Article R2321-1
L'autorité nationale de sécurité des systèmes d'information mentionnée à l'article L. 2321-1 est l'Agence nationale de la sécurité des systèmes d'information.
Code de la défense. TITRE II : SÉCURITÉ DES SYSTÈMES D'INFORMATION
Chapitre Ier : Responsabilités
Section 1 : Autorité nationale de sécurité des systèmes d'information
Sous-section 1 : Mise en œuvre des dispositifs exploitant des marqueurs techniques ou permettant le recueil de données
Article R2321-1-1
I. − Les dispositifs prévus au 1° du L. 2321-2-1 exploitant les marqueurs techniques définis à l'article R. 2321-1-4 permettent la détection des communications et programmes informatiques malveillants ainsi que le recueil et l'analyse des seules données techniques nécessaires à la prévention et à la caractérisation de la menace. II. − Les dispositifs prévus au 2° du L. 2321-2-1 permettent : 1° Le recueil des données relatives aux communications électroniques émises et reçues par un équipement affecté par la menace ; 2° Ou le recueil de données sur un équipement affecté par la menace.
Article R2321-1-2
I. - La décision de mettre en œuvre les dispositifs mentionnés au I de l'article R. 2321-1-1 est notifiée par l'autorité nationale de sécurité des systèmes d'information à l'opérateur de communications électroniques, à la personne mentionnée au 1 ou 2 du I de l'article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique ou à l'opérateur de centre de données, et communiquée à l'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse. II. - La décision de mettre en œuvre les dispositifs mentionnés au II de l'article R. 2321-1-1 ne peut être notifiée aux personnes mentionnées à l'alinéa précédent qu'après avis conforme de l'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse pour la mise en œuvre de ces dispositifs. Cette décision est également notifiée à cette autorité. III. - La décision de mettre en œuvre les dispositifs mentionnés au I ou au 1° du II de l'article R. 2321-1-1 est accompagnée d'un cahier des charges élaboré, le cas échéant, après concertation avec les personnes destinataires. Ce cahier des charges précise : 1° Le type de dispositif mis en œuvre et le réseau ou le système d'information concerné ; 2° Les conditions techniques d'organisation et de fonctionnement nécessaires à la mise en œuvre de ces dispositifs ; 3° Le délai dans lequel ils sont mis en œuvre et la durée de leur mise en œuvre. Le cahier des charges peut prévoir une phase de test préalable sur les réseaux ou systèmes d'information concernés.
Article R2321-1-3
Les dispositifs mentionnés au I ou au 1° du II de l'article R. 2321-1-1 sont mis en œuvre pour une période maximale de trois mois. En cas de persistance de la menace la décision de mettre en œuvre ces dispositifs peut être renouvelée pour une même durée et dans les mêmes conditions que la décision initiale.
Article R2321-1-4
Les marqueurs techniques exploités par les dispositifs mentionnés au I de l'article R. 2321-1-1 sont des éléments techniques caractéristiques d'un mode opératoire d'attaque informatique, permettant de détecter une activité malveillante ou d'identifier une menace susceptible d'affecter la sécurité des systèmes d'information.
Article R2321-1-5
L'analyse des données recueillies lors de la mise en œuvre des dispositifs mentionnés au II de l'article R. 2321-1-1 est effectuée par les agents mentionnés au cinquième alinéa de l'article L. 2321-2-1, dans un délai de trois mois à compter de leur recueil. Les informations et les catégories de données directement utiles à la prévention et à la caractérisation des menaces concernent : 1° Les communications électroniques liées aux activités de l'attaquant ; 2° Les données système, liées à l'attaquant. Les données qui ne relèvent pas de ces catégories sont détruites dans un délai d'un jour ouvré à compter de leur analyse mentionnée au premier alinéa. Les données directement utiles à la prévention et à la caractérisation des menaces ne peuvent être conservées plus de deux ans à compter de leur collecte.
