La Llei 22/2022 andorrane du 9 juin vise les entités essentielles et importantes des annexes (énergie, banque, santé, infrastructures numériques et autres) de 50 personnes ou dix millions d’euros, et certaines quelle que soit leur taille. Elle exige gestion des risques, délégué à la sécurité et notification des incidents. Une réforme est en projet.
De quelle loi s’agit-il et depuis quand s’applique-t-elle ?
Son nom officiel est Llei 22/2022, del 9 de juny, de mesures per a la seguretat de les xarxes i dels sistemes d’informació (loi 22/2022 du 9 juin sur les mesures de sécurité des réseaux et des systèmes d’information). Le Conseil général (le parlement andorran) l’a adoptée le 9 juin 2022 et elle a été publiée au BOPA (Butlletí Oficial del Principat d’Andorra, journal officiel andorran) n° 76, le 22 juin 2022. Elle est entrée en vigueur le lendemain, le 23 juin 2022, mais le chapitre sur la supervision et le régime de sanctions n’entrent en vigueur que deux ans après cette entrée en vigueur, soit le 23 juin 2024 (quatrième disposition finale). L’exposé des motifs indique qu’elle repose sur la directive (UE) 2016/1148, la première directive européenne sur la sécurité des réseaux, adaptée à l’Andorre.
Trois organismes interviennent. L’agence nationale de cybersécurité (Agència Nacional de Ciberseguretat, ANC-AD) supervise la plupart des secteurs et constitue le point de contact national. L’autorité financière andorrane (Autoritat Financera Andorrana, AFA) supervise les entités financières et les marchés financiers. Le CSIRT-AD est l’équipe de réponse aux incidents qui reçoit les notifications (articles 6 et 8).
À qui s’applique-t-elle ?
La loi distingue les entités essentielles (annexe I) et les entités importantes (annexe II).
- Essentielles : énergie, transports, entités financières, marchés financiers, santé (y compris hôpitaux, cliniques privées et centres de soins primaires), eau, administration publique et infrastructures numériques : fournisseurs de DNS, d’informatique en nuage, de centres de données, de réseaux de diffusion de contenu, de services de confiance et de communications électroniques.
- Importantes : gestion des déchets, services postaux et de courrier, produits chimiques, alimentation, fabrication de certains produits (médicaux, informatiques, électriques, machines, véhicules) et fournisseurs de services numériques (places de marché en ligne, moteurs de recherche, réseaux sociaux).
La taille compte aussi. En règle générale, la loi s’applique aux entités de 50 personnes ou plus, ou dont le chiffre d’affaires ou le total du bilan dépasse dix millions d’euros (article 2.1). Il n’y a pas de taille minimale pour les réseaux et services de communications électroniques, les services de confiance, les registres de noms de domaine de premier niveau et les fournisseurs de DNS, ni pour l’administration publique (article 2.2).
Le tourisme, le commerce et les services professionnels n’apparaissent pas comme secteur dans les annexes. Cela ne veut pas dire qu’ils sont laissés de côté : une entité essentielle ou importante doit gérer la sécurité de ses fournisseurs et s’assurer qu’ils respectent les mesures nécessaires (articles 12.1, 13.3.e et 14.1.a). Un hôtel, un cabinet ou un commerce qui travaille pour une banque ou une clinique peut recevoir des demandes de documentation, même si la loi ne l’oblige pas directement.
L’ANC-AD doit établir la liste des services essentiels et importants (article 6.4.b) et tenir un registre des entités (article 25.4.b). Nous n’avons pas trouvé dans une source officielle l’avis comportant cette liste ; il faut s’adresser directement à l’ANC-AD.
Ce que la loi demande à une entité essentielle ou importante
- S’identifier auprès de l’autorité compétente et tenir ses données à jour (article 10).
- Gérer les risques par des mesures techniques et organisationnelles proportionnées : politique de sécurité, gestion des incidents, continuité, sécurité de la chaîne d’approvisionnement, tests et audit, cryptographie (articles 12 et 13). Les mesures sont formalisées dans une déclaration d’applicabilité révisée tous les trois ans, qui se réfère au schéma national de sécurité (Esquema Nacional de Seguretat) ; nous n’avons pas trouvé le texte publié de ce schéma.
- Désigner un délégué à la sécurité de l’information et un suppléant, et en communiquer les coordonnées dans un délai d’un mois (article 18). Le délégué peut faire partie du personnel ou intervenir dans le cadre d’un contrat de services (article 18.7).
