Source: https://www.legifrance.gouv.fr/eli/decret/2002/4/18/PRMX0100183D/jo/texte
Timestamp: 2020-02-18 09:19:33+00:00

Document:
Décret n° 2002-535 du 18 avril 2002 relatif à l'évaluation et à la certification de la sécurité offerte par les produits et les systèmes des technologies de l'information | Legifrance
Vous êtes dans : Accueil> Les autres textes législatifs et réglementaires> Décret n° 2002-535 du 18 avril 2002 relatif à l'évaluation et à la certification de la sécurité offerte par les produits et les systèmes des technologies de l'information
Application de la directive 98/34/CE du 22-06-1998, modifiée par la directive 98/48/CE du 20-07-1998, prévoyant une procédure d'information dans le domaine des normes et réglementations techniques et des règles relatives aux services de la société de l'information. Les utilisateurs de produits et systèmes des technologies de l'information demandent que ceux-ci offrent une sécurité maximale. Les professionnels doivent donc prendre toutes dispositions pour assurer la sécurité des produits et systèmes qu'ils offrent au public, et garantir notamment la disponibilité, l'intégrité et la confidentialité des données traitées. Ils doivent aussi pouvoir faire évaluer par des experts indépendants la pertinence des mesures qu'ils prennent en matière de sécurité, cette évaluation débouchant, le cas échéant, sur une certification des produits et systèmes par l'autorité publique. Le Gouvernement a mis en place depuis six ans une procédure de certification volontaire de la sécurité des produits informatiques. Cette procédure, définie par un avis du Premier ministre, publié au Journal officiel de la République française du 01-09-1995, confiait au service central de la sécurité des systèmes d'information (auquel a succédé maintenant la direction centrale de la sécurité des systèmes d'information) le soin de délivrer des certificats relatifs à la sécurité offerte par les produits sur la base d'évaluations réalisées par des centres agréés. La transposition en notre droit de la directive 1999/93/CE du 13-12-1999 sur un cadre communautaire pour les signatures électroniques est l'occasion de reformuler dans un décret la procédure de certification ainsi mise en place. La loi 2000-230 du 13-03-2000 qui, pour transposer la directive, a introduit dans le code civil les règles applicables aux écrits électroniques et à la signature électronique, attache en effet une présomption de fiabilité aux procédés de création de signatures électroniques satisfaisant à des conditions fixées par décret en Conseil d'État. Le décret 2001-272 du 30-03- 2001, pris pour l'application du nouvel article 1316-4 du code civil, définit ces conditions et prévoit, en particulier dans son article 3, que seuls les dispositifs de création de signatures électroniques ayant reçu ce délivrée par les services du Premier ministre peuvent produire des signatures électroniques bénéficiant de la présomption de fiabilité code civil. D'autres conditions portent sur le contenu des certificats électroniques la vérification des signatures électroniques produites par ces dispositifs, et prestataires de services de certification électronique qui les délivrent. Dans sa rédaction actuelle, le décret du 30-03-2001 précité renvoie à un arrêté du Premier ministre le soin de définir les procédures d'évaluation et de certification des dispositifs de création de signature électronique ainsi que les procédures d'agrément des organismes évaluateurs. Cet arrêté doit également préciser la composition et les modalités de fonctionnement du comité directeur de la certification, organisme collégial placé auprès du Premier ministre et chargé de contrôler le bon déroulement de ces diverses procédures. Il est apparu que les dispositions en cause devraient finalement prendre place dans un décret et non dans un simple arrêté. Deux raisons ont conduit à ce choix d'un niveau de norme plus élevé que ce qui était initialement prévu : - en premier lieu, il a semblé opportun de ne pas limiter le champ des procédures que le texte va régir aux seules évaluations et certifications concernant des dispositifs de signature électronique. Il convenait, en réalité, d'englober l'ensemble des produits et systèmes de la société de l'information pour que ceux-ci puissent faire évaluer et certifier leur sécurité. Il s'agissait donc de fixer un cadre général venant se substituer à celui qui a été mis en place de manière plus informelle par l'avis du Premier ministre en date du 01-09-1995. Dès lors que l'on entendait fixer des règles applicables à l'évaluation et à la certification de tous les produits et systèmes informatiques, la subdélégation faite au Premier ministre par le décret du 30-03-2001, limitée aux seuls dispositifs de signature