2364
BULLETIN OFFICIEL
Nº 7432 – 27 safar 1447 (21-8-2025)
Le prestataire de services doit notifier les incidents de sécurité 2 aux autorités compétentes conformément aux exigences légales et réglementaires en vigueur. 3.12.3. Appréciation des événements liés à la sécurité de l’information et prise de décision Le prestataire de services est chargé d'évaluer les événements liés à la sécurité de l’information afin de déterminer s'ils doivent être considérés comme des incidents de sécurité. Cette évaluation doit se baser sur une ou plusieurs échelles (estimation, évaluation, etc.) qui ont été préalablement définies en accord avec le commanditaire. Le prestataire de services doit mettre en place une classification spécifique permettant de distinguer clairement les incidents de sécurité qui concernent les données des commanditaires, en tenant compte des résultats de l'évaluation des risques. 3.12.4. Réponse aux incidents liés à la sécurité de l’information Le prestataire de services est tenu de gérer les incidents de sécurité jusqu'à leur résolution complète et doit informer les commanditaires conformément aux procédures établies. Le prestataire de services doit conserver une archive des documents détaillant les incidents de sécurité. Pour le niveau 2, le prestataire de services doit solliciter uniquement les services d'un prestataire de réponse aux incidents de sécurité qualifié pour traiter les incidents de sécurité qui demandent une expertise supplémentaire. 3.12.5. Tirer des enseignements des incidents liés à la sécurité de l’information Le prestataire de services doit documenter et instaurer un processus d'amélioration continue visant à réduire la fréquence et l'impact des types d'incidents de sécurité déjà traités. Les incidents de sécurité doivent être classés, priorisés et analysés de manière approfondie pour en identifier la cause principale. Cela doit être fait par des experts internes du prestataire de services, avec l'aide éventuelle de prestataires externes de sécurité. 3.12.6. Recueil de preuves Le prestataire de services doit établir et appliquer une procédure pour enregistrer les informations relatives aux incidents de sécurité, afin qu'elles puissent servir d'éléments de preuve.
3.13. Gestion de la continuité d’activité 3.13.1. Organisation de la continuité d’activité Le prestataire de services doit préparer un plan de continuité et de reprise d’activités intégrant l'ensemble des solutions pour pallier les arrêts des processus et applications critiques pour le service. Il doit porter notamment sur des solutions de secours informatique (sauvegarde, site de secours, bascule, résilience des réseaux, redondance matérielle et logicielle, etc.) 2
Incident de sécurité : tout événement affectant la sécurité des systèmes d’information, incluant les incidents de cybersécurité au sens de la loi n° 05-20, ainsi que les violations de données à caractère personnel régies par la loi n°09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel.
23