des obligations qui imposent aux États membres d’adopter des stratégies nationales en matière de cybersécurité, de désigner ou de mettre en place des autorités compétentes, des autorités chargées de la gestion des cybercrises, des points de contact uniques en matière de cybersécurité (ci-après dénommés «points de contact uniques») et des centres de réponse aux incidents de sécurité informatique (CSIRT);

des mesures de gestion des risques en matière de cybersécurité et des obligations d’information pour les entités d’un type visé à l’annexe I ou II, ainsi que pour les entités recensées en tant qu’entités critiques en vertu de la directive (UE) 2022/2557;

des règles et des obligations pour le partage d’informations en matière de cybersécurité;

les obligations des États membres en matière de supervision et d’exécution.

les services sont fournis par:

l’entité est, dans un État membre, le seul prestataire d’un service qui est essentiel au maintien d’activités sociétales ou économiques critiques;

une perturbation du service fourni par l’entité pourrait avoir un impact important sur la sécurité publique, la sûreté publique ou la santé publique;

une perturbation du service fourni par l’entité pourrait induire un risque systémique important, en particulier pour les secteurs où cette perturbation pourrait avoir un impact transfrontière;

l’entité est critique en raison de son importance spécifique au niveau national ou régional pour le secteur ou le type de service en question, ou pour d’autres secteurs interdépendants dans l’État membre;

l’entité est une entité de l’administration publique:

aux entités de l’administration publique au niveau local;

aux établissements d’enseignement, en particulier lorsqu’ils mènent des activités de recherche critiques.

les entités d’un type visé à l’annexe I qui dépassent les plafonds applicables aux moyennes entreprises prévus à l’article 2, paragraphe 1, de l’annexe de la recommandation 2003/361/CE;

les prestataires de services de confiance qualifiés et les registres de noms de domaine de premier niveau ainsi que les fournisseurs de services DNS, quelle que soit leur taille;

les fournisseurs de réseaux publics de communications électroniques publics ou de services de communications électroniques accessibles au public qui constituent des moyennes entreprises en vertu de l’article 2 de l’annexe de la recommandation 2003/361/CE;

les entités de l’administration publique visées à l’article 2, paragraphe 2, point f) i);

toute autre entité d’un type visé à l’annexe I ou II qui est identifiée par un État membre en tant qu’entité essentielle en vertu de l’article 2, paragraphe 2, points b) à e);

les entités recensées en tant qu’entités critiques en vertu de la directive (UE) 2022/2557, visées à l’article 2, paragraphe 3, de la présente directive;

si l’État membre en dispose ainsi, les entités que cet État membre a identifiées avant le 16 janvier 2023 comme des opérateurs de services essentiels conformément à la directive (UE) 2016/1148 ou au droit national.

le nom de l’entité;

l’adresse et les coordonnées actualisées, y compris les adresses électroniques, les plages d’IP et les numéros de téléphone;

le cas échéant, le secteur et le sous-secteur concernés visés à l’annexe I ou II; et

le cas échéant, une liste des États membres dans lesquels elles fournissent des services relevant du champ d’application de la présente directive.

à la Commission et au groupe de coopération le nombre des entités essentielles et importantes identifiées conformément au paragraphe 3 pour chaque secteur et sous-secteur visé à l’annexe I ou II; et

à la Commission les informations pertinentes sur le nombre d’entités essentielles et importantes identifiées en vertu de l’article 2, paragraphe 2, points b) à e), le secteur et le sous-secteur visés à l’annexe I ou II auxquels elles appartiennent, le type de service qu’elles fournissent et la disposition, parmi celles figurant à l’article 2, paragraphe 2, points b) à e), en vertu de laquelle elles ont été identifiées.

