Décret n° 2024-421 du 10 mai 2024 pris pour l'application des articles L. 2321-2-1 à L. 2321-4-1 du code de la défense et des articles L. 33-14 et L. 36-14 du code des postes et des communications électroniques
Ministère: Premier ministre Nature: DECRET Identifiant: JORFTEXT000049523217 NOR: PRMD2407081D URL: texte/version/JORF/TEXT/00/00/49/52/32/JORFTEXT000049523217.xml
This commit is contained in:
parent
532ac01e17
commit
7afb04eda6
34 changed files with 595 additions and 151 deletions
|
@ -7,8 +7,8 @@ Identifiant: LEGISCTA000030407266
|
|||
###### Section 1 : Autorité nationale de sécurité des systèmes d'information
|
||||
|
||||
- [Article R2321-1](article_r2321-1.md)
|
||||
- [Article R2321-1-1](article_r2321-1-1.md)
|
||||
- [Article R2321-1-2](article_r2321-1-2.md)
|
||||
- [Article R2321-1-3](article_r2321-1-3.md)
|
||||
- [Article R2321-1-4](article_r2321-1-4.md)
|
||||
- [Article R2321-1-5](article_r2321-1-5.md)
|
||||
- [Sous-section 1 : Mise en œuvre des dispositifs exploitant des marqueurs techniques ou permettant le recueil de données](sous-section_1)
|
||||
- [Sous-section 2 : Blocage, enregistrement, suspension, transfert et redirection de nom de domaine](sous-section_2)
|
||||
- [Sous-section 3 : Communication de données](sous-section_3)
|
||||
- [Sous-section 4 : Dispositifs de compensation et de traçabilité](sous-section_4)
|
||||
- [Sous-section 5 : Signalement de vulnérabilités et incidents par les éditeurs de logiciels](sous-section_5)
|
||||
|
|
|
@ -1,26 +0,0 @@
|
|||
---
|
||||
État: MODIFIE
|
||||
Type: AUTONOME
|
||||
Date de début: 2019-01-01
|
||||
Date de fin: 2024-06-01
|
||||
Identifiant: LEGIARTI000037810980
|
||||
URL: article/LEGI/ARTI/00/00/37/81/09/LEGIARTI000037810980.xml
|
||||
---
|
||||
|
||||
###### Article R2321-1-1
|
||||
|
||||
La décision de mettre en œuvre les dispositifs mentionnés au premier alinéa de
|
||||
l'article L. 2321-2-1 sur les réseaux et les systèmes d'information des
|
||||
personnes mentionnées au même alinéa leur est notifiée par l'Agence nationale de
|
||||
la sécurité des systèmes d'information.<br />
|
||||
|
||||
Cette notification est accompagnée d'un cahier des charges élaboré, le cas
|
||||
échéant, après concertation avec les personnes destinataires. Ce document
|
||||
précise les conditions techniques d'organisation et de fonctionnement
|
||||
nécessaires à la mise en œuvre de ces dispositifs ainsi que le délai dans lequel
|
||||
ils sont mis en œuvre et la durée de leur mise en œuvre. Il prévoit, le cas
|
||||
échéant, une phase de test préalable sur les réseaux ou systèmes d'information
|
||||
concernés.<br />
|
||||
|
||||
La décision mentionnée au premier alinéa est communiquée sans délai à l'Autorité
|
||||
de régulation des communications électroniques et des postes.
|
|
@ -1,18 +0,0 @@
|
|||
---
|
||||
État: MODIFIE
|
||||
Type: AUTONOME
|
||||
Date de début: 2019-01-01
|
||||
Date de fin: 2024-06-01
|
||||
Identifiant: LEGIARTI000037810983
|
||||
URL: article/LEGI/ARTI/00/00/37/81/09/LEGIARTI000037810983.xml
|
||||
---
|
||||
|
||||
###### Article R2321-1-2
|
||||
|
||||
Les dispositifs mentionnés au premier alinéa de l'article L. 2321-2-1 sont mis
|
||||
en œuvre pour une période maximale de trois mois, prorogeable en cas de
|
||||
persistance de la menace et dans cette limite. Toute prorogation fait l'objet
|
||||
d'une décision de l'Agence nationale de la sécurité des systèmes d'information
|
||||
notifiée aux personnes mentionnées au premier alinéa de l'article R. 2321-1-1 et
|
||||
communiquée à l'Autorité de régulation des communications électroniques et des
|
||||
postes.
|
|
@ -1,18 +0,0 @@
|
|||
---
|
||||
État: MODIFIE
|
||||
Type: AUTONOME
|
||||
Date de début: 2019-01-01
|
||||
Date de fin: 2024-06-01
|
||||
Identifiant: LEGIARTI000037810985
|
||||
URL: article/LEGI/ARTI/00/00/37/81/09/LEGIARTI000037810985.xml
|
||||
---
|
||||
|
||||
###### Article R2321-1-3
|
||||
|
||||
Les marqueurs techniques exploités par les dispositifs mentionnés au premier
|
||||
alinéa de l'article L. 2321-2-1 sont des éléments techniques caractéristiques
|
||||
d'un mode opératoire d'attaque informatique, permettant de détecter une activité
|
||||
malveillante ou d'identifier une menace susceptible d'affecter la sécurité des
|
||||
systèmes d'information. Ils visent à détecter les communications et programmes
|
||||
informatiques malveillants et à recueillir et analyser les seules données
|
||||
techniques nécessaires à la prévention et à la caractérisation de la menace.
