PORTANT PROCÉDURES D’AUDIT, DE CONTRÔLE ET DE CERTIFICATION DES SYSTÈMES D’INFORMATION RELATIFS AUX TRANSACTIONS ÉLECTRONIQUES LE PRESIDENT DE LA REPUBLIQUE, Vu la Constitution de la République de Guinée; Vu la Loi L/2018/025/AN du 03 Juillet 2018, portant organisation générale de l’Administration

Art. 1. Définitions Au sens du présent décret, on entend par : ARPT : Autorité de Régulation des Postes et Télécommunications. Agrément de prestataire : Autorisation délivrée par l'ARPT à une personne morale, l'habilitant à réaliser des audits de sécurité conformément aux dispositions du présent décret. Action corrective : Mesure prise pour éliminer la cause d'une non-conformité détectée et prévenir sa récurrence. Audit : Processus périodique, méthodique, indépendant et documenté permettant d'évaluer.

Art. 3. Missions d'audit et de certification La mission d'audit consiste en l'examen régulier, approfondi et indépendant des réseaux et systèmes informatiques des personnes morales de droit public et privé, établies en République de Guinée et exerçant des activités de transactions électroniques, quel que soit le type de support utilisé. La mission de certification vise à attester formellement que le système d'information d'une entité est conforme aux référentiels de sécurité, de gestion et de réglementa.

Art. 4. Champ d'application Sont soumis à l'audit de sécurité périodique obligatoire, toute entreprise ou établissement public ou privé, légalement constitué en République de Guinée et exerçant des activités de transactions électroniques. Les modalités d'application différenciées selon la taille, la nature et le volume d'activité des entités concernées sont fixées par décision de l'ARPT, qui établit à cet effet une classification des entités par niveaux de criticité. Sont également soumis au présent déc.

Art. 5. Périodicité de l'audit L'audit de sécurité des organismes visés à l'article 4 du présent décret est réalisé tous les trois (3) ans, sous réserve des dispositions particulières applicables aux entités classées à un niveau de criticité élevé, fixées par décision de l'ARPT. A l'issue d'un audit de conformité concluant, l'ARPT délivre à l'organisme audité un certificat de conformité dans les conditions prévues à l'article 13 du présent décret. En cas de non-conformité constatée, un contrôle de suivi.

Art. 7. Délégation aux Prestataires d'Audit Le choix du prestataire chargé de la réalisation de l'audit relève de l'entité audité, à condition que ledit prestataire soit préalablement agréé par l'ARPT. Pour être agréé, tout prestataire doit satisfaire aux conditions cumulatives suivantes : - être une personne morale régulièrement constituée conformément à la législation guinéenne ou étrangère applicable ; - présenter des garanties suffisantes d'indépendance à l'égard des entités susceptibles d'être audi.

Art. 9. Périmètre de l'audit L'audit de sécurité sur site porte notamment sur les éléments suivants : - L'analyse et l'évaluation des risques résultant de l'exploitation des vulnérabilités et failles du système d'information ; - Les aspects organisationnels, incluant le mode de gestion de la fonction de sécurité, des procédures de sécurité et la disponibilité et l'utilisation des outils de sécurisation ; - Les aspects techniques de la sécurité de l'ensemble des composantes du système informatique, notam.

Art. 11. Contenu du rapport d'audit Le rapport d'audit contient au minimum les éléments suivants : - Un résumé exécutif présentant les principales conclusions de l'examen des documents et les recommandations prioritaires ; - Une description et une évaluation complètes de la sécurité du système d'information, incluant les mesures mises en oeuvre depuis le dernier audit et les insuffisances constatées dans l'application des recommandations antérieures ; - Une description de la démarche méthodologique utili.

Art. 12. Confidentialité et conservation des rapports d'audit Les rapports d'audit provisoires et finaux sont classifiés au niveau « Confidentiel ». Leur transmission entre le PA, l'entité auditée et l'ARPT s'effectue par voie sécurisée, garantissant leur intégrité et leur confidentialité. Toute divulgation non autorisée du rapport d'audit ou de son contenu engage la responsabilité civile et, le cas échéant, pénale de son auteur. Les rapports d'audit sont conservés par l'ARPT pendant une durée minimale d.