les mesures de gestion des risques en matière de cybersécurité ont un effet au moins équivalent à celui des mesures prévues à l’article 21, paragraphes 1 et 2; ou

l’acte juridique sectoriel de l’Union prévoit un accès immédiat, s’il y a lieu, automatique et direct, aux notifications d’incidents par les CSIRT, les autorités compétentes ou les points de contact uniques en vertu de la présente directive, et lorsque les exigences relatives à la notification des incidents importants sont au moins équivalentes à celles prévues à l’article 23, paragraphes 1 à 6, de la présente directive.

les objectifs et priorités de la stratégie de l’État membre en matière de cybersécurité, couvrant en particulier les secteurs visés aux annexes I et II;

un cadre de gouvernance visant à atteindre les objectifs et priorités visés au point a) du présent paragraphe, y compris les politiques visées au paragraphe 2;

un cadre de gouvernance précisant les rôles et les responsabilités des parties prenantes concernées au niveau national, et sur lequel reposent la coopération et la coordination au niveau national entre les autorités compétentes, les points de contact uniques et les CSIRT en vertu de la présente directive, ainsi que la coordination et la coopération entre ces organismes et les autorités compétentes en vertu d’actes juridiques sectoriels de l’Union;

un mécanisme visant à déterminer les actifs pertinents et une évaluation des risques dans cet État membre;

un inventaire des mesures garantissant la préparation, la réaction et la récupération des services après incident, y compris la coopération entre les secteurs public et privé;

une liste des différents acteurs et autorités concernés par la mise en œuvre de la stratégie nationale en matière de cybersécurité;

un cadre politique visant une coordination renforcée entre les autorités compétentes en vertu de la présente directive et de la directive (UE) 2022/2557 aux fins du partage d’informations relatives aux risques, aux menaces et aux incidents dans les domaines cyber et non cyber et de l’exercice des tâches de supervision, le cas échéant;

un plan comprenant les mesures nécessaires en vue d’améliorer le niveau général de sensibilisation des citoyens à la cybersécurité.

la cybersécurité dans le cadre de la chaîne d’approvisionnement des produits et services TIC utilisés par des entités pour la fourniture de leurs services;

l’inclusion et la spécification d’exigences liées à la cybersécurité pour les produits et services TIC dans les marchés publics, y compris concernant la certification de cybersécurité, le chiffrement et l’utilisation de produits de cybersécurité en sources ouvertes;

la gestion des vulnérabilités, y compris la promotion et la facilitation de la divulgation coordonnée des vulnérabilités en vertu de l’article 12, paragraphe 1;

le maintien de la disponibilité générale, de l’intégrité et de la confidentialité du noyau public de l’internet ouvert, y compris, le cas échéant, la cybersécurité des câbles de communication sous-marins;

la promotion du développement et de l’intégration de technologies avancées pertinentes visant à mettre en œuvre des mesures de pointe dans la gestion des risques en matière de cybersécurité;

la promotion et le développement de l’éducation et de la formation en matière de cybersécurité, des compétences en matière de cybersécurité, des initiatives de sensibilisation et de recherche et développement en matière de cybersécurité, ainsi que des orientations sur les bonnes pratiques de cyberhygiène et les contrôles, à l’intention des citoyens, des parties prenantes et des entités;

le soutien aux institutions universitaires et de recherche visant à développer, améliorer et promouvoir le déploiement des outils de cybersécurité et à sécuriser les infrastructures de réseau;

la mise en place de procédures pertinentes et d’outils de partage d’informations appropriés visant à soutenir le partage volontaire d’informations sur la cybersécurité entre les entités conformément au droit de l’Union;

le renforcement des valeurs de cyberrésilience et de cyberhygiène des petites et moyennes entreprises, en particulier celles qui sont exclues du champ d’application de la présente directive, en fournissant des orientations et un soutien facilement accessibles pour répondre à leurs besoins spécifiques;

la promotion d’une cyberprotection active.

