Article 17

al. 1De manière transitoire, les responsables des entités et infrastructures d'importance vitale peuvent recourir à un service Cloud auprès d'un prestataire de services Cloud non qualifié en cas d'indisponibilité de ce service ou d'un service similaire en termes de standards et de fonctionnalités auprès des prestataires de services Cloud qualifiés.

al. 2Dans ce cas, ces responsables sont tenus, avant de recourir au service Cloud auprès d'un prestataire de services Cloud non qualifié, de procéder à une étude d'analyse des risques et évaluer l'impact du recours à ce service sur la sécurité de leurs systèmes d'information, et le cas échéant, sur la confidentialité des données.

al. 3Cette étude doit prendre en considération notamment:

1. –les éléments justifiant le recours au service en question;
2. –les modalités d'exécution du service et les droits que détient le prestataire de services sur les systèmes d'information et sur les données;
3. –les garanties ainsi que les fonctions de sécurité offertes par le prestataire de services pour la protection des systèmes d'information et des données, leur localisation et leur réversibilité;
4. –les règles de transparence adoptées en termes de communication des données et des informations à autrui;
5. –le régime juridique applicable au prestataire de service.

al. 4Lorsque le service concerné est disponible auprès d'un prestataire de services Cloud qualifié, les responsables des entités et des infrastructures d'importance vitale prévus au premier alinéa ci-dessus doivent procéder à la migration vers ledit prestataire, sous réserve du respect des clauses du contrat ou des contrats conclus avec le prestataire de services Cloud non qualifié.