- Notifier les incidents significatifs au CSIRT-AD : une notification initiale dans les 24 heures suivant la prise de connaissance, des notifications intermédiaires si elles sont demandées, et un rapport final dans un délai d’un mois (article 15.4). L’article 15.1 fixe aussi une limite de 72 heures. Les indications du CSIRT-AD pour résoudre l’incident sont contraignantes (article 14.1.b).
- Impliquer la direction. L’organe de direction approuve les mesures de gestion des risques, en supervise l’application, en répond et suit une formation périodique (article 17).
Un incident est significatif s’il a causé ou peut causer des perturbations opérationnelles ou des pertes financières substantielles, ou s’il affecte d’autres personnes physiques ou morales en leur causant un préjudice considérable (article 15.3). La notification ne remplace pas la plainte pénale (article 15.7) ni les communications requises auprès d’autres organismes (article 15.11), comme la notification à l’Agence andorrane de protection des données d’une violation de données personnelles (article 36 de la Llei 29/2021, la loi andorrane sur la protection des données).
Supervision et sanctions
Les entités essentielles peuvent être inspectées et auditées périodiquement ; les entités importantes, a posteriori, s’il existe des indices de manquement (articles 23 et 24). Si une entité essentielle n’applique pas les mesures exigées, l’autorité peut suspendre sa certification et interdire temporairement aux personnes responsables d’exercer des fonctions de direction.
Les amendes sont les suivantes (article 36) :
| Gravité | Montant |
|---|---|
| Très grave | de 30 001 à 100 000 euros |
| Grave | de 15 001 à 30 000 euros |
| Légère | avertissement ou de 500 à 15 000 euros |
Sont notamment des infractions très graves le fait de ne pas transmettre les informations d’identification, de ne pas corriger les défaillances après une mise en demeure, de manquer de façon répétée (à partir de la deuxième fois) à la notification d’incidents ayant des effets perturbateurs significatifs, et de ne pas résoudre les incidents ayant cet effet (article 34.2). Pour les graduer, il est tenu compte, entre autres facteurs, de l’intentionnalité, des dommages, du nombre d’utilisateurs affectés et du chiffre d’affaires (article 37).
Comparaison avec NIS2 pour les entreprises qui opèrent aussi dans l’UE
L’Andorre n’est pas dans l’UE, de sorte que la directive (UE) 2022/2555 (NIS2) n’est pas du droit andorran. Elle a remplacé la directive de 2016, devait être transposée avant le 17 octobre 2024 et s’applique depuis le 18 octobre 2024 (article 41), avec une loi dans chaque État membre.
| Llei 22/2022 (Andorre) | NIS2 (UE) | |
|---|---|---|
| Qui | Entités essentielles et importantes des annexes, de 50 personnes ou dix millions d’euros ; sans minimum dans les télécommunications, les services de confiance, le DNS et les registres de domaine | Entités des annexes I et II qui sont des entreprises moyennes ou grandes ; sans minimum dans les mêmes cas et dans quelques autres (article 2) |
| Notification | Initiale en 24 heures, rapport final en un mois (et limite de 72 heures à l’article 15.1) | Alerte précoce en 24 heures, notification en 72 heures, rapport final en un mois (article 23) |
| Direction | Approuve, supervise et répond ; formation (article 17) | Idem (article 20) |
| Amendes | De 500 à 100 000 euros | Maximum d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires pour les entités essentielles ; 7 millions d’euros ou 1,4 % pour les entités importantes (article 34) |
| Supervision | ANC-AD et AFA | Autorités désignées dans chaque État membre |
Pour une entreprise andorrane, il y a deux voies d’entrée. La première est d’avoir un établissement dans l’UE : la compétence dépend de l’État où l’entité est établie (article 26, paragraphe 1), et une filiale en Espagne ou en France dans un secteur des annexes peut relever de la loi nationale correspondante. La seconde est d’être fournisseur d’une entité concernée : NIS2 exige de traiter la sécurité de la chaîne d’approvisionnement (article 21, paragraphe 2, point d), et les clients demanderont des preuves. Aux fournisseurs de DNS, de cloud, de centres de données, de services gérés et de services de sécurité gérés qui ne sont pas dans l’UE mais y offrent des services, la directive impose de désigner un représentant dans l’UE (article 26, paragraphe 3). L’état de la transposition dans chaque pays doit être consulté dans la loi nationale.