les objectifs des mesures et activités nationales de préparation;

les tâches et responsabilités des autorités de gestion des crises cyber;

les procédures de gestion des crises cyber, y compris leur intégration dans le cadre national général de gestion des crises et les canaux d’échange d’informations;

les mesures de préparation nationales, y compris des exercices et des activités de formation;

les parties prenantes et les infrastructures des secteurs public et privé concernées;

les procédures et arrangements nationaux entre les autorités et les organismes nationaux compétents visant à garantir la participation et le soutien effectifs de l’État membre à la gestion coordonnée des incidents de cybersécurité majeurs et des crises au niveau de l’Union.

les CSIRT veillent à un niveau élevé de disponibilité de leurs canaux de communication en évitant les points uniques de défaillance et disposent de plusieurs moyens pour être contactés et contacter autrui à tout moment; ils spécifient clairement les canaux de communication et les font connaître aux partenaires et collaborateurs;

les locaux des CSIRT et les systèmes d’information utilisés se trouvent sur des sites sécurisés;

les CSIRT sont dotés d’un système approprié de gestion et de routage des demandes afin, notamment, de faciliter les transferts effectifs et efficaces;

les CSIRT garantissent la confidentialité et la fiabilité de leurs opérations;

les CSIRT sont dotés des effectifs adéquats afin de pouvoir garantir une disponibilité permanente de leurs services et ils veillent à ce que leur personnel reçoive une formation appropriée;

les CSIRT sont dotés de systèmes redondants et d’un espace de travail de secours pour assurer la continuité de leurs services.

surveiller et analyser les cybermenaces, les vulnérabilités et les incidents au niveau national et, sur demande, apporter une assistance aux entités essentielles et importantes concernées pour surveiller en temps réel ou quasi réel leurs réseaux et systèmes d’information;

activer le mécanisme d’alerte précoce, la diffusion de messages d’alerte, les annonces et la diffusion d’informations sur les cybermenaces, les vulnérabilités et les incidents auprès des entités essentielles et importantes concernées ainsi qu’auprès des autorités compétentes et des autres parties prenantes concernées, si possible en temps quasi réel;

réagir aux incidents et apporter une assistance aux entités essentielles et importantes concernées, le cas échéant;

rassembler et analyser des données de police scientifique, et assurer une analyse dynamique des risques et incidents et une appréciation de la situation en matière de cybersécurité;

réaliser, à la demande d’une entité essentielle ou importante, un scan proactif du réseau et des systèmes d’information de l’entité concernée afin de détecter les vulnérabilités susceptibles d’avoir un impact important;

participer au réseau des CSIRT et apporter une assistance mutuelle en fonction de leurs capacités et de leurs compétences aux autres membres du réseau des CSIRT à leur demande;

le cas échéant, agir en qualité de coordinateur aux fins du processus de divulgation coordonnée des vulnérabilités en vertu de l’article 12, paragraphe 1;

contribuer au déploiement d’outils de partage d’informations sécurisés conformément à l’article 10, paragraphe 3.

les procédures de gestion des incidents;

la gestion de crise; et

la divulgation coordonnée des vulnérabilités en vertu de l’article 12, paragraphe 1.

à identifier et contacter les entités concernées;

à apporter une assistance aux personnes physiques ou morales signalant une vulnérabilité; et

à négocier des délais de divulgation et gérer les vulnérabilités qui touchent plusieurs entités.

des informations décrivant la vulnérabilité;

les produits TIC ou les services TIC affectés ainsi que la gravité de la vulnérabilité rapportée aux circonstances dans lesquelles elle peut être exploitée;

la disponibilité des correctifs correspondants et, en l’absence de correctifs disponibles, des orientations fournies par les autorités compétentes ou les CSIRT, adressées aux utilisateurs des produits TIC et des services TIC vulnérables, sur la manière dont les risques résultant des vulnérabilités divulguées peuvent être atténués.

