Source: https://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000000412673&idSectionTA=LEGISCTA000006098528&dateTexte=&categorieLien=cid
Timestamp: 2017-09-25 09:58:03+00:00

Document:
Décret n°2002-535 du 18 avril 2002 relatif à l'évaluation et à la certification de la sécurité offerte par les produits et les systèmes des technologies de l'information | Legifrance
Vous êtes dans : Accueil> Les autres textes législatifs et réglementaires> Décret n°2002-535 du 18 avril 2002 relatif à l'évaluation et à la certification de la sécurité offerte par les produits et les systèmes des technologies de l'information
Décret n°2002-535 du 18 avril 2002 relatif à l'évaluation et à la certification de la sécurité offerte par les produits et les systèmes des technologies de l'information
Section 1 : Evaluation.
Une évaluation en vue de la certification prévue à l'article 1er est effectuée à la demande d'un commanditaire qui adresse à l'Agence nationale de la sécurité des systèmes d'information un dossier d'évaluation. Le dossier comporte notamment la description du système de sécurité à évaluer, les dispositions prévues pour lui conférer sa pleine efficacité ainsi que le programme de travail prévisionnel permettant une évaluation.
Dès réception de ce dossier, l'Agence nationale de la sécurité des systèmes d'information si elle estime que les objectifs de sécurité ne sont pas définis de manière pertinente au regard des normes, prescriptions techniques ou règles de bonne pratique applicables au moment où commence l'évaluation, notifie au commanditaire qu'elle ne pourra pas en l'état du dossier procéder à la certification envisagée.
Le commanditaire est tenu d'assurer la mise à la disposition des centres d'évaluation qu'il a choisis et de l'Agence nationale de la sécurité des systèmes d'information, si elle en fait la demande, de tous les éléments nécessaires au bon accomplissement de leurs travaux, le cas échéant après accord des fabricants concernés.
L'Agence nationale de la sécurité des systèmes d'information veille à la bonne exécution des travaux d'évaluation. Elle peut à tout moment demander à assister à ces travaux ou à obtenir des informations sur leur déroulement.
Au terme des travaux d'évaluation, chaque centre remet un rapport d'évaluation au commanditaire et à l'Agence nationale de la sécurité des systèmes d'information. Ce rapport est un document confidentiel dont les informations sont couvertes par le secret industriel et commercial.
Section 2 : Certification.
Le commanditaire et l'Agence nationale de la sécurité des systèmes d'information valident les rapports d'évaluation en liaison avec le centre d'évaluation intervenant. Lorsque l'ensemble des rapports prévus a été validé, l'Agence nationale de la sécurité des systèmes d'information élabore un rapport de certification dans un délai d'un mois. Ce rapport, qui précise les caractéristiques des objectifs de sécurité proposés, conclut soit à la délivrance d'un certificat, soit au refus de la certification.
L'Agence nationale de la sécurité des systèmes d'information peut passer, après avis du comité directeur de la certification, des accords de reconnaissance mutuelle avec des organismes étrangers homologues, ayant leur siège en dehors des Etats membres de la Communauté européenne.
Chapitre II : Agrément des centres d'évaluation.
Modifié par Décret n°2010-1630 du 23 décembre 2010 - art. 2
Les centres d'évaluation chargés de procéder à l'évaluation prévue au présent décret et aux articles R. 331-85 à R. 331-88 du code de la propriété intellectuelle sont agréés dans les conditions fixées par le présent chapitre.
Modifié par Décret n°2010-112 du 2 février 2010 - art. 25
I.-La demande d'agrément est formulée auprès de l'Agence nationale de la sécurité des systèmes d'information. Cette demande précise le domaine dans lequel l'organisme demandeur entend exercer son activité.
II.-L'organisme demandeur doit faire la preuve :
a) De sa conformité à des critères de qualité selon les règles ou les normes en vigueur ;
La conformité mentionnée au a et l'aptitude mentionnée au b sont attestées soit par une accréditation délivrée par une instance d'accréditation mentionnée à l'article L. 115-28 du code de la consommation, soit par l'Agence nationale de la sécurité des systèmes d'information.
La compétence technique mentionnée au c est appréciée par l'Agence nationale de la sécurité des systèmes d'information, notamment à partir des moyens, des ressources et de l'expérience du centre d'évaluation.
L'Agence nationale de la sécurité des systèmes d'information peut s'assurer à tout moment que les centres d'évaluation continuent à satisfaire aux critères au vu desquels ils ont été agréés.
Chapitre III : Comité directeur de la certification en sécurité des technologies de l'information.
Le comité directeur de la certification en sécurité des technologies de l'information est présidé par le secrétaire général de la défense et de la sécurité nationale ou son représentant. Outre son président, il comprend :
Le secrétariat du comité directeur est assuré par l'Agence nationale de la sécurité des systèmes d'information.
L'Agence nationale de la sécurité des systèmes d'information fait annuellement rapport au comité directeur de la certification de l'activité qu'elle exerce dans le cadre de la mise en oeuvre du présent décret.
Modifie Décret n°2001-272 du 30 mars 2001 - art. 3 (V)
Modifie Décret n°2001-272 du 30 mars 2001 - art. 4 (V)
Modifie Décret n°2001-272 du 30 mars 2001 - art. 5 (V)
Modifie Décret n°2001-272 du 30 mars 2001 - art. 7 (V)
Modifie Décret n°2001-272 du 30 mars 2001 - art. 9 (M)
b) Dans les îles Wallis et Futuna et à Mayotte.

References: l'article 1
 art. 2
 art. 25
 art. 3
 art. 4
 art. 5
 art. 7
 art. 9