RattachementTitre VI bis : Gestion du risque informatique
IdentifiantLEGIARTI000043224871
Texte parentLEGITEXT000029702964
Référencearticle 270-3 de l'arrêté du 3 novembre 2014 (version du 28 juin 2021)Légifrance →
1. Les entreprises assujetties établissent par écrit une politique de sécurité du système d'information qui détermine les principes mis en œuvre pour protéger la confidentialité, l'intégrité et la disponibilité de leurs informations et des données de leurs clients, de leurs actifs et services informatiques. Cette politique est fondée sur une analyse des risques et approuvée par les dirigeants effectifs et l'organe de surveillance.
2. En application de leur politique de sécurité du système d'information, les entreprises assujetties formalisent et mettent en œuvre des mesures de sécurité physique et logique adaptées à la sensibilité des locaux, des actifs et services informatiques, ainsi que des données.
3. Les entreprises assujetties mettent également en œuvre un programme de sensibilisation et de formations régulières, soit au moins une fois par an, à la sécurité du système d'information au bénéfice de tous les personnels et des prestataires externes, et en particulier de leurs dirigeants effectifs.
Nota : Conformément au premier alinéa de l’article 8 de l’arrêté du 25 février 2021 (NOR : ECOT2100526A), ces dispositions entrent en vigueur le 28 juin 2021.
Aller plus loin
Voir la carte complète de l'article : le texte qui l'a écrit, les arrêtés qui le visent, toutes ses rédactions et les décisions qui le citent ; ou le lire à sa place dans le texte complet.