électronique, ne pouvait plus servir de base juridique. Il fallait donc recourir au décret, seul vecteur pertinent pour l'exercice du pouvoir réglementaire. - en second lieu, il est apparu que les certificats délivrés par le Premier ministre pour attester de la sécurité d'un produit ou d'un système informatiques, ainsi que les agréments délivrés aux centres d'évaluation, constituent des décisions administratives individuelles qui entrent dans le champ d'application du décret 97-34 du 15- 01-1997. Or, selon ce décret, de telles décisions doivent normalement être prises par les préfets, sauf dérogation prévue par décret en Conseil d'Etat délibéré en conseil des ministres. Comme la technicité élevée des tâches qu'implique la certification des produits et systèmes informatiques, ainsi que les impératifs de confidentialité qui doivent être respectés dans les procédures d'évaluation, exigent que cette mission soit confiée au secrétariat général de la défense nationale (direction centrale de la sécurité des systèmes d'information), il est nécessaire de recourir à un décret en Conseil d'Etat délibéré en conseil des ministres pour prendre les dispositions envisagées. Le présent décret comporte quatre chapitres consacres respectivement aux procédures d'évaluation et de certification, a l'agrément des centres d'évaluation, au comite directeur de la certification en sécurité des technologies de l'information, et aux dispositions diverses et transitoires. La procédure d'évaluation d'un produit ou d'un système, décrite dans le chapitre I du décret, sera menée à l'initiative du commanditaire, qui en assumera la charge financière. Le commanditaire devra préalablement constituer un dossier d'évaluation, afin notamment de définir le degré de sécurité auquel il entend parvenir ainsi que la nature et l'intensité des risques ou menaces auquel le produit ou le système doit normalement résister. Ce dossier devra être transmis, avant que les travaux d'évaluation ne commencent, à la direction centrale de la sécurité des systèmes d'évaluation qui assurera la supervision de l'ensemble de la procédure et décidera, au terme de celle-ci, si une certification peut être accordée. Dès réception du dossier, cette direction pourra, si elle estime que la démarche envisagée n'est pas pertinente, et notamment que les normes servant de référence pour l'évaluation ne correspondent pas aux exigences de fiabilité requises à ce moment-là, informer le commanditaire que son projet ne pourra pas déboucher sur une certification. Cette notification n'interdira pas au destinataire de poursuivre l'exécution de son projet, s'il le souhaite, mais il s'agira alors d'une démarche purement privée dans laquelle l'administration n'aura aucune part. L'évaluation sera réalisée par un ou plusieurs centres agréés choisis par le commanditaire et avec lesquels il passera contrat. Le présent décret énumère un certain nombre d'éléments qui devront nécessairement figurer dans ce contrat. Il rappelle également l'obligation pour le commanditaire de fournir au centre qu'il aura choisi l'ensemble des données nécessaires à ce dernier pour l'accomplissement des tâches d'évaluation. Le commanditaire conservera cependant la maîtrise de la procédure dans la mesure où il pourra à tout moment en interrompre le déroulement. La direction centrale de la sécurité des systèmes d'information devra veiller à la bonne exécution des travaux d'évaluation. A cette fin, elle pourra demander au commanditaire de lui communiquer les éléments transmis au centre d'évaluation (sans que cette communication présente un caractère systématique). De même, ses agents pourront demander à assister aux travaux d'évaluation ou à se les faire expliquer. Une fois ses travaux achevés, le centre d'évaluation rédigera un rapport décrivant les contrôles et les tests effectués ainsi que les résultats obtenus. Ce document sera adressé au commanditaire ainsi qu'à la direction centrale de la sécurité des systèmes d'information. Le rapport d'évaluation, établi dans le cadre d'un contrat commercial passé entre le commanditaire et le centre choisi par lui, contiendra nécessairement des informations sur l'agencement du produit ou du système évalué (en particulier des informations sur les mesures techniques prises pour assurer sa fiabilité et résister à d'éventuelles tentatives de piratage ou d'intrusion). En raison de ce contenu, couvert par le secret industriel et commercial, le document ne sera pas communicable aux tiers par la direction centrale de la sécurité des systèmes d'information, conformément à ce que prévoit l'article 6.Une fois le rapport d'évaluation valide a la fois par le commanditaire et par la direction centrale de la sécurité des systèmes d'information, cette dernière doit rédiger, dans