|
|
@ -1,18 +0,0 @@
|
|||
---
|
||||
État: MODIFIE
|
||||
Type: AUTONOME
|
||||
Date de début: 2019-01-01
|
||||
Date de fin: 2024-06-01
|
||||
Identifiant: LEGIARTI000037810993
|
||||
URL: article/LEGI/ARTI/00/00/37/81/09/LEGIARTI000037810993.xml
|
||||
---
|
||||
|
||||
###### Article R2321-1-4
|
||||
|
||||
Les dispositifs de traçabilité des données collectées mentionnés au 2° de
|
||||
l'article L. 36-14 du code des postes et des communications électroniques
|
||||
garantissent notamment l'identification des agents mentionnés au deuxième alinéa
|
||||
de article L. 2321-2-1 et au premier alinéa de l'article L. 2321-3. Ces
|
||||
dispositifs enregistrent les opérations effectuées sur les données, dont leur
|
||||
suppression à l'issue du délai mentionné au troisième alinéa de l'article L.
|
||||
2321-2-1.
|
|
@ -1,16 +0,0 @@
|
|||
---
|
||||
État: MODIFIE
|
||||
Type: AUTONOME
|
||||
Date de début: 2019-01-01
|
||||
Date de fin: 2024-06-01
|
||||
Identifiant: LEGIARTI000037810997
|
||||
URL: article/LEGI/ARTI/00/00/37/81/09/LEGIARTI000037810997.xml
|
||||
---
|
||||
|
||||
###### Article R2321-1-5
|
||||
|
||||
Les modalités de la compensation des prestations assurées par les personnes
|
||||
mentionnées au premier alinéa de l'article R. 2321-1-1 au titre de l'article L.
|
||||
2321-2-1 et du deuxième alinéa de l'article L. 2321-3 sont fixées par arrêté
|
||||
conjoint du Premier ministre et du ministre chargé des communications
|
||||
électroniques.
|
|
@ -0,0 +1,14 @@
|
|||
---
|
||||
Date de début: 2024-06-01
|
||||
Date de fin: 2999-01-01
|
||||
Identifiant: LEGISCTA000049533867
|
||||
---
|
||||
|
||||
###### Sous-section 1 : Mise en œuvre des dispositifs exploitant des marqueurs techniques ou permettant le recueil de données
|
||||
|
||||
- [Article R2321-1-1](article_r2321-1-1.md)
|
||||
- [Article R2321-1-2](article_r2321-1-2.md)
|
||||
- [Article R2321-1-3](article_r2321-1-3.md)
|
||||
- [Article R2321-1-4](article_r2321-1-4.md)
|
||||
- [Article R2321-1-5](article_r2321-1-5.md)
|
||||
- [Article R2321-1-6](article_r2321-1-6.md)
|
|
@ -0,0 +1,23 @@
|
|||
---
|
||||
État: VIGUEUR
|
||||
Type: AUTONOME
|
||||
Date de début: 2024-06-01
|
||||
Date de fin: 2999-01-01
|
||||
Identifiant: LEGIARTI000049533822
|
||||
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533822.xml
|
||||
---
|
||||
|
||||
###### Article R2321-1-1
|
||||
|
||||
I. − Les dispositifs prévus au 1° du L. 2321-2-1 exploitant les marqueurs
|
||||
techniques définis à l'article R. 2321-1-4 permettent la détection des
|
||||
communications et programmes informatiques malveillants ainsi que le recueil et
|
||||
l'analyse des seules données techniques nécessaires à la prévention et à la
|
||||
caractérisation de la menace.<br />
|
||||
|
||||
II. − Les dispositifs prévus au 2° du L. 2321-2-1 permettent :<br />
|
||||
|
||||
1° Le recueil des données relatives aux communications électroniques émises et
|
||||
reçues par un équipement affecté par la menace ;<br />
|
||||
|
||||
2° Ou le recueil de données sur un équipement affecté par la menace.
|
|
@ -0,0 +1,42 @@
|
|||
---
|
||||
État: VIGUEUR
|
||||
Type: AUTONOME
|
||||
Date de début: 2024-06-01
|
||||
Date de fin: 2999-01-01
|
||||
Identifiant: LEGIARTI000049533819
|
||||
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533819.xml
|
||||
---
|
||||
|
||||
###### Article R2321-1-2
|
||||
|
||||
I. - La décision de mettre en œuvre les dispositifs mentionnés au I de l'article
|
||||
R. 2321-1-1 est notifiée par l'autorité nationale de sécurité des systèmes
|
||||
d'information à l'opérateur de communications électroniques, à la personne
|
||||
mentionnée au 1 ou 2 du I de l'article 6 de la loi n° 2004-575 du 21 juin 2004
|
||||
pour la confiance dans l'économie numérique ou à l'opérateur de centre de
|
||||
données, et communiquée à l'Autorité de régulation des communications
|
||||
électroniques, des postes et de la distribution de la presse.<br />
|
||||
|
||||
II. - La décision de mettre en œuvre les dispositifs mentionnés au II de
|
||||
l'article R. 2321-1-1 ne peut être notifiée aux personnes mentionnées à l'alinéa
|
||||
précédent qu'après avis conforme de l'Autorité de régulation des communications
|
||||
électroniques, des postes et de la distribution de la presse pour la mise en
|
||||
œuvre de ces dispositifs. Cette décision est également notifiée à cette
|
||||
autorité.<br />
|
||||
|
||||
III. - La décision de mettre en œuvre les dispositifs mentionnés au I ou au 1°
|
||||
du II de l'article R. 2321-1-1 est accompagnée d'un cahier des charges élaboré,
|
||||
le cas échéant, après concertation avec les personnes destinataires. Ce cahier
|
||||
des charges précise :<br />
|
||||
|
||||
1° Le type de dispositif mis en œuvre et le réseau ou le système d'information
|
||||
concerné ;<br />
|
||||
|
||||
2° Les conditions techniques d'organisation et de fonctionnement nécessaires à
|
||||
la mise en œuvre de ces dispositifs ;<br />
|
||||
|
||||
3° Le délai dans lequel ils sont mis en œuvre et la durée de leur mise en
|
||||
œuvre.<br />
|
||||
|
||||
Le cahier des charges peut prévoir une phase de test préalable sur les réseaux
|
||||
ou systèmes d'information concernés.