Article R2321-1-6
Les surcoûts spécifiques et identifiables supportés par les personnes mentionnées au I de l'article R. 2321-1-2 et résultant des obligations de l'article L. 2321-2-1 font l'objet d'une compensation financière prise en charge par l'Etat. La compensation correspond à la couverture des surcoûts définis comme suit : 1° Les surcoûts liés à la réalisation de prestations dont la compensation est établie sur la base du montant hors taxes de tarifs fixés par arrêté conjoint du Premier ministre et du ministre chargé des communications électroniques ; L'Etat procède, sur présentation d'une facture, au paiement des compensations correspondant aux surcoûts justifiés ; 2° Les surcoûts liés à la conception et au déploiement des systèmes d'information ou, le cas échéant, à leur adaptation, permettant la mise en place d'un dispositif exploitant des marqueurs techniques ou le recueil des données ainsi que les surcoûts liés au fonctionnement et à la maintenance de ces systèmes. Pour obtenir une compensation, l'opérateur adresse à l'autorité nationale de sécurité des systèmes d'information un document assorti des justificatifs nécessaires permettant d'établir le nombre et la nature des interventions nécessaires non couvertes par l'arrêté mentionné au 1°. L'Etat procède, après analyse du document transmis, et sur présentation d'une facture, au paiement des compensations correspondant aux surcoûts justifiés.
Sous-section 2 : Blocage, enregistrement, suspension, transfert et redirection de nom de domaine
Article R2321-1-7
Pour l'application du I de l'article L. 2321-2-3, lorsque l'autorité nationale de sécurité des systèmes d'information demande au titulaire du nom de domaine de prendre les mesures adaptées pour neutraliser la menace, elle lui notifie, par tout moyen tenant compte de la menace et de l'urgence, les mesures techniques correctives à appliquer, le délai dans lequel ces mesures doivent être mises en œuvre ainsi que le moyen de communication à utiliser. Le titulaire de bonne foi du nom de domaine rend compte à l'autorité nationale de sécurité des systèmes d'information de la mise en œuvre de ces mesures.
Article R2321-1-8
I. - Les demandes adressées par l'autorité nationale de sécurité des systèmes d'information aux personnes mentionnées aux 1° et 2° des I et II de l'article L. 2321-2-3 leur sont notifiées par tout moyen tenant compte de la menace et de l'urgence. Elles comprennent : 1° Le nom de domaine concerné ; 2° La nature et la durée de la mesure demandée ; 3° Le délai imparti pour sa mise en œuvre ; 4° Toute autre information technique utile à la mise en œuvre de la mesure. II. - A l'exception des demandes de renouvellement d'une mesure de redirection mentionnée au troisième alinéa du III de l'article L. 2321-2-3, l'autorité nationale de sécurité des systèmes d'information communique chaque demande mentionnée au I du présent article à l'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse. III. - Les personnes mentionnées au I mettent en œuvre, par tout moyen tenant compte de la menace et de l'urgence, les mesures demandées et en tiennent informée l'autorité nationale de sécurité des systèmes d'information en lui communiquant les informations techniques relatives à leur mise en œuvre. Elles préservent la confidentialité de toutes les données qui leur sont confiées dans ce cadre.
Article R2321-1-9
En application du dernier alinéa du I de l'article L. 2321-2-3, pour mettre fin aux mesures mentionnées au 1° et 2° du I du même article, le titulaire de bonne foi du nom de domaine fournit à l'autorité nationale de sécurité des systèmes d'information : 1° La liste des mesures qu'il a mises en œuvre pour neutraliser la menace ; 2° Tout élément de nature à établir que la menace est neutralisée. L'autorité nationale de sécurité des systèmes d'information demande, le cas échéant, des informations complémentaires permettant d'établir que la menace est neutralisée. Lorsque le titulaire de bonne foi du nom de domaine communique des informations complémentaires, l'autorité nationale de sécurité des systèmes d'information les communique à l'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse.
Article R2321-1-10
L'analyse des données recueillies en application du IV de l'article L. 2321-2-3 est effectuée dans un délai de trois mois à compter de leur recueil. Les données directement utiles à la caractérisation des menaces au titre du même IV sont celles liées aux activités de l'attaquant à destination du nom de domaine concerné. Elles ne peuvent être conservées plus de cinq ans à compter de leur recueil. Les autres données sont détruites dans un délai d'un jour ouvré à compter de leur analyse mentionnée au premier alinéa.
