Source: https://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000021779444&dateTexte=&oldAction=rechJO&categorieLien=id
Timestamp: 2018-12-13 12:16:22+00:00

Document:
Vous êtes dans : Accueil> Rechercher un numéro du JO depuis 1990> Décret n° 2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives
Arrêté du 21 juin 2011 relatif à la signature électronique ou numérique en matière pénale
Délibération n° 2011-298 du 21 septembre 2011 portant avis sur un projet d'arrêté autorisant la création de traitements de données à caractère personnel relatifs à la gestion des habilitations au secret de la défense nationale (demande d'avis n° 1525025)
Délibération n° 2012-087 du 29 mars 2012 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre d'un système d'information géographique (SIG) et abrogeant la délibération n° 2006-257 du 5 décembre 2006 (décision d'autorisation unique AU-001)
Délibération n° 2012-234 du 5 juillet 2012 portant avis sur un projet d'arrêté relatif à la mise en œuvre d'un traitement de données à caractère personnel permettant la transmission par voie électronique des éléments descriptifs des locaux professionnels et commerciaux et dénommé « TREVI » (demande d'avis n° 1480684.V1)
PREMIER MINISTRE , AUTORITE ADMINISTRATIVE , DEMARCHE ADMINISTRATIVE , SIMPLIFICATION ADMINISTRATIVE , ECHANGE ELECTRONIQUE , USAGER , SYSTEME D'INFORMATION , PRESTATAIRE DE SERVICES , PRODUIT DE SECURITE , TELESERVICE , VOIE ELECTRONIQUE , SERVICE PUBLIC , EXPLOITATION , MISE A DISPOSITION , ACCESSION EN LIGNE , ACTE ADMINISTRATIF , SIGNATURE ELECTRONIQUE , REFERENTIEL GENERAL DE SECURITE , CERTIFICAT ELECTRONIQUE , DELIVRANCE , INTEROPERABILITE , SERVICE OFFERT , ESPACE DE STOCKAGE
JORF n°0029 du 4 février 2010 page 2072
ELI: https://www.legifrance.gouv.fr/eli/decret/2010/2/2/PRMX0909445D/jo/texte
Alias: https://www.legifrance.gouv.fr/eli/decret/2010/2/2/2010-112/jo/texte
Vu la loi n° 2008-776 du 4 août 2008 modifiée de modernisation de l'économie, notamment le I de son article 137 ;
Vu l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, notamment ses articles 9, 10 et 12 ;
Vu la notification à la Commission européenne n° 2008/453/F du 27 octobre 2008 ;
Vu l'avis de la Commission consultative d'évaluation des normes en date du 7 mai 2009 ;
Le référentiel général de sécurité prévu par l'article 9 de l'ordonnance du 8 décembre 2005 susvisée fixe les règles auxquelles les systèmes d'information mis en place par les autorités administratives doivent se conformer pour assurer la sécurité des informations échangées, et notamment leur confidentialité et leur intégrité, ainsi que la disponibilité et l'intégrité de ces systèmes et l'identification de leurs utilisateurs.
Ces règles sont définies selon des niveaux de sécurité prévus par le référentiel pour des fonctions de sécurité, telles que l'identification, la signature électronique, la confidentialité ou l'horodatage, qui permettent de répondre aux objectifs de sécurité mentionnés à l'alinéa précédent.
La conformité d'un produit de sécurité et d'un service de confiance à un niveau de sécurité prévu par ce référentiel peut être attestée par une qualification, le cas échéant à un degré donné, régie par le présent décret.
Le référentiel général de sécurité ainsi que ses mises à jour sont approuvés par arrêté du Premier ministre publié au Journal officiel de la République française. L'Agence nationale de la sécurité des systèmes d'information concourt à l'élaboration de ce référentiel et à sa mise à jour en liaison avec la direction générale de la modernisation de l'Etat. Ce référentiel est mis à disposition du public par voie électronique.
CHAPITRE II : FONCTIONS DE SECURITE DES SYSTEMES D'INFORMATION
Dans les conditions fixées par le référentiel général de sécurité mentionné à l'article 2 du présent décret, l'autorité administrative doit, afin de protéger un système d'information :
1° Identifier l'ensemble des risques pesant sur la sécurité du système et des informations qu'il traite, eu égard notamment aux conditions d'emploi du système ;
2° Fixer les objectifs de sécurité, notamment en matière de disponibilité et d'intégrité du système, de confidentialité et d'intégrité des informations ainsi que d'identification des utilisateurs du système, pour répondre de manière proportionnée au besoin de protection du système et des informations face aux risques identifiés ;
3° En déduire les fonctions de sécurité et leur niveau qui permettent d'atteindre ces objectifs et respecter les règles correspondantes du référentiel général de sécurité.