|
|
@ -0,0 +1,15 @@
|
|||
---
|
||||
État: VIGUEUR
|
||||
Type: AUTONOME
|
||||
Date de début: 2024-06-01
|
||||
Date de fin: 2999-01-01
|
||||
Identifiant: LEGIARTI000049533817
|
||||
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533817.xml
|
||||
---
|
||||
|
||||
###### Article R2321-1-3
|
||||
|
||||
Les dispositifs mentionnés au I ou au 1° du II de l'article R. 2321-1-1 sont mis
|
||||
en œuvre pour une période maximale de trois mois. En cas de persistance de la
|
||||
menace la décision de mettre en œuvre ces dispositifs peut être renouvelée pour
|
||||
une même durée et dans les mêmes conditions que la décision initiale.
|
|
@ -0,0 +1,16 @@
|
|||
---
|
||||
État: VIGUEUR
|
||||
Type: AUTONOME
|
||||
Date de début: 2024-06-01
|
||||
Date de fin: 2999-01-01
|
||||
Identifiant: LEGIARTI000049533815
|
||||
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533815.xml
|
||||
---
|
||||
|
||||
###### Article R2321-1-4
|
||||
|
||||
Les marqueurs techniques exploités par les dispositifs mentionnés au I de
|
||||
l'article R. 2321-1-1 sont des éléments techniques caractéristiques d'un mode
|
||||
opératoire d'attaque informatique, permettant de détecter une activité
|
||||
malveillante ou d'identifier une menace susceptible d'affecter la sécurité des
|
||||
systèmes d'information.
|
|
@ -0,0 +1,28 @@
|
|||
---
|
||||
État: VIGUEUR
|
||||
Type: AUTONOME
|
||||
Date de début: 2024-06-01
|
||||
Date de fin: 2999-01-01
|
||||
Identifiant: LEGIARTI000049533813
|
||||
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533813.xml
|
||||
---
|
||||
|
||||
###### Article R2321-1-5
|
||||
|
||||
L'analyse des données recueillies lors de la mise en œuvre des dispositifs
|
||||
mentionnés au II de l'article R. 2321-1-1 est effectuée par les agents
|
||||
mentionnés au cinquième alinéa de l'article L. 2321-2-1, dans un délai de trois
|
||||
mois à compter de leur recueil.<br />
|
||||
|
||||
Les informations et les catégories de données directement utiles à la prévention
|
||||
et à la caractérisation des menaces concernent :<br />
|
||||
|
||||
1° Les communications électroniques liées aux activités de l'attaquant ;<br />
|
||||
|
||||
2° Les données système, liées à l'attaquant.<br />
|
||||
|
||||
Les données qui ne relèvent pas de ces catégories sont détruites dans un délai
|
||||
d'un jour ouvré à compter de leur analyse mentionnée au premier alinéa.<br />
|
||||
|
||||
Les données directement utiles à la prévention et à la caractérisation des
|
||||
menaces ne peuvent être conservées plus de deux ans à compter de leur collecte.
|
|
@ -0,0 +1,37 @@
|
|||
---
|
||||
État: VIGUEUR
|
||||
Type: AUTONOME
|
||||
Date de début: 2024-06-01
|
||||
Date de fin: 2999-01-01
|
||||
Identifiant: LEGIARTI000049533854
|
||||
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533854.xml
|
||||
---
|
||||
|
||||
###### Article R2321-1-6
|
||||
|
||||
Les surcoûts spécifiques et identifiables supportés par les personnes
|
||||
mentionnées au I de l'article R. 2321-1-2 et résultant des obligations de
|
||||
l'article L. 2321-2-1 font l'objet d'une compensation financière prise en charge
|
||||
par l'Etat.<br />
|
||||
|
||||
La compensation correspond à la couverture des surcoûts définis comme suit :<br />
|
||||
|
||||
1° Les surcoûts liés à la réalisation de prestations dont la compensation est
|
||||
établie sur la base du montant hors taxes de tarifs fixés par arrêté conjoint du
|
||||
Premier ministre et du ministre chargé des communications électroniques ;<br />
|
||||
|
||||
L'Etat procède, sur présentation d'une facture, au paiement des compensations
|
||||
correspondant aux surcoûts justifiés ;<br />
|
||||
|
||||
2° Les surcoûts liés à la conception et au déploiement des systèmes
|
||||
d'information ou, le cas échéant, à leur adaptation, permettant la mise en place
|
||||
d'un dispositif exploitant des marqueurs techniques ou le recueil des données
|
||||
ainsi que les surcoûts liés au fonctionnement et à la maintenance de ces
|
||||
systèmes.<br />
|
||||
|
||||
Pour obtenir une compensation, l'opérateur adresse à l'autorité nationale de
|
||||
sécurité des systèmes d'information un document assorti des justificatifs
|
||||
nécessaires permettant d'établir le nombre et la nature des interventions
|
||||
nécessaires non couvertes par l'arrêté mentionné au 1°. L'Etat procède, après
|
||||
analyse du document transmis, et sur présentation d'une facture, au paiement des
|
||||
compensations correspondant aux surcoûts justifiés.
