Décret n° 2018-384 du 23 mai 2018 relatif à la sécurité des réseaux et systèmes d'information des opérateurs de services essentiels et des fournisseurs de service numérique
Source: Journal Officiel de la République Française  (JORF) 2018-05-25

num: Article 1
paragraphs: La liste des services essentiels au fonctionnement de la société ou de l'économie mentionnés à l'article 5 de la loi du 26 février 2018 susvisée figure à l'annexe au présent décret.
num: Article 2
paragraphs: Sont désignés opérateurs de services essentiels, en application de l'article 5 de la loi du 26 février 2018 précitée, les opérateurs fournissant au moins un service mentionné à l'annexe au présent décret lorsque des réseaux et systèmes d'information sont nécessaires à la fourniture de ce service et qu'un incident affectant ces réseaux et systèmes aurait, sur la fourniture de ce service, des conséquences graves, appréciées au regard des critères suivants :
1° Le nombre d'utilisateurs dépendant du service ;
2° La dépendance des autres secteurs d'activités figurant à l'annexe au présent décret à l'égard du service ;
3° Les conséquences qu'un incident pourrait avoir, en termes de gravité et de durée, sur le fonctionnement de l'économie ou de la société ou sur la sécurité publique ;
4° La part de marché de l'opérateur ;
5° La portée géographique eu égard à la zone susceptible d'être touchée par un incident ;
6° L'importance que revêt l'opérateur pour assurer un niveau de service suffisant, compte tenu de la disponibilité de moyens alternatifs pour la fourniture du service ;
7° Le cas échéant, des facteurs sectoriels.
num: Article 3
paragraphs: Les opérateurs de services essentiels sont désignés par arrêté du Premier ministre. Cet arrêté mentionne les services essentiels au fonctionnement de la société ou de l'économie fournis par l'opérateur.
Le Premier ministre notifie à chaque opérateur concerné son intention de le désigner comme opérateur de services essentiels. L'opérateur dispose d'un délai d'un mois à compter de cette notification pour présenter ses observations.
Lorsque l'opérateur dont la désignation est envisagée fournit un service essentiel dans un ou plusieurs autres Etats membres de l'Union européenne, sa désignation est précédée d'une consultation préalable des Etats membres concernés.
Les arrêtés mentionnés au premier alinéa sont notifiés aux opérateurs intéressés.
num: Article 4
paragraphs: Pour la désignation des opérateurs de services essentiels, chaque ministre dont le domaine de compétence recouvre un secteur ou sous-secteur d'activités figurant à l'annexe au présent décret propose au Premier ministre une liste d'opérateurs, relevant de ce secteur ou sous-secteur, susceptibles d'être désignés en tant qu'opérateurs de services essentiels en justifiant, pour chaque opérateur, sa proposition au regard des critères mentionnés à l'article 2.
L'Agence nationale de la sécurité des systèmes d'information peut également, après concertation avec les ministres concernés, proposer dans les mêmes conditions au Premier ministre la désignation d'opérateurs de services essentiels pour tous secteurs et sous-secteurs d'activités figurant à l'annexe au présent décret.
num: Article 5
paragraphs: Chaque opérateur de services essentiels désigne une personne chargée de le représenter auprès de l'Agence nationale de la sécurité des systèmes d'information pour toutes les questions relatives à l'application des dispositions prévues au présent chapitre. Il communique à cette agence les coordonnées de cette personne dans un délai de deux mois à compter de la date à laquelle prend effet l'arrêté mentionné à l'article 3.
num: Article 6
paragraphs: Le Premier ministre, sur proposition du ministre dont le domaine de compétence recouvre un secteur ou sous-secteur d'activités figurant à l'annexe au présent décret ou de l'Agence nationale de la sécurité des systèmes d'information, met fin à la désignation des opérateurs de services essentiels qui ne satisfont plus aux critères mentionnés à l'article 2.
