Arrêté Ministériel n° 2018-1053 du 8 novembre 2018 portant application de l'article 27 de la loi n° 1.435 du 8 novembre 2016 relative à la lutte contre la criminalité technologique.
Nous, Ministre d'État de la Principauté,
Vu la Constitution ;
Vu le Code pénal ;
Vu la loi n° 1.430 du 13 juillet 2016 portant diverses mesures relatives à la préservation de la sécurité nationale ;
Vu la loi n° 1.435 du 8 novembre 2016 relative à la lutte contre la criminalité technologique ;
Vu l'Ordonnance Souveraine n° 5.664 du 23 décembre 2015 créant l'Agence Monégasque de Sécurité Numérique, modifiée ;
Vu l'arrêté ministériel n° 2016-723 du 12 décembre 2016 portant application de l'article 18 de la loi n° 1.430 du 13 juillet 2016 portant diverses mesures relatives à la préservation de la sécurité nationale et fixant les niveaux de classification des informations, modifié ;
Vu l'arrêté ministériel n° 2017-42 du 24 janvier 2017 portant application de l'article 26 de la loi n° 1.435 du 8 novembre 2016 relative à la lutte contre la criminalité technologique ;
Vu l'arrêté ministériel n° 2017-625 du 16 août 2017 portant application de l'article 3 de l'Ordonnance Souveraine n° 5.664 du 23 décembre 2015 créant l'Agence Monégasque de Sécurité Numérique, modifiée ;
Vu l'arrêté ministériel n° 2017-835 du 29 novembre 2017 portant application de l'article 54 de l'Ordonnance Souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l'administration et l'administré, modifiée ;
Vu la délibération du Conseil de Gouvernement en date du 24 octobre 2018 ;
Arrêtons :
Article Premier.
Les règles de sécurité prévues à l'article 27 de la loi n° 1.435 du 8 novembre 2016, susvisée, nécessaires à la protection des systèmes d'information des opérateurs d'importance vitale sont décrites à l'annexe I du présent arrêté.
À compter de l'entrée en vigueur du présent arrêté ou de sa date de désignation en tant qu'opérateur d'importance vitale, et/ou de la notification, conformément à l'article 6 du présent arrêté ministériel, des annexes V, VI et VII du présent arrêté, tout opérateur d'importance vitale applique les règles de sécurité visées au premier alinéa dans les délais figurant à l'annexe V, précitée. Ces délais peuvent être différents selon les règles de sécurité, le type de systèmes d'information concernés, l'opérateur d'importance vitale, ou la date de mise en service de ces systèmes.
Art. 2.
Dans un délai de trois mois à compter de la date d'entrée en vigueur du présent arrêté ou de sa désignation comme opérateur d'importance vitale, et/ou de la notification des annexes V, VI et VII du présent arrêté, tout opérateur d'importance vitale adresse par courrier à l'Agence Monégasque de Sécurité Numérique la liste de ses systèmes d'information d'importance vitale, ainsi que, pour chacun d'eux, le formulaire de déclaration de l'annexe II, précitée, disponible et téléchargeable sur le site https://amsn.gouv.mc/oiv.
Pour déterminer si un système d'information doit être qualifié d'importance vitale, l'opérateur d'importance vitale mène une analyse d'impact sur ses systèmes d'information, notamment sur ceux relevant des types de système d'information mentionnés à l'annexe VI, précitée.
Lorsque, pour un type de système d'information, mentionné à l'annexe VI, précitée, l'opérateur d'importance vitale ne déclare aucun système d'information d'importance vitale, il en précise les raisons.
Art. 3.
L'opérateur d'importance vitale communique, une fois par an à l'Agence Monégasque de Sécurité Numérique, les mises à jour de la liste mentionnée au premier alinéa de l'article précédent et de ses formulaires de déclaration.
Ledit opérateur déclare tout nouveau système d'information d'importance vitale préalablement à sa mise en service et tout système d'information qui viendrait à satisfaire aux conditions pour être qualifié d'importance vitale postérieurement à sa mise en service.
Lorsque l'opérateur d'importance vitale retire de la liste un des systèmes précédemment déclaré, il en informe sans délai l'Agence Monégasque de Sécurité Numérique en en précisant les raisons.
Art. 4.
Tout opérateur d'importance vitale déclare, à l'Agence Monégasque de Sécurité Numérique, chaque incident qui relève d'un des types d'incidents figurant à l'annexe VII du présent arrêté au moyen du formulaire de déclaration de l'annexe III du présent arrêté, disponible et téléchargeable sur le site https://amsn.gouv.mc/oiv, selon le moyen approprié à la sensibilité des informations déclarées.
Les informations contenues dans ledit formulaire sont couvertes par le secret professionnel et, le cas échéant, par le secret de sécurité nationale tel que prévu par la loi n° 1.430 du 13 juillet 2016, susvisée. Leur divulgation est punie des peines de l'article 308 du Code pénal et de celles prévues par l'article 19 de la loi n° 1.430 du 13 juillet 2016, précitée.
Art. 5.
Tout opérateur d'importance vitale communique à l'Agence Monégasque de Sécurité Numérique les coordonnées des personnes à habiliter au niveau Confidentiel de Sécurité Nationale, au sens de l'arrêté ministériel n° 2016-723 du 12 décembre 2016, modifié, susvisé, chargées de le représenter, dans un délai de trois mois à compter de l'entrée en vigueur du présent arrêté ou de sa désignation comme opérateur d'importance vitale.
Art. 6.
Les annexes V, VI et VII du présent arrêté sont spécifiques à chaque secteur d'importance vitale ou à chaque opérateur d'importance vitale. Par application des dispositions de l'arrêté ministériel n° 2016-723 du 12 décembre 2016, modifié, susvisé, ne donnent lieu à publication que le titre des annexes V, VI et VII, précitées. Le contenu desdites annexes est notifié aux personnes ayant le besoin d'en connaître de chaque opérateur d'importance vitale.
Art. 7.
Le Secrétaire Général du Gouvernement est chargé de l'exécution du présent arrêté.
Fait à Monaco, en l'Hôtel du Gouvernement, le huit novembre deux mille dix-huit.
Le Ministre d'État,
S. TELLE.
Les règles de sécurité nécessaires à la protection des systèmes d'informations des opérateurs d'importance vitale sont en annexe du présent Journal de Monaco.