Décret n° 2024-421 du 10 mai 2024 pris pour l'application des articles L. 2321-2-1 à L. 2321-4-1 du code de la défense et des articles L. 33-14 et L. 36-14 du code des postes et des communications électroniques

Ministère: Premier ministre
Nature: DECRET
Identifiant: JORFTEXT000049523217
NOR: PRMD2407081D
URL: texte/version/JORF/TEXT/00/00/49/52/32/JORFTEXT000049523217.xml
This commit is contained in:
République française 2024-06-01 00:00:00 +02:00
parent 532ac01e17
commit 7afb04eda6
34 changed files with 595 additions and 151 deletions

View file

@ -7,8 +7,8 @@ Identifiant: LEGISCTA000030407266
###### Section 1 : Autorité nationale de sécurité des systèmes d'information ###### Section 1 : Autorité nationale de sécurité des systèmes d'information
- [Article R2321-1](article_r2321-1.md) - [Article R2321-1](article_r2321-1.md)
- [Article R2321-1-1](article_r2321-1-1.md) - [Sous-section 1 : Mise en œuvre des dispositifs exploitant des marqueurs techniques ou permettant le recueil de données](sous-section_1)
- [Article R2321-1-2](article_r2321-1-2.md) - [Sous-section 2 : Blocage, enregistrement, suspension, transfert et redirection de nom de domaine](sous-section_2)
- [Article R2321-1-3](article_r2321-1-3.md) - [Sous-section 3 : Communication de données](sous-section_3)
- [Article R2321-1-4](article_r2321-1-4.md) - [Sous-section 4 : Dispositifs de compensation et de traçabilité](sous-section_4)
- [Article R2321-1-5](article_r2321-1-5.md) - [Sous-section 5 : Signalement de vulnérabilités et incidents par les éditeurs de logiciels](sous-section_5)

View file

@ -1,26 +0,0 @@
---
État: MODIFIE
Type: AUTONOME
Date de début: 2019-01-01
Date de fin: 2024-06-01
Identifiant: LEGIARTI000037810980
URL: article/LEGI/ARTI/00/00/37/81/09/LEGIARTI000037810980.xml
---
###### Article R2321-1-1
La décision de mettre en œuvre les dispositifs mentionnés au premier alinéa de
l'article L. 2321-2-1 sur les réseaux et les systèmes d'information des
personnes mentionnées au même alinéa leur est notifiée par l'Agence nationale de
la sécurité des systèmes d'information.<br />
Cette notification est accompagnée d'un cahier des charges élaboré, le cas
échéant, après concertation avec les personnes destinataires. Ce document
précise les conditions techniques d'organisation et de fonctionnement
nécessaires à la mise en œuvre de ces dispositifs ainsi que le délai dans lequel
ils sont mis en œuvre et la durée de leur mise en œuvre. Il prévoit, le cas
échéant, une phase de test préalable sur les réseaux ou systèmes d'information
concernés.<br />
La décision mentionnée au premier alinéa est communiquée sans délai à l'Autorité
de régulation des communications électroniques et des postes.

View file

@ -1,18 +0,0 @@
---
État: MODIFIE
Type: AUTONOME
Date de début: 2019-01-01
Date de fin: 2024-06-01
Identifiant: LEGIARTI000037810983
URL: article/LEGI/ARTI/00/00/37/81/09/LEGIARTI000037810983.xml
---
###### Article R2321-1-2
Les dispositifs mentionnés au premier alinéa de l'article L. 2321-2-1 sont mis
en œuvre pour une période maximale de trois mois, prorogeable en cas de
persistance de la menace et dans cette limite. Toute prorogation fait l'objet
d'une décision de l'Agence nationale de la sécurité des systèmes d'information
notifiée aux personnes mentionnées au premier alinéa de l'article R. 2321-1-1 et
communiquée à l'Autorité de régulation des communications électroniques et des
postes.

View file

@ -1,18 +0,0 @@
---
État: MODIFIE
Type: AUTONOME
Date de début: 2019-01-01
Date de fin: 2024-06-01
Identifiant: LEGIARTI000037810985
URL: article/LEGI/ARTI/00/00/37/81/09/LEGIARTI000037810985.xml
---
###### Article R2321-1-3
Les marqueurs techniques exploités par les dispositifs mentionnés au premier
alinéa de l'article L. 2321-2-1 sont des éléments techniques caractéristiques
d'un mode opératoire d'attaque informatique, permettant de détecter une activité
malveillante ou d'identifier une menace susceptible d'affecter la sécurité des
systèmes d'information. Ils visent à détecter les communications et programmes
informatiques malveillants et à recueillir et analyser les seules données
techniques nécessaires à la prévention et à la caractérisation de la menace.

