Décret n° 2018-384 du 23 mai 2018 relatif à la sécurité des réseaux et systèmes d'information des opérateurs de services essentiels et des fournisseurs de service numériqueChapitre Ier : Dispositions relatives à la sécurité des réseaux et systèmes d'information des opérateurs de services essentielsChapitre II : Dispositions relatives à la sécurité des réseaux et systèmes d'information des fournisseurs de service numériqueChapitre III : Dispositions diverses et finalesAnnexeSection 1 : Désignation des opérateurs de services essentielsSection 2 : Déclaration des réseaux et systèmes d'informationSection 3 : Règles de sécuritéSection 4 : Déclaration des incidents de sécuritéSection 5 : Contrôles de sécuritéSection 1 : Désignation des représentants des fournisseurs de service numériqueSection 2 : Liste des réseaux et systèmes d'informationSection 3 : Mesures de sécuritéSection 4 : Déclaration des incidents de sécuritéSection 5 : Contrôles de sécurité

Les opérateurs de services essentiels mentionnés au chapitre Ier et les fournisseurs de service numérique mentionnés au chapitre II prennent les mesures nécessaires pour garantir l'application des dispositions prévues par le présent décret aux réseaux et systèmes d'information qui sont nécessaires à la fourniture de leurs services et dont ils ont confié l'exploitation à des tiers.


Les prestataires de service habilités à réaliser les contrôles prévus aux articles 8 et 14 de la loi du 26 février 2018 précitée sont qualifiés dans les conditions prévues par le chapitre III décret du 27 mars 2015 susvisé.


Le coût des contrôles effectués par l'Agence nationale de la sécurité des systèmes d'information en application des articles 8 et 14 de la loi du 26 février 2018 précitée est calculé en fonction du temps nécessaire à la réalisation du contrôle et du nombre d'agents publics qui y participent. Le coût d'un contrôle mobilisant un agent public pendant une journée est fixé par arrêté du Premier ministre.Le coût des contrôles effectués par un prestataire de service est déterminé librement par les parties.


Tout recours contentieux formé par un opérateur de services essentiels ou un fournisseur de service numérique à l'encontre des décisions individuelles prises à son égard sur le fondement du présent décret est précédé, à peine d'irrecevabilité, d'un recours administratif préalable formé auprès du Premier ministre.



I. - A modifié les dispositions suivantes :
- Décret n°2009-834 du 7 juillet 2009

 Art. 3






II. - L'article 3 du décret du 7 juillet 2009 précité, dans sa rédaction résultant du I du présent article, peut être modifié par décret.


I. - Le présent décret est applicable à Wallis et Futuna, en Polynésie française, en Nouvelle-Calédonie et dans les Terres australes et antarctiques françaises.II. - Pour l'application du présent décret à Wallis et Futuna, en Polynésie française, en Nouvelle-Calédonie et dans les Terres australes et antarctiques françaises, la référence au règlement d'exécution (UE) 2018/151 de la Commission du 30 janvier 2018 portant modalités d'application de la directive (UE) 2016/1148 du Parlement européen et du Conseil précisant les éléments à prendre en considération par les fournisseurs de service numérique pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d'information ainsi que les paramètres permettant de déterminer si un incident a un impact significatif est remplacée par la référence aux règles applicables en métropole en vertu de ce règlement.


Le présent décret sera publié au Journal officiel de la République française.