|
|
@ -0,0 +1,13 @@
|
|||
---
|
||||
Date de début: 2024-06-01
|
||||
Date de fin: 2999-01-01
|
||||
Identifiant: LEGISCTA000049533865
|
||||
---
|
||||
|
||||
###### Sous-section 2 : Blocage, enregistrement, suspension, transfert et redirection de nom de domaine
|
||||
|
||||
- [Article R2321-1-7](article_r2321-1-7.md)
|
||||
- [Article R2321-1-8](article_r2321-1-8.md)
|
||||
- [Article R2321-1-9](article_r2321-1-9.md)
|
||||
- [Article R2321-1-10](article_r2321-1-10.md)
|
||||
- [Article R2321-1-11](article_r2321-1-11.md)
|
|
@ -0,0 +1,21 @@
|
|||
---
|
||||
État: VIGUEUR
|
||||
Type: AUTONOME
|
||||
Date de début: 2024-06-01
|
||||
Date de fin: 2999-01-01
|
||||
Identifiant: LEGIARTI000049533846
|
||||
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533846.xml
|
||||
---
|
||||
|
||||
###### Article R2321-1-10
|
||||
|
||||
L'analyse des données recueillies en application du IV de l'article L. 2321-2-3
|
||||
est effectuée dans un délai de trois mois à compter de leur recueil.<br />
|
||||
|
||||
Les données directement utiles à la caractérisation des menaces au titre du même
|
||||
IV sont celles liées aux activités de l'attaquant à destination du nom de
|
||||
domaine concerné. Elles ne peuvent être conservées plus de cinq ans à compter de
|
||||
leur recueil.<br />
|
||||
|
||||
Les autres données sont détruites dans un délai d'un jour ouvré à compter de
|
||||
leur analyse mentionnée au premier alinéa.
|
|
@ -0,0 +1,46 @@
|
|||
---
|
||||
État: VIGUEUR
|
||||
Type: AUTONOME
|
||||
Date de début: 2024-06-01
|
||||
Date de fin: 2999-01-01
|
||||
Identifiant: LEGIARTI000049533843
|
||||
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533843.xml
|
||||
---
|
||||
|
||||
###### Article R2321-1-11
|
||||
|
||||
Les surcoûts résultant des obligations mises à la charge des personnes
|
||||
mentionnées au 1° et 2° du I de l'article L. 2321-2-3 du code de la défense font
|
||||
l'objet d'une compensation financière prise en charge par l'Etat selon des
|
||||
modalités sont fixées par arrêté conjoint du Premier ministre et du ministre
|
||||
chargé des communications électroniques.<br />
|
||||
|
||||
La compensation correspond à la couverture des surcoûts définis comme suit :<br />
|
||||
|
||||
1° Les surcoûts liés à la réalisation de prestations dont la compensation est
|
||||
établie sur la base du montant hors taxes de tarifs fixés par arrêté conjoint du
|
||||
Premier ministre et du ministre chargé des communications électroniques ;<br />
|
||||
|
||||
L'Etat procède, sur présentation d'une facture, au paiement des compensations
|
||||
correspondant aux surcoûts justifiés ;<br />
|
||||
|
||||
2° Les surcoûts liés à la conception et au déploiement des systèmes
|
||||
d'information ou, le cas échéant, à leur adaptation, permettant le blocage ou la
|
||||
redirection d'un nom de domaine ainsi que les surcoûts liés au fonctionnement et
|
||||
à la maintenance de ces systèmes.<br />
|
||||
|
||||
Pour obtenir une compensation, l'opérateur adresse à l'autorité nationale de
|
||||
sécurité des systèmes d'information un document détaillant le nombre et la
|
||||
nature des interventions nécessaires non couvertes par l'arrêté ainsi que le
|
||||
coût de l'investissement éventuellement réalisé.<br />
|
||||
|
||||
L'Etat procède, après analyse du document transmis, et sur présentation d'une
|
||||
facture, au paiement des compensations correspondant aux surcoûts justifiés.<br />
|
||||
|
||||
Lorsque le système d'information utilisé pour traiter les demandes
|
||||
d'identification émanant de l'autorité nationale de sécurité des systèmes
|
||||
d'information est le même que celui utilisé pour répondre à des demandes émanant
|
||||
d'autres autorités publiques ou judiciaires et que les surcoûts mentionnés au 2°
|
||||
ont déjà fait l'objet, à ce titre, d'une compensation financière de la part de
|
||||
l'Etat, l'opérateur concerné ne peut prétendre à une nouvelle compensation de
|
||||
ces surcoûts.
