Guide des règlements sur la cybersécurité des fournisseurs à St. Catharines
Les fournisseurs et entrepreneurs de St. Catharines, Ontario, qui fournissent des biens ou des services TI à la ville doivent comprendre les attentes contractuelles en matière de cybersécurité, les obligations en matière de confidentialité et l'autorité municipale qui influent sur le traitement des données et la réponse aux incidents. Ce guide résume la manière dont la Ville intègre la cybersécurité dans les marchés publics, quelles directions appliquent la conformité, comment fonctionnent les sanctions ou les recours contractuels, et des mesures pratiques à prendre avant de soumissionner ou de renouveler des services.
Périmètre et droit applicable
La ville applique généralement les attentes en matière de cybersécurité par le biais de documents d'approvisionnement, de clauses contractuelles et de politiques de confidentialité ou d'accès plutôt que par un règlement autonome sur la cybersécurité ; consultez les pages d'approvisionnement et d'achats pour les modèles de contrat actuels et les clauses obligatoires[1]. La législation provinciale sur la confidentialité et l'accès, y compris les obligations découlant de la Loi sur l’accès à l’information et la protection de la vie privée des municipalités (MFIPPA), peut s'appliquer à la façon dont la ville et ses fournisseurs traitent les renseignements personnels[2]. La Loi sur les municipalités, 2001 fournit l'autorité municipale sur les contrats et les pouvoirs qui sous-tendent les marchés publics et les mesures d'exécution[3].
Principales exigences pour les fournisseurs
- Clauses contractuelles de cybersécurité : chiffrement, contrôles d'accès, notification d'incident et signalement des violations.
- Conformité à la confidentialité : obligations de protéger les données personnelles et de coopérer avec les demandes d'accès à l'information.
- Sécurité opérationnelle : calendriers de correctifs, gestion des vulnérabilités et développement sécurisé le cas échéant.
- Assurance et responsabilité : limites d'assurance responsabilité cybernétique ou modalités d'indemnisation requises par le contrat.
Sanctions et application
La non-conformité en matière de cybersécurité est généralement appliquée comme un manquement contractuel entraînant des mesures correctives, des dommages‑intérêts, la résiliation ou la retenue de paiements plutôt que par une amende fixe prévue par un règlement municipal. Les montants précis des amendes pour les défaillances en cybersécurité ne sont pas couramment indiqués sur les pages d'approvisionnement ou les listes générales de règlements municipaux et ne sont donc pas spécifiés sur la page citée. Consultez les sections d'approvisionnement et juridique pour les recours contractuels et les droits de résiliation[1].
- Amendes monétaires : non spécifiées sur la page citée.
- Escalade : avis initiaux, plans d'action correctifs, puis résiliation ou dommages si non résolu ; les délais précis d'escalade ne sont pas spécifiés sur la page citée.
- Sanctions non monétaires : résiliation de contrat, injonctions, ordonnances de remédiation, suspension des marchés futurs.
- Autorité d'application : Approvisionnement et Achats et le service juridique de la Ville traitent l'application contractuelle ; le service d'application des règlements peut intervenir si un règlement municipal distinct est impliqué.
- Appels/examen : clauses de résolution des différends contractuels, examen formel ou recours judiciaires ; les délais et voies d'appel dépendent du contrat et ne sont pas spécifiés sur la page citée.
Demandes et formulaires
Les exigences en matière d'approvisionnement et de sécurité sont généralement intégrées dans les documents d'appel d'offres, les formulaires RFP/RFQ et les annexes contractuelles fournis lors du processus d'appel d'offres ; les pages d'achats de la ville indiquent où trouver les documents d'approvisionnement actuels et les instructions de soumission[1]. Si un questionnaire de sécurité distinct ou une attestation est requis, il sera énoncé dans les documents d'appel d'offres ; s'il n'en est pas publié, aucun formulaire séparé n'est requis au-delà des soumissions d'approvisionnement standard.
Violations courantes
- Défaut de notifier rapidement la ville d'une violation de données.
- Mauvais contrôle d'accès ou accès non autorisé aux données par le personnel du fournisseur.
- Systèmes non corrigés utilisés dans les services de la ville conduisant à des vulnérabilités.
- Non-respect des modalités contractuelles de traitement et de conservation des données.
How-To
- Examinez les pièces du contrat : vérifiez les calendriers et clauses de cybersécurité avant de répondre.
- Préparez des plans écrits : plan de protection des données et plan d'intervention en cas d'incident conformes aux obligations municipales et provinciales.
- Remplissez les attestations requises : complétez tout questionnaire ou attestation de sécurité inclus dans les documents d'appel d'offres.
- Vérifiez l'assurance : assurez-vous que l'assurance responsabilité cybernétique et les modalités d'indemnisation répondent aux exigences contractuelles avant l'attribution.
- En cas d'incident : informez les contacts de la ville indiqués dans le contrat et suivez les étapes de réponse aux incidents exigées par l'accord.
FAQ
- Les fournisseurs doivent-ils suivre une norme de cybersécurité spécifique de la ville ?
- La ville précise généralement les contrôles requis dans les documents d'approvisionnement pour chaque contrat ; un règlement municipal unique sur la cybersécurité n'est pas publié sur les pages d'approvisionnement et les normes spécifiques peuvent ne pas être indiquées sur la page citée.[1]
- Comment la loi provinciale sur la confidentialité affecte-t-elle les obligations des fournisseurs ?
- Les fournisseurs qui traitent des renseignements personnels pour la ville doivent respecter la MFIPPA et les exigences provinciales applicables ; consultez la loi provinciale pour connaître les obligations relatives à la collecte, à l'utilisation et à la divulgation des renseignements personnels.[2]
- Qui applique les exigences contractuelles en matière de cybersécurité ?
- Le service Approvisionnement et Achats, le service juridique de la ville et, le cas échéant, l'application des règlements administrent les recours et la conformité ; les procédures d'application précises dépendent du contrat et de l'autorité municipale en vertu de la Loi sur les municipalités.[3]
Points clés
- Les attentes en cybersécurité sont principalement contractuelles ; lisez toujours attentivement les documents d'appel d'offres.
- Les lois sur la confidentialité comme la MFIPPA s'appliquent au traitement des renseignements personnels par les fournisseurs.
- La non-conformité entraîne généralement des recours contractuels plutôt qu'un barème uniforme d'amendes municipales.
Aide et ressources
- Approvisionnement et Achats - Ville de St. Catharines
- Règlements municipaux - Ville de St. Catharines
- Confidentialité et accès à l'information - Ville de St. Catharines
- Signaler un problème / Contacter les services municipaux