Le texte à une date

Les dates de l’éditeur que ce site détient pour cet acte

• Entrée en vigueur : 2023-01-16 (mention de l’éditeur, mot pour mot : DATPUB +20 V ART 45)
• Date limite : 2027-10-17 (mention de l’éditeur, mot pour mot : B-19.12 V ART 40)
• Date limite : 2028-01-16 (mention de l’éditeur, mot pour mot : V ART 38.2)

Dates non détenues pour cet acte : mise en application ; fin de validité. Les déclarations datées de l’éditeur que ce site détient pour cet acte n’indiquent aucune date de ce type, ce qui ne dit rien de l’existence d’une telle date.

Aucune des dates ci-dessus ne sert à choisir un libellé : chaque libellé ci-dessous porte sa propre date.

32022L2555, fra, le libellé consolidé du 2022-12-27 (la date de consolidation de l’éditeur)

Il s’agit du dernier libellé détenu : il sert de réponse pour toute date ultérieure, et une modification que l’éditeur n’a pas encore consolidée n’y figure pas.

9 autres œuvres de l’éditeur portent cette date ; avec ce même texte détenu ici : 1 ; sans texte détenu ici : 8.

/eu-eurlex/32022L2555/2022-12-27--11f245f18c4265ebe257ec70e1ebdf717613e97bafe3bfde5f731209050b0022/fra

46 articles cités ; détenus sans texte : 0.

Page 2 sur 2 : Article 27 à Article 46.

27. 027 Article 27

    Article 27 Registre des entités 1. L’ENISA crée et tient, sur la base des informations reçues des points de contact uniques conformément au paragraphe 4, un registre des fournisseurs de services DNS, des registres des noms de domaine de premier niveau, des entités qui fournissent des services d’enregistrement de noms de domaine, des fournisseurs de services d’informatique en nuage, des fournisseurs de services de centres de données, des fournisseurs de réseaux de diffusion de contenu, des fournisseurs de services gérés, des fournisseurs de services de sécurité gérés, ainsi que des fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux. Sur demande, l’ENISA permet aux autorités compétentes d’accéder à ce registre, tout en veillant à ce que la confidentialité des informations soit protégée, s’il y a lieu. 2. Les États membres demandent aux entités visées au paragraphe 1 de soumettre les informations suivantes aux autorités compétentes au plus tard le 17 janvier 2025: a) le nom de l’entité; b) les secteur, sous-secteur et type d’entité concernés, visés à l’annexe I ou II, le cas échéant; c) l’adresse de l’établissement principal de l’entité et de ses autres établissements légaux dans l’Union ou, si elle n’est pas établie dans l’Union, de son représentant désigné conformément à l’article 26, paragraphe 3; d) les coordonnées actualisées, y compris les adresses de courrier électronique et les numéros de téléphone de l’entité et, le cas échéant, de son représentant désigné conformément à l’article 26, paragraphe 3; e) les États membres dans lesquels l’entité fournit des services; et f) les plages d’IP de l’entité. 3. Les États membres veillent à ce que les entités visées au paragraphe 1 notifient à l’autorité compétente toute modification des informations qu’elles ont communiquées en vertu du paragraphe 2 sans tarder et, en tout état de cause, dans un délai de trois mois à compter de la date de la modification. 4. À la réception des informations visées aux paragraphes 2 et 3, à l’exception des informations visées au paragraphe 2, point f), le point de contact unique de l’État membre concerné les transmet sans retard injustifié à l’ENISA. 5. S’il y a lieu, les informations visées aux paragraphes 2 et 3 du présent article sont communiquées via le mécanisme national visé à l’article 3, paragraphe 4, quatrième alinéa.

    Empreinte du texte 335566b463fceade5a741f0d0c6f96f6a798d38951411942fb1dfc6277dd9d80, empreinte du corps 6575a7cb941976d263b2bfd3526aeaad8fba30709ac068a54347d12e2ed9f3b8, source officielle https://publications.europa.eu/resource/cellar/2910a5ae-0a8c-11ee-b12e-01aa75ed71a1.0012.01, /eu-eurlex/32022L2555/2022-12-27--11f245f18c4265ebe257ec70e1ebdf717613e97bafe3bfde5f731209050b0022/fra/027

28. 028 Article 28

    Article 28 Base des données d’enregistrement des noms de domaine 1. Afin de contribuer à la sécurité, à la stabilité et à la résilience du DNS, les États membres imposent aux registres des noms de domaine de premier niveau et aux entités fournissant des services d’enregistrement de noms de domaine de collecter les données d’enregistrement de noms de domaine et de les maintenir exactes et complètes au sein d’une base de données spécialisée avec la diligence requise par le droit de l’Union en matière de protection des données pour ce qui concerne les données à caractère personnel. 2. Aux fins du paragraphe 1, les États membres exigent que la base des données d’enregistrement des noms de domaine contienne les informations nécessaires pour identifier et contacter les titulaires des noms de domaine et les points de contact qui gèrent les noms de domaine relevant des domaines de premier niveau. Ces informations comprennent notamment les éléments suivants: a) le nom de domaine; b) la date d’enregistrement; c) le nom du titulaire, l’adresse de courrier électronique et le numéro de téléphone permettant de le contacter; d) l’adresse de courrier électronique et le numéro de téléphone permettant de contacter le point de contact qui gère le nom de domaine, si ces coordonnées sont différentes de celles du titulaire. 3. Les États membres exigent que les registres des noms de domaine de premier niveau et les entités fournissant des services d’enregistrement de noms de domaine aient mis en place des politiques et des procédures, notamment des procédures de vérification, visant à garantir que les bases de données visées au paragraphe 1 contiennent des informations exactes et complètes. Les États membres imposent que ces politiques et procédures soient mises à la disposition du public. 4. Les États membres exigent que les registres des noms de domaine de premier niveau et les entités fournissant des services d’enregistrement de noms de domaine rendent publiques, sans retard injustifié après l’enregistrement d’un nom de domaine, les données d’enregistrement du nom de domaine qui ne sont pas des données à caractère personnel. 5. Les États membres imposent aux registres des noms de domaine de premier niveau et aux entités fournissant des services d’enregistrement de noms de domaine de donner accès aux données spécifiques d’enregistrement de noms de domaine sur demande légitime et dûment motivée des demandeurs d’accès légitimes, dans le respect du droit de l’Union en matière de protection des données. Les États membres exigent que les registres des noms de domaine de premier niveau et les entités fournissant des services d’enregistrement de noms de domaine répondent sans retard injustifié et en tout état de cause dans un délai de 72 heures après réception de toute demande d’accès. Les États membres imposent que les politiques et procédures de divulgation de ces données soient rendues publiques. 6. Le respect des obligations énoncées aux paragraphes 1 à 5 ne saurait entraîner de répétition inutile de la collecte des données d’enregistrement de noms de domaine. À cet effet, les États membres imposent aux registres des noms de domaine de premier niveau et aux entités fournissant des services d’enregistrement de noms de domaine de coopérer entre eux.