|
|
@ -0,0 +1,20 @@
|
|||
---
|
||||
État: VIGUEUR
|
||||
Type: AUTONOME
|
||||
Date de début: 2024-06-01
|
||||
Date de fin: 2999-01-01
|
||||
Identifiant: LEGIARTI000049533852
|
||||
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533852.xml
|
||||
---
|
||||
|
||||
###### Article R2321-1-7
|
||||
|
||||
Pour l'application du I de l'article L. 2321-2-3, lorsque l'autorité nationale
|
||||
de sécurité des systèmes d'information demande au titulaire du nom de domaine de
|
||||
prendre les mesures adaptées pour neutraliser la menace, elle lui notifie, par
|
||||
tout moyen tenant compte de la menace et de l'urgence, les mesures techniques
|
||||
correctives à appliquer, le délai dans lequel ces mesures doivent être mises en
|
||||
œuvre ainsi que le moyen de communication à utiliser.<br />
|
||||
|
||||
Le titulaire de bonne foi du nom de domaine rend compte à l'autorité nationale
|
||||
de sécurité des systèmes d'information de la mise en œuvre de ces mesures.
|
|
@ -0,0 +1,36 @@
|
|||
---
|
||||
État: VIGUEUR
|
||||
Type: AUTONOME
|
||||
Date de début: 2024-06-01
|
||||
Date de fin: 2999-01-01
|
||||
Identifiant: LEGIARTI000049533850
|
||||
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533850.xml
|
||||
---
|
||||
|
||||
###### Article R2321-1-8
|
||||
|
||||
I. - Les demandes adressées par l'autorité nationale de sécurité des systèmes
|
||||
d'information aux personnes mentionnées aux 1° et 2° des I et II de l'article L.
|
||||
2321-2-3 leur sont notifiées par tout moyen tenant compte de la menace et de
|
||||
l'urgence. Elles comprennent :<br />
|
||||
|
||||
1° Le nom de domaine concerné ;<br />
|
||||
|
||||
2° La nature et la durée de la mesure demandée ;<br />
|
||||
|
||||
3° Le délai imparti pour sa mise en œuvre ;<br />
|
||||
|
||||
4° Toute autre information technique utile à la mise en œuvre de la mesure.<br />
|
||||
|
||||
II. - A l'exception des demandes de renouvellement d'une mesure de redirection
|
||||
mentionnée au troisième alinéa du III de l'article L. 2321-2-3, l'autorité
|
||||
nationale de sécurité des systèmes d'information communique chaque demande
|
||||
mentionnée au I du présent article à l'Autorité de régulation des communications
|
||||
électroniques, des postes et de la distribution de la presse.<br />
|
||||
|
||||
III. - Les personnes mentionnées au I mettent en œuvre, par tout moyen tenant
|
||||
compte de la menace et de l'urgence, les mesures demandées et en tiennent
|
||||
informée l'autorité nationale de sécurité des systèmes d'information en lui
|
||||
communiquant les informations techniques relatives à leur mise en œuvre. Elles
|
||||
préservent la confidentialité de toutes les données qui leur sont confiées dans
|
||||
ce cadre.
|
|
@ -0,0 +1,28 @@
|
|||
---
|
||||
État: VIGUEUR
|
||||
Type: AUTONOME
|
||||
Date de début: 2024-06-01
|
||||
Date de fin: 2999-01-01
|
||||
Identifiant: LEGIARTI000049533848
|
||||
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533848.xml
|
||||
---
|
||||
|
||||
###### Article R2321-1-9
|
||||
|
||||
En application du dernier alinéa du I de l'article L. 2321-2-3, pour mettre fin
|
||||
aux mesures mentionnées au 1° et 2° du I du même article, le titulaire de bonne
|
||||
foi du nom de domaine fournit à l'autorité nationale de sécurité des systèmes
|
||||
d'information :<br />
|
||||
|
||||
1° La liste des mesures qu'il a mises en œuvre pour neutraliser la menace ;<br />
|
||||
|
||||
2° Tout élément de nature à établir que la menace est neutralisée.<br />
|
||||
|
||||
L'autorité nationale de sécurité des systèmes d'information demande, le cas
|
||||
échéant, des informations complémentaires permettant d'établir que la menace est
|
||||
neutralisée.<br />
|
||||
|
||||
Lorsque le titulaire de bonne foi du nom de domaine communique des informations
|
||||
complémentaires, l'autorité nationale de sécurité des systèmes d'information les
|
||||
communique à l'Autorité de régulation des communications électroniques, des
|
||||
postes et de la distribution de la presse.
|
|
@ -0,0 +1,10 @@
|
|||
---
|
||||
Date de début: 2024-06-01
|
||||
Date de fin: 2999-01-01
|
||||
Identifiant: LEGISCTA000049533863
|
||||
---
|
||||
|
||||
###### Sous-section 3 : Communication de données
|
||||
|
||||
- [Article R2321-1-12](article_r2321-1-12.md)
|
||||
- [Article R2321-1-13](article_r2321-1-13.md)
|
|
@ -0,0 +1,20 @@
|
|||
---
|
||||
État: VIGUEUR
|
||||
Type: AUTONOME
|
||||
Date de début: 2024-06-01
|
||||
Date de fin: 2999-01-01
|
||||
Identifiant: LEGIARTI000049533841
|
||||
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533841.xml
|
||||
---
|
||||
|
||||
###### Article R2321-1-12
|
||||
|
||||
Les fournisseurs de système de résolution de noms de domaine transmettent aux
|
||||
agents mentionnés au premier alinéa de l'article L. 2321-3-1 les données
|
||||
techniques suivantes :<br />
|
||||
|
||||
1° Les enregistrements issus des serveurs gérant le système d'adressage par
|
||||
domaine, incluant le nom de domaine, le type d'enregistrement, sa durée de vie
|
||||
et sa valeur ;<br />
|
||||
|
||||
2° L'horodatage de ces enregistrements.
