chaque responsable d’infrastructure d’importance vitale auditée doit mettre en place un plan d’actions pour mettre en œuvre les recommandations figurant dans les rapports d’audit et le transmet à l’autorité nationale pour le suivi de sa mise en œuvre. Article 25 Les responsables des infrastructures d’importance vitale doivent recourir à des services, produits ou solutions qui permettent le renforcement des fonctions de sécurité, définis par l’autorité nationale. L’autorité nationale est habilitée à installer, sur les réseaux publics de télécommunications et ceux des fournisseurs d’accès à Internet des dispositifs techniques aux seules fins de détecter des évènements susceptibles d’affecter la sécurité des systèmes d’information des entités et des infrastructures d’importance vitale. Ces dispositifs sont installés pour la durée et dans la mesure strictement nécessaires à la caractérisation de la menace. Article 29 Section 3. – Dispositions propres aux opérateurs L e s exploit ant s de s ré s e au x publ ic s de télécommunications, les fournisseurs d’accès à Internet, les prestataires de services de cybersécurité, les prestataires de services numériques et les éditeurs de plateformes Internet doivent, dans le cadre des directives de l’autorité nationale, prendre les mesures de protection nécessaires en vue de prévenir et neutraliser les effets des menaces ou atteintes aux systèmes d’information de leurs clients. Article 26 Article 30 L e s exploit ant s de s ré s e au x publ ic s de télécommunications, les fournisseurs d’accès à Internet, les prestataires de services de cybersécurité, les prestataires de services numériques et les éditeurs de plateformes Internet, doivent se conformer aux directives de l’autorité nationale notamment en matière de conservation des données techniques nécessaires à l’identification de tout incident de cybersécurité. Lorsque les exploitants des réseaux publics de télécommunications, les fournisseurs d’accès à Internet, les prestataires de services de cybersécurité, les prestataires de services numériques et les éditeurs de plateformes Internet détectent des évènements susceptibles d’affecter la sécurité des systèmes d’information de leurs clients, ils doivent en informer, sans délai, l’autorité nationale. En cas d’externalisation des services de cybersécurité, les responsables des infrastructures d’importance vitale doivent recourir à des prestataires qualifiés par l’autorité nationale. Les critères de qualification des prestataires de services de cybersécurité sont fixés par voie réglementaire.