num: Article 7
paragraphs: Les opérateurs de services essentiels établissent et tiennent à jour la liste des réseaux et systèmes d'information mentionnés au premier alinéa de l'article 5 de la loi du 26 février 2018 précitée, auxquels s'appliquent les règles de sécurité prévues à l'article 6 de la même loi. Cette liste comprend, le cas échéant, les réseaux et systèmes d'information dont ils ont confié l'exploitation à un tiers lorsque ces réseaux et systèmes d'information sont nécessaires à la fourniture des services essentiels de l'opérateur.
num: Article 8
paragraphs: Dans un délai de trois mois à compter de sa désignation comme opérateur de services essentiels, l'opérateur communique à l'Agence nationale de la sécurité des systèmes d'information, selon des modalités fixées par arrêté du Premier ministre, la liste mentionnée à l'article 7 ainsi que, pour chaque réseau et système d'information, les informations précisées par cet arrêté.
L'opérateur communique une fois par an à l'Agence nationale de la sécurité des systèmes d'information les mises à jour de la liste et des informations mentionnées au premier alinéa. Il tient cette liste et ces informations à la disposition de l'agence, notamment en vue des contrôles prévus à la section 5 du présent chapitre. Il justifie tout retrait de réseau et système d'information figurant précédemment dans cette liste.
num: Article 9
paragraphs: L'Agence nationale de la sécurité des systèmes d'information peut, après avis des ministres concernés, faire des observations à l'opérateur de services essentiels sur la liste mentionnée à l'article 7 et les informations mentionnées à l'article 8. Dans ce cas, l'opérateur modifie sa liste et les informations conformément à ces observations et communique, à l'agence, la liste et les informations modifiées, dans un délai de deux mois à compter de la réception des observations.
num: Article 10
paragraphs: Un arrêté du Premier ministre fixe, sur proposition de l'Agence nationale de la sécurité des systèmes d'information, les règles de sécurité prévues à l'article 6 de la loi du 26 février 2018 précitée et les délais dans lesquels elles s'appliquent.
Ces règles portent notamment :
1° Dans le domaine de la gouvernance de la sécurité des réseaux et systèmes d'information, sur l'élaboration et la mise en œuvre d'une politique de sécurité des réseaux et systèmes d'information et l'homologation de sécurité des réseaux et systèmes d'information ;
2° Dans le domaine de la protection des réseaux et systèmes d'information, sur la sécurité de l'architecture et de l'administration des réseaux et systèmes d'information et le contrôle des accès à ces réseaux et systèmes ;
3° Dans le domaine de la défense des réseaux et systèmes d'information, sur la détection et le traitement des incidents de sécurité affectant les réseaux et systèmes d'information ;
4° Dans le domaine de la résilience des activités, sur la gestion de crises en cas d'incidents de sécurité ayant un impact majeur sur des services essentiels.
num: Article 11
paragraphs: Sans préjudice des dispositions sectorielles prévoyant d'autres régimes de déclaration d'incidents, les opérateurs de services essentiels déclarent à l'Agence nationale de la sécurité des systèmes d'information, dès qu'ils en ont connaissance, les incidents mentionnés au I de l'article 7 de la loi du 26 février 2018 précitée.
Dès qu'ils ont connaissance d'informations complémentaires relatives aux causes de l'incident ou à ses conséquences, notamment le cas échéant celles sur la fourniture du service dans d'autres Etats membres de l'Union européenne, les opérateurs communiquent ces informations à l'agence. Ils répondent, en outre, aux demandes d'informations de l'agence concernant l'incident au fur et à mesure de son évolution.
Un arrêté du Premier ministre fixe les modalités de la déclaration des incidents.
num: Article 12
paragraphs: Après chaque incident mentionné au I de l'article 7 de la loi du 26 février 2018 précitée, l'Agence nationale de la sécurité des systèmes d'information transmet aux ministres concernés une synthèse des informations recueillies.
Elle informe les autorités ou organismes compétents d'autres Etats membres de l'Union européenne des incidents mentionnés au premier alinéa ayant un impact significatif sur la continuité de services essentiels fournis dans ces Etats.
