Section 1 : Désignation des représentants des fournisseurs de service numérique
Les fournisseurs de service numérique qui, en application du I de l'article 11 de la loi du 26 février 2018 précitée, désignent un représentant sur le territoire national, en informent l'Agence nationale de la sécurité des systèmes d'information en lui communiquant, dans un délai de deux mois à compter de cette désignation, les coordonnées de leur représentant. L'agence en informe les ministres concernés.
Le représentant mentionné au premier alinéa agit au nom du fournisseur de service numérique pour remplir les obligations prévues au présent chapitre. En particulier, il représente le fournisseur auprès de l'agence pour toutes les questions relatives à l'application des dispositions prévues au présent chapitre.
Section 2 : Liste des réseaux et systèmes d'information
Les fournisseurs de service numérique établissent et tiennent à jour la liste des réseaux et systèmes d'information mentionnés à l'article 12 de la loi du 26 février 2018 précitée, auxquels s'appliquent les mesures prévues au même article. Cette liste comprend, le cas échéant, les réseaux et systèmes d'information dont ils ont confié l'exploitation à un tiers, lorsque ces réseaux et systèmes d'information sont nécessaires à la fourniture du service numérique.
Section 3 : Mesures de sécurité
La nature des mesures que les fournisseurs de service numérique sont tenus de mettre en œuvre conformément à l'article 12 de la loi du 26 février 2018 précitée est fixée à l'article 2 du règlement d'exécution du 30 janvier 2018 susvisé.
Les fournisseurs de service numérique tiennent à la disposition de l'Agence nationale de la sécurité des systèmes d'information, notamment en vue des contrôles prévus à la section 5 du présent chapitre, la liste des réseaux et systèmes d'information mentionnée à l'article 17 ainsi que les documents permettant de vérifier la mise en œuvre des mesures mentionnées à l'article 12 de la loi du 26 février 2018 précitée.
Section 4 : Déclaration des incidents de sécurité
Sans préjudice des dispositions sectorielles prévoyant d'autres régimes de déclaration d'incidents, les fournisseurs de service numérique déclarent à l'Agence nationale de la sécurité des systèmes d'information, en application du I de l'article 13 de la loi du 26 février 2018 précitée, tout incident ayant un impact significatif sur la fourniture de leurs services. Pour déterminer si un incident a un impact significatif sur la fourniture de leurs services, les fournisseurs de service numérique prennent en compte les paramètres mentionnés aux articles 3 et 4 du règlement d'exécution du 30 janvier 2018 précité.
Les fournisseurs de service numérique répondent aux demandes d'informations de l'agence concernant l'incident au fur et à mesure de son évolution.
Un arrêté du Premier ministre fixe les modalités de déclaration des incidents.
Après chaque incident mentionné au I de l'article 13 de la loi du 26 février 2018 précitée, l'Agence nationale de la sécurité des systèmes d'information transmet aux ministres concernés une synthèse des informations recueillies.
Elle informe les autorités ou organismes compétents d'autres Etats membres de l'Union européenne des incidents mentionnés au premier alinéa ayant un impact significatif sur les services numériques fournis dans ces Etats.
Dans les conditions prévues par le II de l'article 13 de la loi du 26 février 2018 précitée, le Premier ministre peut demander à l'Agence nationale de la sécurité des systèmes d'information d'informer le public d'un incident mentionné au premier alinéa ou imposer au fournisseur de service numérique concerné de le faire. Dans ce dernier cas, le Premier ministre précise les informations à rendre publiques et le délai pour le faire. Le fournisseur est tenu de mettre à la disposition du public ces informations au moyen du site internet utilisé pour la fourniture du service, sauf si ce site est indisponible en raison de l'incident, de manière que ces informations soient présentées aux utilisateurs lorsqu'ils accèdent au service.
Section 5 : Contrôles de sécurité
Le Premier ministre notifie aux fournisseurs de service numérique sa décision d'imposer un contrôle prévu à l'article 14 de la loi du 26 février 2018 précitée. Il précise les objectifs et le périmètre du contrôle et fixe le délai dans lequel le contrôle est réalisé. Il indique, en fonction de la nature des opérations à mener, si ce contrôle est effectué par l'Agence nationale de la sécurité des systèmes d'information ou par un prestataire de service qualifié. Dans ce dernier cas, le fournisseur de service numérique choisit le prestataire sur la liste qui lui est communiquée et en informe sans délai l'agence.
Pour la réalisation du contrôle, le fournisseur de service numérique conclut une convention avec l'Agence nationale de la sécurité des systèmes d'information ou le prestataire de service chargé d'effectuer le contrôle. Cette convention précise notamment :
1° Les objectifs et le périmètre du contrôle ;
2° Les modalités du déroulement du contrôle et le délai dans lequel il est réalisé ;
3° Les conditions dans lesquelles l'agence ou le prestataire accède aux réseaux et systèmes d'information et effectue les analyses et les relevés d'informations techniques ;
4° Les informations et éléments, notamment la documentation technique des matériels et des logiciels, que le fournisseur de service numérique communique à l'agence ou au prestataire pour la réalisation du contrôle ;
5° Les conditions de protection de la confidentialité des informations traitées dans le cadre du contrôle.
La convention est conclue dans des délais compatibles avec le délai fixé par le Premier ministre pour la réalisation du contrôle.
Lorsque le contrôle est effectué par un prestataire, le fournisseur de service numérique adresse sans délai une copie de la convention signée à l'agence.
A l'issue du contrôle, l'Agence nationale de la sécurité des systèmes d'information ou le prestataire ayant réalisé le contrôle rédige un rapport exposant ses constatations, au regard de l'objectif du contrôle, sur le respect des obligations prévues aux articles 12 et 13 de la loi du 26 février 2018 précitée et sur le niveau de sécurité des réseaux et systèmes d'information contrôlés. Les manquements à ces obligations et les vulnérabilités des réseaux et systèmes d'information constatés lors du contrôle sont indiqués dans le rapport, qui formule le cas échéant des recommandations pour y remédier.
L'agence ou le prestataire ayant réalisé le contrôle met le fournisseur de service numérique en mesure de faire valoir ses observations sur le rapport mentionné au premier alinéa.
Lorsque le contrôle est effectué par un prestataire, celui-ci communique à l'agence, dans le délai fixé pour la réalisation du contrôle, le rapport mentionné au premier alinéa et, le cas échéant, les observations du fournisseur de service numérique. L'agence peut auditionner, dans un délai de deux mois à compter de la communication du rapport, le prestataire ayant effectué le contrôle, en présence du fournisseur de service numérique, si celui-ci a formulé des observations ou si elle l'y convie, et d'un représentant des ministres concernés si ceux-ci en ont exprimé le souhait, pour examiner les constatations et les recommandations figurant dans le rapport.
L'Agence nationale de la sécurité des systèmes d'information communique aux ministres concernés les conclusions du contrôle.
Source : Légifrance (DILA), Licence Ouverte / Open Licence 2.0.