Une réforme à l’état de projet
Le 23 juin 2026, le Conseil des ministres a approuvé un projet de loi modifiant la Llei 22/2022 (note du Gouvernement d’Andorre de la même date). Selon la note, les entités critiques devront disposer d’un centre d’opérations de sécurité (SOC), l’obligation de notifier les incidents est étendue à toutes les entités, la radio et la télévision publiques deviennent un secteur essentiel, le régime de sanctions est ajusté pour favoriser la notification et la coopération entre le CSIRT-AD et la police est renforcée.
Il s’agit d’un projet, pas d’une loi en vigueur. Au 25 octobre 2026, nous n’avons trouvé aucune loi de modification publiée au BOPA, de sorte que ce que nous décrivons plus haut est le texte de 2022. Il convient d’y revenir avant de prendre des décisions qui en dépendent.
Là où nous avons un intérêt
TutumSec, la verticale cybersécurité de BDR Group, propose du conseil vCISO, des audits, des tests d’intrusion, du SOC/MDR, de la réponse aux incidents et un bureau technique de sécurité de l’information qui soutient la mise en conformité à NIS2. Nous avons donc un intérêt sur ce sujet. Nous ne décidons pas si une entité est essentielle ou importante : c’est l’ANC-AD qui le fait.
Que faire maintenant
- Vérifiez dans les annexes si votre service y figure et, si c’est le cas, confirmez auprès de l’ANC-AD que vous êtes sur sa liste.
- Désignez un délégué à la sécurité de l’information et un suppléant, et communiquez-en les coordonnées.
- Rédigez la politique de sécurité et l’analyse de risques, et préparez la déclaration d’applicabilité.
- Définissez qui détecte un incident, qui décide s’il est significatif et qui prévient le CSIRT-AD dans les 24 heures.
- Si vous n’êtes pas assujetti, examinez ce que peuvent vous demander les clients qui le sont.
Questions fréquentes
Une PME andorrane de commerce ou de tourisme est-elle assujettie ?
Seulement si son service est de l’un des types des annexes et atteint le seuil de taille. Le commerce, le tourisme et les services professionnels n’y figurent pas comme secteur, mais elle peut recevoir des exigences de clients qui, eux, le sont.
De combien de temps dispose-t-on pour notifier un incident ?
La notification initiale doit intervenir dans les 24 heures suivant la prise de connaissance ; le rapport final, dans un délai d’un mois. L’article 15.1 mentionne aussi 72 heures.
NIS2 s’applique-t-elle à une entreprise andorrane ?
Pas directement du fait d’être andorrane. Cela dépend de la présence d’un établissement dans l’UE, du secteur et de la taille, et du fait d’être ou non fournisseur d’une entité concernée.
La réforme est-elle déjà en vigueur ?
Non. Il s’agit d’un projet de loi approuvé par le Gouvernement le 23 juin 2026 ; le texte en vigueur est celui de 2022.
Sources
- Conseil général d’Andorre. Llei 22/2022, du 9 juin, sur les mesures de sécurité des réseaux et des systèmes d’information (en catalan), articles 2, 6, 10, 12 à 15, 17, 18, 23, 24, 34 à 37, quatrième disposition finale et annexes I et II. BOPA n° 76, du 22 juin 2022. Consulté le 25 octobre 2026. https://www.consellgeneral.ad/fitxers/documents/lleis-2022/llei-22-2022-del-9-de-juny-de-mesures-per-a-la-seguretat-de-les-xarxes-i-dels-sistemes-d2019informacio
- Gouvernement d’Andorre. Le Gouvernement renforce le cadre de cybersécurité pour l’adapter à l’évolution de l’environnement numérique (en catalan), du 23 juin 2026. Consulté le 25 octobre 2026. https://www.govern.ad/ca/w/el-govern-reforca-el-marc-de-ciberseguretat-per-adaptar-lo-a-l-evolucio-de-l-entorn-digital
- Parlement européen et Conseil. Directive (UE) 2022/2555 du 14 décembre 2022 (NIS2), articles 2, 20, 21, 23, 26, 34 et 41. JO L 333, du 27 décembre 2022. Consulté le 25 octobre 2026. https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32022L2555
Vous voulez savoir comment cela vous concerne ?
Si vous voulez examiner comment cela vous concerne et par où commencer, consultez la fiche : Cybersécurité pour les entreprises. Les services en détail sont chez TutumSec.