le délai d'un mois, un rapport de certification proposant d'accorder ou non le certificat demande. C'est au vu de ce rapport que le Premier ministre prendra sa décision. Le décret rappelle par ailleurs que des accords pourront être passés entre la direction centrale de la sécurité des systèmes d'information et des organismes étrangers homologues pour assurer la reconnaissance mutuelle des certificats par chaque administration. En ce qui concerne les certificats délivrés par des organismes ayant leur siège dans un Etat membre de la Communauté européenne, la reconnaissance sera de droit, si le certificat a été délivré selon une procédure présentant des garanties équivalentes à la procédure prévue par le présent décret. Enfin, demeurent applicables les dispositions du décret du 30-03-2001 qui, s'agissant des dispositifs sécurisés de création de signature électronique, reconnaissent directement la compétence des organismes désignés à cet effet par les autres Etat membres pour délivrer des certificats. Le chapitre II du décret définit les conditions dans lesquelles sera accordé l'agrément des organismes chargés de procéder à l'évaluation des produits ou systèmes informatiques, préalable à leur certification. L'agrément sera délivré à tout organisme, public ou privé, qui justifiera pouvoir réaliser des évaluations de qualité selon la méthodologie admise dans le domaine considéré et dans le respect des exigences de confidentialité. L'organisme demandeur devra, à cet égard, être accrédité par une instance reconnue par les pouvoirs publics en application de l'article R. 115-6 du code de la consommation (tel est le cas actuellement du comité français d'accréditation - COFRAC ) ou par une instance équivalente reconnue dans un autre Etat de la Communauté. L'agrément sera délivré par le Premier ministre pour une durée de deux ans renouvelable.Le décret prévoit également un dispositif de reconnaissance de l'agrément délivré à un centre dévaluation étranger (de droit, s'agissant des agréments délivrés par un Etat membre de la Communauté européenne selon une procédure équivalente à la procédure française).Les centres agréés seront soumis au contrôle de la direction centrale de la sécurité des systèmes d'information et pourront se voir retirer leur agrément s'ils cessent de satisfaire aux conditions exigées pour la réalisation d'évaluations de qualité. Le chapitre III du décret fixe la composition, les modalités de fonctionnement et les missions du comité directeur de la certification en sécurité des technologies de l'information. Cette instance, présidée par le secrétaire général de la défense nationale, comprendra les représentants des treize départements ministériels les plus concernés par les questions de sécurité des systèmes informatiques et des réseaux numériques. En outre, lorsqu'elle examinera des questions concernant les dispositifs de création et de vérification de signature électronique, sa composition sera complétée par douze personnalités qualifiées nommées pour trois ans par arrêté du Premier ministre. Le chapitre IV du décret complète la liste annexée au décret 97-1184 du 19-12-1997 qui énumère les catégories de décisions administratives individuelles prises par le Premier ministre, en dérogation au principe de déconcentration posé par le décret du 15-01- 1997. Il convient en effet d'ajouter a cette liste les décisions de certification des produits et des systèmes informatiques ainsi que celles relatives à l'agrément des centres d'évaluation. Comme cela a été indiqué ci-dessus, une telle dérogation exige que le présent décret soit délibéré en conseil des ministres après avis du Conseil d'Etat. Mais les modifications ultérieures de ce texte pourront être réalisées par décret simple. Ce chapitre procède également aux modifications du décret du 30-03-2001 relatif à la signature électronique rendues nécessaires par le présent décret. Une disposition transitoire prévoit que les certificats et les agréments délivrés dans le cadre du schéma institué par l'avis publié au Journal officiel du 01-09-1995 resteront valables. Enfin, le présent décret s'appliquera dans toutes les collectivités d'outre-mer, en tant qu'il concerne la signature électronique, comme les dispositions contenues dans le code civil et dans le décret du 30-03-2001. En revanche, il ne sera pas applicable en Nouvelle-Calédonie et en Polynésie en tant qu'il porte sur d'autres types de certification, compte tenu de l'absence de fondement juridique dans les statuts de ces deux collectivités pour instituer une compétence de l'Etat en la matière. Modification de l'annexe du décret 97- 1184, des art. 3 (1° du II), 4, 5 (al. 1), 7 (al. 2) et 9 (al. 1 du II) du décret 2001-272 conformément aux dispositions du présent décret.