la fourniture d’orientations aux autorités compétentes en rapport avec la transposition et la mise en œuvre de la présente directive;

la fourniture d’orientations aux autorités compétentes en ce qui concerne l’élaboration et la mise en œuvre des politiques de divulgation coordonnée des vulnérabilités visées à l’article 7, paragraphe 2, point c);

l’échange des meilleures pratiques et d’informations relatives à la mise en œuvre de la présente directive, notamment en ce qui concerne les cybermenaces, les incidents, les vulnérabilités, les incidents évités, les initiatives de sensibilisation, les formations, les exercices et les compétences, le renforcement des capacités, les normes et les spécifications techniques ainsi que l’identification des entités essentielles et importantes en vertu de l’article 2, paragraphe 2, points b) à e);

l’échange de conseils et la coopération avec la Commission sur les initiatives politiques émergentes en matière de cybersécurité et la cohérence globale des exigences sectorielles en matière de cybersécurité;

l’échange de conseils et la coopération avec la Commission sur les projets d’actes délégués ou d’actes d’exécution adoptés en vertu de la présente directive;

l’échange de bonnes pratiques et d’informations avec les institutions, organes et organismes compétents de l’Union;

l’échange de vues sur la mise en œuvre d’actes juridiques sectoriels de l’Union contenant des dispositions en matière de cybersécurité;

le cas échéant, la discussion portant sur les rapports relatifs à l’évaluation par les pairs visés à l’article 19, paragraphe 9, et l’élaboration de conclusions et de recommandations;

la réalisation d’évaluations coordonnées des risques pour la sécurité des chaînes d’approvisionnement critiques, conformément à l’article 22, paragraphe 1;

la discussion portant sur les cas d’assistance mutuelle, y compris les expériences et les résultats des activités de contrôle transfrontières visées à l’article 37;

à la demande d’un ou de plusieurs États membres concernés, la discussion portant sur les demandes spécifiques d’assistance mutuelle visées à l’article 37;

l’indication d’une orientation stratégique au réseau des CSIRT et au réseau UE-CyCLONe sur des questions spécifiques émergentes;

l’échange de vues sur la politique relative aux mesures prises à la suite d’incidents de cybersécurité majeurs et de crises, sur la base des enseignements tirés du réseau des CSIRT et d’EU-CyCLONe;

la contribution aux capacités en matière de cybersécurité dans l’ensemble de l’Union via la facilitation de l’échange de fonctionnaires nationaux grâce à un programme de renforcement des capacités impliquant le personnel des autorités compétentes ou des CSIRT;

l’organisation régulière de réunions conjointes avec les parties intéressées privées, de toute l’Union, en vue de discuter des activités menées par le groupe de coopération et de recueillir des informations sur les nouveaux défis politiques;

la discussion portant sur les travaux entrepris en relation avec les exercices de cybersécurité, y compris les travaux effectués par l’ENISA;

la mise au point de la méthodologie et des aspects organisationnels des évaluations par les pairs visées à l’article 19, paragraphe 1, ainsi que la définition de la méthode d’autoévaluation pour les États membres conformément à l’article 19, paragraphe 4, avec l’aide de la Commission et de l’ENISA, et l’élaboration, en coopération avec la Commission et l’ENISA, des codes de conduite sous-tendant les méthodes de travail des experts en cybersécurité désignés conformément à l’article 19, paragraphe 6;

l’élaboration, aux fins de la révision visée à l’article 40, de rapports sur l’expérience acquise au niveau stratégique et à partir des évaluations par les pairs;

l’examen et l’évaluation, de manière régulière, de l’état de la situation en matière de cybermenaces ou d’incidents, comme les rançongiciels.

l’échange d’informations sur les capacités des CSIRT;

la facilitation du partage, du transfert et de l’échange, entre les CSIRT, des technologies et des mesures, politiques, outils, processus, meilleures pratiques et cadres pertinents;

l’échange d’informations pertinentes sur les incidents, les incidents évités, les cybermenaces, les risques et les vulnérabilités;

l’échange d’informations en ce qui concerne les publications et les recommandations en matière de cybersécurité;

l’assurance de l’interopérabilité en ce qui concerne les spécifications et les protocoles relatifs au partage d’informations;