Dans les conditions fixées par le référentiel susmentionné, l'autorité administrative réexamine régulièrement la sécurité du système et des informations en fonction de l'évolution des risques.
L'autorité administrative atteste formellement auprès des utilisateurs de son système d'information que celui-ci est protégé conformément aux objectifs de sécurité fixés en application de l'article 3.
Dans le cas d'un téléservice, cette attestation est rendue accessible aux usagers selon les mêmes modalités que celles prévues à l'article 4 de l'ordonnance du 8 décembre 2005 susvisée pour la décision de création du téléservice.
CHAPITRE III : QUALIFICATION DES PRODUITS DE SECURITE
La demande de qualification contient une description du produit et de ses fonctions de sécurité ainsi que les objectifs de sécurité qu'il vise à satisfaire.
L'Agence nationale de la sécurité des systèmes d'information s'assure que le niveau et les objectifs de sécurité sont cohérents avec le besoin de sécurité des autorités administratives. Elle instruit cette demande lorsque l'ensemble des matériels, des logiciels et de la documentation nécessaires pour réaliser l'évaluation sont disponibles et accessibles.
Le Premier ministre délivre la qualification du produit pour l'un des niveaux fixés par le référentiel, attestant ainsi de sa conformité aux exigences fixées par ce dernier.
Cette attestation est assortie, le cas échéant, de conditions et de réserves et précise sa durée de validité. Elle mentionne les objectifs de sécurité que le produit satisfait et, le cas échéant, le degré de qualification obtenu.
Tout changement des circonstances dans lesquelles la qualification a été délivrée peut conduire le Premier ministre à suspendre ou à retirer la qualification, après que le commanditaire a pu faire valoir ses observations.
CHAPITRE IV : QUALIFICATION DES PRESTATAIRES DE SERVICES DE CONFIANCE
SECTION 1 : HABILITATION DES ORGANISMES QUI PROCEDENT A LA QUALIFICATION DES PRESTATAIRES DE SERVICES DE CONFIANCE
I. ― L'habilitation des organismes qui procèdent à la qualification des prestataires de services de confiance prévue par l'article 9 de l'ordonnance du 8 décembre 2005 susvisée est délivrée par le Premier ministre, après vérification :
1° De l'accréditation de l'organisme selon les normes et règles en vigueur, notamment en matière d'impartialité, de responsabilité et de confidentialité. Cette accréditation est délivrée par une instance d'accréditation mentionnée à l'article L. 115-28 du code de la consommation ; et
2° De la compétence technique de l'organisme à conduire l'évaluation de fonctions de sécurité mises en œuvre par un prestataire de services de confiance au regard des règles du référentiel général de sécurité. Cette compétence est appréciée par l'Agence nationale de la sécurité des systèmes d'information à partir d'un audit des moyens, des ressources et de l'expérience de l'organisme.
II. ― L'habilitation est valable pour une durée maximale de trois ans renouvelable. Elle peut énoncer des obligations particulières auxquelles est soumis l'organisme bénéficiaire.
L'Agence nationale de la sécurité des systèmes d'information et la direction générale de la modernisation de l'Etat sont informées par l'instance d'accréditation, dans les meilleurs délais, de toute décision d'octroi, de restriction, de refus, de retrait ou de suspension d'accréditation prise dans le cadre des présentes dispositions.
SECTION 2 : QUALIFICATION DES PRESTATAIRES DE SERVICES DE CONFIANCE PAR DES ORGANISMES HABILITES
Un prestataire de services de confiance peut recevoir une qualification qui atteste de la conformité des services à un niveau de sécurité défini par le référentiel général de sécurité. Il adresse sa demande auprès d'un organisme habilité dans les conditions prévues à la section précédente. L'organisme habilité évalue la conformité des fonctions de sécurité mises en œuvre par le service offert par le prestataire au regard des règles du référentiel général de sécurité correspondant au niveau de sécurité pour lequel la demande de qualification a été faite. L'organisme adresse un rapport d'évaluation à l'Agence nationale de la sécurité des systèmes d'information et à la direction générale de la modernisation de l'Etat.
Lorsque l'organisme habilité décide de suspendre ou de retirer une qualification ou d'en modifier les conditions, il informe sans délai des raisons à l'origine de ces décisions la direction générale de la modernisation de l'Etat et l'Agence nationale de la sécurité des systèmes d'information. Il rend publique cette décision.
Une autorité administrative qui agit comme prestataire de services de confiance pour ses besoins propres ou au profit d'autres autorités administratives peut être qualifiée par un organisme habilité, dans les conditions du présent chapitre.