ANNEXELISTE DES SERVICES ESSENTIELS AU FONCTIONNEMENT DE LA SOCIÉTÉ OU DE L'ÉCONOMIE






SECTEUR---Sous-secteur

TYPE D'OPÉRATEURS

SERVICES ESSENTIELS



ÉNERGIE---Electricité

Entreprises de fourniture

Vente ou revente d'électricité aux particuliers et entreprises (vente d'électricité aux consommateurs finaux, vente d'électricité aux fournisseurs d'électricité, exploitation d'une bourse de l'électricité)



Gestionnaires de réseau 
      
    de distribution

Distribution d'électricité (conduite et supervision du réseau de distribution, gestion des raccordements des consommateurs, pilotage des compteurs des consommateurs)



Gestionnaires de réseau de transport

Transport d'électricité (conduite et supervision du réseau de transport, équilibrage de l'offre et de la demande, gestion des interconnexions)



ÉNERGIE---Pétrole

Exploitants d'oléoducs

Exploitation d'oléoducs (conduite et supervision d'oléoducs)



Exploitants d'installations 
      
    de production, de raffinage, 
      
    de traitement, de stockage 
      
    et de transport

Production (conduite et supervision d'installations de production)Raffinage (conduite et supervision de raffineries)Stockage (conduite et supervision d'installations de stockage)Transport hors oléoducs (planification des transports, exploitation d'une flotte de navires ou camions)



Exploitants de plateformes 
      
    de transfert de données logistiques numérisées

Service de transfert de données logistiques numérisées entre opérateurs pétroliers, et entre les opérateurs pétroliers et les autorités publiques



ÉNERGIE---Gaz

Entreprises de fourniture

Vente ou revente de gaz aux particuliers et entreprises (vente de gaz aux consommateurs finaux, vente de gaz aux fournisseurs de gaz, exploitation d'une bourse du gaz)



Gestionnaires de réseau 
      
    de distribution

Distribution de gaz (conduite et supervision du réseau de distribution, gestion des raccordements des consommateurs, pilotage des compteurs des consommateurs)



Gestionnaires de réseau de transport

Transport de gaz (conduite et supervision du réseau de transport, équilibrage de l'offre et de la demande, gestion des interconnexions)



Gestionnaires d'installations 
      
    de stockage

Stockage de gaz (conduite et supervision d'installations de stockage)



Gestionnaires d'installations 
      
    de gaz naturel liquéfié

Liquéfaction de gaz (conduite et supervision d'installations de liquéfaction)Déchargement et regazéification (conduite et supervision d'installations de déchargement, conduite et supervision d'installations de regazéification)



Entreprises de gaz naturel

Fourniture, distribution, transport, stockage et traitement de gaz



Exploitants d'installations 
      
    de raffinage et de traitement 
      
    de gaz naturel

Raffinage (conduite et supervision d'installations de raffinage)Traitement (conduite et supervision d'installations de traitement)



TRANSPORTS---Transport aérien

Transporteurs aériens

Transport de passagers (enregistrement et embarquement des passagers, exploitation des aéronefs)Transport de fret (enregistrement et embarquement du fret, exploitation des aéronefs)



Gestionnaires d'aéroports 
      
    et exploitants d'installations annexes situées dans les aéroports

Exploitation d'installations aéroportuaires (inspection-filtrage, enregistrement et embarquement du fret, gestion des passagers et des bagages)Avitaillement et armement des aéronefs



Services de la navigation aérienne

Contrôle et régulation de la navigation aérienne en routeContrôle et régulation des aérodromes



Entreprises de maintenance 
      
    des aéronefs

Maintenance et réparation aéronautiques



Opérateurs de systèmes de gestion des flux de passagers

Gestion des flux de passagers



TRANSPORTS---Transport ferroviaire

Gestionnaires d'infrastructures

Contrôle et gestion du trafic ferroviaire (supervision et régulation du trafic, signalisation, gestion des aiguillages, planification du trafic, gestion des sillons)



Entreprises de maintenance 
      
    d'infrastructures

Maintenance de l'infrastructure ferroviaire



Entreprises ferroviaires

Transport de marchandises et de matières dangereuses (exploitation des matériels roulants)Transport de passagers (exploitation des matériels roulants, information et accueil des passagers, gestion des flux de passagers)



Entreprises de maintenance 
      
    de matériels roulants

Maintenance des matériels roulants



TRANSPORTS---Transport guidé

Entreprises de transports guidés

Transport de passagers (exploitation des matériels de transports guidés, information et accueil des passagers)



