Loi du Burkina Faso № °014-2024/ALT от 09.07.2024

La sécurité des systèmes d'information est régie par les principes suivants:

Le contrôle et la protection des systèmes d'information sont assurés par l'organe national en charge du contrôle et de la protection du cyberespace national.

L'organe national en charge du contrôle et de la protection du cyberespace national est habilité à installer, sur les réseaux publics de télécommunications, ceux des fournisseurs d'accès à internet ainsi que ceux des organismes ä infrastructures critiques, des dispositifs techniques aux seules fins de détecter les évènements susceptibles d'affecter la sécurité des systèmes d'information nationaux.

Ces dispositifs sont installés pour la duré et dans la mesure strictement necessaire à la caractérisation de la menace.

L'organe national en charge du contrôle et de la protection du cyberespace national est créé par un décret pris en Conseil des ministres.

Toute activité d'importation, de vente de matériels ou de logiciels destinée à la sécurité des systèmes d'information est conditionnée par la possession d'un agrément technique délivré par l'organe national de contrôle et de la protection prévu à l'article 6 ci-dessus.

Les conditions et modalités d'octroi, de renouvellement et de retrait des agréments techniques en matière de sécurité des systèmes d'information sont précisées par voie règlementaire.

Tout auditeur de sécurité des systèmes d'information des organismes à infrastructures critiques dispose d'une accréditation de l'organe national en charge du contrôle et de la protection du cyberespace national.
Les conditions et modalités d'octroi, de renouvellement et de retrait d'une accréditation sont précisées par voie règlementaire.

Le matériel ou logiciel destiné à la sécurité des systèmes d'information des organismes à infrastructures critiques est homologué par l'organe national en charge du contrôle et de la protection du cyberespace national.

Nonobstant les dispositions de l'alinéa 1 ci-dessus, tout autre organisme concepteur ou promoteur peut soumettre tout matériel et logiciel destiné à la sécurité des systèmes d'information à homologation suivant les conditions prévues par voie règlementaire.

La liste des matériels et logiciels concernés ainsi que les organismes soumis sont déterminés par voie règlementaire.

Toute personne commise à des opérations d'audit, d'homologation, d'accréditation et de délivrance d'agrément technique est soumise à l'obligation du secret professionnel sur les renseignements et documents recueillis ou portés à sa connaissance à l'occasion de l'exercice de sa mission.

L'obligation de secret professionnel pèse sur cette personne pendant et après la durée de sa mission.

Les sanctions prévues par le code pénal en matière de secret professionnel s'appliquent aux alinéas précédents.

Le secret professionnel et le secret des affaires ne peuvent être opposés à l'organe national en charge du contrôle et de la protection du cyberespace ainsi qu'à toute personne régulièrement commise pour l'assister ou le conseiller dans le cadre de la présente loi.
Toute personne appelée à fournir des informations audit organe en charge du contrôle et de la protection est déliée de son obligation professionnelle de discrétion.

La délivrance, la modification et le retrait d'une accréditation, d'un agrément ou d'une homologation sont faits par l'organe national en charge du contrôle et de la protection du cyberespace national.

Il est annexé à l'acte d'accréditation ou l'agrément un cahier des charges fixant les droits et les obligations du titulaire.

de conserver au Burkina Faso les métadonnées de connexion et de trafic de leurs systèmes d'information pendant une période de trois ans minimum, de nature à pouvoir obtenir une traçabilité complète des données et des utilisateurs, dans le respect des textes en vigueur. Les données conservées doivent être accessibles lors des investigations conformément aux teKtes en vigueur;

d'installer à leurs frais des mécanismes de surveillance, de contrôle d'accès aux données de leurs systèmes d'information conformément aux normes édictées par l'organe national en charge du contrôle et de la protection du cyberespace national;

d'évaluer, de réviser leurs systèmes de sécurité et d'introduire en cas de nécessité les modifications appropriées dans leurs pratiques, mesures et techniques de sécurité en fonction de l'évolution des technologies et des menaces du moment;

de garantir la sécurité des systèmes d'information, leur intégrité et d'empêcher leur accès par des tiers non autorisés;

de garantir la pérennité et la mutation des systèmes d'information et des données par rapport à l'évolution technologique;

de sécuriser les transactions électroniques par tout moyen approuvé par l'autorité compétente conformément aux textes en vigueur;

de déclarer à l'organe national en charge du contrôle et de la protection du cyberespace tout incident de sécurité à impact critique survenu sur son système d'information conformément aux modalités fixées par ledit organe;

de réaliser la cartographie des risques et incidents et de la tenir périodiquement à jour;

de respecter, en cas d'externalisation des systèmes d'information sensibles, les exigences en matière de sécurité des systèmes d'information préalablement fixées par l'organe national en charge du contróle et de la protection du cyberespace national et celles relatives à la protection des organismes à infrastructures critiques, notamment par la conclusion d'un contrat de droit burkinabè intégrant des engagements de protection de l'information, d'auditabilité, de réversibilité et des exigences de sécurité et des niveaux de service voulus;

de mettre en place des moyens nécessaires pour la supervision et la détection des cyberattaques et de transmettre dans les quarante-huit heures, après constat d'un incident, les données techniques générées à l'organe national en charge du contrôle et de la protection du cyberespace national.