View file

@ -1,18 +0,0 @@
---
État: MODIFIE
Type: AUTONOME
Date de début: 2019-01-01
Date de fin: 2024-06-01
Identifiant: LEGIARTI000037810993
URL: article/LEGI/ARTI/00/00/37/81/09/LEGIARTI000037810993.xml
---
###### Article R2321-1-4
Les dispositifs de traçabilité des données collectées mentionnés au 2° de
l'article L. 36-14 du code des postes et des communications électroniques
garantissent notamment l'identification des agents mentionnés au deuxième alinéa
de article L. 2321-2-1 et au premier alinéa de l'article L. 2321-3. Ces
dispositifs enregistrent les opérations effectuées sur les données, dont leur
suppression à l'issue du délai mentionné au troisième alinéa de l'article L.
2321-2-1.

View file

@ -1,16 +0,0 @@
---
État: MODIFIE
Type: AUTONOME
Date de début: 2019-01-01
Date de fin: 2024-06-01
Identifiant: LEGIARTI000037810997
URL: article/LEGI/ARTI/00/00/37/81/09/LEGIARTI000037810997.xml
---
###### Article R2321-1-5
Les modalités de la compensation des prestations assurées par les personnes
mentionnées au premier alinéa de l'article R. 2321-1-1 au titre de l'article L.
2321-2-1 et du deuxième alinéa de l'article L. 2321-3 sont fixées par arrêté
conjoint du Premier ministre et du ministre chargé des communications
électroniques.

View file

@ -0,0 +1,14 @@
---
Date de début: 2024-06-01
Date de fin: 2999-01-01
Identifiant: LEGISCTA000049533867
---
###### Sous-section 1 : Mise en œuvre des dispositifs exploitant des marqueurs techniques ou permettant le recueil de données
- [Article R2321-1-1](article_r2321-1-1.md)
- [Article R2321-1-2](article_r2321-1-2.md)
- [Article R2321-1-3](article_r2321-1-3.md)
- [Article R2321-1-4](article_r2321-1-4.md)
- [Article R2321-1-5](article_r2321-1-5.md)
- [Article R2321-1-6](article_r2321-1-6.md)

View file

@ -0,0 +1,23 @@
---
État: VIGUEUR
Type: AUTONOME
Date de début: 2024-06-01
Date de fin: 2999-01-01
Identifiant: LEGIARTI000049533822
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533822.xml
---
###### Article R2321-1-1
I. Les dispositifs prévus au 1° du L. 2321-2-1 exploitant les marqueurs
techniques définis à l'article R. 2321-1-4 permettent la détection des
communications et programmes informatiques malveillants ainsi que le recueil et
l'analyse des seules données techniques nécessaires à la prévention et à la
caractérisation de la menace.<br />
II. Les dispositifs prévus au 2° du L. 2321-2-1 permettent :<br />
1° Le recueil des données relatives aux communications électroniques émises et
reçues par un équipement affecté par la menace ;<br />
2° Ou le recueil de données sur un équipement affecté par la menace.