|
|
@ -0,0 +1,32 @@
|
|||
---
|
||||
État: VIGUEUR
|
||||
Type: AUTONOME
|
||||
Date de début: 2024-06-01
|
||||
Date de fin: 2999-01-01
|
||||
Identifiant: LEGIARTI000049533839
|
||||
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533839.xml
|
||||
---
|
||||
|
||||
###### Article R2321-1-13
|
||||
|
||||
I. - En application de l'article L. 2321-3-1, les conditions de transmission des
|
||||
données techniques mentionnées à l'article R. 2321-1-12 sont précisées par une
|
||||
décision de l'autorité nationale de sécurité des systèmes d'information qu'elle
|
||||
notifie au fournisseur de système de résolution de noms de domaine.<br />
|
||||
|
||||
Cette décision tient compte des contraintes techniques du fournisseur de système
|
||||
de résolution de noms de domaine et mentionne :<br />
|
||||
|
||||
1° La fréquence du relevé, au moins quotidienne, des données mentionnées à
|
||||
l'article R. 2321-1-12 ;<br />
|
||||
|
||||
2° Le mode de transmission de ces données ;<br />
|
||||
|
||||
3° Le format de ces données établi sur la base d'une documentation fournie à
|
||||
l'autorité nationale de sécurité des systèmes d'information par le fournisseur
|
||||
de système de résolution de noms de domaine ;<br />
|
||||
|
||||
4° La fréquence de transmission de ces données, au moins hebdomadaire.<br />
|
||||
|
||||
II. - La décision mentionnée au I est communiquée à l'Autorité de régulation des
|
||||
communications électroniques, des postes et de la distribution de la presse.
|
|
@ -0,0 +1,10 @@
|
|||
---
|
||||
Date de début: 2024-06-01
|
||||
Date de fin: 2999-01-01
|
||||
Identifiant: LEGISCTA000049533861
|
||||
---
|
||||
|
||||
###### Sous-section 4 : Dispositifs de compensation et de traçabilité
|
||||
|
||||
- [Article R2321-1-14](article_r2321-1-14.md)
|
||||
- [Article R2321-1-15](article_r2321-1-15.md)
|
|
@ -0,0 +1,26 @@
|
|||
---
|
||||
État: VIGUEUR
|
||||
Type: AUTONOME
|
||||
Date de début: 2024-06-01
|
||||
Date de fin: 2999-01-01
|
||||
Identifiant: LEGIARTI000049533836
|
||||
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533836.xml
|
||||
---
|
||||
|
||||
###### Article R2321-1-14
|
||||
|
||||
Les surcoûts liés à la conception et au déploiement des systèmes d'information
|
||||
ou, le cas échéant, à leur adaptation, permettant la communication des
|
||||
informations mentionnées à l'alinéa premier de l'article L. 2321-3 ainsi que les
|
||||
surcoûts liés au fonctionnement et à la maintenance de ces systèmes, supportés
|
||||
par les personnes mentionnées au 2 du I de l'article 6 de la loi n° 2004-575 du
|
||||
21 juin 2004 pour la confiance dans l'économie numérique, font l'objet d'une
|
||||
compensation financière prise en charge par l'Etat selon des modalités fixées
|
||||
par arrêté du Premier ministre.<br />
|
||||
|
||||
La compensation est établie sur la base du montant hors taxes de tarifs fixés
|
||||
par arrêté du Premier ministre.<br />
|
||||
|
||||
L'Etat procède, sur présentation d'une facture, détaillant les prestations
|
||||
fournies par les personnes mentionnées au premier alinéa, au paiement
|
||||
correspondant aux surcoûts justifiés.
|
|
@ -0,0 +1,18 @@
|
|||
---
|
||||
État: VIGUEUR
|
||||
Type: AUTONOME
|
||||
Date de début: 2024-06-01
|
||||
Date de fin: 2999-01-01
|
||||
Identifiant: LEGIARTI000049533833
|
||||
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533833.xml
|
||||
---
|
||||
|
||||
###### Article R2321-1-15
|
||||
|
||||
Les dispositifs de traçabilité des données collectées en application du premier
|
||||
alinéa de l'article L. 2321-3, des articles R. 2321-1-1, R. 2321-1-5, R.
|
||||
2321-1-10, R. 2321-1-14 et de l'article R. 9-12-3 du code des postes et des
|
||||
communications électroniques garantissent l'identification des agents de
|
||||
l'autorité nationale de sécurité des systèmes d'information qui ont eu accès aux
|
||||
données collectées. Ces dispositifs enregistrent également les modifications
|
||||
effectuées sur les données, dont leur suppression.
