Nous, Ministre d’État de la Principauté,

Vu la loi n° 1.430 du 13 juillet 2016 portant diverses mesures relatives à la préservation de la sécurité nationale ;

Vu la loi n° 1.435 du 8 novembre 2016 relative à la lutte contre la criminalité technologique, modifiée ;

Vu la loi n° 1.565 du 3 décembre 2024 relative à la protection des données personnelles ;

Vu l’Ordonnance Souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l’Administration et l’administré, modifiée ;

Vu l’Ordonnance Souveraine n° 8.504 du 18 février 2021 portant application de l’article 24 de la loi n° 1.435 du 8 novembre 2016, modifiée, susvisée ;

Vu l’arrêté ministériel n° 2016‑622 du 17 octobre 2016 portant application de l’article 3 de la loi n° 1.430 du 13 juillet 2016, modifiée, portant diverses mesures relatives à la préservation de la sécurité nationale, modifié ;

Vu l’arrêté ministériel n° 2016‑723 du 12 décembre 2016 portant application de l’article 18 de la loi n° 1.430 du 13 juillet 2016 portant diverses mesures relatives à la préservation de la sécurité nationale et fixant les niveaux de classification des informations, modifié ;

Vu l’arrêté ministériel n° 2018‑1108 du 26 novembre 2018 portant application de l’article 3 de l’Ordonnance Souveraine n° 5.664 du 23 décembre 2015 créant l’Agence Monégasque de Sécurité Numérique, modifiée ;

Vu la délibération du Conseil de Gouvernement en date du 21 janvier 2026 ;

Arrêtons :

Article Premier.

La qualification des prestataires d’informatique en nuage et d’hébergement, prévue au f) de l’article 6 de l’Ordonnance Souveraine n° 8.504 du 18 février 2021, modifiée, susvisée, doit respecter le référentiel d’exigences énoncé à l’annexe au présent arrêté.

Le respect des exigences prévues à l’annexe visée au précédent alinéa est vérifié par le Directeur de l’Agence Monégasque de Sécurité Numérique.

Art. 2.

Le Directeur de l’Agence Monégasque de Sécurité Numérique peut, l’intéressé entendu en ses explications ou dûment appelé à les fournir, suspendre pour une durée déterminée voire retirer la qualification de prestataire d’informatique en nuage et d’hébergement dans le cas où le référentiel d’exigences énoncé à l’annexe au présent arrêté n’est plus respecté.

Art. 3.

Le prestataire d’informatique en nuage et d’hébergement doit notifier à l’Agence Monégasque de Sécurité Numérique, sans délai et par écrit :

-    tout changement important le concernant le propriétaire, le capital, la structure juridique, l’organisation, les locaux, la cessation d’activité, etc. ;

-    toute information pouvant laisser supposer que le service qualifié ne répond plus aux exigences qui lui sont applicables au titre de la qualification octroyée ;

-    toute modification des dispositions prises aux fins d’être en conformité avec le référentiel d’exigences énoncé à l’annexe au présent arrêté ;

-    toute modification d’informations contenues dans le catalogue des services qualifiés publiés sur le site Internet de l’Agence Monégasque de Sécurité Numérique ;

-    tout arrêt de la commercialisation ou du support, tant en termes de maintenance corrective que de support utilisateur, du service qualifié.

Les changement, information, modification, arrêt visés au précédent alinéa peuvent entraîner la suspension ou la perte de qualification sur une des prestations ou sur la totalité des prestations d’informatique en nuage et d’hébergement.

Art. 4.

Le prestataire d’informatique en nuage et d’hébergement doit :

-    assurer une veille de la sécurité du service qualifié afin d’identifier au plus tôt toute vulnérabilité relative au service qualifié ;

-    informer sans délai et par écrit l’Agence Monégasque de Sécurité Numérique et l’ensemble des utilisateurs du service qualifié, de tout arrêt de la veille de la sécurité du service qualifié et tout arrêt de la commercialisation du service qualifié ou de son support, tant en termes de maintenance corrective que de support utilisateur ;

-    informer sans délai et par écrit l’Agence Monégasque de Sécurité Numérique de :

     •  toute découverte de vulnérabilité affectant ou susceptible d’affecter le service qualifié ;

     •  tout incident affectant ou susceptible d’affecter le service qualifié et particulièrement les systèmes d’information impliqués dans l’exploitation, l’administration, la maintenance, ou le support technique du service qualifié ;

     •  toute perte des compétences nécessaires à l’exercice des activités couvertes par le service qualifié ;

     •  la description des mesures techniques ou organisationnelles palliatives temporaires, lorsqu’elles existent, permettant d’empêcher l’exploitation de la vulnérabilité ou d’en limiter les impacts dans l’attente de sa remédiation.

Art. 5.

L’arrêté ministériel n° 2018‑1108 du 26 novembre 2018 portant application de l’article 3 de l’Ordonnance Souveraine n° 5.664 du 23 décembre 2015 créant l’Agence Monégasque de Sécurité Numérique, modifiée, est abrogé.

Art. 6.

Dans les ordonnances souveraines, les arrêtés ministériels et règlements actuellement en vigueur, les termes : « Arrêté Ministériel n° 2018‑1108 du 26 novembre 2018 portant application de l’article 3 de l’Ordonnance Souveraine n° 5.664 du 23 décembre 2015 créant l’Agence Monégasque de Sécurité Numérique, modifiée » sont remplacés par les termes : « Arrêté Ministériel n° 2026‑59 du 5 février 2026 portant application de l’article 6, f) de l’Ordonnance Souveraine n° 8.504 du 18 février 2021 portant application de l’article 24 de la loi n° 1.435 du 8 novembre 2016 relative à la lutte contre la criminalité technologique, modifiée, définissant le référentiel d’exigences pour la qualification des prestataires d’informatique en nuage et d’hébergement ».

Art. 7.

Le Secrétaire Général du Gouvernement et le Directeur de l’Agence Monégasque de Sécurité Numérique sont chargés, chacun en ce qui le concerne, de l’exécution du présent arrêté.

Fait à Monaco, en l’Hôtel du Gouvernement, le cinq février deux mille vingt-six.

Le Ministre d’État,

C. Mirmand.

Le référentiel d’exigences concernant la qualification des prestataires d’informatique en nuage et d’hébergement est en annexe du présent Journal de Monaco.