    Empreinte du texte dacce14914250e70308babe4738e3bfd11bb36ef481a15f156c58dbb4f2949e5, empreinte du corps 6575a7cb941976d263b2bfd3526aeaad8fba30709ac068a54347d12e2ed9f3b8, source officielle https://publications.europa.eu/resource/cellar/2910a5ae-0a8c-11ee-b12e-01aa75ed71a1.0012.01, /eu-eurlex/32022L2555/2022-12-27--11f245f18c4265ebe257ec70e1ebdf717613e97bafe3bfde5f731209050b0022/fra/028

29. 029 Article 29

    Article 29 Accords de partage d’informations en matière de cybersécurité 1. Les États membres veillent à ce que les entités relevant du champ d’application de la présente directive et, le cas échéant, les autres entités concernées ne relevant pas du champ d’application de la présente directive puissent échanger entre elles, à titre volontaire, des informations pertinentes en matière de cybersécurité, y compris des informations relatives aux cybermenaces, aux incidents évités, aux vulnérabilités, aux techniques et procédures, aux indicateurs de compromission, aux tactiques adverses, ainsi que des informations spécifiques sur les acteurs de la menace, des alertes de cybersécurité et des recommandations concernant la configuration des outils de cybersécurité pour détecter les cyberattaques, lorsque ce partage d’informations: a) vise à prévenir et à détecter les incidents, à y réagir, à s’en rétablir ou à atténuer leur impact; b) renforce le niveau de cybersécurité, notamment en sensibilisant aux cybermenaces, en limitant ou en empêchant leur capacité de se propager, en soutenant une série de capacités de défense, en remédiant aux vulnérabilités et en les révélant, en mettant en œuvre des techniques de détection, d’endiguement et de prévention des menaces, des stratégies d’atténuation ou des étapes de réaction et de rétablissement, ou en encourageant la recherche collaborative en matière de cybermenaces entre les entités publiques et privées. 2. Les États membres veillent à ce que l’échange d’informations ait lieu au sein de communautés d’entités essentielles et importantes ainsi que, le cas échéant, de leurs fournisseurs ou prestataires de services. Cet échange est mis en œuvre au moyen d’accords de partage d’informations en matière de cybersécurité, compte tenu de la nature potentiellement sensible des informations partagées. 3. Les États membres facilitent la mise en place des accords de partage d’informations en matière de cybersécurité visés au paragraphe 2 du présent article. Ces accords peuvent préciser les éléments opérationnels, y compris l’utilisation de plateformes TIC spécialisées et d’outils d’automatisation, le contenu et les conditions des accords de partage d’informations. Lorsqu’ils précisent la participation des autorités publiques à ces accords, les États membres peuvent imposer des conditions en ce qui concerne les informations mises à disposition par les autorités compétentes ou les CSIRT. Les États membres offrent un soutien à l’application de ces accords conformément à leurs politiques visées à l’article 7, paragraphe 2, point h). 4. Les États membres veillent à ce que les entités essentielles et importantes notifient aux autorités compétentes leur participation aux accords de partage d’informations en matière de cybersécurité visés au paragraphe 2, lorsqu’elles concluent de tels accords ou, le cas échéant, lorsqu’elles se retirent de ces accords, une fois que le retrait prend effet. 5. L’ENISA fournit une assistance pour la mise en place des accords de partage d’informations en matière de cybersécurité visés au paragraphe 2 par l’échange de bonnes pratiques et l’apport d’orientations.

    Empreinte du texte d062cc5dffdad627ff66727426acd7ac9c0d48b4c95d1257cdaa50c185cc0c6c, empreinte du corps 6575a7cb941976d263b2bfd3526aeaad8fba30709ac068a54347d12e2ed9f3b8, source officielle https://publications.europa.eu/resource/cellar/2910a5ae-0a8c-11ee-b12e-01aa75ed71a1.0012.01, /eu-eurlex/32022L2555/2022-12-27--11f245f18c4265ebe257ec70e1ebdf717613e97bafe3bfde5f731209050b0022/fra/029

30. 030 Article 30

    Article 30 Notification volontaire d’informations pertinentes 1. Les États membres veillent à ce que, outre l’obligation de notification prévue à l’article 23, des notifications puissent être transmises à titre volontaire aux CSIRT ou, s’il y a lieu, aux autorités compétentes par: a) les entités essentielles et importantes en ce qui concerne les incidents, les cybermenaces et les incidents évités; b) les entités autres que celles visées au point a), indépendamment du fait qu’elles relèvent ou non du champ d’application de la présente directive, en ce qui concerne les incidents importants, les cybermenaces ou les incidents évités. 2. Les États membres traitent les notifications visées au paragraphe 1 du présent article conformément à la procédure énoncée à l’article 23. Les États membres peuvent traiter les notifications obligatoires en leur donnant la priorité par rapport aux notifications volontaires. Lorsque cela est nécessaire, les CSIRT et, le cas échéant, les autorités compétentes fournissent aux points de contact uniques les informations relatives aux notifications reçues en vertu du présent article, tout en garantissant la confidentialité et une protection appropriée des informations fournies par l’entité à l’origine de la notification. Sans préjudice de la prévention et de la détection d’infractions pénales et des enquêtes et poursuites en la matière, un signalement volontaire n’a pas pour effet d’imposer à l’entité ayant effectué la notification des obligations supplémentaires auxquelles elle n’aurait pas été soumise si elle n’avait pas transmis la notification.