Dans les conditions prévues par le II du même article 7, elle peut, à la demande du Premier ministre, informer le public des incidents mentionnés au premier alinéa qui lui ont été déclarés.
num: Article 13
paragraphs: Le Premier ministre, après avis des ministres concernés, notifie aux opérateurs de services essentiels sa décision d'imposer un contrôle prévu à l'article 8 de la loi du 26 février 2018 précitée. Il précise les objectifs et le périmètre du contrôle et fixe le délai dans lequel le contrôle est réalisé. Il indique, en fonction de la nature des opérations à mener, si ce contrôle est réalisé par l'Agence nationale de la sécurité des systèmes d'information ou par un prestataire de service qualifié. Dans ce dernier cas, l'opérateur choisit le prestataire sur la liste qui lui est communiquée et en informe sans délai l'Agence nationale de la sécurité des systèmes d'information.
Le Premier ministre ne peut imposer à un opérateur plus d'un contrôle par année civile d'un même réseau et système d'information, sauf si ce réseau et système d'information de l'opérateur est affecté par un incident de sécurité ou si des vulnérabilités de ce réseau et système d'information ou des manquements aux règles de sécurité mentionnées à l'article 6 de la loi du 26 février 2018 précitée ont été constatés lors d'un contrôle précédent subi par l'opérateur.
num: Article 14
paragraphs: Pour la réalisation du contrôle, l'opérateur de services essentiels conclut une convention avec l'Agence nationale de la sécurité des systèmes d'information ou le prestataire de service chargé d'effectuer le contrôle. Cette convention précise notamment :
1° Les objectifs et le périmètre du contrôle ;
2° Les modalités du déroulement du contrôle et le délai dans lequel il est réalisé ;
3° Les conditions dans lesquelles l'agence ou le prestataire accède aux réseaux et systèmes d'information et effectue les analyses et les relevés d'informations techniques ;
4° Les informations et éléments, notamment la documentation technique des matériels et des logiciels, que l'opérateur communique à l'agence ou au prestataire pour la réalisation du contrôle ;
5° Les conditions de protection de la confidentialité des informations traitées dans le cadre du contrôle.
La convention est conclue dans des délais compatibles avec le délai fixé par le Premier ministre pour la réalisation du contrôle.
Lorsque le contrôle est effectué par un prestataire, l'opérateur adresse sans délai une copie de la convention signée à l'agence.
num: Article 15
paragraphs: A l'issue du contrôle, l'Agence nationale de la sécurité des systèmes d'information ou le prestataire ayant réalisé le contrôle rédige un rapport exposant ses constatations, au regard de l'objectif du contrôle, sur le respect des obligations prévues au chapitre II du titre Ier de la loi du 26 février 2018 précitée et sur le niveau de sécurité des réseaux et systèmes d'information contrôlés. Les manquements à ces obligations et les vulnérabilités des réseaux et systèmes d'information constatés lors du contrôle sont indiqués dans le rapport, qui formule le cas échéant des recommandations pour y remédier.
L'agence ou le prestataire ayant réalisé le contrôle met l'opérateur de services essentiels en mesure de faire valoir ses observations sur le rapport mentionné au premier alinéa.
Lorsque le contrôle est réalisé par un prestataire, celui-ci communique à l'agence, dans le délai fixé pour la réalisation du contrôle, le rapport mentionné au premier alinéa et, le cas échéant, les observations de l'opérateur. L'agence peut auditionner, dans un délai de deux mois à compter de la communication du rapport, le prestataire ayant effectué le contrôle, en présence de l'opérateur, si celui-ci a formulé des observations ou si elle l'y convie, et d'un représentant des ministres concernés si ceux-ci en ont exprimé le souhait, pour examiner les constatations et les recommandations figurant dans le rapport.