prennent toutes les mesures techniques et administratives afin de garantir la sécurité des services offerts;

se dotent de systèmes normalisés leur permettant d'identifier, d'évaluer, de traiter et de gérer de façon continue les risques liés à la sécurité des systèmes d'information dans le cadre des services offerts directement ou indirectement;

mettent en place des mécanismes techniques conformément aux normes et aux règles nationales en vigueur pour faire face aux atteintes préjudiciables à la sécurité des systèmes d'information;

protègent les plates-formes des systèmes d'information contre d'éventuelles intrusions qui peuvent compromettre l'intégrité des données transmises et contre toute cyberattaque;

informent les utilisateurs de l'interdiction faite d'utiliser le réseau de communication pour éditer, consulter ou diffuser des contenus illicites ou toute autre action pouvant compromettre la sécurité des réseaux ou des systèmes d'information, de l'interdiction de concevoir des logiciels trompeurs, espions, potentiellement indésirables ou tout autre outil conduisant à un comportement frauduleux dans le but de perpétrer des actions malveillantes;

assurent la confidentialité, l'accessibilité, la disponibilité et l'intégrité des systèmes d'information de leurs clients;

assurent l'intégrité des données pendant leur transfert.

Les systèmes d'information des organismes publics et privés sont soumis à un régime d'audit de sécurité périodique.

Un décret en Conseil des ministres fixe les types d'audits, leurs modalités et conditions de réalisation.

Les rapports issus des audits périodiques sont confidentiels et ampliation est faite à l'organe national en charge du contrôle et de la protection du cyberespace national.

L'organe national en charge du contrôle et de la protection du cyberespace national constate et sanctionne les manquements des exploitants des systèmes d'information à leurs obligations, conformément aux dispositions de la présente loi.

L'organe national en charge du contrôle et de la protection du cyberespace national prend les mesures appropriées ou saisit l'autorité compétente, lorsqu'il a connaissance de faits constitutifs de violation des lois et règlements.

En cas de non-respect de l'obligation contenue à l'article 15 de la présente loi, l'organe national en charge du contrôle et de la protection du cyberespace national met en demeure la structure concernée de s'exécuter dans un délai fixé par voie règlementaire.

Si à l'expiration de ce délai, la structure mise en demeure ne se conforme pas, l'organe national en charge du contrôle et de la protection du cyberespace national désigne, aux frais de la structure contrevenante, un expert qui sera chargé de l'audit de sécurité.

En fonction de la complexité du système d'information, de son étendue géographique et de sa criticité, l'organe national en charge du contrôle et de la protection du cyberespace national prononce à l'encontre de l'organisme une amende allant de cinq millions (5 000 000) à cent millions (100 000 000) de francs CFA.

En cas de récidive, l'amende encourue est de un à cinq pour cent du chiffre d'affaires du dernier exercice clos de l'organisme. Dans tous les cas, l'amende prononcée est supérieure à la précédente.

En cas de non-respect des dispositions prévues aux articles 13 et 14 de la présente loi, exception faite de l'obligation de déclaration des incidents de sécurité à impact critique, l'organe national en charge du contrôle et de la protection du cyberespace national met en demeure l'organisme concerné qui s'exécute dans un délai fixé par voie règlementaire.

Si à l'expiration du délai prescrit, l'organisme mis en demeure ne se conforme pas, l'organe national en charge du contrôle et de la protection du cyberespace national prononce à son encontre une amende allant d'un million (1 000 000) à cent millions (100 000 000) de francs CFA sans préjudice de toute poursuite judiciaire.

En cas de récidive, l'organe national en charge du contrôle et de la protection du cyberespace national prononce une nouvelle amende à son encontre.

Dans tous les cas, l'amende prononcée pour la récidive est au moins égale au double de la précédente.

L'organisme peut, en outre, être contraint de déconnecter son système d'information du réseau national et international ou être interdit d'exercer son activité pendant une durée fixée par voie règlementaire.