    Empreinte du texte 1ed10eb959707dd0d63e3603d183bdfc6c5d3f148ae4f57e624f4acabc656d9e, empreinte du corps 6575a7cb941976d263b2bfd3526aeaad8fba30709ac068a54347d12e2ed9f3b8, source officielle https://publications.europa.eu/resource/cellar/2910a5ae-0a8c-11ee-b12e-01aa75ed71a1.0012.01, /eu-eurlex/32022L2555/2022-12-27--11f245f18c4265ebe257ec70e1ebdf717613e97bafe3bfde5f731209050b0022/fra/030

31. 031 Article 31

    Article 31 Aspects généraux concernant la supervision et l’exécution 1. Les États membres veillent à ce que leurs autorités compétentes procèdent à une supervision efficace et prennent les mesures nécessaires pour assurer le respect de la présente directive. 2. Les États membres peuvent autoriser leurs autorités compétentes à fixer des priorités en ce qui concerne les tâches de supervision. La définition de ces priorités suit une approche basée sur les risques. À cet effet, lorsqu’elles accomplissent leurs tâches de supervision prévues aux articles 32 et 33, les autorités compétentes peuvent mettre au point des méthodes de supervision permettant de fixer des priorités concernant ces tâches selon une approche basée sur les risques. 3. Lorsqu’elles traitent des incidents donnant lieu à des violations de données à caractère personnel, les autorités compétentes coopèrent étroitement avec les autorités de contrôle en vertu du règlement (UE) 2016/679, sans préjudice de la compétence et des missions des autorités de contrôle. 4. Sans préjudice des cadres législatifs et institutionnels nationaux, les États membres veillent à ce que, dans le cadre de la supervision du respect de la présente directive par les entités de l’administration publique et de l’imposition d’éventuelles mesures d’exécution en cas de violation de la présente directive, les autorités compétentes disposent de pouvoirs appropriés pour mener à bien ces tâches en jouissant d’une indépendance opérationnelle vis-à-vis des entités de l’administration publique supervisées. Les États membres peuvent décider d’imposer des mesures de supervision et d’exécution appropriées, proportionnées et efficaces à l’égard de ces entités, conformément aux cadres législatifs et institutionnels nationaux.

    Empreinte du texte e4b885757e2db43f1b5ad25edf699f2d8621345f71070c61f214f08462fe2d21, empreinte du corps 6575a7cb941976d263b2bfd3526aeaad8fba30709ac068a54347d12e2ed9f3b8, source officielle https://publications.europa.eu/resource/cellar/2910a5ae-0a8c-11ee-b12e-01aa75ed71a1.0012.01, /eu-eurlex/32022L2555/2022-12-27--11f245f18c4265ebe257ec70e1ebdf717613e97bafe3bfde5f731209050b0022/fra/031