TRANSPORTS---Transport par voie d'eau

Sociétés de transport fluvial, 
      
    maritime et côtier de passagers 
      
    et de fret

Transport de passagers (gestion des flux de passagers)Transport de marchandises et de matières dangereuses (réservation, enregistrement des marchandises)Planification des trajets



Entreprises de maintenance 
      
    des navires

Maintenance des navires



Entreprises d'exploitation 
      
    des infrastructures de transport 
      
    par voie d'eau

Exploitation des infrastructures de transport par voie d'eau



Gestionnaires et exploitants de ports ou d'installations portuaires

Service aux marchandises (chargement, déchargement, entreposage, gardiennage, gestion de conteneurs)Accueil des navires (pilotage, remorquage, lamanage, avitaillement)Information, accueil, inspection-filtrage, embarquement-débarquement des passagersGestion des ouvrages portuaires



Exploitants de services 
      
    de trafic maritime

Service de trafic maritime



Exploitants de services 
      
    de trafic fluvial

Service de trafic fluvial



TRANSPORTS---Transport routier

Autorités routières(autorités publiques)

Gestion de routes (entretien, signalisation, gestion des infrastructures, régulation et surveillance du trafic)



Entreprises d'exploitation 
      
    et de gestion d'infrastructures 
      
    routières

Gestion de routes (entretien, signalisation, gestion des infrastructures, régulation et surveillance du trafic)



Exploitants de systèmes 
      
    de transport intelligents

Gestion centralisée d'une flotte de véhiculesAide à la gestion du traficInformation aux passagersAide à l'exploitation



Entreprises de transport 
      
    de marchandises

Transport de marchandises et de matières dangereuses



Entreprises de transport routier 
      
    collectif

Gestion des flux de passagersExploitation



TRANSPORTS

Transitaires

Organisation de transportsAffrètement de transporteurs



LOGISTIQUE

Gestionnaires de plateformes 
      
    logistiques

Gestion de plateforme logistique



BANQUES

Etablissements de crédit

Gestion des dépôtsOctroi de créditsService de paiementService d'investissement



INFRASTRUCTURES 
      
    DE MARCHÉS FINANCIERS

Exploitants de plateformes 
      
    de négociation

Exploitation de plateformes de négociation d'instruments financiers



Contreparties centrales

Service de contrepartie centrale pour les transactions sur les marchés financiers (chambres de compensation)



Dépositaires centraux

Tenue de registreGestion des garanties (collatéral)Règlement-livraison de titres



SERVICES FINANCIERS

Prestataires de services financiers, établissements de paiement, 
      
    établissements de monnaie 
      
    électronique

Service de paiementEmission de titres spéciaux



Entreprises de transport de fonds

Planification et exploitation des transports de fondsGestion des demandes de collecte et d'approvisionnement



ASSURANCE

Assurances, mutuelles, institutions de prévoyance, réassureurs

Assurance vieAssurance non vieRéassurance



SOCIAL

Organismes sociaux

Calcul et paiement des prestations sociales (assurance maladie, vieillesse, allocations familiales et chômage)Gestion du recouvrement et de la trésorerie des organismes sociaux



EMPLOI ET FORMATION 
      
    PROFESSIONNELLE

Opérateurs de paiement

Calcul et paiement des aides à l'emploi



SANTÉ---Etablissements de soins de santé (y compris les hôpitaux et les cliniques privées)