|
|
@ -0,0 +1,12 @@
|
|||
---
|
||||
Date de début: 2024-06-01
|
||||
Date de fin: 2999-01-01
|
||||
Identifiant: LEGISCTA000049533859
|
||||
---
|
||||
|
||||
###### Sous-section 5 : Signalement de vulnérabilités et incidents par les éditeurs de logiciels
|
||||
|
||||
- [Article R2321-1-16](article_r2321-1-16.md)
|
||||
- [Article R2321-1-17](article_r2321-1-17.md)
|
||||
- [Article R2321-1-18](article_r2321-1-18.md)
|
||||
- [Article R2321-1-19](article_r2321-1-19.md)
|
|
@ -0,0 +1,51 @@
|
|||
---
|
||||
État: VIGUEUR
|
||||
Type: AUTONOME
|
||||
Date de début: 2024-06-01
|
||||
Date de fin: 2999-01-01
|
||||
Identifiant: LEGIARTI000049533831
|
||||
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533831.xml
|
||||
---
|
||||
|
||||
###### Article R2321-1-16
|
||||
|
||||
I. - Lorsque l'éditeur de logiciel mentionné à l'article L. 2321-4-1 a
|
||||
connaissance d'une vulnérabilité affectant un de ses produits ou en cas
|
||||
d'incident informatique compromettant la sécurité de son système d'information
|
||||
et susceptible d'affecter un de ses produits, il en apprécie le caractère
|
||||
significatif, notamment au regard des critères suivants :<br />
|
||||
|
||||
1° Le nombre d'utilisateurs concernés par la vulnérabilité ou l'incident
|
||||
affectant le produit ;<br />
|
||||
|
||||
2° Le nombre de produits intégrant le produit affecté ;<br />
|
||||
|
||||
3° L'impact technique, potentiel ou actuel, de la vulnérabilité ou de l'incident
|
||||
sur le fonctionnement attendu du produit. Selon les fonctionnalités du produit,
|
||||
cet impact est évalué au regard de critères de sécurité tels que la
|
||||
disponibilité, l'intégrité, la confidentialité ou la traçabilité ;<br />
|
||||
|
||||
4° Le type de produit au regard de ses usages et de l'environnement dans lequel
|
||||
il est déployé ;<br />
|
||||
|
||||
5° L'exploitation imminente ou avérée de la vulnérabilité ;<br />
|
||||
|
||||
6° L'existence d'une preuve technique d'exploitabilité ou d'un code
|
||||
d'exploitation.<br />
|
||||
|
||||
II. - S'il constate que la vulnérabilité ou l'incident est significatif,
|
||||
l'éditeur de logiciel le notifie l'autorité nationale de sécurité des systèmes
|
||||
d'information La notification comporte les informations utiles à la
|
||||
compréhension de la vulnérabilité ou de l'incident mentionné au I. Lorsque la
|
||||
vulnérabilité ou l'incident a été notifié par l'autorité nationale de sécurité
|
||||
des systèmes d'information à l'éditeur de logiciel ce dernier dispose d'un délai
|
||||
fixé par cette autorité pour apprécier son caractère significatif. Ce délai ne
|
||||
peut être inférieur à 48 heures.<br />
|
||||
|
||||
III. - L'éditeur de logiciel complète à cet effet le formulaire de déclaration
|
||||
mis à disposition sur le site internet de l'autorité nationale de sécurité des
|
||||
systèmes d'information et adresse les informations complémentaires au fur et à
|
||||
mesure de son analyse. Il répond aux demandes d'informations supplémentaires de
|
||||
l'autorité nationale de sécurité des systèmes d'information. Il met en œuvre, le
|
||||
cas échéant, les mesures utiles requises afin de sécuriser la vulnérabilité ou
|
||||
l'incident mentionné au I.
|
|
@ -0,0 +1,23 @@
|
|||
---
|
||||
État: VIGUEUR
|
||||
Type: AUTONOME
|
||||
Date de début: 2024-06-01
|
||||
Date de fin: 2999-01-01
|
||||
Identifiant: LEGIARTI000049533829
|
||||
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533829.xml
|
||||
---
|
||||
|
||||
###### Article R2321-1-17
|
||||
|
||||
I. - Après analyse conjointe de la vulnérabilité ou de l'incident mentionné au I
|
||||
de l'article R. 2321-1-16 avec l'éditeur, l'autorité nationale de sécurité des
|
||||
systèmes d'information notifie à ce dernier le délai dans lequel il informe ses
|
||||
utilisateurs de la vulnérabilité ou de l'incident mentionné au I de l'article R.
|
||||
2321-1-16. Ce délai ne peut être inférieur à dix jours ouvrables, sauf en cas de
|
||||
risque pour la défense et la sécurité nationale requérant une information des
|
||||
utilisateurs sans délai.<br />
|
||||
|
||||
II. - L'éditeur de logiciel informe les utilisateurs du produit affecté par un
|
||||
message d'information comprenant, le cas échéant, toute recommandation que ces
|
||||
derniers peuvent appliquer. Il rend compte à l'autorité nationale de sécurité
|
||||
des systèmes d'information de l'envoi de ce message.
|
|
@ -0,0 +1,21 @@
|
|||
---
|
||||
État: VIGUEUR
|
||||
Type: AUTONOME
|
||||
Date de début: 2024-06-01
|
||||
Date de fin: 2999-01-01
|
||||
Identifiant: LEGIARTI000049533827
|
||||
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533827.xml
|
||||
---
|
||||
|
||||
###### Article R2321-1-18
|
||||
|
||||
L'injonction adressée par l'autorité nationale de sécurité des systèmes
|
||||
d'information aux éditeurs de logiciel en application du cinquième alinéa de
|
||||
l'article L. 2321-4-1 est motivée et mentionne le délai imparti, qui ne peut
|
||||
être inférieur à dix jours, ainsi que les mesures requises pour s'y conformer.
|
||||
L'éditeur de logiciel peut présenter des observations dans ce délai.
|
||||
L'injonction est notifiée à l'éditeur de logiciel par lettre recommandée avec
|
||||
avis de réception. L'éditeur de logiciel est informé que l'autorité nationale de
|
||||
sécurité des systèmes d'information peut informer les utilisateurs ou rendre
|
||||
public la vulnérabilité ou l'incident ainsi que l'injonction si celle-ci n'a pas
|
||||
été mise en œuvre.