L'Agence nationale de la sécurité des systèmes d'information communique aux ministres concernés les conclusions du contrôle.
num: Article 16
paragraphs: Les fournisseurs de service numérique qui, en application du I de l'article 11 de la loi du 26 février 2018 précitée, désignent un représentant sur le territoire national, en informent l'Agence nationale de la sécurité des systèmes d'information en lui communiquant, dans un délai de deux mois à compter de cette désignation, les coordonnées de leur représentant. L'agence en informe les ministres concernés.
Le représentant mentionné au premier alinéa agit au nom du fournisseur de service numérique pour remplir les obligations prévues au présent chapitre. En particulier, il représente le fournisseur auprès de l'agence pour toutes les questions relatives à l'application des dispositions prévues au présent chapitre.
num: Article 17
paragraphs: Les fournisseurs de service numérique établissent et tiennent à jour la liste des réseaux et systèmes d'information mentionnés à l'article 12 de la loi du 26 février 2018 précitée, auxquels s'appliquent les mesures prévues au même article. Cette liste comprend, le cas échéant, les réseaux et systèmes d'information dont ils ont confié l'exploitation à un tiers, lorsque ces réseaux et systèmes d'information sont nécessaires à la fourniture du service numérique.
num: Article 18
paragraphs: La nature des mesures que les fournisseurs de service numérique sont tenus de mettre en œuvre conformément à l'article 12 de la loi du 26 février 2018 précitée est fixée à l'article 2 du règlement d'exécution du 30 janvier 2018 susvisé.
num: Article 19
paragraphs: Les fournisseurs de service numérique tiennent à la disposition de l'Agence nationale de la sécurité des systèmes d'information, notamment en vue des contrôles prévus à la section 5 du présent chapitre, la liste des réseaux et systèmes d'information mentionnée à l'article 17 ainsi que les documents permettant de vérifier la mise en œuvre des mesures mentionnées à l'article 12 de la loi du 26 février 2018 précitée.
num: Article 20
paragraphs: Sans préjudice des dispositions sectorielles prévoyant d'autres régimes de déclaration d'incidents, les fournisseurs de service numérique déclarent à l'Agence nationale de la sécurité des systèmes d'information, en application du I de l'article 13 de la loi du 26 février 2018 précitée, tout incident ayant un impact significatif sur la fourniture de leurs services. Pour déterminer si un incident a un impact significatif sur la fourniture de leurs services, les fournisseurs de service numérique prennent en compte les paramètres mentionnés aux articles 3 et 4 du règlement d'exécution du 30 janvier 2018 précité.
Les fournisseurs de service numérique répondent aux demandes d'informations de l'agence concernant l'incident au fur et à mesure de son évolution.
Un arrêté du Premier ministre fixe les modalités de déclaration des incidents.
num: Article 21
paragraphs: Après chaque incident mentionné au I de l'article 13 de la loi du 26 février 2018 précitée, l'Agence nationale de la sécurité des systèmes d'information transmet aux ministres concernés une synthèse des informations recueillies.
Elle informe les autorités ou organismes compétents d'autres Etats membres de l'Union européenne des incidents mentionnés au premier alinéa ayant un impact significatif sur les services numériques fournis dans ces Etats.
Dans les conditions prévues par le II de l'article 13 de la loi du 26 février 2018 précitée, le Premier ministre peut demander à l'Agence nationale de la sécurité des systèmes d'information d'informer le public d'un incident mentionné au premier alinéa ou imposer au fournisseur de service numérique concerné de le faire. Dans ce dernier cas, le Premier ministre précise les informations à rendre publiques et le délai pour le faire. Le fournisseur est tenu de mettre à la disposition du public ces informations au moyen du site internet utilisé pour la fourniture du service, sauf si ce site est indisponible en raison de l'incident, de manière que ces informations soient présentées aux utilisateurs lorsqu'ils accèdent au service.