PREMIER MINISTRE , TECHNOLOGIE DE L'INORMATION , EVALUATION , CERTIFICATION , SECURITE , PRODUIT , SERVICE , CODE CIVIL , SUPPORT ELECTRONIQUE , SIGNATURE , SIGNATURE ELECTRONIQUE , PROCEDURE D'EVALUATION ET DE CERTIFICATION , CENTRE D'EVALUATION , AGREMENT , COMITE DIRECTEUR DE LA CERTIFICATION , MISSION , COMPOSITION , EXTENSION , OUTRE-MER , TRANSPOSITION DE DIRECTIVE CE , HARMONISATION EUROPEENNE
JORF n°92 du 19 avril 2002 page 6944
NOR: PRMX0100183D
ELI: https://www.legifrance.gouv.fr/eli/decret/2002/4/18/PRMX0100183D/jo/texte
Alias: https://www.legifrance.gouv.fr/eli/decret/2002/4/18/2002-535/jo/texte
Sur le rapport du Premier ministre, du ministre de l'économie, des finances et de l'industrie et du ministre délégué à l'industrie, aux petites et moyennes entreprises, au commerce, à l'artisanat et à la consommation,
Vu le code de la consommation, notamment son article R. 115-6 ;
Vu le décret n° 97-34 du 15 janvier 1997, modifié par le décret n° 97-463 du 9 mai 1997 et par le décret n° 97-1205 du 19 décembre 1997, relatif à la déconcentration des décisions administratives individuelles ;
Vu le décret n° 97-1184 du 19 décembre 1997, modifié par le décret n° 2001-143 du 15 février 2001, pris pour l'application au Premier ministre du 1° de l'article 2 du décret n° 97-34 du 15 janvier 1997 relatif à la déconcentration des décisions administratives individuelles ;
La sécurité offerte par des produits ou des systèmes des technologies de l'information, au regard notamment de leur aptitude à assurer la disponibilité, l'intégrité ou la confidentialité de l'information traitée face aux menaces dues en particulier à la malveillance peut être certifiée dans les conditions prévues au présent décret.
Les administrations de l'Etat recourent, dans la mesure du possible et en fonction de leurs besoins de sécurité, à des produits ou des systèmes des technologies de l'information certifiés suivant la procédure prévue au présent décret.
Section 1 : Evaluation
Une évaluation en vue de la certification prévue à l'article 1er est effectuée à la demande d'un commanditaire qui adresse à la direction centrale de la sécurité des systèmes d'information un dossier d'évaluation. Le dossier comporte notamment la description du système de sécurité à évaluer, les dispositions prévues pour lui conférer sa pleine efficacité ainsi que le programme de travail prévisionnel permettant une évaluation.
Dès réception de ce dossier, la direction centrale de la sécurité des systèmes d'information si elle estime que les objectifs de sécurité ne sont pas définis de manière pertinente au regard des normes, prescriptions techniques ou règles de bonne pratique applicables au moment où commence l'évaluation, notifie au commanditaire qu'elle ne pourra pas en l'état du dossier procéder à la certification envisagée.
Le commanditaire de l'évaluation choisit un ou plusieurs centres d'évaluation, agréés dans les conditions prévues au chapitre II, pour procéder à celle-ci. Avant le début des travaux, il détermine avec chacun de ces centres :
a) Le produit ou le système à évaluer ainsi que les objectifs de sécurité ;
b) Les conditions de protection de la confidentialité des informations qui seront traitées dans le cadre de l'évaluation ;
c) Le coût et les modalités de paiement de l'évaluation ;
d) Le programme de travail et les délais prévus pour l'évaluation.
Le commanditaire est tenu d'assurer la mise à la disposition des centres d'évaluation qu'il a choisis et de la direction centrale de la sécurité des systèmes d'information, si elle en fait la demande, de tous les éléments nécessaires au bon accomplissement de leurs travaux, le cas échéant après accord des fabricants concernés.
Le commanditaire peut décider à tout moment de mettre fin à une évaluation.
Il est décidé entre les parties du dédommagement éventuellement dû au centre d'évaluation.
La direction centrale de la sécurité des systèmes d'information veille à la bonne exécution des travaux d'évaluation. Elle peut à tout moment demander à assister à ces travaux ou à obtenir des informations sur leur déroulement.