|
|
@ -0,0 +1,20 @@
|
|||
---
|
||||
État: VIGUEUR
|
||||
Type: AUTONOME
|
||||
Date de début: 2024-06-01
|
||||
Date de fin: 2999-01-01
|
||||
Identifiant: LEGIARTI000049533825
|
||||
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533825.xml
|
||||
---
|
||||
|
||||
###### Article R2321-1-19
|
||||
|
||||
En application du cinquième alinéa de l'article L. 2321-4-1, l'autorité
|
||||
nationale de sécurité des systèmes d'information peut :<br />
|
||||
|
||||
1° Procéder à l'information des utilisateurs ou du public, relative à la
|
||||
vulnérabilité ou à l'incident, sur le site du centre gouvernemental de veille,
|
||||
d'alerte et de réponse aux attaques informatiques ;<br />
|
||||
|
||||
2° Rendre publique l'injonction, sur son site Internet, lorsque celle-ci a été
|
||||
partiellement ou totalement inexécutée.
|
|
@ -7,6 +7,4 @@ Identifiant: LEGISCTA000030407287
|
|||
###### Section 2 : Habilitation et assermentation
|
||||
|
||||
- [Article R2321-2](article_r2321-2.md)
|
||||
- [Article R2321-3](article_r2321-3.md)
|
||||
- [Article R2321-4](article_r2321-4.md)
|
||||
- [Article R2321-5](article_r2321-5.md)
|
||||
|
|
|
@ -1,17 +1,17 @@
|
|||
---
|
||||
État: MODIFIE
|
||||
État: VIGUEUR
|
||||
Type: AUTONOME
|
||||
Date de début: 2019-01-01
|
||||
Date de fin: 2024-06-01
|
||||
Identifiant: LEGIARTI000037813157
|
||||
URL: article/LEGI/ARTI/00/00/37/81/31/LEGIARTI000037813157.xml
|
||||
Date de début: 2024-06-01
|
||||
Date de fin: 2999-01-01
|
||||
Identifiant: LEGIARTI000049533869
|
||||
URL: article/LEGI/ARTI/00/00/49/53/38/LEGIARTI000049533869.xml
|
||||
---
|
||||
|
||||
###### Article R2321-2
|
||||
|
||||
Les habilitations prévues aux articles L. 2321-2-1 et L. 2321-3 sont accordées,
|
||||
de manière individuelle, par décision du Premier ministre à des agents de
|
||||
l'Agence nationale de la sécurité des systèmes d'information.<br />
|
||||
Les habilitations prévues aux articles L. 2321-2-1, L. 2321-3 et L. 2321-3-1
|
||||
sont accordées, de manière individuelle, par décision du Premier ministre à des
|
||||
agents de l'Agence nationale de la sécurité des systèmes d'information.<br />
|
||||
|
||||
Nul ne peut être habilité s'il n'a fait l'objet d'une enquête administrative
|
||||
conformément à l'article L. 114-1 du code de la sécurité intérieure. Si besoin,
|
||||
|
|
|
@ -1,18 +0,0 @@
|
|||
---
|
||||
État: ABROGE
|
||||
Type: AUTONOME
|
||||
Date de début: 2015-03-30
|
||||
Date de fin: 2024-06-01
|
||||
Identifiant: LEGIARTI000030407306
|
||||
URL: article/LEGI/ARTI/00/00/30/40/73/LEGIARTI000030407306.xml
|
||||
---
|
||||
|
||||
###### Article R2321-3
|
||||
|
||||
Pour accomplir leur mission prévue à l'article L. 2321-3, les agents habilités
|
||||
de l'Agence nationale de la sécurité des systèmes d'information présentent une
|
||||
commission d'emploi aux opérateurs de communications électroniques. La
|
||||
commission d'emploi mentionne la décision d'habilitation de l'agent.<br />
|
||||
|
||||
Tout agent qui n'est plus habilité remet sans délai sa commission d'emploi à
|
||||
l'Agence nationale de la sécurité des systèmes d'information.
|
|
@ -1,22 +0,0 @@
|
|||
---
|
||||
État: ABROGE
|
||||
Type: AUTONOME
|
||||
Date de début: 2020-01-01
|
||||
Date de fin: 2024-06-01
|
||||
Identifiant: LEGIARTI000039344761
|
||||
URL: article/LEGI/ARTI/00/00/39/34/47/LEGIARTI000039344761.xml
|
||||
---
|
||||
|
||||
###### Article R2321-4
|
||||
|
||||
Les agents habilités de l'Agence nationale de la sécurité des systèmes
|
||||
d'information prêtent devant le tribunal judiciaire dans le ressort duquel ils
|
||||
exercent leurs fonctions le serment suivant : " Je jure de bien et fidèlement
|
||||
remplir la mission pour laquelle je suis habilité et de ne rien révéler ou
|
||||
utiliser de ce qui sera porté à ma connaissance à l'occasion de son exercice.
|
||||
"<br />
|
||||
|
||||
La prestation de serment est enregistrée sans frais au greffe du tribunal.
|
||||
L'acte de ce serment est dispensé de timbre et d'enregistrement. Le greffier du
|
||||
tribunal transcrit gratuitement l'acte de ce serment sur la commission d'emploi
|
||||
mentionnée à l'article R. 2321-3.
|
Loading…
Reference in a new issue