View file

@ -0,0 +1,42 @@
---
État: VIGUEUR
Type: AUTONOME
Date de début: 2024-06-01
Date de fin: 2999-01-01
Identifiant: LEGIARTI000049533819
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533819.xml
---
###### Article R2321-1-2
I. - La décision de mettre en œuvre les dispositifs mentionnés au I de l'article
R. 2321-1-1 est notifiée par l'autorité nationale de sécurité des systèmes
d'information à l'opérateur de communications électroniques, à la personne
mentionnée au 1 ou 2 du I de l'article 6 de la loi n° 2004-575 du 21 juin 2004
pour la confiance dans l'économie numérique ou à l'opérateur de centre de
données, et communiquée à l'Autorité de régulation des communications
électroniques, des postes et de la distribution de la presse.<br />
II. - La décision de mettre en œuvre les dispositifs mentionnés au II de
l'article R. 2321-1-1 ne peut être notifiée aux personnes mentionnées à l'alinéa
précédent qu'après avis conforme de l'Autorité de régulation des communications
électroniques, des postes et de la distribution de la presse pour la mise en
œuvre de ces dispositifs. Cette décision est également notifiée à cette
autorité.<br />
III. - La décision de mettre en œuvre les dispositifs mentionnés au I ou au 1°
du II de l'article R. 2321-1-1 est accompagnée d'un cahier des charges élaboré,
le cas échéant, après concertation avec les personnes destinataires. Ce cahier
des charges précise :<br />
1° Le type de dispositif mis en œuvre et le réseau ou le système d'information
concerné ;<br />
2° Les conditions techniques d'organisation et de fonctionnement nécessaires à
la mise en œuvre de ces dispositifs ;<br />
3° Le délai dans lequel ils sont mis en œuvre et la durée de leur mise en
œuvre.<br />
Le cahier des charges peut prévoir une phase de test préalable sur les réseaux
ou systèmes d'information concernés.

View file

@ -0,0 +1,15 @@
---
État: VIGUEUR
Type: AUTONOME
Date de début: 2024-06-01
Date de fin: 2999-01-01
Identifiant: LEGIARTI000049533817
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533817.xml
---
###### Article R2321-1-3
Les dispositifs mentionnés au I ou au 1° du II de l'article R. 2321-1-1 sont mis
en œuvre pour une période maximale de trois mois. En cas de persistance de la
menace la décision de mettre en œuvre ces dispositifs peut être renouvelée pour
une même durée et dans les mêmes conditions que la décision initiale.

View file

@ -0,0 +1,16 @@
---
État: VIGUEUR
Type: AUTONOME
Date de début: 2024-06-01
Date de fin: 2999-01-01
Identifiant: LEGIARTI000049533815
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533815.xml
---
###### Article R2321-1-4
Les marqueurs techniques exploités par les dispositifs mentionnés au I de
l'article R. 2321-1-1 sont des éléments techniques caractéristiques d'un mode
opératoire d'attaque informatique, permettant de détecter une activité
malveillante ou d'identifier une menace susceptible d'affecter la sécurité des
systèmes d'information.

View file

@ -0,0 +1,28 @@
---
État: VIGUEUR
Type: AUTONOME
Date de début: 2024-06-01
Date de fin: 2999-01-01
Identifiant: LEGIARTI000049533813
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533813.xml
---
###### Article R2321-1-5
L'analyse des données recueillies lors de la mise en œuvre des dispositifs
mentionnés au II de l'article R. 2321-1-1 est effectuée par les agents
mentionnés au cinquième alinéa de l'article L. 2321-2-1, dans un délai de trois
mois à compter de leur recueil.<br />
Les informations et les catégories de données directement utiles à la prévention
et à la caractérisation des menaces concernent :<br />
1° Les communications électroniques liées aux activités de l'attaquant ;<br />
2° Les données système, liées à l'attaquant.<br />
Les données qui ne relèvent pas de ces catégories sont détruites dans un délai
d'un jour ouvré à compter de leur analyse mentionnée au premier alinéa.<br />
Les données directement utiles à la prévention et à la caractérisation des
menaces ne peuvent être conservées plus de deux ans à compter de leur collecte.

View file

@ -0,0 +1,37 @@
---
État: VIGUEUR
Type: AUTONOME
Date de début: 2024-06-01
Date de fin: 2999-01-01
Identifiant: LEGIARTI000049533854
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533854.xml
---
###### Article R2321-1-6
Les surcoûts spécifiques et identifiables supportés par les personnes
mentionnées au I de l'article R. 2321-1-2 et résultant des obligations de
l'article L. 2321-2-1 font l'objet d'une compensation financière prise en charge
par l'Etat.<br />
La compensation correspond à la couverture des surcoûts définis comme suit :<br />
1° Les surcoûts liés à la réalisation de prestations dont la compensation est
établie sur la base du montant hors taxes de tarifs fixés par arrêté conjoint du
Premier ministre et du ministre chargé des communications électroniques ;<br />
L'Etat procède, sur présentation d'une facture, au paiement des compensations
correspondant aux surcoûts justifiés ;<br />
2° Les surcoûts liés à la conception et au déploiement des systèmes
d'information ou, le cas échéant, à leur adaptation, permettant la mise en place
d'un dispositif exploitant des marqueurs techniques ou le recueil des données
ainsi que les surcoûts liés au fonctionnement et à la maintenance de ces
systèmes.<br />
Pour obtenir une compensation, l'opérateur adresse à l'autorité nationale de
sécurité des systèmes d'information un document assorti des justificatifs
nécessaires permettant d'établir le nombre et la nature des interventions
nécessaires non couvertes par l'arrêté mentionné au 1°. L'Etat procède, après
analyse du document transmis, et sur présentation d'une facture, au paiement des
compensations correspondant aux surcoûts justifiés.