Prestataires de soins de santé

Service concourant aux activités de prévention, de diagnostic ou de soins



Prestataires fournissant un service d'aide médicale d'urgence

Réception et régulation des appelsService mobile d'urgence et réanimation



SANTÉ---Produits pharmaceutiques

Grossistes répartiteurs 
      
    pharmaceutiques

Distribution pharmaceutique



FOURNITURE ET DISTRIBUTION 
      
    D'EAU POTABLE

Fournisseurs et distributeurs d'eau destinée à la consommation humaine

Fourniture d'eau en bouteille (puisage, embouteillage, planification, logistique, contrôle de la qualité de l'eau)Production d'eau courante (conduite, supervision et maintenance des installations de captation, de transport, de traitement et de stockage, contrôle de la qualité de l'eau)Distribution d'eau courante (conduite, supervision et maintenance des installations de distribution d'eau, logistique, contrôle de la qualité de l'eau)



TRAITEMENT DES EAUX NON POTABLES

Entreprises de collecte, d'évacuation ou de traitement des eaux usées

Collecte des eaux uséesTraitement des eaux usées



Gestionnaires des inondations 
      
    et des eaux pluviales

Collecte et évacuation d'eaux pluviales



INFRASTRUCTURES NUMÉRIQUES

Points d'échange internet (IXP)

Service d'interconnexion par appairage pour l'échange de trafic internet



Fournisseurs de services de système de noms de domaine (DNS)

Enregistrement et gestion de noms de domaineHébergement de noms de domaineService de résolution de noms de domaine



Registres de noms de domaine 
      
    de haut niveau

Attribution des noms de domaine et gestion du registre de noms de domaine de premier niveauHébergement de zones de premier niveau



ÉDUCATION

Opérateurs chargés du parcours éducatif national, opérateurs 
      
    chargés de l'organisation 
      
    d'examens nationaux

Gestion d'affectations en parcours scolaire ou étudiantOrganisation d'examens nationaux



RESTAURATION

Entreprises de restauration collective destinée aux secteurs de la santé, 
      
    de l'enfance et de la détention 
      
    pénitentiaire

Gestion des commandesGestion de l'approvisionnement, de la logistique, du stockage et de la distribution







La liste des services essentiels au fonctionnement de la société ou de l'économie mentionnés à l'article 5 de la loi du 26 février 2018 susvisée figure à l'annexe au présent décret.


Sont désignés opérateurs de services essentiels, en application de l'article 5 de la loi du 26 février 2018 précitée, les opérateurs fournissant au moins un service mentionné à l'annexe au présent décret lorsque des réseaux et systèmes d'information sont nécessaires à la fourniture de ce service et qu'un incident affectant ces réseaux et systèmes aurait, sur la fourniture de ce service, des conséquences graves, appréciées au regard des critères suivants :1° Le nombre d'utilisateurs dépendant du service ;2° La dépendance des autres secteurs d'activités figurant à l'annexe au présent décret à l'égard du service ;3° Les conséquences qu'un incident pourrait avoir, en termes de gravité et de durée, sur le fonctionnement de l'économie ou de la société ou sur la sécurité publique ;4° La part de marché de l'opérateur ;5° La portée géographique eu égard à la zone susceptible d'être touchée par un incident ;6° L'importance que revêt l'opérateur pour assurer un niveau de service suffisant, compte tenu de la disponibilité de moyens alternatifs pour la fourniture du service ;7° Le cas échéant, des facteurs sectoriels.


Les opérateurs de services essentiels sont désignés par arrêté du Premier ministre. Cet arrêté mentionne les services essentiels au fonctionnement de la société ou de l'économie fournis par l'opérateur.Le Premier ministre notifie à chaque opérateur concerné son intention de le désigner comme opérateur de services essentiels. L'opérateur dispose d'un délai d'un mois à compter de cette notification pour présenter ses observations.Lorsque l'opérateur dont la désignation est envisagée fournit un service essentiel dans un ou plusieurs autres Etats membres de l'Union européenne, sa désignation est précédée d'une consultation préalable des Etats membres concernés.Les arrêtés mentionnés au premier alinéa sont notifiés aux opérateurs intéressés.


