Nº 7432 – 27 safar 1447 (21-8-2025)
BULLETIN OFFICIEL
3.11.3. Surveillance et revue des services des fournisseurs Le prestataire de services doit établir et mettre en œuvre une procédure pour vérifier régulièrement que les tiers participant à la mise en œuvre du service respectent les exigences du présent référentiel. 3.11.4. Gestion des changements apportés dans les services des tiers Le prestataire de services doit élaborer une procédure pour suivre les modifications effectuées par les tiers impliqués dans la mise en œuvre du service, afin d’évaluer leur impact potentiel sur la sécurité du système d'information du service. Lorsque le changement opéré par un tiers impliqué dans la mise en œuvre du service impacte le niveau de sécurité, le prestataire de services doit informer sans délai tous les commanditaires et l’autorité nationale de cybersécurité et prendre les mesures requises pour restaurer le niveau de sécurité antérieur. 3.11.5. Engagements de confidentialité Le prestataire de services doit élaborer une procédure pour revoir, au moins une fois par an, les exigences en matière d’engagement de confidentialité ou de non-divulgation vis-à-vis des tiers impliqués dans la mise en œuvre du service.
3.12.Gestion des incidents liés à la sécurité de l’information 3.12.1. Responsabilités et procédures Le prestataire de services doit documenter et mettre en place une procédure pour répondre rapidement et efficacement aux incidents de sécurité. Cette procédure doit préciser les moyens et délais de communication des incidents de sécurité aux commanditaires concernés, ainsi que le niveau de confidentialité requis pour cette communication. Le prestataire de services doit informer ses employés ainsi que tous les tiers impliqués dans la mise en œuvre du service de cette procédure. 3.12.2. Signalements liés à la sécurité de l’information Le prestataire de services doit établir et appliquer une procédure qui demande à ses employés ainsi qu'aux tiers impliqués dans la mise en œuvre du service de signaler tout incident de sécurité avéré ou suspecté, ainsi que toute vulnérabilité de sécurité identifiée. Le prestataire de services doit élaborer et mettre en place une procédure qui permet à tous les commanditaires de signaler tout incident de sécurité avéré ou suspecté, ainsi que toute faille de sécurité identifiée Le prestataire de services doit informer immédiatement les commanditaires des incidents de sécurité survenus, ainsi que des mesures recommandées pour en limiter les impacts. Il doit également permettre au commanditaire de sélectionner les niveaux de gravité des incidents pour lesquels il souhaite être notifié.
22
2363