num: Article 22
paragraphs: Le Premier ministre notifie aux fournisseurs de service numérique sa décision d'imposer un contrôle prévu à l'article 14 de la loi du 26 février 2018 précitée. Il précise les objectifs et le périmètre du contrôle et fixe le délai dans lequel le contrôle est réalisé. Il indique, en fonction de la nature des opérations à mener, si ce contrôle est effectué par l'Agence nationale de la sécurité des systèmes d'information ou par un prestataire de service qualifié. Dans ce dernier cas, le fournisseur de service numérique choisit le prestataire sur la liste qui lui est communiquée et en informe sans délai l'agence.
num: Article 23
paragraphs: Pour la réalisation du contrôle, le fournisseur de service numérique conclut une convention avec l'Agence nationale de la sécurité des systèmes d'information ou le prestataire de service chargé d'effectuer le contrôle. Cette convention précise notamment :
1° Les objectifs et le périmètre du contrôle ;
2° Les modalités du déroulement du contrôle et le délai dans lequel il est réalisé ;
3° Les conditions dans lesquelles l'agence ou le prestataire accède aux réseaux et systèmes d'information et effectue les analyses et les relevés d'informations techniques ;
4° Les informations et éléments, notamment la documentation technique des matériels et des logiciels, que le fournisseur de service numérique communique à l'agence ou au prestataire pour la réalisation du contrôle ;
5° Les conditions de protection de la confidentialité des informations traitées dans le cadre du contrôle.
La convention est conclue dans des délais compatibles avec le délai fixé par le Premier ministre pour la réalisation du contrôle.
Lorsque le contrôle est effectué par un prestataire, le fournisseur de service numérique adresse sans délai une copie de la convention signée à l'agence.
num: Article 24
paragraphs: A l'issue du contrôle, l'Agence nationale de la sécurité des systèmes d'information ou le prestataire ayant réalisé le contrôle rédige un rapport exposant ses constatations, au regard de l'objectif du contrôle, sur le respect des obligations prévues aux articles 12 et 13 de la loi du 26 février 2018 précitée et sur le niveau de sécurité des réseaux et systèmes d'information contrôlés. Les manquements à ces obligations et les vulnérabilités des réseaux et systèmes d'information constatés lors du contrôle sont indiqués dans le rapport, qui formule le cas échéant des recommandations pour y remédier.
L'agence ou le prestataire ayant réalisé le contrôle met le fournisseur de service numérique en mesure de faire valoir ses observations sur le rapport mentionné au premier alinéa.
Lorsque le contrôle est effectué par un prestataire, celui-ci communique à l'agence, dans le délai fixé pour la réalisation du contrôle, le rapport mentionné au premier alinéa et, le cas échéant, les observations du fournisseur de service numérique. L'agence peut auditionner, dans un délai de deux mois à compter de la communication du rapport, le prestataire ayant effectué le contrôle, en présence du fournisseur de service numérique, si celui-ci a formulé des observations ou si elle l'y convie, et d'un représentant des ministres concernés si ceux-ci en ont exprimé le souhait, pour examiner les constatations et les recommandations figurant dans le rapport.
L'Agence nationale de la sécurité des systèmes d'information communique aux ministres concernés les conclusions du contrôle.
num: Article 25
paragraphs: Les opérateurs de services essentiels mentionnés au chapitre Ier et les fournisseurs de service numérique mentionnés au chapitre II prennent les mesures nécessaires pour garantir l'application des dispositions prévues par le présent décret aux réseaux et systèmes d'information qui sont nécessaires à la fourniture de leurs services et dont ils ont confié l'exploitation à des tiers.
num: Article 26
paragraphs: Les prestataires de service habilités à réaliser les contrôles prévus aux articles 8 et 14 de la loi du 26 février 2018 précitée sont qualifiés dans les conditions prévues par le chapitre III décret du 27 mars 2015 susvisé.
num: Article 27
paragraphs: Le coût des contrôles effectués par l'Agence nationale de la sécurité des systèmes d'information en application des articles 8 et 14 de la loi du 26 février 2018 précitée est calculé en fonction du temps nécessaire à la réalisation du contrôle et du nombre d'agents publics qui y participent. Le coût d'un contrôle mobilisant un agent public pendant une journée est fixé par arrêté du Premier ministre.
