Article considérant 14

(14) Les États membres devraient veiller à ce que les autorités compétentes disposent des pouvoirs nécessaires, en ce qui concerne les entités à fort impact et à impact critique, pour promouvoir le respect du présent règlement. Ces pouvoirs devraient permettre aux autorités compétentes d’effectuer des inspections sur place et une surveillance hors site. Cela peut inclure des contrôles aléatoires, la réalisation d’audits réguliers, des audits de sécurité ciblés fondés sur des évaluations des risques ou des informations disponibles liées aux risques et des analyses de sécurité fondées sur des critères d’évaluation des risques objectifs, non discriminatoires, équitables et transparents, et incluant les demandes d’informations nécessaires pour évaluer les mesures de cybersécurité adoptées par l’entité. Ces informations devraient comprendre des politiques de cybersécurité documentées, des données d’accès, des documents ou toute information nécessaire à l’accomplissement de leurs missions de surveillance, ainsi que des preuves de la mise en œuvre des politiques de cybersécurité, telles que les résultats des audits de sécurité effectués par un auditeur qualifié et les éléments de preuve sous-jacents correspondants.