à la demande d’un membre du réseau des CSIRT potentiellement affecté par un incident, l’échange et la discussion portant sur les informations en rapport avec cet incident et les cybermenaces, risques et vulnérabilités connexes;

à la demande d’un membre du réseau des CSIRT, la discussion et, si possible, la mise en œuvre d’une réponse coordonnée à un incident déterminé qui relève de la compétence de l’État membre concerné;

la fourniture aux États membres d’une assistance face aux incidents transfrontières en application de la présente directive;

la coopération, l’échange des meilleures pratiques et la fourniture d’une assistance aux CSIRT désignés comme coordinateurs conformément à l’article 12, paragraphe 1, en ce qui concerne la gestion de la divulgation coordonnée des vulnérabilités susceptibles d’avoir un impact important sur des entités de plusieurs États membres;

la discussion et l’identification d’autres formes de coopération opérationnelle, notamment en rapport avec:

l’information du groupe de coopération de ses activités et des autres formes de coopération opérationnelle débattues en application du point j) et, lorsque cela s’avère nécessaire, la demande de fourniture d’orientations à cet égard;

l’examen des exercices de cybersécurité, y compris ceux organisés par l’ENISA;

à la demande d’un CSIRT donné, l’étude des capacités et de l’état de préparation dudit CSIRT;

la coopération et l’échange d’informations avec les centres d’opérations de sécurité (SOC) régionaux et au niveau de l’Union afin d’améliorer la connaissance commune de la situation concernant les incidents et les cybermenaces dans toute l’Union;

s’il y a lieu, l’examen des rapports de l’évaluation par les pairs visés à l’article 19, paragraphe 9;

la fourniture de lignes directrices afin de faciliter la convergence des pratiques opérationnelles en ce qui concerne l’application des dispositions du présent article relatives à la coopération opérationnelle.

de renforcer le niveau de préparation à la gestion des incidents de cybersécurité majeurs et des crises;

de développer une connaissance situationnelle partagée des incidents de cybersécurité majeurs et des crises;

d’évaluer les conséquences et l’impact des incidents de cybersécurité majeurs et des crises en question et de proposer d’éventuelles mesures d’atténuation;

de coordonner la gestion des incidents de cybersécurité majeurs et des crises et de soutenir la prise de décision au niveau politique en ce qui concerne ces incidents et ces crises;

d’examiner, à la demande de l’État membre concerné, le plan national de réaction aux crises et aux incidents de cybersécurité majeurs visé à l’article 9, paragraphe 4.

une évaluation des risques en matière de cybersécurité à l’échelle de l’Union, qui tient compte du panorama des cybermenaces;

une évaluation du développement des capacités de cybersécurité dans les secteurs public et privé dans l’ensemble de l’Union;

une évaluation du degré général de sensibilisation à la cybersécurité et de cyberhygiène des citoyens et des entités, y compris les petites et moyennes entreprises;

une évaluation agrégée du résultat des évaluations par les pairs visées à l’article 19;

une évaluation agrégée du niveau de maturité des capacités de cybersécurité et des ressources en la matière dans l’ensemble de l’Union, notamment au niveau sectoriel, ainsi que du degré d’harmonisation des stratégies nationales en matière de cybersécurité des États membres.

les politiques relatives à l’analyse des risques et à la sécurité des systèmes d’information;

la gestion des incidents;

la continuité des activités, par exemple la gestion des sauvegardes et la reprise des activités, et la gestion des crises;

la sécurité de la chaîne d’approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs;

la sécurité de l’acquisition, du développement et de la maintenance des réseaux et des systèmes d’information, y compris le traitement et la divulgation des vulnérabilités;

des politiques et des procédures pour évaluer l’efficacité des mesures de gestion des risques en matière de cybersécurité;

les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité;

des politiques et des procédures relatives à l’utilisation de la cryptographie et, le cas échéant, du chiffrement;

la sécurité des ressources humaines, des politiques de contrôle d’accès et la gestion des actifs;

l’utilisation de solutions d’authentification à plusieurs facteurs ou d’authentification continue, de communications vocales, vidéo et textuelles sécurisées et de systèmes sécurisés de communication d’urgence au sein de l’entité, selon les besoins.

