Article 5 — Décret D/2026/159/PRG/SGG du 21 mai 2026 portant procédures d’audit, de contrôle et de certification des systèmes d’information relatifs aux transactions électroniques

Périodicité de l'audit L'audit de sécurité des organismes visés à l'article 4 du présent décret est réalisé tous les trois (3) ans, sous réserve des dispositions particulières applicables aux entités classées à un niveau de criticité élevé, fixées par décision de l'ARPT. A l'issue d'un audit de conformité concluant, l'ARPT délivre à l'organisme audité un certificat de conformité dans les conditions prévues à l'article 13 du présent décret. En cas de non-conformité constatée, un contrôle de suivi est effectué dans un délai compris entre trois (3) et douze (12) mois suivant la date de l'audit, afin de vérifier que les recommandations ont été mises en oeuvre et que le système d'information satisfait aux exigences légales et réglementaires applicables. Ce délai est fixé par décision motivée de l'ARPT. L'organisme audité transmet à l'ARPT son plan d'action correctif dans le délai imparti à compter de la notification de non-conformité et le met en oeuvre après validation par l'ARPT. A défaut de transmission ou de mise en oeuvre dans les délais prescrits, des sanctions sont susceptibles d'être appliquées conformément aux dispositions du Chapitre IV du présent décret. Nonobstant ce qui précède, après délivrance d'un certificat de conformité, un contrôle intermédiaire est réalisé auprès de l'organisme concerné dans les dixhuit (18) mois suivants, afin de s'assurer du maintien de la conformité aux exigences légales et réglementaires de sécurité. Toute entité entrant nouvellement dans le champ d'application du présent décret dispose d'un délai de douze (12) mois à compter de la date d'entrée dans ce champ pour réaliser son premier audit de sécurité. En cas d'incident de sécurité majeur ou de modification substantielle de l'architecture du système d'information, l'ARPT peut ordonner, par décision motivée, un audit exceptionnel en dehors du cycle périodique. Cette décision est notifiée à l'entité concernée au moins quinze (15) jours ouvrés avant le début de la mission.