Le coût des contrôles effectués par un prestataire de service est déterminé librement par les parties.
num: Article 28
paragraphs: Tout recours contentieux formé par un opérateur de services essentiels ou un fournisseur de service numérique à l'encontre des décisions individuelles prises à son égard sur le fondement du présent décret est précédé, à peine d'irrecevabilité, d'un recours administratif préalable formé auprès du Premier ministre.
num: Article 29
paragraphs: I.-Le décret du 27 mars 2015 susvisé est ainsi modifié : 
1° Dans l'intitulé et à l'article 1er, les mots : « de la sécurité nationale » sont remplacés par les mots : « de la sécurité des systèmes d'information » ; 
2° Au premier alinéa de l'article 10, les mots : « Le cas échéant » sont remplacés par les mots : « Pour les besoins de la sécurité nationale » ; 
3° A l'article 18, après le mot : « agréé », sont insérés les mots : « pour les besoins de la sécurité nationale » ; 
4° A l'article 25, après les mots : « du présent décret », sont insérés les mots : « dans leur rédaction résultant du décret n° 2018-384 du 23 mai 2018 » ; 
5° A l'article 26, après les mots « Les dispositions du présent décret », sont insérés les mots «, dans leur rédaction résultant du décret n° 2018-384 du 23 mai 2018 ».
II.-Dans tous les textes réglementaires renvoyant au décret du 27 mars 2015 précité, la référence à ce décret est remplacée par la référence : «Décret n° 2015-350 du 27 mars 2015 relatif à la qualification des produits de sécurité et des prestataires de service de confiance pour les besoins de la sécurité des systèmes d'information ».
num: Article 30
paragraphs: Sous l'intitulé « Sécurité et défense nationale » du point 2 de l'annexe au décret du 19 décembre 1997 susvisé, il est ajouté, après le tableau relatif au décret n° 2015-350 du 27 mars 2015, le titre et le tableau suivants : 
« Décret n° 2018-384 du 23 mai 2018 relatif à la sécurité des réseaux et systèmes d'information des opérateurs de services essentiels et des fournisseurs de service numérique et pris pour l'application du titre Ier de la loi n° 2018-133 du 26 février 2018 portant diverses dispositions d'adaptation au droit de l'Union européenne dans le domaine de la sécurité : 
«
».
num: Article 31
paragraphs: I.-L'article 3 du décret n° 2009-834 du 7 juillet 2009 portant création d'un service à compétence nationale dénommé « Agence nationale de la sécurité des systèmes d'information » est modifié comme suit : 
1° Aux septième et huitième alinéas, les mots : « des opérateurs d'importance vitale » sont remplacés par les mots : « d'opérateurs publics ou privés » ; 
2° Le huitième alinéa est complété par la phrase suivante : « Elle peut apporter son concours pour répondre à ces incidents. »
II.-L'article 3 du décret du 7 juillet 2009 précité, dans sa rédaction résultant du I du présent article, peut être modifié par décret.
num: Article 32
paragraphs: I. - Le présent décret est applicable à Wallis et Futuna, en Polynésie française, en Nouvelle-Calédonie et dans les Terres australes et antarctiques françaises.
II. - Pour l'application du présent décret à Wallis et Futuna, en Polynésie française, en Nouvelle-Calédonie et dans les Terres australes et antarctiques françaises, la référence au règlement d'exécution (UE) 2018/151 de la Commission du 30 janvier 2018 portant modalités d'application de la directive (UE) 2016/1148 du Parlement européen et du Conseil précisant les éléments à prendre en considération par les fournisseurs de service numérique pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d'information ainsi que les paramètres permettant de déterminer si un incident a un impact significatif est remplacée par la référence aux règles applicables en métropole en vertu de ce règlement.
num: Article 33
paragraphs: Le présent décret sera publié au Journal officiel de la République française.