il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l’entité concernée;

il a affecté ou est susceptible d’affecter d’autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables.

sans retard injustifié et en tout état de cause dans les 24 heures après avoir eu connaissance de l’incident important, une alerte précoce qui, le cas échéant, indique si l’on suspecte l’incident important d’avoir été causé par des actes illicites ou malveillants ou s’il pourrait avoir un impact transfrontière;

sans retard injustifié et en tout état de cause dans les 72 heures après avoir eu connaissance de l’incident important, une notification d’incident qui, le cas échéant, met à jour les informations visées au point a) et fournit une évaluation initiale de l’incident important, y compris de sa gravité et de son impact, ainsi que des indicateurs de compromission, lorsqu’ils sont disponibles;

à la demande d’un CSIRT ou, selon le cas, de l’autorité compétente, un rapport intermédiaire sur les mises à jour pertinentes de la situation;

un rapport final au plus tard un mois après la présentation de la notification d’incident visée au point b), comprenant les éléments suivants:

en cas d’incident en cours au moment de la présentation du rapport final visé au point d), les États membres veillent à ce que les entités concernées fournissent à ce moment-là un rapport d’avancement puis un rapport final dans un délai d’un mois à compter de la gestion de l’incident.

les fournisseurs de réseaux de communications électroniques publics ou les fournisseurs de services de communications électroniques accessibles au public, qui sont considérés comme relevant de la compétence de l’État membre dans lequel ils fournissent leurs services;

les fournisseurs de services DNS, les registres des noms de domaine de premier niveau, les entités fournissant des services d’enregistrement de noms de domaine, les fournisseurs de services d’informatique en nuage, les fournisseurs de services de centres de données, les fournisseurs de réseaux de diffusion de contenu, les fournisseurs de services gérés, les fournisseurs de services de sécurité gérés, ainsi que les fournisseurs de places de marché en ligne, de moteurs de recherche en ligne ou de plateformes de services de réseaux sociaux, qui sont considérés comme relevant de la compétence de l’État membre dans lequel ils ont leur établissement principal dans l’Union en application du paragraphe 2;

les entités de l’administration publique, qui sont considérées comme relevant de la compétence de l’État membre qui les a établies.

le nom de l’entité;

les secteur, sous-secteur et type d’entité concernés, visés à l’annexe I ou II, le cas échéant;

l’adresse de l’établissement principal de l’entité et de ses autres établissements légaux dans l’Union ou, si elle n’est pas établie dans l’Union, de son représentant désigné conformément à l’article 26, paragraphe 3;

les coordonnées actualisées, y compris les adresses de courrier électronique et les numéros de téléphone de l’entité et, le cas échéant, de son représentant désigné conformément à l’article 26, paragraphe 3;

les États membres dans lesquels l’entité fournit des services; et

les plages d’IP de l’entité.

le nom de domaine;

la date d’enregistrement;

le nom du titulaire, l’adresse de courrier électronique et le numéro de téléphone permettant de le contacter;

l’adresse de courrier électronique et le numéro de téléphone permettant de contacter le point de contact qui gère le nom de domaine, si ces coordonnées sont différentes de celles du titulaire.

vise à prévenir et à détecter les incidents, à y réagir, à s’en rétablir ou à atténuer leur impact;

renforce le niveau de cybersécurité, notamment en sensibilisant aux cybermenaces, en limitant ou en empêchant leur capacité de se propager, en soutenant une série de capacités de défense, en remédiant aux vulnérabilités et en les révélant, en mettant en œuvre des techniques de détection, d’endiguement et de prévention des menaces, des stratégies d’atténuation ou des étapes de réaction et de rétablissement, ou en encourageant la recherche collaborative en matière de cybermenaces entre les entités publiques et privées.