View file

@ -0,0 +1,13 @@
---
Date de début: 2024-06-01
Date de fin: 2999-01-01
Identifiant: LEGISCTA000049533865
---
###### Sous-section 2 : Blocage, enregistrement, suspension, transfert et redirection de nom de domaine
- [Article R2321-1-7](article_r2321-1-7.md)
- [Article R2321-1-8](article_r2321-1-8.md)
- [Article R2321-1-9](article_r2321-1-9.md)
- [Article R2321-1-10](article_r2321-1-10.md)
- [Article R2321-1-11](article_r2321-1-11.md)

View file

@ -0,0 +1,21 @@
---
État: VIGUEUR
Type: AUTONOME
Date de début: 2024-06-01
Date de fin: 2999-01-01
Identifiant: LEGIARTI000049533846
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533846.xml
---
###### Article R2321-1-10
L'analyse des données recueillies en application du IV de l'article L. 2321-2-3
est effectuée dans un délai de trois mois à compter de leur recueil.<br />
Les données directement utiles à la caractérisation des menaces au titre du même
IV sont celles liées aux activités de l'attaquant à destination du nom de
domaine concerné. Elles ne peuvent être conservées plus de cinq ans à compter de
leur recueil.<br />
Les autres données sont détruites dans un délai d'un jour ouvré à compter de
leur analyse mentionnée au premier alinéa.

View file

@ -0,0 +1,46 @@
---
État: VIGUEUR
Type: AUTONOME
Date de début: 2024-06-01
Date de fin: 2999-01-01
Identifiant: LEGIARTI000049533843
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533843.xml
---
###### Article R2321-1-11
Les surcoûts résultant des obligations mises à la charge des personnes
mentionnées au 1° et 2° du I de l'article L. 2321-2-3 du code de la défense font
l'objet d'une compensation financière prise en charge par l'Etat selon des
modalités sont fixées par arrêté conjoint du Premier ministre et du ministre
chargé des communications électroniques.<br />
La compensation correspond à la couverture des surcoûts définis comme suit :<br />
1° Les surcoûts liés à la réalisation de prestations dont la compensation est
établie sur la base du montant hors taxes de tarifs fixés par arrêté conjoint du
Premier ministre et du ministre chargé des communications électroniques ;<br />
L'Etat procède, sur présentation d'une facture, au paiement des compensations
correspondant aux surcoûts justifiés ;<br />
2° Les surcoûts liés à la conception et au déploiement des systèmes
d'information ou, le cas échéant, à leur adaptation, permettant le blocage ou la
redirection d'un nom de domaine ainsi que les surcoûts liés au fonctionnement et
à la maintenance de ces systèmes.<br />
Pour obtenir une compensation, l'opérateur adresse à l'autorité nationale de
sécurité des systèmes d'information un document détaillant le nombre et la
nature des interventions nécessaires non couvertes par l'arrêté ainsi que le
coût de l'investissement éventuellement réalisé.<br />
L'Etat procède, après analyse du document transmis, et sur présentation d'une
facture, au paiement des compensations correspondant aux surcoûts justifiés.<br />
Lorsque le système d'information utilisé pour traiter les demandes
d'identification émanant de l'autorité nationale de sécurité des systèmes
d'information est le même que celui utilisé pour répondre à des demandes émanant
d'autres autorités publiques ou judiciaires et que les surcoûts mentionnés au 2°
ont déjà fait l'objet, à ce titre, d'une compensation financière de la part de
l'Etat, l'opérateur concerné ne peut prétendre à une nouvelle compensation de
ces surcoûts.