Article R2321-1-11
Les surcoûts résultant des obligations mises à la charge des personnes mentionnées au 1° et 2° du I de l'article L. 2321-2-3 du code de la défense font l'objet d'une compensation financière prise en charge par l'Etat selon des modalités sont fixées par arrêté conjoint du Premier ministre et du ministre chargé des communications électroniques. La compensation correspond à la couverture des surcoûts définis comme suit : 1° Les surcoûts liés à la réalisation de prestations dont la compensation est établie sur la base du montant hors taxes de tarifs fixés par arrêté conjoint du Premier ministre et du ministre chargé des communications électroniques ; L'Etat procède, sur présentation d'une facture, au paiement des compensations correspondant aux surcoûts justifiés ; 2° Les surcoûts liés à la conception et au déploiement des systèmes d'information ou, le cas échéant, à leur adaptation, permettant le blocage ou la redirection d'un nom de domaine ainsi que les surcoûts liés au fonctionnement et à la maintenance de ces systèmes. Pour obtenir une compensation, l'opérateur adresse à l'autorité nationale de sécurité des systèmes d'information un document détaillant le nombre et la nature des interventions nécessaires non couvertes par l'arrêté ainsi que le coût de l'investissement éventuellement réalisé. L'Etat procède, après analyse du document transmis, et sur présentation d'une facture, au paiement des compensations correspondant aux surcoûts justifiés. Lorsque le système d'information utilisé pour traiter les demandes d'identification émanant de l'autorité nationale de sécurité des systèmes d'information est le même que celui utilisé pour répondre à des demandes émanant d'autres autorités publiques ou judiciaires et que les surcoûts mentionnés au 2° ont déjà fait l'objet, à ce titre, d'une compensation financière de la part de l'Etat, l'opérateur concerné ne peut prétendre à une nouvelle compensation de ces surcoûts.
Sous-section 3 : Communication de données
Article R2321-1-12
Les fournisseurs de système de résolution de noms de domaine transmettent aux agents mentionnés au premier alinéa de l'article L. 2321-3-1 les données techniques suivantes : 1° Les enregistrements issus des serveurs gérant le système d'adressage par domaine, incluant le nom de domaine, le type d'enregistrement, sa durée de vie et sa valeur ; 2° L'horodatage de ces enregistrements.
Article R2321-1-13
I. - En application de l'article L. 2321-3-1, les conditions de transmission des données techniques mentionnées à l'article R. 2321-1-12 sont précisées par une décision de l'autorité nationale de sécurité des systèmes d'information qu'elle notifie au fournisseur de système de résolution de noms de domaine. Cette décision tient compte des contraintes techniques du fournisseur de système de résolution de noms de domaine et mentionne : 1° La fréquence du relevé, au moins quotidienne, des données mentionnées à l'article R. 2321-1-12 ; 2° Le mode de transmission de ces données ; 3° Le format de ces données établi sur la base d'une documentation fournie à l'autorité nationale de sécurité des systèmes d'information par le fournisseur de système de résolution de noms de domaine ; 4° La fréquence de transmission de ces données, au moins hebdomadaire. II. - La décision mentionnée au I est communiquée à l'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse.
Sous-section 4 : Dispositifs de compensation et de traçabilité
Article R2321-1-14
Les surcoûts liés à la conception et au déploiement des systèmes d'information ou, le cas échéant, à leur adaptation, permettant la communication des informations mentionnées à l'alinéa premier de l'article L. 2321-3 ainsi que les surcoûts liés au fonctionnement et à la maintenance de ces systèmes, supportés par les personnes mentionnées au 2 du I de l'article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique, font l'objet d'une compensation financière prise en charge par l'Etat selon des modalités fixées par arrêté du Premier ministre. La compensation est établie sur la base du montant hors taxes de tarifs fixés par arrêté du Premier ministre. L'Etat procède, sur présentation d'une facture, détaillant les prestations fournies par les personnes mentionnées au premier alinéa, au paiement correspondant aux surcoûts justifiés.