les entités essentielles et importantes en ce qui concerne les incidents, les cybermenaces et les incidents évités;

les entités autres que celles visées au point a), indépendamment du fait qu’elles relèvent ou non du champ d’application de la présente directive, en ce qui concerne les incidents importants, les cybermenaces ou les incidents évités.

des inspections sur place et des contrôles à distance, y compris des contrôles aléatoires effectués par des professionnels formés;

des audits de sécurité réguliers et ciblés réalisés par un organisme indépendant ou une autorité compétente;

des audits ad hoc, notamment lorsqu’ils sont justifiés en raison d’un incident important ou d’une violation de la présente directive par l’entité essentielle;

des scans de sécurité fondés sur des critères d’évaluation des risques objectifs, non discriminatoires, équitables et transparents, si nécessaire avec la coopération de l’entité concernée;

des demandes d’informations nécessaires à l’évaluation des mesures de gestion des risques en matière de cybersécurité adoptées par l’entité concernée, notamment les politiques de cybersécurité consignées par écrit, ainsi que du respect de l’obligation de soumettre des informations aux autorités compétentes conformément à l’article 27;

des demandes d’accès à des données, à des documents et à toutes informations nécessaires à l’accomplissement de leurs tâches de supervision;

des demandes de preuves de la mise en œuvre de politiques de cybersécurité, telles que les résultats des audits de sécurité effectués par un auditeur qualifié et les éléments de preuve sous-jacents correspondants.

d’émettre des avertissements concernant les violations de la présente directive par les entités concernées;

d’adopter des instructions contraignantes, y compris en ce qui concerne les mesures nécessaires pour éviter un incident ou y remédier, ainsi que les délais pour mettre en œuvre ces mesures et rendre compte de cette mise en œuvre, ou une injonction exigeant des entités concernées qu’elles remédient aux insuffisances constatées ou aux violations de la présente directive;

d’ordonner aux entités concernées de mettre un terme à un comportement qui viole la présente directive et de ne pas le réitérer;

d’ordonner aux entités concernées de garantir la conformité de leurs mesures de gestion des risques en matière de cybersécurité avec l’article 21 ou de respecter les obligations d’information énoncées à l’article 23, de manière spécifique et dans un délai déterminé;

d’ordonner aux entités concernées d’informer les personnes physiques ou morales à l’égard desquelles elles fournissent des services ou exercent des activités susceptibles d’être affectées par une cybermenace importante de la nature de la menace, ainsi que de toutes mesures préventives ou réparatrices que ces personnes physiques ou morales pourraient prendre en réponse à cette menace;

d’ordonner aux entités concernées de mettre en œuvre les recommandations formulées à la suite d’un audit de sécurité dans un délai raisonnable;

de désigner, pour une période déterminée, un responsable du contrôle ayant des tâches bien définies pour superviser le respect, par les entités concernées, des articles 21 et 23;

d’ordonner aux entités concernées de rendre publics les aspects de violations de la présente directive de manière spécifique;

d’imposer ou de demander aux organes compétents ou aux juridictions d’imposer, conformément au droit national, une amende administrative en vertu de l’article 34 en plus de l’une ou l’autre des mesures visées aux points a) à h) du présent paragraphe.

de suspendre temporairement ou de demander à un organisme de certification ou d’autorisation, ou à une juridiction, conformément au droit national, de suspendre temporairement une certification ou une autorisation concernant tout ou partie des services pertinents fournis ou des activités pertinentes menées par l’entité essentielle;

de demander aux organes compétents ou aux juridictions compétentes, conformément au droit national, d’interdire temporairement à toute personne physique exerçant des responsabilités dirigeantes à un niveau de directeur général ou de représentant légal dans l’entité essentielle d’exercer des responsabilités dirigeantes dans cette entité.