32. 032 Article 32

    Article 32 Mesures de supervision et d’exécution en ce qui concerne les entités essentielles 1. Les États membres veillent à ce que les mesures de supervision ou d’exécution imposées aux entités essentielles à l’égard des obligations prévues par la présente directive soient effectives, proportionnées et dissuasives, compte tenu des circonstances de chaque cas. 2. Les États membres veillent à ce que les autorités compétentes, lorsqu’elles accomplissent leurs tâches de supervision à l’égard d’entités essentielles, aient le pouvoir de soumettre ces entités à, au minimum: a) des inspections sur place et des contrôles à distance, y compris des contrôles aléatoires effectués par des professionnels formés; b) des audits de sécurité réguliers et ciblés réalisés par un organisme indépendant ou une autorité compétente; c) des audits ad hoc, notamment lorsqu’ils sont justifiés en raison d’un incident important ou d’une violation de la présente directive par l’entité essentielle; d) des scans de sécurité fondés sur des critères d’évaluation des risques objectifs, non discriminatoires, équitables et transparents, si nécessaire avec la coopération de l’entité concernée; e) des demandes d’informations nécessaires à l’évaluation des mesures de gestion des risques en matière de cybersécurité adoptées par l’entité concernée, notamment les politiques de cybersécurité consignées par écrit, ainsi que du respect de l’obligation de soumettre des informations aux autorités compétentes conformément à l’article 27; f) des demandes d’accès à des données, à des documents et à toutes informations nécessaires à l’accomplissement de leurs tâches de supervision; g) des demandes de preuves de la mise en œuvre de politiques de cybersécurité, telles que les résultats des audits de sécurité effectués par un auditeur qualifié et les éléments de preuve sous-jacents correspondants. Les audits de sécurité ciblés visés au premier alinéa, point b), sont basés sur des évaluations des risques effectuées par l’autorité compétente ou l’entité contrôlée, ou sur d’autres informations disponibles relatives aux risques. Les résultats de tout audit de sécurité ciblé sont mis à la disposition de l’autorité compétente. Les coûts de cet audit de sécurité ciblé effectué par un organisme indépendant sont à la charge de l’entité contrôlée, sauf lorsque l’autorité compétente en décide autrement dans des cas dûment motivés. 3. Lorsqu’elles exercent leurs pouvoirs en vertu du paragraphe 2, point e), f) ou g), les autorités compétentes mentionnent la finalité de la demande et précisent quelles sont les informations exigées. 4. Les États membres veillent à ce que leurs autorités compétentes, lorsqu’elles exercent leurs pouvoirs d’exécution à l’égard d’entités essentielles, aient au minimum le pouvoir: a) d’émettre des avertissements concernant les violations de la présente directive par les entités concernées; b) d’adopter des instructions contraignantes, y compris en ce qui concerne les mesures nécessaires pour éviter un incident ou y remédier, ainsi que les délais pour mettre en œuvre ces mesures et rendre compte de cette mise en œuvre, ou une injonction exigeant des entités concernées qu’elles remédient aux insuffisances constatées ou aux violations de la présente directive; c) d’ordonner aux entités concernées de mettre un terme à un comportement qui viole la présente directive et de ne pas le réitérer; d) d’ordonner aux entités concernées de garantir la conformité de leurs mesures de gestion des risques en matière de cybersécurité avec l’article 21 ou de respecter les obligations d’information énoncées à l’article 23, de manière spécifique et dans un délai déterminé; e) d’ordonner aux entités concernées d’informer les personnes physiques ou morales à l’égard desquelles elles fournissent des services ou exercent des activités susceptibles d’être affectées par une cybermenace importante de la nature de la menace, ainsi que de toutes mesures préventives ou réparatrices que ces personnes physiques ou morales pourraient prendre en réponse à cette menace; f) d’ordonner aux entités concernées de mettre en œuvre les recommandations formulées à la suite d’un audit de sécurité dans un délai raisonnable; g) de désigner, pour une période déterminée, un responsable du contrôle ayant des tâches bien définies pour superviser le respect, par les entités concernées, des articles 21 et 23; h) d’ordonner aux entités concernées de rendre publics les aspects de violations de la présente directive de manière spécifique; i) d’imposer ou de demander aux organes compétents ou aux juridictions d’imposer, conformément au droit national, une amende administrative en vertu de l’article 34 en plus de l’une ou l’autre des mesures visées aux points a) à h) du présent paragraphe. 5. Lorsque les mesures d’exécution adoptées en vertu du paragraphe 4, points a) à d) et point f), sont inefficaces, les États membres veillent à ce que leurs autorités compétentes aient le pouvoir de fixer un délai dans lequel l’entité essentielle est invitée à prendre les mesures nécessaires pour pallier les insuffisances ou satisfaire aux exigences de ces autorités. Si la mesure demandée n’est pas prise dans le délai imparti, les États membres veillent à ce que leurs autorités compétentes aient le pouvoir: a) de suspendre temporairement ou de demander à un organisme de certification ou d’autorisation, ou à une juridiction, conformément au droit national, de suspendre temporairement une certification ou une autorisation concernant tout ou partie des services pertinents fournis ou des activités pertinentes menées par l’entité essentielle; b) de demander aux organes compétents ou aux juridictions compétentes, conformément au droit national, d’interdire temporairement à toute personne physique exerçant des responsabilités dirigeantes à un niveau de directeur général ou de représentant légal dans l’entité essentielle d’exercer des responsabilités dirigeantes dans cette entité. Les suspensions ou interdictions temporaires imposées au titre du présent paragraphe sont uniquement appliquées jusqu’à ce que l’entité concernée prenne les mesures nécessaires pour remédier aux insuffisances ou se conformer aux exigences de l’autorité compétente à l’origine de l’application de ces mesures d’exécution. L’imposition de ces suspensions ou interdictions temporaires est soumise à des garanties procédurales appropriées conformément aux principes généraux du droit de l’Union et à la Charte, y compris le droit à un recours effectif et à accéder à un tribunal impartial, la présomption d’innocence et les droits de la défense. Les mesures d’exécution prévues au présent paragraphe ne peuvent pas être appliquées aux entités de l’administration publiques qui relèvent de la présente directive. 6. Les États membres veillent à ce que toute personne physique responsable d’une entité essentielle ou agissant en qualité de représentant légal d’une entité essentielle sur la base du pouvoir de la représenter, de prendre des décisions en son nom ou d’exercer son contrôle ait le pouvoir de veiller au respect, par l’entité, de la présente directive. Les États membres veillent à ce que ces personnes physiques puissent être tenues responsables des manquements à leur devoir de veiller au respect de la présente directive. En ce qui concerne les entités de l’administration publique, le présent paragraphe est sans préjudice du droit national en ce qui concerne la responsabilité des agents de la fonction publique et des responsables élus ou nommés. 7. Lorsqu’elles prennent toute mesure d’exécution visée au paragraphe 4 ou 5, les autorités compétentes respectent les droits de la défense et tiennent compte des circonstances propres à chaque cas et, au minimum, tiennent dûment compte: a) de la gravité de la violation et de l’importance des dispositions enfreintes, les faits suivants, entre autres, devant être considérés en tout état de cause comme graves: i) les violations répétées; ii) le fait de ne pas notifier des incidents importants ou de ne pas y remédier; iii) le fait de ne pas pallier les insuffisances à la suite d’instructions contraignantes des autorités compétentes; iv) le fait d’entraver des audits ou des activités de contrôle ordonnées par l’autorité compétente à la suite de la constatation d’une violation; v) la fourniture d’informations fausses ou manifestement inexactes relatives aux mesures de gestion des risques en matière de cybersécurité ou aux obligations d’information prévues aux articles 21 et 23; b) de la durée de la violation; c) de toute violation antérieure pertinente commise par l’entité concernée; d) des dommages matériels, corporels ou moraux causés, y compris des pertes financières ou économiques, des effets sur d’autres services et du nombre d’utilisateurs touchés; e) du fait que l’auteur de la violation a agi délibérément ou par négligence; f) des mesures prises par l’entité pour prévenir ou atténuer les dommages matériels, corporels ou moraux; g) de l’application de codes de conduite approuvés ou de mécanismes de certification approuvés; h) du degré de coopération avec les autorités compétentes des personnes physiques ou morales tenues pour responsables. 8. Les autorités compétentes exposent en détail les motifs de leurs mesures d’exécution. Avant de prendre de telles mesures, les autorités compétentes informent les entités concernées de leurs conclusions préliminaires. Elles laissent en outre à ces entités un délai raisonnable pour communiquer leurs observations, sauf dans des cas exceptionnels dûment motivés où cela empêcherait une intervention immédiate pour prévenir un incident ou y répondre. 9. Les États membres veillent à ce que leurs autorités compétentes en vertu de la présente directive informent les autorités compétentes concernées au sein du même État membre en vertu de la directive (UE) 2022/2557 lorsqu’elles exercent leurs pouvoirs de supervision et d’exécution dans le but de garantir qu’une entité définie comme critique en vertu de la directive (UE) 2022/2557 respecte la présente directive. S’il y a lieu, les autorités compétentes en vertu de la directive (UE) 2022/2557 peuvent demander aux autorités compétentes en vertu de la présente directive d’exercer leurs pouvoirs de supervision et d’exécution à l’égard d’une entité qui est définie comme entité critique en vertu de la directive (UE) 2022/2557. 10. Les États membres veillent à ce que leurs autorités compétentes en vertu de la présente directive coopèrent avec les autorités compétentes pertinentes de l’État membre concerné au titre du règlement (UE) 2022/2554. Les États membres veillent, en particulier, à ce que leurs autorités compétentes en vertu de la présente directive informent le forum de supervision institué en vertu de l’article 32, paragraphe 1, du règlement (UE) 2022/2554 lorsqu’elles exercent leurs pouvoirs de supervision et d’exécution dans le but de garantir qu’une entité essentielle qui a été désignée comme étant un prestataire tiers critique de services TIC au titre de l’article 31 du règlement (UE) 2022/2554 respecte la présente directive.

