Article 14 — Décret D/2026/159/PRG/SGG du 21 mai 2026 portant procédures d’audit, de contrôle et de certification des systèmes d’information relatifs aux transactions électroniques

Obligation de notification des incidents Tout organisme public ou privé soumis au présent décret est tenu d'informer l'ARPT de toute attaque, intrusion ou perturbation susceptible d'affecter le bon fonctionnement de son système d'information relatif aux transactions électroniques, dans un délai n'excédant pas soixante-douze (72) heures à compter du moment où il en prend connaissance. Lorsque l'incident est susceptible d'affecter les données ou les services d'un nombre significatif d'utilisateurs, une notification initiale est adressée à l'ARPT dans les vingt-quatre (24) heures, suivie d'un rapport complet dans un délai de soixante-douze (72) heures. Les modalités de notification, le format du rapport d'incident et les critères de qualification d'un incident comme « majeur » sont fixés par décision de l'ARPT.