Art. 13. Délivrance du certificat de conformité En cas de conformité totale, l'ARPT délivre à l'entité auditée un certificat de conformité dans un délai raisonnable à compter de la réception du rapport d'audit final. En cas de non-conformité mineure, l'ARPT délivre le certificat de conformité dès que l'entité auditée a corrigé les réserves identifiées, dans un délai maximal de deux (2) mois à compter de la notification des observations. En cas de non-conformité majeure, un nouvel audit de vérification es.

Art. 14. Obligation de notification des incidents Tout organisme public ou privé soumis au présent décret est tenu d'informer l'ARPT de toute attaque, intrusion ou perturbation susceptible d'affecter le bon fonctionnement de son système d'information relatif aux transactions électroniques, dans un délai n'excédant pas soixante-douze (72) heures à compter du moment où il en prend connaissance. Lorsque l'incident est susceptible d'affecter les données ou les services d'un nombre significatif d'utilisateurs.

Art. 16. Obligation d'audit et mise en demeure Les entités soumises à l'audit de sécurité périodique obligatoire en application de l'article 4 du présent décret, qui n'ont pas procédé à cet audit dans les délais impartis, font l'objet d'une mise en demeure de l'ARPT leur enjoignant de s'y conformer dans un délai de trente (30) jours à compter de la date de notification. A l'expiration de ce délai, en l'absence de réalisation de l'audit dans les conditions prescrites, l'ARPT informe l'autorité sectorielle.

Art. 17. Astreintes et sanctions pécuniaires Le présent article institue deux régimes de sanction distincts et non cumulables pour les mêmes faits : 1. Astreinte de contrainte : L'ARPT inflige une astreinte journalière de cinquante millions de francs guinéens (50 000 000 GNF) à l'encontre des entités visées à l'article 4 qui refusent ou s'abstiennent d'exécuter l'audit de sécurité périodique obligatoire. Cette astreinte court à compter de l'expiration du délai de mise en demeure prévu à l'article 16 et n.

Art. 18. Sanctions applicables aux Prestataires d'Audit En cas de manquement d'un Prestataire d'Audit agréé à ses obligations au titre du présent décret, notamment en cas de rapport inexact, incomplet ou transmis hors délai, de non-déclaration d'un conflit d'intérêts, ou de violation des règles de confidentialité prévues à l'article 12, l'ARPT peut prononcer, selon la gravité du manquement et après respect de la procédure contradictoire prévue à l'article 11, l'une des sanctions suivantes : - un avertiss.

Art. 19. Voies de recours Les décisions rendues par l'ARPT dans le cadre du présent décret peuvent faire l'objet des recours suivants : 1. Recours gracieux : Toute entité s'estimant lésée par une décision de l'ARPT peut adresser un recours gracieux au Directeur Général de l'ARPT dans un délai de deux (2) mois à compter de la notification de la décision contestée. Le Directeur Général dispose d'un délai de trente (30) jours pour y répondre. Le silence gardé à l'issue de ce délai vaut décision de rejet. 2.

Art. 22. Composition du dossier de déclaration d'ouverture La déclaration d'intention d'ouverture d'un service d'audit de sécurité des systèmes d'information comprend les informations et pièces suivantes : - L'identité et le statut juridique du demandeur ; - Les types d'audit de sécurité des systèmes d'information proposés ; - Les caractéristiques des logiciels et équipements utilisés pour les missions d'audit ; - Les certifications professionnelles des experts composant l'équipe d'audit, reconnues par l.

Art. 23. Régime transitoire Les entités visées à l'article 4 du présent décret qui exercent leurs activités à la date d'entrée en vigueur du présent décret disposent d'un délai de dix-huit (18) mois pour se conformer à l'ensemble de ses dispositions. Durant cette période transitoire, l'ARPT élabore et met à disposition des entités concernées un programme d'accompagnement à la mise en conformité, comprenant notamment la publication de sa décision relative à la classification des entités par niveau de crit.