Le titulaire d'une accréditation, d'une homologation ou d'un agrément technique en matière de sécurité des systèmes d'information ou l'organisme à infrastructure critique est mis en demeure de conformité par l'organe national en charge du contrôle et de la protection du cyberespace national en cas de manquement constaté.
La mise en demeure du titulaire est assortie d'un délai qui lui est notifié par l'organe de contrôle après information des griefs qui lui sont reprochés.

Lorsque le mis en cause remédie au manquement dans le délai prescrit, l'organe national en charge du contrôle et de la protection du cyberespace national lui en donne quitus, au plus tard dans les quinze jours suivant la constatation de la réparation du manquement.

Lorsque le mis en cause ne se conforme pas à la mise en demeure conformément à l'article 20 de la présente loi dans le délai prescrit, l'organe national en charge du contrôle et de la protection, en fonction de la gravité du manquement, prononce à son encontre une amende allant d'un million (1 000 000) à cinquante millions (50 000 000) de francs CFA sans préjudice de toute poursuite judiciaire.

La décision visée à l'alinéa ci-dessus est assortie d'un nouveau délai prescrit au contrevenant pour qu'il remédie à son manquement.

Lorsque le manquement est grave ou répété et que les mesures prises en vertu de l'article 22 ci-dessus de la loi n'ont pas permis d'y remédier, l'organe national en charge du contrôle et de la protection du cyberespace national prononce l'une des sanctions suivantes:

Nonobstant le retrait de l'accréditation, de l'agrément technique ou de l'homologation, l'organe national en charge du contrôle et de la protection du cyberespace national prononce à l'encontre du contrevenant une interdiction définitive d'exercice de l'activité.

En cas de manquement aux dispositions de la présente loi par des experts commis d'office conformément à l'article 18 de la présente loi, l'organe national en charge du contrôle et de la protection du cyberespace national prononce l'une des sanctions suivantes:

En cas de manquements d'un organisme relatifs à l'utilisation d'un matériel ou d'un logiciel non homologué destiné à la sécurité des systèmes d'information dans le réseau de l'Administration publique, de ses démembrements ou d'un organisme à infrastructure critique, l'organe national en charge du contrôle et de la protection du cyberespace national met en demeure l'organisme concerné qui doit s'exécuter dans un délai fixé par voie règlementaire.

Si à l'expiration de ce délai, l'organisme mis en demeure ne se conforme pas, l'organe national en charge du contrôle et de la protection du cyberespace national prononce à son encontre une amende allant de deux millions (2 000 000) à cent millions (100 000 000) de francs CFA.

En cas de récidive, l'organe en charge du contrôle et de la protection du cyberespace national prononce une nouvelle amende à l'encontre de cet organisme.

Dans tous les cas, l'amende prononcée pour la récidive est au moins égale au double de la première amende.

Pour les manquements d'un organisme relatifs à des activités d'importation et de vente sans agrément technique de matériels ou de logiciels liés à la sécurité des systèmes d'information, l'organe national en charge du contrôle et de la protection du cyberespace national met en demeure l'organisme concerné qui devra s'exécuter dans un délai fixé par voie règlementaire.

Si à l'expiration de ce délai, l'organisme interpellé ne se conforme pas, l'organe en charge du contrôle et de la protection du cyberespace national prononce à son encontre une amende allant de deux millions (2 000 000) à cent millions (100 000 000) de francs CFA.

L'organe national en charge du contrôle et de la protection du cyberespace national procède à des missions de vérifications et de contrôles inopinés ou non au niveau de tout exploitant de système d'information ou tout détenteur d'une accréditation, d'un agrément technique ou d'une homologation.

En cas de rétention d'information ou d'entrave à son action lors du contrôle d'une structure, l'organe en charge du contrôle et de la protection du cyberespace national prononce à son encontre, une amende allant d'un million (1 000 000) à vingt millions (20 000 000) de francs CFA.

En cas d'urgence, l'organe national en charge du contrôle et de la protection du cyberespace national prend toutes les mesures conservatoires qu'il juge nécessaires.

Les cas d'urgence et la durée des mesures conservatoires sont fixés par voie règlementaire.

Les missions de protection et de contrôle des organismes à infrastructures critiques présentant un interêt militaire relèvent de la compétence du Ministère en charge de la défense nationale.

Les modalités d'exercice des missions de protection et de contrôle des organismes ä infrastructures critiques présentant un intérêt militaire sont déterminées par voie règlementaire.

Les agréments techniques, accréditations, homologations, autorisations et déclarations en cours de validité doivent se conformer à la présente loi au plus tard un an après son entrée en vigueur.

Une procédure commune et un cadre de concertation sont mis en place par voie règlementaire.

Les modalités de recouvrement des amendes et leur répartition sont fixées par voie règlementaire.