Pour l'application du I de l'article L. 2321-2-3, lorsque l'autorité nationale de sécurité des systèmes d'information demande au titulaire du nom de domaine de prendre les mesures adaptées pour neutraliser la menace, elle lui notifie, par tout moyen tenant compte de la menace et de l'urgence, les mesures techniques correctives à appliquer, le délai dans lequel ces mesures doivent être mises en œuvre ainsi que le moyen de communication à utiliser.
Le titulaire de bonne foi du nom de domaine rend compte à l'autorité nationale de sécurité des systèmes d'information de la mise en œuvre de ces mesures.
I. - Les demandes adressées par l'autorité nationale de sécurité des systèmes d'information aux personnes mentionnées aux 1° et 2° des I et II de l'article L. 2321-2-3 leur sont notifiées par tout moyen tenant compte de la menace et de l'urgence. Elles comprennent :
1° Le nom de domaine concerné ;
2° La nature et la durée de la mesure demandée ;
3° Le délai imparti pour sa mise en œuvre ;
4° Toute autre information technique utile à la mise en œuvre de la mesure.
II. - A l'exception des demandes de renouvellement d'une mesure de redirection mentionnée au troisième alinéa du III de l'article L. 2321-2-3, l'autorité nationale de sécurité des systèmes d'information communique chaque demande mentionnée au I du présent article à l'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse.
III. - Les personnes mentionnées au I mettent en œuvre, par tout moyen tenant compte de la menace et de l'urgence, les mesures demandées et en tiennent informée l'autorité nationale de sécurité des systèmes d'information en lui communiquant les informations techniques relatives à leur mise en œuvre. Elles préservent la confidentialité de toutes les données qui leur sont confiées dans ce cadre.
En application du dernier alinéa du I de l'article L. 2321-2-3, pour mettre fin aux mesures mentionnées au 1° et 2° du I du même article, le titulaire de bonne foi du nom de domaine fournit à l'autorité nationale de sécurité des systèmes d'information :
1° La liste des mesures qu'il a mises en œuvre pour neutraliser la menace ;
2° Tout élément de nature à établir que la menace est neutralisée.
L'autorité nationale de sécurité des systèmes d'information demande, le cas échéant, des informations complémentaires permettant d'établir que la menace est neutralisée.
Lorsque le titulaire de bonne foi du nom de domaine communique des informations complémentaires, l'autorité nationale de sécurité des systèmes d'information les communique à l'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse.
L'analyse des données recueillies en application du IV de l'article L. 2321-2-3 est effectuée dans un délai de trois mois à compter de leur recueil.
Les données directement utiles à la caractérisation des menaces au titre du même IV sont celles liées aux activités de l'attaquant à destination du nom de domaine concerné. Elles ne peuvent être conservées plus de cinq ans à compter de leur recueil.
Les autres données sont détruites dans un délai d'un jour ouvré à compter de leur analyse mentionnée au premier alinéa.
Les surcoûts résultant des obligations mises à la charge des personnes mentionnées au 1° et 2° du I de l'article L. 2321-2-3 du code de la défense font l'objet d'une compensation financière prise en charge par l'Etat selon des modalités sont fixées par arrêté conjoint du Premier ministre et du ministre chargé des communications électroniques.
La compensation correspond à la couverture des surcoûts définis comme suit :
1° Les surcoûts liés à la réalisation de prestations dont la compensation est établie sur la base du montant hors taxes de tarifs fixés par arrêté conjoint du Premier ministre et du ministre chargé des communications électroniques ;
L'Etat procède, sur présentation d'une facture, au paiement des compensations correspondant aux surcoûts justifiés ;
2° Les surcoûts liés à la conception et au déploiement des systèmes d'information ou, le cas échéant, à leur adaptation, permettant le blocage ou la redirection d'un nom de domaine ainsi que les surcoûts liés au fonctionnement et à la maintenance de ces systèmes.
Pour obtenir une compensation, l'opérateur adresse à l'autorité nationale de sécurité des systèmes d'information un document détaillant le nombre et la nature des interventions nécessaires non couvertes par l'arrêté ainsi que le coût de l'investissement éventuellement réalisé.
L'Etat procède, après analyse du document transmis, et sur présentation d'une facture, au paiement des compensations correspondant aux surcoûts justifiés.
Lorsque le système d'information utilisé pour traiter les demandes d'identification émanant de l'autorité nationale de sécurité des systèmes d'information est le même que celui utilisé pour répondre à des demandes émanant d'autres autorités publiques ou judiciaires et que les surcoûts mentionnés au 2° ont déjà fait l'objet, à ce titre, d'une compensation financière de la part de l'Etat, l'opérateur concerné ne peut prétendre à une nouvelle compensation de ces surcoûts.
Source : Légifrance (DILA), Licence Ouverte / Open Licence 2.0.