Article R2321-1-15
Les dispositifs de traçabilité des données collectées en application du premier alinéa de l'article L. 2321-3, des articles R. 2321-1-1, R. 2321-1-5, R. 2321-1-10, R. 2321-1-14 et de l'article R. 9-12-3 du code des postes et des communications électroniques garantissent l'identification des agents de l'autorité nationale de sécurité des systèmes d'information qui ont eu accès aux données collectées. Ces dispositifs enregistrent également les modifications effectuées sur les données, dont leur suppression.
Sous-section 5 : Signalement de vulnérabilités et incidents par les éditeurs de logiciels
Article R2321-1-16
I. - Lorsque l'éditeur de logiciel mentionné à l'article L. 2321-4-1 a connaissance d'une vulnérabilité affectant un de ses produits ou en cas d'incident informatique compromettant la sécurité de son système d'information et susceptible d'affecter un de ses produits, il en apprécie le caractère significatif, notamment au regard des critères suivants : 1° Le nombre d'utilisateurs concernés par la vulnérabilité ou l'incident affectant le produit ; 2° Le nombre de produits intégrant le produit affecté ; 3° L'impact technique, potentiel ou actuel, de la vulnérabilité ou de l'incident sur le fonctionnement attendu du produit. Selon les fonctionnalités du produit, cet impact est évalué au regard de critères de sécurité tels que la disponibilité, l'intégrité, la confidentialité ou la traçabilité ; 4° Le type de produit au regard de ses usages et de l'environnement dans lequel il est déployé ; 5° L'exploitation imminente ou avérée de la vulnérabilité ; 6° L'existence d'une preuve technique d'exploitabilité ou d'un code d'exploitation. II. - S'il constate que la vulnérabilité ou l'incident est significatif, l'éditeur de logiciel le notifie l'autorité nationale de sécurité des systèmes d'information La notification comporte les informations utiles à la compréhension de la vulnérabilité ou de l'incident mentionné au I. Lorsque la vulnérabilité ou l'incident a été notifié par l'autorité nationale de sécurité des systèmes d'information à l'éditeur de logiciel ce dernier dispose d'un délai fixé par cette autorité pour apprécier son caractère significatif. Ce délai ne peut être inférieur à 48 heures. III. - L'éditeur de logiciel complète à cet effet le formulaire de déclaration mis à disposition sur le site internet de l'autorité nationale de sécurité des systèmes d'information et adresse les informations complémentaires au fur et à mesure de son analyse. Il répond aux demandes d'informations supplémentaires de l'autorité nationale de sécurité des systèmes d'information. Il met en œuvre, le cas échéant, les mesures utiles requises afin de sécuriser la vulnérabilité ou l'incident mentionné au I.
Article R2321-1-17
I. - Après analyse conjointe de la vulnérabilité ou de l'incident mentionné au I de l'article R. 2321-1-16 avec l'éditeur, l'autorité nationale de sécurité des systèmes d'information notifie à ce dernier le délai dans lequel il informe ses utilisateurs de la vulnérabilité ou de l'incident mentionné au I de l'article R. 2321-1-16. Ce délai ne peut être inférieur à dix jours ouvrables, sauf en cas de risque pour la défense et la sécurité nationale requérant une information des utilisateurs sans délai. II. - L'éditeur de logiciel informe les utilisateurs du produit affecté par un message d'information comprenant, le cas échéant, toute recommandation que ces derniers peuvent appliquer. Il rend compte à l'autorité nationale de sécurité des systèmes d'information de l'envoi de ce message.
Article R2321-1-18
L'injonction adressée par l'autorité nationale de sécurité des systèmes d'information aux éditeurs de logiciel en application du cinquième alinéa de l'article L. 2321-4-1 est motivée et mentionne le délai imparti, qui ne peut être inférieur à dix jours, ainsi que les mesures requises pour s'y conformer. L'éditeur de logiciel peut présenter des observations dans ce délai. L'injonction est notifiée à l'éditeur de logiciel par lettre recommandée avec avis de réception. L'éditeur de logiciel est informé que l'autorité nationale de sécurité des systèmes d'information peut informer les utilisateurs ou rendre public la vulnérabilité ou l'incident ainsi que l'injonction si celle-ci n'a pas été mise en œuvre.