View file

@ -0,0 +1,20 @@
---
État: VIGUEUR
Type: AUTONOME
Date de début: 2024-06-01
Date de fin: 2999-01-01
Identifiant: LEGIARTI000049533852
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533852.xml
---
###### Article R2321-1-7
Pour l'application du I de l'article L. 2321-2-3, lorsque l'autorité nationale
de sécurité des systèmes d'information demande au titulaire du nom de domaine de
prendre les mesures adaptées pour neutraliser la menace, elle lui notifie, par
tout moyen tenant compte de la menace et de l'urgence, les mesures techniques
correctives à appliquer, le délai dans lequel ces mesures doivent être mises en
œuvre ainsi que le moyen de communication à utiliser.<br />
Le titulaire de bonne foi du nom de domaine rend compte à l'autorité nationale
de sécurité des systèmes d'information de la mise en œuvre de ces mesures.

View file

@ -0,0 +1,36 @@
---
État: VIGUEUR
Type: AUTONOME
Date de début: 2024-06-01
Date de fin: 2999-01-01
Identifiant: LEGIARTI000049533850
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533850.xml
---
###### Article R2321-1-8
I. - Les demandes adressées par l'autorité nationale de sécurité des systèmes
d'information aux personnes mentionnées aux 1° et 2° des I et II de l'article L.
2321-2-3 leur sont notifiées par tout moyen tenant compte de la menace et de
l'urgence. Elles comprennent :<br />
1° Le nom de domaine concerné ;<br />
2° La nature et la durée de la mesure demandée ;<br />
3° Le délai imparti pour sa mise en œuvre ;<br />
4° Toute autre information technique utile à la mise en œuvre de la mesure.<br />
II. - A l'exception des demandes de renouvellement d'une mesure de redirection
mentionnée au troisième alinéa du III de l'article L. 2321-2-3, l'autorité
nationale de sécurité des systèmes d'information communique chaque demande
mentionnée au I du présent article à l'Autorité de régulation des communications
électroniques, des postes et de la distribution de la presse.<br />
III. - Les personnes mentionnées au I mettent en œuvre, par tout moyen tenant
compte de la menace et de l'urgence, les mesures demandées et en tiennent
informée l'autorité nationale de sécurité des systèmes d'information en lui
communiquant les informations techniques relatives à leur mise en œuvre. Elles
préservent la confidentialité de toutes les données qui leur sont confiées dans
ce cadre.

View file

@ -0,0 +1,28 @@
---
État: VIGUEUR
Type: AUTONOME
Date de début: 2024-06-01
Date de fin: 2999-01-01
Identifiant: LEGIARTI000049533848
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533848.xml
---
###### Article R2321-1-9
En application du dernier alinéa du I de l'article L. 2321-2-3, pour mettre fin
aux mesures mentionnées au 1° et 2° du I du même article, le titulaire de bonne
foi du nom de domaine fournit à l'autorité nationale de sécurité des systèmes
d'information :<br />
1° La liste des mesures qu'il a mises en œuvre pour neutraliser la menace ;<br />
2° Tout élément de nature à établir que la menace est neutralisée.<br />
L'autorité nationale de sécurité des systèmes d'information demande, le cas
échéant, des informations complémentaires permettant d'établir que la menace est
neutralisée.<br />
Lorsque le titulaire de bonne foi du nom de domaine communique des informations
complémentaires, l'autorité nationale de sécurité des systèmes d'information les
communique à l'Autorité de régulation des communications électroniques, des
postes et de la distribution de la presse.

View file

@ -0,0 +1,10 @@
---
Date de début: 2024-06-01
Date de fin: 2999-01-01
Identifiant: LEGISCTA000049533863
---
###### Sous-section 3 : Communication de données
- [Article R2321-1-12](article_r2321-1-12.md)
- [Article R2321-1-13](article_r2321-1-13.md)

View file

@ -0,0 +1,20 @@
---
État: VIGUEUR
Type: AUTONOME
Date de début: 2024-06-01
Date de fin: 2999-01-01
Identifiant: LEGIARTI000049533841
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533841.xml
---
###### Article R2321-1-12
Les fournisseurs de système de résolution de noms de domaine transmettent aux
agents mentionnés au premier alinéa de l'article L. 2321-3-1 les données
techniques suivantes :<br />
1° Les enregistrements issus des serveurs gérant le système d'adressage par
domaine, incluant le nom de domaine, le type d'enregistrement, sa durée de vie
et sa valeur ;<br />
2° L'horodatage de ces enregistrements.