de la gravité de la violation et de l’importance des dispositions enfreintes, les faits suivants, entre autres, devant être considérés en tout état de cause comme graves:

de la durée de la violation;

de toute violation antérieure pertinente commise par l’entité concernée;

des dommages matériels, corporels ou moraux causés, y compris des pertes financières ou économiques, des effets sur d’autres services et du nombre d’utilisateurs touchés;

du fait que l’auteur de la violation a agi délibérément ou par négligence;

des mesures prises par l’entité pour prévenir ou atténuer les dommages matériels, corporels ou moraux;

de l’application de codes de conduite approuvés ou de mécanismes de certification approuvés;

du degré de coopération avec les autorités compétentes des personnes physiques ou morales tenues pour responsables.

des inspections sur place et des contrôles à distance ex post, effectués par des professionnels formés;

des audits de sécurité ciblés réalisés par un organisme indépendant ou une autorité compétente;

des scans de sécurité fondés sur des critères d’évaluation des risques objectifs, non discriminatoires, équitables et transparents, si nécessaire avec la coopération de l’entité concernée;

des demandes d’informations nécessaires à l’évaluation ex post des mesures de gestion des risques en matière de cybersécurité adoptées par l’entité concernée, notamment les politiques de cybersécurité consignées par écrit, ainsi que du respect de l’obligation de soumettre des informations aux autorités compétentes conformément à l’article 27;

des demandes d’accès à des données, à des documents et à des informations nécessaires à l’accomplissement de leurs tâches de supervision;

des demandes de preuves de la mise en œuvre de politiques de cybersécurité, telles que les résultats des audits de sécurité effectués par un auditeur qualifié et les éléments de preuve sous-jacents correspondants.

d’émettre des avertissements concernant des violations de la présente directive par les entités concernées;

d’adopter des instructions contraignantes ou une injonction exigeant des entités concernées qu’elles pallient les insuffisances constatées ou les violations de la présente directive;

d’ordonner aux entités concernées de mettre un terme à un comportement qui viole la présente directive et de ne pas le réitérer;

d’ordonner aux entités concernées de garantir la conformité de leurs mesures de gestion des risques en matière de cybersécurité avec l’article 21 ou de respecter les obligations d’information prévues à l’article 23, de manière spécifique et dans un délai déterminé;

d’ordonner aux entités concernées d’informer les personnes physiques ou morales à l’égard desquelles elles fournissent des services ou exercent des activités susceptibles d’être affectées par une cybermenace importante de la nature de la menace, ainsi que de toutes mesures préventives ou réparatrices que ces personnes physiques ou morales pourraient prendre en réponse à cette menace;

d’ordonner aux entités concernées de mettre en œuvre les recommandations formulées à la suite d’un audit de sécurité dans un délai raisonnable;

d’ordonner aux entités concernées de rendre publics des aspects de violations de la présente directive de manière spécifique;

d’imposer ou de demander aux organes compétents ou aux juridictions compétentes d’imposer, conformément au droit national, une amende administrative en vertu de l’article 34 en plus de l’une ou l’autre des mesures visées aux points a) à g) du présent paragraphe.

que les autorités compétentes appliquant des mesures de supervision ou d’exécution dans un État membre informent et consultent, par l’intermédiaire du point de contact unique, les autorités compétentes des autres États membres concernés en ce qui concerne les mesures de supervision et d’exécution prises;

qu’une autorité compétente puisse demander à une autre autorité compétente de prendre des mesures de supervision ou d’exécution;

qu’une autorité compétente, dès réception d’une demande motivée d’une autre autorité compétente, fournisse à l’autre autorité compétente une assistance mutuelle proportionnée à ses propres ressources afin que les mesures de supervision ou d’exécution puissent être mises en œuvre de manière effective, efficace et cohérente.