Article R2321-1-19
En application du cinquième alinéa de l'article L. 2321-4-1, l'autorité nationale de sécurité des systèmes d'information peut : 1° Procéder à l'information des utilisateurs ou du public, relative à la vulnérabilité ou à l'incident, sur le site du centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques ; 2° Rendre publique l'injonction, sur son site Internet, lorsque celle-ci a été partiellement ou totalement inexécutée.
Section 2 : Habilitation et assermentation
Article R2321-2
Les habilitations prévues aux articles L. 2321-2-1, L. 2321-3 et L. 2321-3-1 sont accordées, de manière individuelle, par décision du Premier ministre à des agents de l'Agence nationale de la sécurité des systèmes d'information. Nul ne peut être habilité s'il n'a fait l'objet d'une enquête administrative conformément à l'article L. 114-1 du code de la sécurité intérieure. Si besoin, l'enquête administrative peut être reconduite pendant la période d'habilitation de l'agent. Toutefois, l'enquête administrative n'est pas requise lorsque l'agent est déjà titulaire de l'habilitation prévue à l'article R. 2311-7. L'habilitation peut être retirée à tout moment par décision du Premier ministre. Elle prend fin lorsque son titulaire n'exerce plus les fonctions à raison desquelles il a été habilité.
Article R2321-5
Les agents habilités de l'Agence nationale de la sécurité des systèmes d'information veillent à la protection des informations à caractère secret qui sont recueillies dans le cadre de leur mission prévue à l'article L. 2321-3 et dont la révélation est réprimée par les dispositions de l'article 226-13 du code pénal. La transmission des informations mentionnées à l'article L. 2321-3 par les opérateurs de communications électroniques aux agents habilités de l'Agence nationale de la sécurité des systèmes d'information est effectuée selon des modalités assurant la sécurité, l'intégrité et le suivi de ces informations.
Chapitre II : Cryptologie
Article R2322-1
Les règles relatives à la définition, aux moyens, aux conventions et à l'utilisation de la cryptologie sont définies par le décret n° 2007-663 du 2 mai 2007 pris pour l'application des articles 30, 31 et 36 de la loi n° 2004-575 du 21 juin 2004.
Chapitre III : Service public réglementé de radionavigation par satellite
Article R2323-1
Au sens du présent chapitre, on entend par : 1° “ Service public réglementé ” : le service public réglementé offert par le système mondial de radionavigation par satellite issu du programme européen Galileo, mentionné à l'article L. 2323-1 ; 2° “ Equipements ” : les modules de sécurité et les récepteurs, les outils servant à l'essai, à la qualification et au fonctionnement des modules de sécurité ou des récepteurs du service public réglementé ; 3° “ Technologies ” : les logiciels, le matériel et l'information, dont les clés, nécessaires à la recherche, au développement, à la conception, à la qualification, à la production ou à l'utilisation d'équipements ; 4° “ Biens conçus pour le service public réglementé ” : les biens matériels et immatériels, qui consistent en des équipements et des technologies ; 5° “ Accès au service public réglementé ” : l'utilisation et la détention de biens conçus pour le service public réglementé, y compris la mise en service des équipements et les opérations visant à tester, à leurrer ou à brouiller le service public réglementé ; 6° “ Communauté d'utilisateurs ” : un ensemble d'utilisateurs du service public réglementé, résidant ou établis sur le territoire français, dont l'organisation et le fonctionnement sont conformes aux normes minimales communes adoptées en application de l'article 8 de la décision n° 1104/2011/ UE du Parlement européen et du Conseil du 25 octobre 2011 relative aux modalités d'accès au service public réglementé offert par le système mondial de radionavigation par satellite issu du programme Galileo.
Article R2323-2
L'autorisation prévue à l'article L. 2323-1 est délivrée par le Premier ministre.