Pour la désignation des opérateurs de services essentiels, chaque ministre dont le domaine de compétence recouvre un secteur ou sous-secteur d'activités figurant à l'annexe au présent décret propose au Premier ministre une liste d'opérateurs, relevant de ce secteur ou sous-secteur, susceptibles d'être désignés en tant qu'opérateurs de services essentiels en justifiant, pour chaque opérateur, sa proposition au regard des critères mentionnés à l'article 2.L'Agence nationale de la sécurité des systèmes d'information peut également, après concertation avec les ministres concernés, proposer dans les mêmes conditions au Premier ministre la désignation d'opérateurs de services essentiels pour tous secteurs et sous-secteurs d'activités figurant à l'annexe au présent décret.


Chaque opérateur de services essentiels désigne une personne chargée de le représenter auprès de l'Agence nationale de la sécurité des systèmes d'information pour toutes les questions relatives à l'application des dispositions prévues au présent chapitre. Il communique à cette agence les coordonnées de cette personne dans un délai de deux mois à compter de la date à laquelle prend effet l'arrêté mentionné à l'article 3.


Le Premier ministre, sur proposition du ministre dont le domaine de compétence recouvre un secteur ou sous-secteur d'activités figurant à l'annexe au présent décret ou de l'Agence nationale de la sécurité des systèmes d'information, met fin à la désignation des opérateurs de services essentiels qui ne satisfont plus aux critères mentionnés à l'article 2.


Les opérateurs de services essentiels établissent et tiennent à jour la liste des réseaux et systèmes d'information mentionnés au premier alinéa de l'article 5 de la loi du 26 février 2018 précitée, auxquels s'appliquent les règles de sécurité prévues à l'article 6 de la même loi. Cette liste comprend, le cas échéant, les réseaux et systèmes d'information dont ils ont confié l'exploitation à un tiers lorsque ces réseaux et systèmes d'information sont nécessaires à la fourniture des services essentiels de l'opérateur.


Dans un délai de trois mois à compter de sa désignation comme opérateur de services essentiels, l'opérateur communique à l'Agence nationale de la sécurité des systèmes d'information, selon des modalités fixées par arrêté du Premier ministre, la liste mentionnée à l'article 7 ainsi que, pour chaque réseau et système d'information, les informations précisées par cet arrêté.L'opérateur communique une fois par an à l'Agence nationale de la sécurité des systèmes d'information les mises à jour de la liste et des informations mentionnées au premier alinéa. Il tient cette liste et ces informations à la disposition de l'agence, notamment en vue des contrôles prévus à la section 5 du présent chapitre. Il justifie tout retrait de réseau et système d'information figurant précédemment dans cette liste.


L'Agence nationale de la sécurité des systèmes d'information peut, après avis des ministres concernés, faire des observations à l'opérateur de services essentiels sur la liste mentionnée à l'article 7 et les informations mentionnées à l'article 8. Dans ce cas, l'opérateur modifie sa liste et les informations conformément à ces observations et communique, à l'agence, la liste et les informations modifiées, dans un délai de deux mois à compter de la réception des observations.


Un arrêté du Premier ministre fixe, sur proposition de l'Agence nationale de la sécurité des systèmes d'information, les règles de sécurité prévues à l'article 6 de la loi du 26 février 2018 précitée et les délais dans lesquels elles s'appliquent.Ces règles portent notamment :1° Dans le domaine de la gouvernance de la sécurité des réseaux et systèmes d'information, sur l'élaboration et la mise en œuvre d'une politique de sécurité des réseaux et systèmes d'information et l'homologation de sécurité des réseaux et systèmes d'information ;2° Dans le domaine de la protection des réseaux et systèmes d'information, sur la sécurité de l'architecture et de l'administration des réseaux et systèmes d'information et le contrôle des accès à ces réseaux et systèmes ;3° Dans le domaine de la défense des réseaux et systèmes d'information, sur la détection et le traitement des incidents de sécurité affectant les réseaux et systèmes d'information ;4° Dans le domaine de la résilience des activités, sur la gestion de crises en cas d'incidents de sécurité ayant un impact majeur sur des services essentiels.