View file

@ -0,0 +1,32 @@
---
État: VIGUEUR
Type: AUTONOME
Date de début: 2024-06-01
Date de fin: 2999-01-01
Identifiant: LEGIARTI000049533839
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533839.xml
---
###### Article R2321-1-13
I. - En application de l'article L. 2321-3-1, les conditions de transmission des
données techniques mentionnées à l'article R. 2321-1-12 sont précisées par une
décision de l'autorité nationale de sécurité des systèmes d'information qu'elle
notifie au fournisseur de système de résolution de noms de domaine.<br />
Cette décision tient compte des contraintes techniques du fournisseur de système
de résolution de noms de domaine et mentionne :<br />
1° La fréquence du relevé, au moins quotidienne, des données mentionnées à
l'article R. 2321-1-12 ;<br />
2° Le mode de transmission de ces données ;<br />
3° Le format de ces données établi sur la base d'une documentation fournie à
l'autorité nationale de sécurité des systèmes d'information par le fournisseur
de système de résolution de noms de domaine ;<br />
4° La fréquence de transmission de ces données, au moins hebdomadaire.<br />
II. - La décision mentionnée au I est communiquée à l'Autorité de régulation des
communications électroniques, des postes et de la distribution de la presse.

View file

@ -0,0 +1,10 @@
---
Date de début: 2024-06-01
Date de fin: 2999-01-01
Identifiant: LEGISCTA000049533861
---
###### Sous-section 4 : Dispositifs de compensation et de traçabilité
- [Article R2321-1-14](article_r2321-1-14.md)
- [Article R2321-1-15](article_r2321-1-15.md)

View file

@ -0,0 +1,26 @@
---
État: VIGUEUR
Type: AUTONOME
Date de début: 2024-06-01
Date de fin: 2999-01-01
Identifiant: LEGIARTI000049533836
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533836.xml
---
###### Article R2321-1-14
Les surcoûts liés à la conception et au déploiement des systèmes d'information
ou, le cas échéant, à leur adaptation, permettant la communication des
informations mentionnées à l'alinéa premier de l'article L. 2321-3 ainsi que les
surcoûts liés au fonctionnement et à la maintenance de ces systèmes, supportés
par les personnes mentionnées au 2 du I de l'article 6 de la loi n° 2004-575 du
21 juin 2004 pour la confiance dans l'économie numérique, font l'objet d'une
compensation financière prise en charge par l'Etat selon des modalités fixées
par arrêté du Premier ministre.<br />
La compensation est établie sur la base du montant hors taxes de tarifs fixés
par arrêté du Premier ministre.<br />
L'Etat procède, sur présentation d'une facture, détaillant les prestations
fournies par les personnes mentionnées au premier alinéa, au paiement
correspondant aux surcoûts justifiés.

View file

@ -0,0 +1,18 @@
---
État: VIGUEUR
Type: AUTONOME
Date de début: 2024-06-01
Date de fin: 2999-01-01
Identifiant: LEGIARTI000049533833
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533833.xml
---
###### Article R2321-1-15
Les dispositifs de traçabilité des données collectées en application du premier
alinéa de l'article L. 2321-3, des articles R. 2321-1-1, R. 2321-1-5, R.
2321-1-10, R. 2321-1-14 et de l'article R. 9-12-3 du code des postes et des
communications électroniques garantissent l'identification des agents de
l'autorité nationale de sécurité des systèmes d'information qui ont eu accès aux
données collectées. Ces dispositifs enregistrent également les modifications
effectuées sur les données, dont leur suppression.

View file

@ -0,0 +1,12 @@
---
Date de début: 2024-06-01
Date de fin: 2999-01-01
Identifiant: LEGISCTA000049533859
---
###### Sous-section 5 : Signalement de vulnérabilités et incidents par les éditeurs de logiciels
- [Article R2321-1-16](article_r2321-1-16.md)
- [Article R2321-1-17](article_r2321-1-17.md)
- [Article R2321-1-18](article_r2321-1-18.md)
- [Article R2321-1-19](article_r2321-1-19.md)