Article R2323-3
Les demandes d'autorisation sont déposées auprès de l'autorité mentionnée à l'article R. * 1132-3, autorité responsable du service public réglementé. Elles comportent : 1° Les nom, prénom et adresse du demandeur, s'il est une personne physique, ou sa raison sociale ou sa dénomination et l'adresse de son siège social, s'il est une personne morale ; 2° L'objet de la demande et les caractéristiques techniques des équipements et technologies concernés, accompagnés d'une documentation technique ; 3° Les lieux prévus pour l'exercice de l'activité objet de la demande, notamment l'adresse de l'établissement principal et des établissements secondaires concernés ; 4° Selon le type d'autorisation sollicitée au titre de l'article L. 2323-1 : a) En cas de demande tendant à l'accès au service public réglementé, la communauté d'utilisateurs représentée par le demandeur ; b) En cas de demande tendant au développement et à la fabrication d'équipements conçus pour ce service, y compris l'intégration des modules de sécurité dans d'autres équipements, la communauté d'utilisateurs à laquelle sont destinés ces équipements ; c) En cas de demande tendant à l'exportation d'équipements et de technologies conçus pour ce service, la finalité de l'opération, les nom, prénom et adresse du destinataire, s'il est une personne physique, ou sa raison sociale ou sa dénomination et l'adresse de son siège social, s'il est une personne morale, et, le cas échéant, l'adresse de l'établissement destinataire ; 5° L'engagement de respecter les règles de sécurité et de confidentialité inhérentes, selon le cas, à l'accès au service public réglementé ou à la fabrication ou détention des biens et équipements et de se soumettre aux contrôles et audits nécessaires à la vérification du respect des indications fournies dans la demande et des conditions de l'autorisation.
Article R2323-4
L'autorisation mentionnée à l'article R. 2323-2 indique : 1° Les nom, prénom et adresse du titulaire, s'il est une personne physique, ou sa raison sociale ou sa dénomination et son siège social, s'il est une personne morale, et, le cas échéant, la communauté d'utilisateurs qu'il représente ; 2° L'objet de l'autorisation et, lorsqu'il s'agit d'un accès au service réglementé, sa finalité ; 3° Les lieux d'exercice de l'activité autorisée ; 4° Sa durée de validité. Celle-ci peut être limitée à la réalisation d'une opération ou délivrée pour une durée n'excédant pas cinq ans. L'autorisation est renouvelable selon la même procédure ; 5° Le cas échéant, les conditions ou restrictions dont elle est assortie. Celles-ci peuvent porter sur les caractéristiques techniques ou sur les performances des biens conçus pour le service public réglementé, sur leur destination ou sur leur utilisation finale, sur les aspects commerciaux ou contractuels, ou sur la réalisation d'une opération.
Article R2323-5
L'autorisation peut être refusée pour des raisons d'ordre public, de défense ou de sécurité nationales, de respect des engagements internationaux de la France ou des normes minimales communes adoptées en application de l'article 8 de la décision du 25 octobre 2011 précitée, notamment en ce qui concerne la sécurité du service public réglementé et la protection des informations relatives à ce service. En application du 4° de l'article L. 231-4 du code des relations entre le public et l'administration, le silence gardé pendant deux mois par le Premier ministre sur une demande d'autorisation vaut décision de rejet.
Article R2323-6
L'accès au service public réglementé mentionné au a du 4° de l'article R. 2323-3 est autorisé pour une communauté d'utilisateurs ayant préalablement fait l'objet d'un agrément délivré par le Premier ministre, au regard du respect des normes minimales communes adoptées en application de l'article 8 de la décision du 25 octobre 2011 précitée. La demande d'agrément est déposée auprès de l'autorité mentionnée à l'article R. * 1132-3. Elle comporte : 1° La dénomination de la communauté ; 2° Les nom, prénom et adresse de la personne qui représente l'ensemble des utilisateurs de la communauté ; 3° L'identification des utilisateurs, individuellement ou par catégorie ; 4° Les conditions de gestion et d'utilisation des équipements et technologies ; 5° La désignation des responsables de la distribution des clés et du suivi des biens conçus pour le service public réglementé au sein de la communauté d'utilisateurs.