    Empreinte du texte 11d8f4c9eac904c51778528a818d5448085a4e73c2fb4f98593d243cec2fdd59, empreinte du corps 6575a7cb941976d263b2bfd3526aeaad8fba30709ac068a54347d12e2ed9f3b8, source officielle https://publications.europa.eu/resource/cellar/2910a5ae-0a8c-11ee-b12e-01aa75ed71a1.0012.01, /eu-eurlex/32022L2555/2022-12-27--11f245f18c4265ebe257ec70e1ebdf717613e97bafe3bfde5f731209050b0022/fra/032

33. 033 Article 33

    Article 33 Mesures de supervision et d’exécution en ce qui concerne les entités importantes 1. Au vu d’éléments de preuve, d’indications ou d’informations selon lesquels une entité importante ne respecterait pas la présente directive, et notamment ses articles 21 et 23, les États membres veillent à ce que les autorités compétentes prennent des mesures, le cas échéant, dans le cadre de mesures de contrôle ex post. Les États membres veillent à ce que ces mesures soient effectives, proportionnées et dissuasives, compte tenu des circonstances propres à chaque cas d’espèce. 2. Les États membres veillent à ce que les autorités compétentes, lorsqu’elles accomplissent leurs tâches de supervision à l’égard d’entités importantes, aient le pouvoir de soumettre ces entités, au minimum, à: a) des inspections sur place et des contrôles à distance ex post, effectués par des professionnels formés; b) des audits de sécurité ciblés réalisés par un organisme indépendant ou une autorité compétente; c) des scans de sécurité fondés sur des critères d’évaluation des risques objectifs, non discriminatoires, équitables et transparents, si nécessaire avec la coopération de l’entité concernée; d) des demandes d’informations nécessaires à l’évaluation ex post des mesures de gestion des risques en matière de cybersécurité adoptées par l’entité concernée, notamment les politiques de cybersécurité consignées par écrit, ainsi que du respect de l’obligation de soumettre des informations aux autorités compétentes conformément à l’article 27; e) des demandes d’accès à des données, à des documents et à des informations nécessaires à l’accomplissement de leurs tâches de supervision; f) des demandes de preuves de la mise en œuvre de politiques de cybersécurité, telles que les résultats des audits de sécurité effectués par un auditeur qualifié et les éléments de preuve sous-jacents correspondants. Les audits de sécurité ciblés visés au premier alinéa, point b), sont fondés sur des évaluations des risques effectuées par l’autorité compétente ou l’entité contrôlée, ou sur d’autres informations disponibles relatives aux risques. Les résultats de tout audit de sécurité ciblé sont mis à la disposition de l’autorité compétente. Les coûts de cet audit de sécurité ciblé effectué par un organisme indépendant sont à la charge de l’entité contrôlée, sauf lorsque l’autorité compétente en décide autrement dans des cas dûment motivés. 3. Lorsqu’elles exercent leurs pouvoirs en vertu du paragraphe 2, point d), e) ou f), les autorités compétentes mentionnent la finalité de la demande et précisent quelles sont les informations exigées. 4. Les États membres veillent à ce que les autorités compétentes, lorsqu’elles exercent leurs pouvoirs d’exécution à l’égard d’entités importantes, aient au minimum le pouvoir: a) d’émettre des avertissements concernant des violations de la présente directive par les entités concernées; b) d’adopter des instructions contraignantes ou une injonction exigeant des entités concernées qu’elles pallient les insuffisances constatées ou les violations de la présente directive; c) d’ordonner aux entités concernées de mettre un terme à un comportement qui viole la présente directive et de ne pas le réitérer; d) d’ordonner aux entités concernées de garantir la conformité de leurs mesures de gestion des risques en matière de cybersécurité avec l’article 21 ou de respecter les obligations d’information prévues à l’article 23, de manière spécifique et dans un délai déterminé; e) d’ordonner aux entités concernées d’informer les personnes physiques ou morales à l’égard desquelles elles fournissent des services ou exercent des activités susceptibles d’être affectées par une cybermenace importante de la nature de la menace, ainsi que de toutes mesures préventives ou réparatrices que ces personnes physiques ou morales pourraient prendre en réponse à cette menace; f) d’ordonner aux entités concernées de mettre en œuvre les recommandations formulées à la suite d’un audit de sécurité dans un délai raisonnable; g) d’ordonner aux entités concernées de rendre publics des aspects de violations de la présente directive de manière spécifique; h) d’imposer ou de demander aux organes compétents ou aux juridictions compétentes d’imposer, conformément au droit national, une amende administrative en vertu de l’article 34 en plus de l’une ou l’autre des mesures visées aux points a) à g) du présent paragraphe. 5. L’article 32, paragraphes 6, 7 et 8, s’applique mutatis mutandis aux mesures de supervision et d’exécution prévues au présent article pour les entités importantes. 6. Les États membres veillent à ce que leurs autorités compétentes en vertu de la présente directive coopèrent avec les autorités compétentes pertinentes de l’État membre concerné au titre du règlement (UE) 2022/2554. Les États membres veillent, en particulier, à ce que leurs autorités compétentes au titre de la présente directive informent le forum de supervision établi en vertu de l’article 32, paragraphe 1, du règlement (UE) 2022/2554 lorsqu’elles exercent leurs pouvoirs de supervision et d’exécution dans le but de garantir qu’une entité importante qui a été désignée comme étant un prestataire tiers critique de services TIC en vertu de l’article 31 du règlement (UE) 2022/2554 respecte la présente directive.