Lorsque le prestataire de services de confiance est une administration de l'Etat, il doit solliciter au préalable l'avis de l'Agence nationale de la sécurité des systèmes d'information, qui peut proposer de procéder elle-même à l'évaluation des fonctions de sécurité mises en œuvre par cette autorité en vue de sa qualification. Dans ce cas, le Premier ministre délivre la qualification et décide, le cas échéant, de sa suspension ou de son retrait lorsque les conditions s'y attachant ne sont plus satisfaites.
CHAPITRE V : VALIDATION DES CERTIFICATS ELECTRONIQUES
1° « Certificat électronique » : des données sous forme électronique attestant du lien entre une autorité administrative ou un agent d'une autorité administrative et des éléments cryptographiques qui lui sont propres et qui sont utilisés par une fonction de sécurité assurant l'identification de cette autorité ou de cet agent dans un système d'information ;
2° « Validation d'un certificat électronique » : la procédure mise en place par l'Etat pour garantir que le certificat électronique d'un agent ou d'une autorité administrative a été délivré par une autorité administrative.
La validation des certificats électroniques d'une autorité administrative ou de ses agents est subordonnée au respect par cette autorité des règles du référentiel général de sécurité relatives à la délivrance de ces certificats. L'Agence nationale de la sécurité des systèmes d'information peut vérifier sur place les conditions de délivrance de ces certificats.
Dans le cas d'un téléservice, les autorités administratives mettent à la disposition de leurs usagers les informations, dont la liste est fixée par un arrêté du Premier ministre, relatives à la délivrance et à la validation de leurs certificats électroniques.
CHAPITRE VI : REFERENCEMENT DES PRODUITS DE SECURITE ET DES PRESTATAIRES DE SERVICES DE CONFIANCE
Le référencement d'un produit de sécurité ou d'un prestataire de services de confiance mentionné à l'article 12 de l'ordonnance du 8 décembre 2005 susvisée est subordonné au respect des prescriptions contenues dans un cahier des charges approuvé par arrêté du ministre chargé de la réforme de l'Etat. Ce cahier des charges détermine notamment les conditions dans lesquelles l'interopérabilité des produits de sécurité et des prestataires de services de confiance qualifiés dans les conditions prévues au présent décret est vérifiée ainsi que les tests qui sont réalisés à cette fin.
Le référencement mentionné au premier alinéa est prononcé par décision du ministre chargé de la réforme de l'Etat.
Le paragraphe II de l'article 11 du décret du 18 avril 2002 susvisé est modifié comme suit :
1° A l'alinéa a, les mots : « aux critères de qualité selon les règles et normes d'accréditation en vigueur » sont remplacés par les mots : « à des critères de qualité selon les règles ou les normes en vigueur » ;
« La conformité mentionnée au a et l'aptitude mentionnée au b sont attestées soit par une accréditation délivrée par une instance d'accréditation mentionnée à l'article L. 115-28 du code de la consommation, soit par l'Agence nationale de la sécurité des systèmes d'information. »
I. ― Dans la partie « Sécurité et défense nationale » du paragraphe 2 de l'annexe au décret n° 97-1184 du 19 décembre 1997 susvisé, il est ajouté à la suite du tableau relatif au décret n° 2002-535 du 18 avril 2002, les mots et le tableau suivants :
« Décret n° 2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives :
Délivrance, suspension et retrait de la qualification de produits de sécurité.
Délivrance, suspension et retrait de l'habilitation des organismes qui procèdent à la qualification des prestataires de services de confiance.
Premier alinéa de l'article 10 et article 13.
Délivrance, suspension et retrait de la qualification de prestataires de services de confiance.
Second alinéa de l'article 19.
II. ― Au 2 du titre II de l'annexe au décret n° 97-1194 du 19 décembre 1997 susvisé, il est ajouté à la suite du tableau relatif aux décisions entrant dans le champ de compétences de la direction générale des douanes et droits indirects les mots et le tableau suivants :
« Décisions entrant dans le champ de compétences de la direction générale de la modernisation de l'Etat.
Référencement des produits de sécurité et des prestataires de services de confiance.
Second alinéa de l'article 24.
Après le deuxième alinéa de l'article 4 du décret du 7 juillet 2009 susvisé, il est inséré un alinéa ainsi rédigé :
« ― de la qualification des produits de sécurité et de prestataires de services de confiance ainsi que de l'habilitation des organismes prévues par le décret n° 2010-112 du 2 février 2010 ; ».

References: l'article 9
 l'article 2
 l'article 3
 l'article 4
 l'article 9
 l'article 12
 l'article 11
 l'article 10
 l'article 19
 l'article 24
 l'article 4