Sans préjudice des dispositions sectorielles prévoyant d'autres régimes de déclaration d'incidents, les opérateurs de services essentiels déclarent à l'Agence nationale de la sécurité des systèmes d'information, dès qu'ils en ont connaissance, les incidents mentionnés au I de l'article 7 de la loi du 26 février 2018 précitée.Dès qu'ils ont connaissance d'informations complémentaires relatives aux causes de l'incident ou à ses conséquences, notamment le cas échéant celles sur la fourniture du service dans d'autres Etats membres de l'Union européenne, les opérateurs communiquent ces informations à l'agence. Ils répondent, en outre, aux demandes d'informations de l'agence concernant l'incident au fur et à mesure de son évolution.Un arrêté du Premier ministre fixe les modalités de la déclaration des incidents.


Après chaque incident mentionné au I de l'article 7 de la loi du 26 février 2018 précitée, l'Agence nationale de la sécurité des systèmes d'information transmet aux ministres concernés une synthèse des informations recueillies.Elle informe les autorités ou organismes compétents d'autres Etats membres de l'Union européenne des incidents mentionnés au premier alinéa ayant un impact significatif sur la continuité de services essentiels fournis dans ces Etats.Dans les conditions prévues par le II du même article 7, elle peut, à la demande du Premier ministre, informer le public des incidents mentionnés au premier alinéa qui lui ont été déclarés.


Le Premier ministre, après avis des ministres concernés, notifie aux opérateurs de services essentiels sa décision d'imposer un contrôle prévu à l'article 8 de la loi du 26 février 2018 précitée. Il précise les objectifs et le périmètre du contrôle et fixe le délai dans lequel le contrôle est réalisé. Il indique, en fonction de la nature des opérations à mener, si ce contrôle est réalisé par l'Agence nationale de la sécurité des systèmes d'information ou par un prestataire de service qualifié. Dans ce dernier cas, l'opérateur choisit le prestataire sur la liste qui lui est communiquée et en informe sans délai l'Agence nationale de la sécurité des systèmes d'information.Le Premier ministre ne peut imposer à un opérateur plus d'un contrôle par année civile d'un même réseau et système d'information, sauf si ce réseau et système d'information de l'opérateur est affecté par un incident de sécurité ou si des vulnérabilités de ce réseau et système d'information ou des manquements aux règles de sécurité mentionnées à l'article 6 de la loi du 26 février 2018 précitée ont été constatés lors d'un contrôle précédent subi par l'opérateur.


Pour la réalisation du contrôle, l'opérateur de services essentiels conclut une convention avec l'Agence nationale de la sécurité des systèmes d'information ou le prestataire de service chargé d'effectuer le contrôle. Cette convention précise notamment :1° Les objectifs et le périmètre du contrôle ;2° Les modalités du déroulement du contrôle et le délai dans lequel il est réalisé ;3° Les conditions dans lesquelles l'agence ou le prestataire accède aux réseaux et systèmes d'information et effectue les analyses et les relevés d'informations techniques ;4° Les informations et éléments, notamment la documentation technique des matériels et des logiciels, que l'opérateur communique à l'agence ou au prestataire pour la réalisation du contrôle ;5° Les conditions de protection de la confidentialité des informations traitées dans le cadre du contrôle.La convention est conclue dans des délais compatibles avec le délai fixé par le Premier ministre pour la réalisation du contrôle.Lorsque le contrôle est effectué par un prestataire, l'opérateur adresse sans délai une copie de la convention signée à l'agence.