    Empreinte du texte 49f6249c405efc3dcd4bff0c2d7e91e673810d1ce036be46960ccb5c2cc94cc2, empreinte du corps 6575a7cb941976d263b2bfd3526aeaad8fba30709ac068a54347d12e2ed9f3b8, source officielle https://publications.europa.eu/resource/cellar/2910a5ae-0a8c-11ee-b12e-01aa75ed71a1.0012.01, /eu-eurlex/32022L2555/2022-12-27--11f245f18c4265ebe257ec70e1ebdf717613e97bafe3bfde5f731209050b0022/fra/033

34. 034 Article 34

    Article 34 Conditions générales pour imposer des amendes administratives à des entités essentielles et importantes 1. Les États membres veillent à ce que les amendes administratives imposées aux entités essentielles et importantes en vertu du présent article pour des violations de la présente directive soient effectives, proportionnées et dissuasives, compte tenu des circonstances de chaque cas. 2. Les amendes administratives sont imposées en complément de l’une ou l’autre des mesures visées à l’article 32, paragraphe 4, points a) à h), à l’article 32, paragraphe 5, et à l’article 33, paragraphe 4, points a) à g). 3. Au moment de décider s’il y a lieu d’imposer une amende administrative et de décider de son montant, dans chaque cas d’espèce, il est dûment tenu compte, au minimum, des éléments prévus à l’article 32, paragraphe 7. 4. Les États membres veillent à ce que, lorsqu’elles violent l’article 21 ou 23, les entités essentielles soient soumises, conformément aux paragraphes 2 et 3 du présent article, à des amendes administratives d’un montant maximal s’élevant à au moins EUR ou à au moins 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise à laquelle l’entité essentielle appartient, le montant le plus élevé étant retenu. 5. Les États membres veillent à ce que, lorsqu’elles violent l’article 21 ou 23, les entités importantes soient soumises, conformément aux paragraphes 2 et 3 du présent article, à des amendes administratives d’un montant maximal s’élevant à au moins EUR ou à au moins 1,4 % du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise à laquelle l’entité importante appartient, le montant le plus élevé étant retenu. 6. Les États membres peuvent prévoir le pouvoir d’imposer des astreintes pour contraindre une entité essentielle ou importante à mettre un terme à une violation de la présente directive conformément à une décision préalable de l’autorité compétente. 7. Sans préjudice des pouvoirs des autorités compétentes en vertu des articles 32 et 33, chaque État membre peut établir les règles déterminant si et dans quelle mesure des amendes administratives peuvent être imposées à des entités de l’administration publique. 8. Si le système juridique d’un État membre ne prévoit pas d’amendes administratives, cet État membre veille à ce que le présent article soit appliqué de telle sorte que l’amende soit déterminée par l’autorité compétente et imposée par les juridictions nationales compétentes, tout en veillant à ce que ces voies de droit soit effectives et aient un effet équivalent aux amendes administratives imposées par les autorités compétentes. En tout état de cause, les amendes imposées sont effectives, proportionnées et dissuasives. L’État membre notifie à la Commission les dispositions légales qu’il adopte en vertu du présent paragraphe au plus tard le 17 octobre 2024 et, sans tarder, toute disposition légale modificative ou modification ultérieure les concernant.

    Empreinte du texte 9abdc5226dacec13b1f63a173d635816a99790346f883fb9ed8ec20e757b4293, empreinte du corps 6575a7cb941976d263b2bfd3526aeaad8fba30709ac068a54347d12e2ed9f3b8, source officielle https://publications.europa.eu/resource/cellar/2910a5ae-0a8c-11ee-b12e-01aa75ed71a1.0012.01, /eu-eurlex/32022L2555/2022-12-27--11f245f18c4265ebe257ec70e1ebdf717613e97bafe3bfde5f731209050b0022/fra/034

35. 035 Article 35

    Article 35 Infractions donnant lieu à une violation de données à caractère personnel 1. Lorsque les autorités compétentes prennent connaissance, dans le cadre de la supervision ou de l’exécution, du fait que la violation commise par une entité essentielle ou importante à l’égard des obligations énoncées aux articles 21 et 23 de la présente directive peut donner lieu à une violation de données à caractère personnel au sens de l’article 4, point 12, du règlement (UE) 2016/679, devant être notifiée en vertu de l’article 33 dudit règlement, elles en informent sans retard injustifié les autorités de contrôle visées à l’article 55 ou 56 dudit règlement. 2. Lorsque les autorités de contrôle visées à l’article 55 ou 56 du règlement (UE) 2016/679 imposent une amende administrative en vertu de l’article 58, paragraphe 2, point i), dudit règlement, les autorités compétentes n’imposent pas d’amende administrative au titre de l’article 34 de la présente directive pour une violation visée au paragraphe 1 du présent article et découlant du même comportement que celui qui a fait l’objet d’une amende administrative au titre de l’article 58, paragraphe 2, point i), du règlement (UE) 2016/679. Les autorités compétentes peuvent toutefois imposer les mesures d’exécution prévues à l’article 32, paragraphe 4, points a) à h), à l’article 32, paragraphe 5, et à l’article 33, paragraphe 4, points a) à g), de la présente directive. 3. Lorsque l’autorité de contrôle compétente en vertu du règlement (UE) 2016/679 est établie dans un autre État membre que l’autorité compétente, l’autorité compétente informe l’autorité de contrôle établie dans son propre État membre de la violation potentielle de données à caractère personnel visée au paragraphe 1.

    Empreinte du texte 6f285e73680b538a83c708243ac012b80ce4274a644d7f48d47ff8b245b34545, empreinte du corps 6575a7cb941976d263b2bfd3526aeaad8fba30709ac068a54347d12e2ed9f3b8, source officielle https://publications.europa.eu/resource/cellar/2910a5ae-0a8c-11ee-b12e-01aa75ed71a1.0012.01, /eu-eurlex/32022L2555/2022-12-27--11f245f18c4265ebe257ec70e1ebdf717613e97bafe3bfde5f731209050b0022/fra/035

36. 036 Article 36

    Article 36 Sanctions Les États membres déterminent le régime des sanctions applicables aux violations des dispositions nationales adoptées conformément à la présente directive et prennent toutes les mesures nécessaires pour assurer la mise en œuvre de ces sanctions. Les sanctions prévues sont effectives, proportionnées et dissuasives. Les États membres informent la Commission, au plus tard le 17 janvier 2025, des règles et mesures adoptées à cet égard, ainsi que, sans retard, de toute modification qui y serait apportée ultérieurement.

