Article considérant 3

(3) Les services de sécurité gérés sont fournis par des fournisseurs de services de sécurité gérés tels qu’ils sont définis à l’article 6, point 40), de la directive (UE) 2022/2555 du Parlement européen et du Conseil. Par conséquent, la définition des services de sécurité gérés figurant dans le présent règlement devrait être cohérente avec la définition des fournisseurs de services de sécurité gérés figurant dans la directive (UE) 2022/2555. Lesdits services consistent à effectuer des activités liées à la gestion des risques en matière de cybersécurité de leurs clients, ou à fournir une assistance dans le cadre de ces activités, et ont gagné en importance en ce qui concerne la prévention et la limitation des incidents. En conséquence, les fournisseurs de tels services sont considérés comme étant des entités essentielles ou importantes appartenant à un secteur hautement critique au titre de la directive (UE) 2022/2555. Comme le précise le considérant 86 de ladite directive, les fournisseurs de services de sécurité gérés dans des domaines comme la réaction aux incidents, les tests d’intrusion, les audits de sécurité et le conseil jouent un rôle particulièrement important s’agissant de soutenir les efforts mis en œuvre par les entités pour prévenir et détecter les incidents, y réagir ou se rétablir après ceux-ci. Toutefois, des fournisseurs de services de sécurité gérés ont été eux-mêmes la cible de cyberattaques et, du fait de leur grande intégration dans les activités des opérateurs, ils représentent un risque particulier. Il est donc important que les entités essentielles et importantes au sens de la directive (UE) 2022/2555 fassent preuve d’une diligence renforcée lorsqu’elles sélectionnent leurs fournisseurs de services de sécurité gérés.