Cybersécurité pour les Opérateurs d'Importance Vitale (OIV) : régime renforcé (Arrêté Ministériel n° 2025‑533 du 3 octobre 2025)

L'Arrêté Ministériel n° 2025‑533 du 3 octobre 2025 (JDM n° 8768 du 10 octobre 2025) renforce le régime de cybersécurité applicable aux Opérateurs d’Importance Vitale (OIV) à Monaco pour protéger leurs système d'information (SIIV), fixé à l'Arrêté Ministériel n° 2018-1053 du 8 novembre 2018 portant application de l'article 27 de la loi n° 1.435 du 8 novembre 2016 relative à la lutte contre la criminalité technologique : nouvelles obligations, nouvelles sanctions.

* * *

Les secteurs d'activité d'importance vitale (désignés par arrêté ministériel) sont constitués d'activités concourant à un même objectif ayant trait à la production et la distribution de biens ou de services indispensables à la satisfaction des besoins essentiels pour la vie de la population monégasque, à l'exercice de l'autorité de l'État, au fonctionnement de l'économie ainsi qu'à la sécurité de l'État.

Les OIV sont des opérateurs publics ou privés :

• exerçant dans des secteurs essentiels pour le fonctionnement des institutions et des services publics, pour l'activité économique ou plus généralement pour la vie en Principauté ;
• exploitant des établissements ou utilisant des installations ou des ouvrages dont l'indisponibilité risquerait d'affecter de façon importante les intérêts précités.

Les nouvelles dispositions réglementaires s'inscrivent dans le prolongement de la modification de la Loi n° 1.435 du 8 novembre 2016 relative à la lutte contre la criminalité technologique par la Loi n° 1.578 du 1er juillet 2025 portant modification de diverses dispositions en matière de numérique, laquelle a aggravé les sanctions en matière de non-respect des règles de sécurité pour les dirigeants des OIV et les personnes morales (article 29 de la Loi n° 1.435).

* * *

SYNTHESE

→ Mise en demeure en cas d'inapplication des règles de sécurité (nouveau 3e alinéa à l'art. 1er AM 2018‑1053)

En cas de non-respect de l'obligation d'application des règles de sécurité (politique de sécurité des SIIV, homologation de sécurité, cartographie, maintien en conditions de sécurité, journalisation, corrélation et analyse de journaux, détection, traitement des attaques par déni de service distribué, traitement des incidents de sécurité, traitement des alertes, gestion de crises, identification, authentification, droits d'accès, comptes d'administration, SI d'administration, cloisonnement, filtrage, accès à distance, installation de services et d'équipements, indicateurs), le Ministre d’État adresse une mise en demeure fixant un délai.

Le non-respect de ce délai est passible des sanctions prévues par l’article 29 de la Loi n° 1.435 : amende de 150.000 euros pour les dirigeants des OIIV, amende dont le montant est égal au quintuple de cette amende pour les personnes morales déclarées responsables de l'infraction.

→ Évaluation annuelle du niveau de sécurité (nouveaux articles 3-1 et 3-2 AM 2018‑1053)

L'OIV doit désormais communiquer une fois par an à l’Agence Monégasque de Sécurité Numérique (AMSN), au plus tard le 31 décembre de l’année en cours, les tableaux d’évaluation du niveau de sécurité de chacun de ses SIIV à l’aide du document disponible et téléchargeable sur le site https://amsn.gouv.mc/oiv/. En cas de manquement, le Ministre d’État adresse également une mise en demeure fixant un délai.

Le non-respect de ce délai est également passible des sanctions précitées.

→ Sanctions pour non-respect des notifications d'incident (nouvel article 4-2 AM 2018‑1053)

Le non-respect des obligations de notification à l'Agence Monégasque de Sécurité Numérique (AMSN) de l'incident ayant un impact important sur le service fourni par le SIIV, et à la Direction de la Sûreté Publique lorsqu'il y a lieu de suspecter que l'incident a pour origine une infraction prévue et réprimée par le Code pénal, est également passible des sanctions précitées.

→ Habilitation des administrateurs (nouvel article 5 AM 2018‑1053)

Les administrateurs doivent être individuellement désignés et dûment habilités par l’OIV après enquête administrative conformément aux dispositions de l’Arrêté Ministériel n° 2016‑622 du 17 octobre 2016 portant application de l'article 3 de la loi n° 1.430, modifié.

Cette habilitation est renouvelée tous les trois ans dans les mêmes conditions.

L’OIV doit tenir à jour un registre des personnes habilitées ainsi que de leurs accès privilégiés et de leurs droits spécifiques.

* * *