View file

@ -0,0 +1,51 @@
---
État: VIGUEUR
Type: AUTONOME
Date de début: 2024-06-01
Date de fin: 2999-01-01
Identifiant: LEGIARTI000049533831
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533831.xml
---
###### Article R2321-1-16
I. - Lorsque l'éditeur de logiciel mentionné à l'article L. 2321-4-1 a
connaissance d'une vulnérabilité affectant un de ses produits ou en cas
d'incident informatique compromettant la sécurité de son système d'information
et susceptible d'affecter un de ses produits, il en apprécie le caractère
significatif, notamment au regard des critères suivants :<br />
1° Le nombre d'utilisateurs concernés par la vulnérabilité ou l'incident
affectant le produit ;<br />
2° Le nombre de produits intégrant le produit affecté ;<br />
3° L'impact technique, potentiel ou actuel, de la vulnérabilité ou de l'incident
sur le fonctionnement attendu du produit. Selon les fonctionnalités du produit,
cet impact est évalué au regard de critères de sécurité tels que la
disponibilité, l'intégrité, la confidentialité ou la traçabilité ;<br />
4° Le type de produit au regard de ses usages et de l'environnement dans lequel
il est déployé ;<br />
5° L'exploitation imminente ou avérée de la vulnérabilité ;<br />
6° L'existence d'une preuve technique d'exploitabilité ou d'un code
d'exploitation.<br />
II. - S'il constate que la vulnérabilité ou l'incident est significatif,
l'éditeur de logiciel le notifie l'autorité nationale de sécurité des systèmes
d'information La notification comporte les informations utiles à la
compréhension de la vulnérabilité ou de l'incident mentionné au I. Lorsque la
vulnérabilité ou l'incident a été notifié par l'autorité nationale de sécurité
des systèmes d'information à l'éditeur de logiciel ce dernier dispose d'un délai
fixé par cette autorité pour apprécier son caractère significatif. Ce délai ne
peut être inférieur à 48 heures.<br />
III. - L'éditeur de logiciel complète à cet effet le formulaire de déclaration
mis à disposition sur le site internet de l'autorité nationale de sécurité des
systèmes d'information et adresse les informations complémentaires au fur et à
mesure de son analyse. Il répond aux demandes d'informations supplémentaires de
l'autorité nationale de sécurité des systèmes d'information. Il met en œuvre, le
cas échéant, les mesures utiles requises afin de sécuriser la vulnérabilité ou
l'incident mentionné au I.

View file

@ -0,0 +1,23 @@
---
État: VIGUEUR
Type: AUTONOME
Date de début: 2024-06-01
Date de fin: 2999-01-01
Identifiant: LEGIARTI000049533829
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533829.xml
---
###### Article R2321-1-17
I. - Après analyse conjointe de la vulnérabilité ou de l'incident mentionné au I
de l'article R. 2321-1-16 avec l'éditeur, l'autorité nationale de sécurité des
systèmes d'information notifie à ce dernier le délai dans lequel il informe ses
utilisateurs de la vulnérabilité ou de l'incident mentionné au I de l'article R.
2321-1-16. Ce délai ne peut être inférieur à dix jours ouvrables, sauf en cas de
risque pour la défense et la sécurité nationale requérant une information des
utilisateurs sans délai.<br />
II. - L'éditeur de logiciel informe les utilisateurs du produit affecté par un
message d'information comprenant, le cas échéant, toute recommandation que ces
derniers peuvent appliquer. Il rend compte à l'autorité nationale de sécurité
des systèmes d'information de l'envoi de ce message.

View file

@ -0,0 +1,21 @@
---
État: VIGUEUR
Type: AUTONOME
Date de début: 2024-06-01
Date de fin: 2999-01-01
Identifiant: LEGIARTI000049533827
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533827.xml
---
###### Article R2321-1-18
L'injonction adressée par l'autorité nationale de sécurité des systèmes
d'information aux éditeurs de logiciel en application du cinquième alinéa de
l'article L. 2321-4-1 est motivée et mentionne le délai imparti, qui ne peut
être inférieur à dix jours, ainsi que les mesures requises pour s'y conformer.
L'éditeur de logiciel peut présenter des observations dans ce délai.
L'injonction est notifiée à l'éditeur de logiciel par lettre recommandée avec
avis de réception. L'éditeur de logiciel est informé que l'autorité nationale de
sécurité des systèmes d'information peut informer les utilisateurs ou rendre
public la vulnérabilité ou l'incident ainsi que l'injonction si celle-ci n'a pas
été mise en œuvre.

