SECTION 1 : HABILITATION DES ORGANISMES QUI PROCEDENT A LA QUALIFICATION DES PRESTATAIRES DE SERVICES DE CONFIANCE
I. ― L'habilitation des organismes qui procèdent à la qualification des prestataires de services de confiance prévue par l'article 9 de l'ordonnance du 8 décembre 2005 susvisée est délivrée par le directeur général de l'Agence nationale de la sécurité des systèmes d'information, après vérification :
1° De l'accréditation de l'organisme selon les normes et règles en vigueur, notamment en matière d'impartialité, de responsabilité et de confidentialité. Cette accréditation est délivrée par une instance d'accréditation mentionnée à l'article L. 115-28 du code de la consommation ; et
2° De la compétence technique de l'organisme à conduire l'évaluation de fonctions de sécurité mises en œuvre par un prestataire de services de confiance au regard des règles du référentiel général de sécurité. Cette compétence est appréciée par l'Agence nationale de la sécurité des systèmes d'information à partir d'un audit des moyens, des ressources et de l'expérience de l'organisme.
II. ― L'habilitation est valable pour une durée maximale de trois ans renouvelable. Elle peut énoncer des obligations particulières auxquelles est soumis l'organisme bénéficiaire.
L'Agence nationale de la sécurité des systèmes d'information est informée par l'instance d'accréditation, dans les meilleurs délais, de toute décision d'octroi, de restriction, de refus, de retrait ou de suspension d'accréditation prise dans le cadre des présentes dispositions.
La demande d'habilitation prévue à la présente section est adressée à l'Agence nationale de la sécurité des systèmes d'information.
L'Agence nationale de la sécurité des systèmes d'information peut s'assurer à tout moment que l'organisme satisfait aux critères et aux obligations fixées par la décision d'habilitation. En cas de manquement, le directeur général de l'Agence nationale de la sécurité des systèmes d'information peut suspendre ou retirer l'habilitation, après qu'un représentant de l'organisme habilité a pu faire valoir ses observations.
L'Agence nationale de la sécurité des systèmes d'information met à la disposition du public par voie électronique la liste des organismes habilités.
SECTION 2 : QUALIFICATION DES PRESTATAIRES DE SERVICES DE CONFIANCE PAR DES ORGANISMES HABILITES
Un prestataire de services de confiance peut recevoir une qualification qui atteste de la conformité des services à un niveau de sécurité défini par le référentiel général de sécurité. Il adresse sa demande auprès d'un organisme habilité dans les conditions prévues à la section précédente. L'organisme habilité évalue la conformité des fonctions de sécurité mises en œuvre par le service offert par le prestataire au regard des règles du référentiel général de sécurité correspondant au niveau de sécurité pour lequel la demande de qualification a été faite. L'organisme adresse un rapport d'évaluation à l'Agence nationale de la sécurité des systèmes d'information.
Lorsqu'il prononce la qualification, l'organisme habilité délivre à cet effet au prestataire une attestation précisant les fonctions de sécurité couvertes par la qualification et les conditions s'y attachant. La qualification est valable pour une durée maximale de trois ans et peut être renouvelée dans les mêmes conditions. L'organisme habilité rend publiques les attestations de qualification qu'il délivre.
Lorsque l'organisme habilité décide de suspendre ou de retirer une qualification ou d'en modifier les conditions, il informe sans délai des raisons à l'origine de ces décisions l'Agence nationale de la sécurité des systèmes d'information. Il rend publique cette décision.
Lorsqu'elles recourent à un prestataire de services de confiance qualifié dans les conditions du présent chapitre, les administrations de l'Etat en informent l'Agence nationale de la sécurité des systèmes d'information.
Une autorité administrative qui agit comme prestataire de services de confiance pour ses besoins propres ou au profit d'autres autorités administratives peut être qualifiée par un organisme habilité, dans les conditions du présent chapitre.
Lorsque le prestataire de services de confiance est une administration de l'Etat, il doit solliciter au préalable l'avis de l'Agence nationale de la sécurité des systèmes d'information, qui peut proposer de procéder elle-même à l'évaluation des fonctions de sécurité mises en œuvre par cette autorité en vue de sa qualification. Dans ce cas, le directeur général de l'Agence nationale de la sécurité des systèmes d'information délivre la qualification et décide, le cas échéant, de sa suspension ou de son retrait lorsque les conditions s'y attachant ne sont plus satisfaites.
Source : Légifrance (DILA), Licence Ouverte / Open Licence 2.0.