A l'issue du contrôle, l'Agence nationale de la sécurité des systèmes d'information ou le prestataire ayant réalisé le contrôle rédige un rapport exposant ses constatations, au regard de l'objectif du contrôle, sur le respect des obligations prévues au chapitre II du titre Ier de la loi du 26 février 2018 précitée et sur le niveau de sécurité des réseaux et systèmes d'information contrôlés. Les manquements à ces obligations et les vulnérabilités des réseaux et systèmes d'information constatés lors du contrôle sont indiqués dans le rapport, qui formule le cas échéant des recommandations pour y remédier.L'agence ou le prestataire ayant réalisé le contrôle met l'opérateur de services essentiels en mesure de faire valoir ses observations sur le rapport mentionné au premier alinéa.Lorsque le contrôle est réalisé par un prestataire, celui-ci communique à l'agence, dans le délai fixé pour la réalisation du contrôle, le rapport mentionné au premier alinéa et, le cas échéant, les observations de l'opérateur. L'agence peut auditionner, dans un délai de deux mois à compter de la communication du rapport, le prestataire ayant effectué le contrôle, en présence de l'opérateur, si celui-ci a formulé des observations ou si elle l'y convie, et d'un représentant des ministres concernés si ceux-ci en ont exprimé le souhait, pour examiner les constatations et les recommandations figurant dans le rapport.L'Agence nationale de la sécurité des systèmes d'information communique aux ministres concernés les conclusions du contrôle.


Les fournisseurs de service numérique qui, en application du I de l'article 11 de la loi du 26 février 2018 précitée, désignent un représentant sur le territoire national, en informent l'Agence nationale de la sécurité des systèmes d'information en lui communiquant, dans un délai de deux mois à compter de cette désignation, les coordonnées de leur représentant. L'agence en informe les ministres concernés.Le représentant mentionné au premier alinéa agit au nom du fournisseur de service numérique pour remplir les obligations prévues au présent chapitre. En particulier, il représente le fournisseur auprès de l'agence pour toutes les questions relatives à l'application des dispositions prévues au présent chapitre.


Les fournisseurs de service numérique établissent et tiennent à jour la liste des réseaux et systèmes d'information mentionnés à l'article 12 de la loi du 26 février 2018 précitée, auxquels s'appliquent les mesures prévues au même article. Cette liste comprend, le cas échéant, les réseaux et systèmes d'information dont ils ont confié l'exploitation à un tiers, lorsque ces réseaux et systèmes d'information sont nécessaires à la fourniture du service numérique.


La nature des mesures que les fournisseurs de service numérique sont tenus de mettre en œuvre conformément à l'article 12 de la loi du 26 février 2018 précitée est fixée à l'article 2 du règlement d'exécution du 30 janvier 2018 susvisé.


Les fournisseurs de service numérique tiennent à la disposition de l'Agence nationale de la sécurité des systèmes d'information, notamment en vue des contrôles prévus à la section 5 du présent chapitre, la liste des réseaux et systèmes d'information mentionnée à l'article 17 ainsi que les documents permettant de vérifier la mise en œuvre des mesures mentionnées à l'article 12 de la loi du 26 février 2018 précitée.


Sans préjudice des dispositions sectorielles prévoyant d'autres régimes de déclaration d'incidents, les fournisseurs de service numérique déclarent à l'Agence nationale de la sécurité des systèmes d'information, en application du I de l'article 13 de la loi du 26 février 2018 précitée, tout incident ayant un impact significatif sur la fourniture de leurs services. Pour déterminer si un incident a un impact significatif sur la fourniture de leurs services, les fournisseurs de service numérique prennent en compte les paramètres mentionnés aux articles 3 et 4 du règlement d'exécution du 30 janvier 2018 précité.Les fournisseurs de service numérique répondent aux demandes d'informations de l'agence concernant l'incident au fur et à mesure de son évolution.Un arrêté du Premier ministre fixe les modalités de déclaration des incidents.