Article R2323-7
En application du 4° de l'article L. 231-4 du code des relations entre le public et l'administration, le silence gardé pendant deux mois par le Premier ministre sur une demande d'agrément vaut décision de rejet. Lorsque la communauté d'utilisateurs ne remplit plus les conditions de la délivrance de cet agrément, celui-ci peut être suspendu, modifié ou abrogé par le Premier ministre, après que le représentant de la communauté a été mis à même de faire valoir ses observations, dans un délai de quinze jours, selon les modalités prévues à l'article L. 122-1 du même code.
Article R2323-8
L'autorité responsable du service public réglementé s'assure du respect des règles de sécurité et de confidentialité par les communautés d'utilisateurs. A cette fin, le titulaire de l'autorisation remplit un registre recensant : 1° L'inventaire des biens conçus pour le service public réglementé en sa possession ou sous son contrôle ; 2° En cas d'opération d'exportation ou de transfert intracommunautaire prévu à l'article R. 2323-11, l'objet et la date de celle-ci ; 3° Les nom, prénom et adresse du destinataire de l'exportation ou transfert, s'il est une personne physique, ou sa raison sociale ou sa dénomination et l'adresse de son siège social, s'il est une personne morale ; 4° L'adresse de l'établissement destinataire. Le titulaire de l'autorisation transmet à l'autorité responsable toutes pièces justificatives lui permettant de s'assurer du respect des conditions de l'autorisation. Des inspections, contrôles ou audits, sur pièces ou sur place, peuvent être organisés par cette autorité pour vérifier la cohérence entre, d'une part, les autorisations détenues, les conditions et restrictions dont elles sont assorties et les registres tenus par leurs titulaires et, d'autre part, les informations et pièces justificatives transmises à l'administration ou sollicitées par cette dernière. Le contrôle ou audit est réalisé par des agents désignés par le Premier ministre à cet effet.
Article R2323-9
La modification, l'abrogation ou le retrait de l'autorisation ne peut intervenir qu'après que le titulaire de l'autorisation a été mis à même de faire valoir ses observations à l'autorité responsable, dans un délai de quinze jours, selon les modalités prévues à l'article L. 122-1 du code des relations entre le public et l'administration. En cas d'urgence, le Premier ministre peut suspendre l'autorisation sans délai.
Article R2323-10
Tout recours contentieux formé à l'encontre des décisions individuelles prises sur le fondement du présent chapitre est précédé d'un recours administratif préalable formé auprès du Premier ministre.
Article R2323-11
Toute opération de transfert d'équipements ou de technologies conçus pour le service public réglementé réalisée depuis la France vers les autres Etats membres de l'Union européenne doit être précédée d'une déclaration au Premier ministre dans un délai minimum de trente jours avant la date à laquelle est envisagé le début de l'opération. La déclaration comporte : 1° Les nom, prénom et adresse du destinataire, s'il est une personne physique, ou sa raison sociale ou sa dénomination et son siège social, s'il est une personne morale, et, le cas échéant, l'adresse de l'établissement destinataire ; 2° L'objet du transfert et les caractéristiques techniques des équipements et technologies concernés. En cas d'incompatibilité entre l'opération de transfert déclarée et les normes minimales communes adoptées en application de l'article 8 de la décision du 25 octobre 2011 précitée, le Premier ministre informe l'auteur de la déclaration que la réalisation de l'opération prévue est susceptible d'entraîner la suspension, la modification, l'abrogation ou le retrait de l'autorisation prévus à l'article L. 2321-1.
Article R2323-12
Les dispositions du présent chapitre s'appliquent sans préjudice de celles du chapitre V du titre III du présent livre et du décret n° 2001-1192 du 13 décembre 2001 relatif au contrôle à l'exportation, à l'importation et au transfert de biens et technologies à double usage.
回 Code de la défense. 全文
本頁條文逐字來自該國官方公開資料，出處見署名列。
Source : Légifrance (DILA), Licence Ouverte / Open Licence 2.0.