    Empreinte du texte dd19ce196a2dfad339ebd87cc115a35ee49dd95dc2579b343b37675913b929b2, empreinte du corps 6575a7cb941976d263b2bfd3526aeaad8fba30709ac068a54347d12e2ed9f3b8, source officielle https://publications.europa.eu/resource/cellar/2910a5ae-0a8c-11ee-b12e-01aa75ed71a1.0012.01, /eu-eurlex/32022L2555/2022-12-27--11f245f18c4265ebe257ec70e1ebdf717613e97bafe3bfde5f731209050b0022/fra/036

37. 037 Article 37

    Article 37 Assistance mutuelle 1. Lorsqu’une entité fournit des services dans plusieurs États membres, ou fournit des services dans un ou plusieurs États membres alors que ses réseaux et systèmes d’information sont situés dans un ou plusieurs autres États membres, les autorités compétentes des États membres concernés coopèrent et se prêtent mutuellement assistance si nécessaire. Cette coopération suppose, au minimum: a) que les autorités compétentes appliquant des mesures de supervision ou d’exécution dans un État membre informent et consultent, par l’intermédiaire du point de contact unique, les autorités compétentes des autres États membres concernés en ce qui concerne les mesures de supervision et d’exécution prises; b) qu’une autorité compétente puisse demander à une autre autorité compétente de prendre des mesures de supervision ou d’exécution; c) qu’une autorité compétente, dès réception d’une demande motivée d’une autre autorité compétente, fournisse à l’autre autorité compétente une assistance mutuelle proportionnée à ses propres ressources afin que les mesures de supervision ou d’exécution puissent être mises en œuvre de manière effective, efficace et cohérente. L’assistance mutuelle visée au premier alinéa, point c), peut porter sur des demandes d’informations et des mesures de contrôle, y compris des demandes de procéder à des inspections sur place, à des contrôles à distance ou à des audits de sécurité ciblés. Une autorité compétente à laquelle une demande d’assistance est adressée ne peut refuser cette demande que s’il est établi que l’autorité n’est pas compétente pour fournir l’assistance demandée, que l’assistance demandée n’est pas proportionnée aux tâches de supervision de l’autorité compétente ou que la demande concerne des informations ou implique des activités dont la divulgation ou l’exercice seraient contraires aux intérêts essentiels de la sécurité nationale, la sécurité publique ou la défense de cet État membre. Avant de refuser une telle demande, l’autorité compétente consulte les autres autorités compétentes concernées ainsi que, à la demande de l’un des États membres concernés, la Commission et l’ENISA. 2. Le cas échéant et d’un commun accord, les autorités compétentes de différents États membres peuvent mener à bien des actions communes de supervision.

    Empreinte du texte 9939c3fc3f3f340f17d71fb5c4354d38ea9c68d4a23630144f61e2ecb834cd6d, empreinte du corps 6575a7cb941976d263b2bfd3526aeaad8fba30709ac068a54347d12e2ed9f3b8, source officielle https://publications.europa.eu/resource/cellar/2910a5ae-0a8c-11ee-b12e-01aa75ed71a1.0012.01, /eu-eurlex/32022L2555/2022-12-27--11f245f18c4265ebe257ec70e1ebdf717613e97bafe3bfde5f731209050b0022/fra/037

38. 038 Article 38

    Article 38 Exercice de la délégation 1. Le pouvoir d’adopter des actes délégués conféré à la Commission est soumis aux conditions fixées au présent article. 2. Le pouvoir d’adopter des actes délégués visé à l’article 24, paragraphe 2, est conféré à la Commission pour une période de cinq ans à compter du 16 janvier 2023. 3. La délégation de pouvoir visée à l’article 24, paragraphe 2, peut être révoquée à tout moment par le Parlement européen ou le Conseil. La décision de révocation met fin à la délégation de pouvoir qui y est précisée. La révocation prend effet le jour suivant celui de la publication de ladite décision au Journal officiel de l’Union européenne ou à une date ultérieure qui est précisée dans ladite décision. Elle ne porte pas atteinte à la validité des actes délégués déjà en vigueur. 4. Avant l’adoption d’un acte délégué, la Commission consulte les experts désignés par chaque État membre, conformément aux principes définis dans l’accord interinstitutionnel du 13 avril 2016 «Mieux légiférer». 5. Aussitôt qu’elle adopte un acte délégué, la Commission le notifie au Parlement européen et au Conseil simultanément. 6. Un acte délégué adopté en vertu de l’article 24, paragraphe 2, n’entre en vigueur que si le Parlement européen ou le Conseil n’a pas exprimé d’objections dans un délai de deux mois à compter de la notification de cet acte au Parlement européen et au Conseil ou si, avant l’expiration de ce délai, le Parlement européen et le Conseil ont tous deux informé la Commission de leur intention de ne pas exprimer d’objections. Ce délai est prolongé de deux mois à l’initiative du Parlement européen ou du Conseil.

    Empreinte du texte de9441982572987461b93ca51fef2c8fedb0f6e3a907258a9ae72784b73b81ab, empreinte du corps 6575a7cb941976d263b2bfd3526aeaad8fba30709ac068a54347d12e2ed9f3b8, source officielle https://publications.europa.eu/resource/cellar/2910a5ae-0a8c-11ee-b12e-01aa75ed71a1.0012.01, /eu-eurlex/32022L2555/2022-12-27--11f245f18c4265ebe257ec70e1ebdf717613e97bafe3bfde5f731209050b0022/fra/038

39. 039 Article 39

    Article 39 Comité 1. La Commission est assistée par un comité. Ledit comité est un comité au sens du règlement (UE) no 182/2011. 2. Lorsqu’il est fait référence au présent paragraphe, l’article 5 du règlement (UE) no 182/2011 s’applique. 3. Lorsque l’avis du comité doit être obtenu par procédure écrite, ladite procédure est close sans résultat lorsque, dans le délai prévu pour émettre un avis, le président du comité le décide ou un membre du comité le demande.

