2346
BULLETIN OFFICIEL
Nº 7432 – 27 safar 1447 (21-8-2025)
⎯ Les risques liés aux évènements naturels et sinistres physiques ; ⎯ Les risques liés à la séparation des tâches ; ⎯ Les risques liés aux environnements de développement. Le prestataire de services doit lister, dans un document spécifique, les risques éventuels liés à l’existence de législations étrangères ayant pour objectif la collecte de données ou métadonnées des commanditaires sans leur consentement préalable. Ce document doit être communiqué aux commanditaires à leur demande. La direction du prestataire de services doit approuver les risques résiduels identifiés dans l'appréciation des risques. Le prestataire de services doit mettre à jour le registre des risques suite à une analyse des risques annuelle et à chaque fois qu'un changement significatif susceptible d'impacter le service se produit.
3.2. Organisation de la sécurité de l’information 3.2.1. Rôles et responsabilités Le prestataire de services doit créer et mettre en place une organisation interne dédiée à la sécurité afin d’assurer la définition, l’implémentation et le suivi du fonctionnement opérationnel de la sécurité du système d’information au sein de son organisation. Le prestataire de services doit désigner un responsable de la sécurité des systèmes d’information et un responsable de la sécurité physique. Le prestataire de services doit clairement définir et attribuer les responsabilités en matière de sécurité du système d’information pour le personnel impliqué dans la prestation du service. Le prestataire de services doit vérifier que les responsabilités en matière de sécurité de l’information restent pertinentes après tout changement majeur susceptible d’affecter le service. 3.2.2. Séparation des tâches Le prestataire de services doit identifier les risques associés à des cumules de responsabilités ou de taches, les prendre en compte dans l’appréciation des risques et mettre en œuvre des mesures pour réduire ces risques. 3.2.3. Relations avec les autorités Le prestataire de services doit établir des relations appropriées avec les autorités compétentes en matière de cyber sécurité et de protection de données à caractère personnel, et le cas échéant avec les régulateurs sectoriels concernés, selon la nature des informations confiées par le commanditaire au prestataire de services. 3.2.4. La sécurité de l’information dans la gestion de projet Le prestataire de services doit établir une documentation comprenant une estimation des risques avant tout projet susceptible d’avoir un impact sur le service, et ce quelle que soit la nature du projet. En cas d’impact potentiel sur la sécurité du service, le prestataire de services doit informer par écrit le commanditaire et l’autorité nationale de cybersécurité des impacts potentiels, des mesures d’atténuation mises en place et des risques résiduels y associés. 5