Les responsables des infrastructures d’importance vitale sont tenus de communiquer à l’autorité nationale ou au prestataire d’audit qualifié les informations et éléments nécessaires pour réaliser l’audit, y compris les documents relatifs à leur politique de sécurité et, le cas échéant, les résultats d’audit de sécurité précédents, et leur permettre d’accéder aux réseaux et systèmes d’information faisant l’objet du contrôle afin d’effectuer des analyses et des relevés d’informations techniques. Les prestataires d’audit qualifiés et leurs employés sont astreints, sous peine des sanctions prévues par le code pénal, au respect du secret professionnel pendant toute la durée de la mission d’audit et après son achèvement, sur les renseignements et documents recueillis ou portés à leur connaissance à l’occasion de cette mission.
Article 21
Loi relative à la cybersécurité