Arrêté Ministériel n° 2025‑612 du 12 novembre 2025 portant application de l'article 6 c) de l'Ordonnance Souveraine n° 8.504 du 18 février 2021 portant application de l'article 24 de la loi n° 1.435 du 8 novembre 2016 relative à la lutte contre la criminalité technologique, modifiée, définissant le référentiel d'exigences pour la qualification des prestataires d'audit de la sécurité des systèmes d'information.

Nous, Ministre d’État de la Principauté,

Vu la loi n° 1.430 du 13 juillet 2016 portant diverses mesures relatives à la préservation de la sécurité nationale ;

Vu la loi n° 1.435 du 8 novembre 2016 relative à la lutte contre la criminalité technologique ;

Vu la loi n° 1.565 du 3 décembre 2024 relative à la protection des données personnelles ;

Vu l’Ordonnance Souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l’Administration et l’administré, modifiée ;

Vu l’Ordonnance Souveraine n° 8.504 du 18 février 2021 portant application de l’article 24 de la loi n° 1.435 du 8 novembre 2016 relative à la lutte contre la criminalité technologique, modifiée ;

Vu l’arrêté ministériel n° 2016‑622 du 17 octobre 2016 portant application de l’article 3 de la loi n° 1.430 du 13 juillet 2016 portant diverses mesures relatives à la préservation de la sécurité nationale, modifié ;

Vu l’arrêté ministériel n° 2016‑723 du 12 décembre 2016 portant application de l’article 18 de la loi n° 1.430 du 13 juillet 2016 portant diverses mesures relatives à la préservation de la sécurité nationale et fixant les niveaux de classification des informations, modifié ;

Vu l’arrêté ministériel n° 2017‑625 du 16 août 2017 portant application de l’article 3 de l’Ordonnance Souveraine n° 5.664 du 23 décembre 2015 créant l’Agence Monégasque de Sécurité Numérique, modifiée ;

Vu la délibération du Conseil de Gouvernement en date du 22 octobre 2025 ;

Arrêtons :

Article Premier.

La qualification de prestataires d’audit de la sécurité des systèmes d’information, prévue à l’alinéa c) de l’article 6 de l’Ordonnance Souveraine n° 8.504 du 18 février 2021, modifiée, susvisée, doit respecter le référentiel d’exigences énoncé à l’annexe au présent arrêté.

Le respect des exigences prévues à l’annexe visée au précédent alinéa est vérifié par Directeur de l’Agence Monégasque de Sécurité Numérique.

Art. 2.

Le Directeur de l’Agence Monégasque de Sécurité Numérique peut, l’intéressé entendu en ses explications ou dûment appelé à les fournir, suspendre pour une durée déterminée voire retirer la qualification de prestataire d’audit de la sécurité des systèmes d’information dans le cas où le référentiel d’exigences énoncé à l’annexe au présent arrêté n’est plus respecté.

Art. 3.

Le prestataire d’audit de la sécurité des systèmes d’information doit notifier à l’Agence Monégasque de Sécurité Numérique, sous 48 heures, le départ de la société d’un ou plusieurs de ses auditeurs ou du responsable d’équipe.

Le départ du responsable d’équipe ou d’un auditeur peut entraîner la suspension ou la perte de qualification sur une activité d’audit ou sur la totalité des prestations d’audit, conformément à l’article 2 du présent arrêté.

Art. 4.

Le responsable d’équipe et les auditeurs sont individuellement désignés et dûment habilités par le prestataire d’audit après enquête administrative conformément aux dispositions de l’arrêté ministériel n° 2016‑622 du 17 octobre 2016, modifié, susvisé.

L’habilitation visée au précédent alinéa est renouvelée tous les trois ans dans les mêmes conditions.

Le prestataire tient à jour un registre des personnes habilitées.

Art. 5.

Le Directeur de l’Agence Monégasque de Sécurité Numérique délivre une attestation individuelle de compétence à chaque auditeur qualifié et tient à jour le registre des auditeurs qualifiés.

Art. 6.

Le prestataire d’audit de la sécurité des systèmes d’information est tenu de mettre en place, pour les travaux d’audit qualifié, un système d’information respectant les exigences définies dans l’annexe au présent arrêté.

Art. 7.

L’arrêté ministériel n° 2017‑625 du 16 août 2017 portant application de l’article 3 de l’Ordonnance Souveraine n° 5.664 du 23 décembre 2015 créant l’Agence Monégasque de Sécurité Numérique, modifiée, est abrogé.

Art. 8.

Dans les ordonnances souveraines, les arrêtés ministériels et règlements actuellement en vigueur, les termes : « arrêté ministériel n° 2017‑625 du 16 août 2017 portant application de l’article 3 de l’Ordonnance Souveraine n° 5.664 du 23 décembre 2015 créant l’Agence Monégasque de Sécurité Numérique, modifiée » sont remplacés par les termes : « arrêté ministériel n° 2025‑612 du 12 novembre 2025 portant application de de l’article 6, c) de l’Ordonnance Souveraine n° 8.504 du 18 février 2021 portant application de l’article 24 de la loi n° 1.435 du 8 novembre 2016 relative à la lutte contre la criminalité technologique, modifiée, définissant le référentiel d’exigences pour la qualification des prestataires d’audit de la sécurité des systèmes d’information ».

Art. 9.

Le Secrétaire Général du Gouvernement et le Directeur de l’Agence Monégasque de Sécurité Numérique sont chargés, chacun en ce qui le concerne, de l’exécution du présent arrêté.

Fait à Monaco, en l’Hôtel du Gouvernement, le douze novembre deux mille vingt-cinq.

Le Ministre d’État,

C. Mirmand.

Le référentiel d’exigences concernant la qualification des Prestataires d’Audit de la Sécurité des Systèmes d’Information (PASSI) est en annexe du présent Journal de Monaco.