Nº 7028 – 29 safar 1443 (7-10-2021) BULLETIN OFFICIEL 1925
ART. 22. – Après s’être assuré que le dossier de la demande comprend tous les documents et informations requis, l’autorité nationale soumet le prestataire d’audit de la sécurité des systèmes d’information, à ses frais, à une évaluation des prestations objet de la demande par l’un des organismes qu’elle désigne à cet effet.
L’évaluation précitée s’effectue conformément au référentiel d’exigences des prestataires d’audit de la sécurité des systèmes d’information élaboré par l’autorité nationale et publié sur son site Internet. Ledit référentiel précise notamment les modalités d’évaluation des auditeurs ainsi que les niveaux de qualification.
ART. 23. – Au vu des résultats de l’évaluation prévue à l’article 22 ci-dessus, l’autorité nationale peut prendre la décision de qualification qui indique notamment :
– la dénomination et l’adresse du siège social du prestataire d’audit ;
– les domaines d’audit objet de la qualification, en indiquant que le prestataire peut auditer les systèmes d’information sensibles de «CLASSE A» ou de «CLASSE B» ;
– la durée de sa validité qui ne dépasse pas trois (3) ans ;
– la liste des auditeurs par domaines d’audit en indiquant leurs niveaux de qualification.
En cas de refus, l’autorité nationale notifie sa décision au demandeur de la qualification.
ART. 24. – Le renouvellement de la qualification du prestataire d’audit de la sécurité des systèmes d’information a lieu selon les mêmes conditions exigées pour son obtention, sous réserve du dépôt de la demande de renouvellement dans les soixante (60) jours, au moins, avant la date d’expiration de la décision de qualification.
ART. 25. – Le prestataire d’audit de la sécurité des systèmes d’information informe, sans délai, l’autorité nationale de toute modification intervenue dans l’un des éléments sur la base desquels la qualification a été délivrée.
ART. 26. – Si le prestataire d’audit qualifié ne répond plus à l’un des critères sur la base desquels la qualification lui a été délivrée, l’autorité nationale le met en demeure de se conformer aux prescriptions y afférentes dans un délai qu’elle fixe selon l’importance de ses prescriptions.
Si le prestataire d’audit ne défère pas à la mise en demeure, l’autorité nationale suspend sa qualification, jusqu’à ce qu’il se conforme auxdites prescriptions, à défaut, la qualification est retirée.
ART. 27. – La liste des prestataires d’audit des systèmes d’information qualifiés est publiée au « Bulletin officiel » et sur le site Internet de l’autorité nationale.
Section 2. – Des modalités de déroulement de l’audit de la sécurité des systèmes d’information sensibles réalisés par les prestataires d’audit qualifiés
ART. 28. – Les entités et les infrastructures d’importance vitale procèdent à l’audit de la sécurité de leurs systèmes d’information sensibles selon les domaines fixés à l’annexe n° 2 du présent décret lorsque les systèmes d’information en question s’y prêtent, sous réserve que la fréquence de chaque audit portant sur un même domaine ne doit pas dépasser trois (3) ans.
ART. 29. – L’audit s’effectue en vertu d’un contrat conclu entre le commanditaire d’audit et le prestataire d’audit qualifié.
Cet audit ne commence qu’après la tenue d’une réunion entre les représentants du prestataire d’audit et ceux de l’entité auditée au cours de laquelle ils s’accordent sur l’ensemble des aspects de l’audit et toutes les clauses du contrat précité qui doit faire apparaître notamment les mentions suivantes :
– l’objet, le périmètre, les lieux d’exécution et les modalités de l’audit ;
– les noms et les missions des auditeurs désignés par le prestataire ;
– les normes à appliquer pour réaliser l’audit ;
– les délais d’exécution de l’audit ;
– les canaux de communication sécurisés entre le prestataire et l’entité auditée et le cas échéant entre le prestataire et le commanditaire d’audit ;
– les moyens nécessaires à la réalisation de l’audit ;
– les clauses de confidentialité concernant l’audit.
ART. 30. – L’entité doit, préalablement à l’audit, communiquer au prestataire d’audit toute la documentation nécessaire à l’accomplissement de sa mission.
Le prestataire d’audit doit respecter, lors de l’accomplissement de ses missions, les exigences techniques par domaine d’audit spécifiées dans le référentiel d’exigences des prestataires d’audit visé à l’article 22 ci-dessus.
ART. 31. – Le prestataire d’audit doit informer immédiatement l’entité auditée de toute faille constatée présentant un risque imminent et significatif, et dans la mesure du possible, lui proposer les mesures permettant de lever ce risque.
Les constats d’audit, doivent être documentés, tracés, et conservés durant toute la durée de l’audit, par le prestataire d’audit à l’occasion de l’exercice de sa mission.
ART. 32. – A la fin de sa mission, le prestataire d’audit qualifié doit remettre au commanditaire d’audit le rapport final d’audit accompagné de tous les documents et supports y afférents.
Une réunion de clôture est organisée au cours de laquelle le prestataire présente au commanditaire d’audit et à l’entité auditée la synthèse du rapport d’audit et les recommandations y afférentes.
Au terme de sa mission, le prestataire ne doit garder aucune copie des rapports, documents et supports fournis.