Après chaque incident mentionné au I de l'article 13 de la loi du 26 février 2018 précitée, l'Agence nationale de la sécurité des systèmes d'information transmet aux ministres concernés une synthèse des informations recueillies.Elle informe les autorités ou organismes compétents d'autres Etats membres de l'Union européenne des incidents mentionnés au premier alinéa ayant un impact significatif sur les services numériques fournis dans ces Etats.Dans les conditions prévues par le II de l'article 13 de la loi du 26 février 2018 précitée, le Premier ministre peut demander à l'Agence nationale de la sécurité des systèmes d'information d'informer le public d'un incident mentionné au premier alinéa ou imposer au fournisseur de service numérique concerné de le faire. Dans ce dernier cas, le Premier ministre précise les informations à rendre publiques et le délai pour le faire. Le fournisseur est tenu de mettre à la disposition du public ces informations au moyen du site internet utilisé pour la fourniture du service, sauf si ce site est indisponible en raison de l'incident, de manière que ces informations soient présentées aux utilisateurs lorsqu'ils accèdent au service.


Le Premier ministre notifie aux fournisseurs de service numérique sa décision d'imposer un contrôle prévu à l'article 14 de la loi du 26 février 2018 précitée. Il précise les objectifs et le périmètre du contrôle et fixe le délai dans lequel le contrôle est réalisé. Il indique, en fonction de la nature des opérations à mener, si ce contrôle est effectué par l'Agence nationale de la sécurité des systèmes d'information ou par un prestataire de service qualifié. Dans ce dernier cas, le fournisseur de service numérique choisit le prestataire sur la liste qui lui est communiquée et en informe sans délai l'agence.


Pour la réalisation du contrôle, le fournisseur de service numérique conclut une convention avec l'Agence nationale de la sécurité des systèmes d'information ou le prestataire de service chargé d'effectuer le contrôle. Cette convention précise notamment :1° Les objectifs et le périmètre du contrôle ;2° Les modalités du déroulement du contrôle et le délai dans lequel il est réalisé ;3° Les conditions dans lesquelles l'agence ou le prestataire accède aux réseaux et systèmes d'information et effectue les analyses et les relevés d'informations techniques ;4° Les informations et éléments, notamment la documentation technique des matériels et des logiciels, que le fournisseur de service numérique communique à l'agence ou au prestataire pour la réalisation du contrôle ;5° Les conditions de protection de la confidentialité des informations traitées dans le cadre du contrôle.La convention est conclue dans des délais compatibles avec le délai fixé par le Premier ministre pour la réalisation du contrôle.Lorsque le contrôle est effectué par un prestataire, le fournisseur de service numérique adresse sans délai une copie de la convention signée à l'agence.


A l'issue du contrôle, l'Agence nationale de la sécurité des systèmes d'information ou le prestataire ayant réalisé le contrôle rédige un rapport exposant ses constatations, au regard de l'objectif du contrôle, sur le respect des obligations prévues aux articles 12 et 13 de la loi du 26 février 2018 précitée et sur le niveau de sécurité des réseaux et systèmes d'information contrôlés. Les manquements à ces obligations et les vulnérabilités des réseaux et systèmes d'information constatés lors du contrôle sont indiqués dans le rapport, qui formule le cas échéant des recommandations pour y remédier.L'agence ou le prestataire ayant réalisé le contrôle met le fournisseur de service numérique en mesure de faire valoir ses observations sur le rapport mentionné au premier alinéa.Lorsque le contrôle est effectué par un prestataire, celui-ci communique à l'agence, dans le délai fixé pour la réalisation du contrôle, le rapport mentionné au premier alinéa et, le cas échéant, les observations du fournisseur de service numérique. L'agence peut auditionner, dans un délai de deux mois à compter de la communication du rapport, le prestataire ayant effectué le contrôle, en présence du fournisseur de service numérique, si celui-ci a formulé des observations ou si elle l'y convie, et d'un représentant des ministres concernés si ceux-ci en ont exprimé le souhait, pour examiner les constatations et les recommandations figurant dans le rapport.L'Agence nationale de la sécurité des systèmes d'information communique aux ministres concernés les conclusions du contrôle.