Article 4

Chaque entité doit élaborer et mettre en œuvre une politique de sécurité de ses systèmes d’information qui soit conforme aux directives de l’autorité nationale. Chaque entité est tenue d’identifier les risques qui menacent la sécurité de ses systèmes d’information et de prendre des mesures techniques et organisationnelles nécessaires pour gérer ces risques, éviter les incidents de nature à porter atteinte aux systèmes d’information ainsi que pour en réduire au minimum l’impact. Tout système d’information d’une entité offrant des services numériques à des tiers doit, avant sa mise en exploitation, faire l’objet d’un audit de sa sécurité. Chaque entité doit, régulièrement, auditer ses systèmes d’information.