Art. 17
Mécanismes de continuité des activités et de sauvegarde
En vigueur depuis le 30 janv. 2026
Article 17
Mécanismes de continuité des activités et de sauvegarde
1. Les IIP et les RRM veillent à disposer d’un personnel, d’une infrastructure, d’un capital et de ressources financières suffisants pour garantir la continuité et la régularité de l’exécution de leurs services respectifs, ainsi que la protection adéquate de l’IIP ou du RRM contre les risques opérationnels, juridiques et commerciaux.
2. Lors de l’enregistrement des nouveaux clients d’IIP, les IIP leur fournissent des instructions sur l’utilisation des installations de sauvegarde et leur adressent ensuite des rappels périodiques pendant toute la durée des services d’IIP fournis.
3. Les IIP et les RRM disposent de procédures et de contrôles solides des risques opérationnels afin de garantir la disponibilité de ressources et de dispositifs de secours adéquats. Ces contrôles et procédures sont documentés dans le cadre d’une politique de risque opérationnel ou d’un cadre de risque opérationnel garantissant que les perturbations des services fournis sont réduites au minimum. Cette politique ou ce cadre comporte notamment:
a)
un système de contrôle des versions permettant de suivre et d’archiver toute modification apportée aux logiciels des IIP et des RRM;
b)
une politique d’assurance qualité garantissant le suivi de toutes les modifications apportées à l’architecture matérielle et logicielle des IIP et des RRM;
c)
des systèmes automatisés de surveillance et d’alerte permettant de suivre la disponibilité de tous les composants et services du système, en notifiant immédiatement aux clients d’IIP et aux clients de RRM toute perturbation du service;
d)
la redondance des composants matériels et de l’infrastructure de réseau, permettant le relais aux systèmes de sauvegarde, y compris:
i)
pour les IIP, des procédures visant à garantir que tout entretien planifié des services IIP est effectué avec une perturbation minimale ou nulle du service, en recourant à la duplication et à la redondance des composants matériels et logiciels;
ii)
pour les RRM, des procédures garantissant une perturbation minimale lors de la maintenance planifiée, les fenêtres d’entretien étant programmées pendant les périodes de faible activité;
e)
la réalisation d’examens périodiques, au moins une fois par an, évaluant les infrastructures techniques des IIP et des RRM ainsi que les politiques et procédures associées, y compris les dispositifs de continuité des activités et, pour les IIP, les dispositifs de sécurité de l’information;
f)
des mesures complètes de sauvegarde des données garantissant l’absence de perte de données, y compris la conservation des données communiquées à l’Agence au cours des cinq dernières années suivant la fin de l’événement correspondant pour les IIP et cinq ans pour les RRM;
g)
des dispositifs efficaces de continuité des activités pour faire face à des événements non planifiés, y compris les éléments suivants:
i)
les modalités de la continuité des processus qui sont essentiels pour garantir l’efficacité des services de communication de données, y compris les procédures d’escalade, les activités externalisées pertinentes ou les dépendances à l’égard de prestataires externes, qui, en ce qui concerne une infrastructure de sauvegarde des IIP, peuvent comprendre un accord contractuel avec une autre IIP agréée par l’Agence, dans le cadre duquel les clients de l’IIP seront redirigés vers la divulgation de leurs informations en cas d’incident, sans frais supplémentaires pour le client d’IIP;
ii)
des mécanismes de continuité spécifiques, couvrant un éventail adéquat de scénarios possibles, à court et moyen termes, y compris de défaillances des systèmes, de catastrophe naturelle, de rupture de communication, de perte de collaborateurs clés et d’impossibilité d’utiliser les locaux normalement utilisés;
iii)
la mise en place de procédures de relais et de secours qui précisent la réorientation des clients d’IIP en vue de la publication de leurs informations vers les installations de secours de l’IIP;
iv)
la fixation d’un délai de rétablissement maximal cible pour les fonctions critiques;
v)
la fourniture de formations obligatoires au personnel sur la mise en œuvre de la continuité des activités;
vi)
l’identification du personnel clé chargé de la continuité des activités, y compris le personnel responsable de la réaction immédiate à une perturbation des services.
4. Les candidats peuvent démontrer la conformité à l’une des exigences visées au paragraphe 3 en soumettant à l’Agence une certification valide pour la série de normes ISO/IEC 27000 sur les systèmes de gestion de la sécurité de l’information ou des certifications équivalentes. L’Agence peut demander aux demandeurs des éclaircissements supplémentaires concernant la certification fournie, toute information manquante pour démontrer le respect des exigences visées au paragraphe 3 et une mise à jour de cette certification après sa date d’expiration.
5. Les IIP et les RRM veillent à ce qu’il soit remédié à tout manquement constaté lors de l’examen visé au paragraphe 3, point e).
6. Les IIP mettent à la disposition du public toutes les informations relatives aux autres moyens de divulgation que leurs clients d’IIP peuvent utiliser en cas d’arrêt de la plateforme. Lorsque la maintenance planifiée peut entraîner des perturbations, elle doit être planifiée pour les fenêtres temporelles où une activité minimale est prévue.
7. Les services d’IIP liés à la divulgation et à la publication d’informations ainsi qu’à la présentation de rapports sur les informations privilégiées sont disponibles au moins 99,5 % du temps. Il en va de même lorsque des services IIP ou des parties de ceux-ci sont externalisés à des prestataires externes.
8. Dans le cas où des clients d’IIP ont été informés par l’IIP d’un entretien planifié, d’un temps d’arrêt non planifié ou d’une autre perturbation conformément à l’article 18, ou lorsqu’ils constatent eux-mêmes que, exceptionnellement, ni l’IIP ni ses installations de secours ne sont en service, les clients d’IIP peuvent décider de publier sur leur site internet les informations qu’ils auraient communiquées sur l’IIP, ou de s’appuyer sur une autre IIP pour une publication rapide, jusqu’à ce que l’IIP ou ses installations de secours soient rétablies.
9. Les IIP publient sur leur plateforme les informations divulguées par leurs clients d’IIP conformément au paragraphe 8 dès que cela est techniquement possible après le rétablissement des services.
Historique des versions
Cet article n'a jamais été modifié depuis sa publication.
Vos annotations
Proeli:reg_del:2026:255:oj#art-17