Article 721-8 en vigueur au 19 décembre 2019

Le prestataire de services sur actifs numériques respecte les exigences suivantes :

1. Il dispose de ressources informatiques et humaines suffisantes pour s'assurer de la résilience et de la sécurité de ses systèmes informatiques, notamment par la réalisation de tests réguliers en vue d'analyser la vulnérabilité de ses systèmes informatiques en cas de cyberattaques ;

2. Il met en œuvre une stratégie informatique comportant des objectifs et des mesures clairement définis :

   a) Qui est conforme à sa stratégie économique et à sa stratégie en matière de risques et adaptée à ses activités opérationnelles et aux risques auxquels il est exposé ;

   b) Qui se fonde sur une organisation informatique fiable ; et

   c) Qui correspond à une gestion efficace de la sécurité informatique.

3. Il établit et maintient des dispositifs appropriés de sécurité physique et électronique qui réduisent au maximum les risques d'attaques contre ses systèmes informatiques et inclut une gestion efficace en termes d'identification et d'accès. Ces dispositifs garantissent la confidentialité, l'intégrité, l'authenticité et la disponibilité des données ainsi que la fiabilité et la robustesse des systèmes informatiques du prestataire de services sur actifs numériques ;

4. Il informe sans délai l'AMF de toute atteinte importante à ses mesures de sécurité physique et électronique. Il fournit à l'AMF un compte rendu d'incident indiquant la nature de l'incident, les mesures adoptées après sa survenue et les initiatives prises pour éviter que des incidents similaires ne se produisent ; et

5. Il veille à être en mesure d'identifier toutes les personnes ayant des droits d'accès critiques à ses systèmes informatiques. Il restreint le nombre de ces personnes et surveille leur accès à ses systèmes informatiques pour que la traçabilité soit assurée à tout moment.

Le prestataire de services sur actifs numériques tient compte de sa taille, son organisation, la nature, l'importance et la complexité de son activité pour le respect des exigences mentionnées au présent article.