5.1.4. Sur la base de la politique de sécurité de la chaîne d’approvisionnement et compte tenu des …

a)

les exigences en matière de cybersécurité applicables aux fournisseurs ou aux prestataires de services, y compris les exigences relatives à la sécurité de l’acquisition de services TIC ou de produits TIC énoncées au point 6.1;

b)

les exigences en matière de sensibilisation, de compétences et de formation et, s’il est besoin, les certifications requises à l’égard du personnel des fournisseurs ou des prestataires de services;

c)

les exigences relatives à la vérification des antécédents du personnel des fournisseurs et des prestataires de services;

d)

l’obligation pour les fournisseurs et les prestataires de services de notifier sans retard injustifié aux entités concernées les incidents qui présentent un risque pour la sécurité des réseaux et des systèmes d’information de ces entités;

e)

le droit d’effectuer des audits ou le droit de recevoir des rapports d’audit;

f)

l’obligation pour les fournisseurs et les prestataires de services de gérer les vulnérabilités qui présentent un risque pour la sécurité des réseaux et des systèmes d’information des entités concernées;

g)

les exigences relatives à la sous-traitance et, si les entités concernées autorisent la sous-traitance, les exigences en matière de cybersécurité applicables aux sous-traitants conformément aux exigences en matière de cybersécurité visées au point a);

h)

les obligations incombant aux fournisseurs et aux prestataires de services au terme du contrat, telles que la récupération et la destruction des informations obtenues par les fournisseurs et les prestataires de services dans l’exercice de leur mission.