5.1. Politique de sécurité de la chaîne d’approvisionnement

a)

les pratiques des fournisseurs et des prestataires de services en matière de cybersécurité, y compris leurs procédures de développement sécurisé;

b)

la capacité des fournisseurs et des prestataires de services de se conformer aux spécifications de cybersécurité définies par les entités concernées;

c)

la qualité et la résilience globales des produits TIC et des services TIC et les mesures de gestion des risques en matière de cybersécurité qui y sont intégrées, y compris les risques et le niveau de classification des produits TIC et des services TIC;

d)

la capacité des entités concernées à diversifier les sources d’approvisionnement et à limiter l’effet de verrouillage, s’il y a lieu.

a)

les exigences en matière de cybersécurité applicables aux fournisseurs ou aux prestataires de services, y compris les exigences relatives à la sécurité de l’acquisition de services TIC ou de produits TIC énoncées au point 6.1;

b)

les exigences en matière de sensibilisation, de compétences et de formation et, s’il est besoin, les certifications requises à l’égard du personnel des fournisseurs ou des prestataires de services;

c)

les exigences relatives à la vérification des antécédents du personnel des fournisseurs et des prestataires de services;

d)

l’obligation pour les fournisseurs et les prestataires de services de notifier sans retard injustifié aux entités concernées les incidents qui présentent un risque pour la sécurité des réseaux et des systèmes d’information de ces entités;

e)

le droit d’effectuer des audits ou le droit de recevoir des rapports d’audit;

f)

l’obligation pour les fournisseurs et les prestataires de services de gérer les vulnérabilités qui présentent un risque pour la sécurité des réseaux et des systèmes d’information des entités concernées;

g)

les exigences relatives à la sous-traitance et, si les entités concernées autorisent la sous-traitance, les exigences en matière de cybersécurité applicables aux sous-traitants conformément aux exigences en matière de cybersécurité visées au point a);

h)

les obligations incombant aux fournisseurs et aux prestataires de services au terme du contrat, telles que la récupération et la destruction des informations obtenues par les fournisseurs et les prestataires de services dans l’exercice de leur mission.

a)

passent régulièrement en revue les rapports sur la mise en œuvre des accords de niveau de service, s’il y a lieu;

b)

examinent les incidents liés aux produits TIC et aux services TIC provenant de fournisseurs et de prestataires de services;

c)

évaluent la nécessité de réexamens non programmés et en consignent les conclusions de manière compréhensible;

d)

analysent, en temps utile, les risques présentés par les changements liés aux produits TIC et aux services TIC provenant des fournisseurs et des prestataires de services et, s’il est besoin, prennent des mesures d’atténuation.