    Empreinte du texte 5abf5763cf9f31073e7e16fe574e4ef22c0affb924ef04edc1666ed2fc9e9484, empreinte du corps 6575a7cb941976d263b2bfd3526aeaad8fba30709ac068a54347d12e2ed9f3b8, source officielle https://publications.europa.eu/resource/cellar/2910a5ae-0a8c-11ee-b12e-01aa75ed71a1.0012.01, /eu-eurlex/32022L2555/2022-12-27--11f245f18c4265ebe257ec70e1ebdf717613e97bafe3bfde5f731209050b0022/fra/039

40. 040 Article 40

    Article 40 Réexamen Au plus tard le 17 octobre 2027 et tous les 36 mois par la suite, la Commission réexamine le fonctionnement de la présente directive et en fait rapport au Parlement européen et au Conseil. Le rapport évalue notamment la pertinence de la taille des entités concernées et des secteurs, sous-secteurs et types d’entité visés aux annexes I et II pour le fonctionnement de l’économie et de la société en ce qui concerne la cybersécurité. À cette fin et en vue de faire progresser la coopération stratégique et opérationnelle, la Commission tient compte des rapports du groupe de coopération et du réseau des CSIRT sur l’expérience acquise au niveau stratégique et opérationnel. Le rapport est accompagné, si nécessaire, d’une proposition législative.

    Empreinte du texte b0f2461cee48360bf242e0207b63932ae74c1126be36d48a41a04cf717108c0f, empreinte du corps 6575a7cb941976d263b2bfd3526aeaad8fba30709ac068a54347d12e2ed9f3b8, source officielle https://publications.europa.eu/resource/cellar/2910a5ae-0a8c-11ee-b12e-01aa75ed71a1.0012.01, /eu-eurlex/32022L2555/2022-12-27--11f245f18c4265ebe257ec70e1ebdf717613e97bafe3bfde5f731209050b0022/fra/040

41. 041 Article 41

    Article 41 Transposition 1. Les États membres adoptent et publient, au plus tard le 17 octobre 2024, les dispositions nécessaires pour se conformer à la présente directive. Ils en informent immédiatement la Commission. Ils appliquent ces dispositions à partir du 18 octobre 2024. 2. Lorsque les États membres adoptent les dispositions visées au paragraphe 1, celles-ci contiennent une référence à la présente directive ou sont accompagnées d’une telle référence lors de leur publication officielle. Les modalités de cette référence sont arrêtées par les États membres.

    Empreinte du texte 45a87c40299fba391b63cbe2330cdbdfcad775b387075884fd38f0cc7a4edca5, empreinte du corps 6575a7cb941976d263b2bfd3526aeaad8fba30709ac068a54347d12e2ed9f3b8, source officielle https://publications.europa.eu/resource/cellar/2910a5ae-0a8c-11ee-b12e-01aa75ed71a1.0012.01, /eu-eurlex/32022L2555/2022-12-27--11f245f18c4265ebe257ec70e1ebdf717613e97bafe3bfde5f731209050b0022/fra/041

42. 042 Article 42

    Article 42 Modification du règlement (UE) no 910/2014 Dans le règlement (UE) no 910/2014, l’article 19 est supprimé avec effet au 18 octobre 2024.

    Empreinte du texte 83f516d99fd720f0cff6702f3f72e74e94efd15adfab2489e93a23c60515443e, empreinte du corps 6575a7cb941976d263b2bfd3526aeaad8fba30709ac068a54347d12e2ed9f3b8, source officielle https://publications.europa.eu/resource/cellar/2910a5ae-0a8c-11ee-b12e-01aa75ed71a1.0012.01, /eu-eurlex/32022L2555/2022-12-27--11f245f18c4265ebe257ec70e1ebdf717613e97bafe3bfde5f731209050b0022/fra/042

43. 043 Article 43

    Article 43 Modification de la directive (UE) 2018/1972 Dans la directive (UE) 2018/1972, les articles 40 et 41 sont supprimés avec effet au 18 octobre 2024.

    Empreinte du texte 3e250ce7333d7efccab4208e57586ac166b91f470515bc9af1f4cbf5169cb6d6, empreinte du corps 6575a7cb941976d263b2bfd3526aeaad8fba30709ac068a54347d12e2ed9f3b8, source officielle https://publications.europa.eu/resource/cellar/2910a5ae-0a8c-11ee-b12e-01aa75ed71a1.0012.01, /eu-eurlex/32022L2555/2022-12-27--11f245f18c4265ebe257ec70e1ebdf717613e97bafe3bfde5f731209050b0022/fra/043

44. 044 Article 44

    Article 44 Abrogation La directive (UE) 2016/1148 est abrogée avec effet au 18 octobre 2024. Les références à la directive abrogée s’entendent comme faites à la présente directive et sont à lire selon le tableau de correspondance figurant à l’annexe III.

    Empreinte du texte b88c2240f9e3b42300659673d06df0678b2fb243b6e8f47847ada6d4505655de, empreinte du corps 6575a7cb941976d263b2bfd3526aeaad8fba30709ac068a54347d12e2ed9f3b8, source officielle https://publications.europa.eu/resource/cellar/2910a5ae-0a8c-11ee-b12e-01aa75ed71a1.0012.01, /eu-eurlex/32022L2555/2022-12-27--11f245f18c4265ebe257ec70e1ebdf717613e97bafe3bfde5f731209050b0022/fra/044

45. 045 Article 45

    Article 45 Entrée en vigueur La présente directive entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

    Empreinte du texte f1ffb4ebc6af135f09ad519433adf2b0d7d5d2ebb2ae0feb7c88f757d34e94b6, empreinte du corps 6575a7cb941976d263b2bfd3526aeaad8fba30709ac068a54347d12e2ed9f3b8, source officielle https://publications.europa.eu/resource/cellar/2910a5ae-0a8c-11ee-b12e-01aa75ed71a1.0012.01, /eu-eurlex/32022L2555/2022-12-27--11f245f18c4265ebe257ec70e1ebdf717613e97bafe3bfde5f731209050b0022/fra/045

46. 046 Article 46

    Article 46 Destinataires Les États membres sont destinataires de la présente directive.

    Empreinte du texte 4ee8d518037278c26b2d21cbd8dcf779adac1840e3fd4d2805dc8b04cf42d6e5, empreinte du corps 6575a7cb941976d263b2bfd3526aeaad8fba30709ac068a54347d12e2ed9f3b8, source officielle https://publications.europa.eu/resource/cellar/2910a5ae-0a8c-11ee-b12e-01aa75ed71a1.0012.01, /eu-eurlex/32022L2555/2022-12-27--11f245f18c4265ebe257ec70e1ebdf717613e97bafe3bfde5f731209050b0022/fra/046