View file

@ -0,0 +1,20 @@
---
État: VIGUEUR
Type: AUTONOME
Date de début: 2024-06-01
Date de fin: 2999-01-01
Identifiant: LEGIARTI000049533825
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533825.xml
---
###### Article R2321-1-19
En application du cinquième alinéa de l'article L. 2321-4-1, l'autorité
nationale de sécurité des systèmes d'information peut :<br />
1° Procéder à l'information des utilisateurs ou du public, relative à la
vulnérabilité ou à l'incident, sur le site du centre gouvernemental de veille,
d'alerte et de réponse aux attaques informatiques ;<br />
2° Rendre publique l'injonction, sur son site Internet, lorsque celle-ci a été
partiellement ou totalement inexécutée.

View file

@ -7,6 +7,4 @@ Identifiant: LEGISCTA000030407287
###### Section 2 : Habilitation et assermentation ###### Section 2 : Habilitation et assermentation
- [Article R2321-2](article_r2321-2.md) - [Article R2321-2](article_r2321-2.md)
- [Article R2321-3](article_r2321-3.md)
- [Article R2321-4](article_r2321-4.md)
- [Article R2321-5](article_r2321-5.md) - [Article R2321-5](article_r2321-5.md)

View file

@ -1,17 +1,17 @@
--- ---
État: MODIFIE État: VIGUEUR
Type: AUTONOME Type: AUTONOME
Date de début: 2019-01-01 Date de début: 2024-06-01
Date de fin: 2024-06-01 Date de fin: 2999-01-01
Identifiant: LEGIARTI000037813157 Identifiant: LEGIARTI000049533869
URL: article/LEGI/ARTI/00/00/37/81/31/LEGIARTI000037813157.xml URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533869.xml
--- ---
###### Article R2321-2 ###### Article R2321-2
Les habilitations prévues aux articles L. 2321-2-1 et L. 2321-3 sont accordées, Les habilitations prévues aux articles L. 2321-2-1, L. 2321-3 et L. 2321-3-1
de manière individuelle, par décision du Premier ministre à des agents de sont accordées, de manière individuelle, par décision du Premier ministre à des
l'Agence nationale de la sécurité des systèmes d'information.<br /> agents de l'Agence nationale de la sécurité des systèmes d'information.<br />
Nul ne peut être habilité s'il n'a fait l'objet d'une enquête administrative Nul ne peut être habilité s'il n'a fait l'objet d'une enquête administrative
conformément à l'article L. 114-1 du code de la sécurité intérieure. Si besoin, conformément à l'article L. 114-1 du code de la sécurité intérieure. Si besoin,

View file

@ -1,18 +0,0 @@
---
État: ABROGE
Type: AUTONOME
Date de début: 2015-03-30
Date de fin: 2024-06-01
Identifiant: LEGIARTI000030407306
URL: article/LEGI/ARTI/00/00/30/40/73/LEGIARTI000030407306.xml
---
###### Article R2321-3
Pour accomplir leur mission prévue à l'article L. 2321-3, les agents habilités
de l'Agence nationale de la sécurité des systèmes d'information présentent une
commission d'emploi aux opérateurs de communications électroniques. La
commission d'emploi mentionne la décision d'habilitation de l'agent.<br />
Tout agent qui n'est plus habilité remet sans délai sa commission d'emploi à
l'Agence nationale de la sécurité des systèmes d'information.

View file

@ -1,22 +0,0 @@
---
État: ABROGE
Type: AUTONOME
Date de début: 2020-01-01
Date de fin: 2024-06-01
Identifiant: LEGIARTI000039344761
URL: article/LEGI/ARTI/00/00/39/34/47/LEGIARTI000039344761.xml
---
###### Article R2321-4
Les agents habilités de l'Agence nationale de la sécurité des systèmes
d'information prêtent devant le tribunal judiciaire dans le ressort duquel ils
exercent leurs fonctions le serment suivant : " Je jure de bien et fidèlement
remplir la mission pour laquelle je suis habilité et de ne rien révéler ou
utiliser de ce qui sera porté à ma connaissance à l'occasion de son exercice.
"<br />
La prestation de serment est enregistrée sans frais au greffe du tribunal.
L'acte de ce serment est dispensé de timbre et d'enregistrement. Le greffier du
tribunal transcrit gratuitement l'acte de ce serment sur la commission d'emploi
mentionnée à l'article R. 2321-3.