Au terme des travaux d'évaluation, chaque centre remet un rapport d'évaluation au commanditaire et à la direction centrale de la sécurité des systèmes d'information. Ce rapport est un document confidentiel dont les informations sont couvertes par le secret industriel et commercial.
Section 2 : Certification
Le commanditaire et la direction centrale de la sécurité des systèmes d'information valident les rapports d'évaluation en liaison avec le centre d'évaluation intervenant. Lorsque l'ensemble des rapports prévus a été validé, la direction centrale de la sécurité des systèmes d'information élabore un rapport de certification dans un délai d'un mois. Ce rapport, qui précise les caractéristiques des objectifs de sécurité proposés, conclut soit à la délivrance d'un certificat, soit au refus de la certification.
Le rapport de certification peut comporter tout avertissement que ses rédacteurs estiment utile de mentionner pour des raisons de sécurité. Il est, au choix du commanditaire, communiqué ou non à des tiers ou rendu public.
Le certificat est délivré par le Premier ministre.
Il atteste que l'exemplaire du produit ou du système soumis à évaluation répond aux caractéristiques de sécurité spécifiées. Il atteste également que l'évaluation a été conduite conformément aux règles et normes en vigueur, avec la compétence et l'impartialité requises.
La direction centrale de la sécurité des systèmes d'information peut passer, après avis du comité directeur de la certification, des accords de reconnaissance mutuelle avec des organismes étrangers homologues, ayant leur siège en dehors des Etats membres de la Communauté européenne.
Ces accords peuvent prévoir que les certificats délivrés par les organismes étrangers cosignataires, dans le cadre de procédures comparables à celle prévue au présent chapitre, sont reconnus comme ayant la même valeur que les certificats délivrés en application du présent décret. La reconnaissance mutuelle des certificats peut être limitée à un niveau d'assurance déterminé.
Sans préjudice des règles régissant la certification des dispositifs sécurisés de création de signature électronique mentionnées au 2° du II de l'article 3 du décret du 30 mars 2001 susvisé, le Premier ministre reconnaît aux certificats délivrés par les organismes ayant leur siège dans un Etat membre de la Communauté européenne, dans le cadre de procédures comparables présentant des garanties équivalentes, la même valeur qu'aux certificats délivrés en application du présent décret.
Les centres d'évaluation chargés de procéder à l'évaluation prévue au présent décret sont agréés dans les conditions fixées par le présent chapitre.
I. - La demande d'agrément est formulée auprès de la direction centrale de la sécurité des systèmes d'information. Cette demande précise le domaine dans lequel l'organisme demandeur entend exercer son activité.
II. - L'organisme demandeur doit faire la preuve :
a) De sa conformité aux critères de qualité selon les règles et normes d'accréditation en vigueur ;
b) De son aptitude à appliquer les critères d'évaluation en vigueur et la méthodologie correspondante ainsi qu'à assurer la confidentialité requise par l'évaluation ;
c) De sa compétence technique à conduire une évaluation.
La conformité mentionnée au a et l'aptitude mentionnée au b sont attestées par une accréditation délivrée par une instance reconnue dans les conditions prévues à l'article R. 115-6 du code de la consommation ou délivrée par une instance étrangère équivalente.
La compétence technique mentionnée au c est appréciée par la direction centrale de la sécurité des systèmes d'information, notamment à partir des moyens, des ressources et de l'expérience du centre d'évaluation.
L'agrément est délivré par le Premier ministre, après avis du comité directeur de la certification.
Il peut énoncer les obligations particulières auxquelles est soumis le centre d'évaluation.
Il est valable pour une durée de deux ans renouvelable.
Lorsqu'un centre d'évaluation situé hors du territoire national ou d'un autre Etat membre de la Communauté européenne a déjà fait l'objet d'un agrément par les autorités de son pays d'installation dans le cadre d'une procédure homologue, le Premier ministre peut, après avis du comité directeur de la certification, le déclarer agréé au titre du présent décret. Cet agrément, qui est accordé pour une durée de deux ans renouvelable, peut être limité à un niveau d'assurance déterminé.
Lorsqu'un centre d'évaluation situé dans un Etat membre de la Communauté européenne a déjà fait l'objet d'un agrément par les autorités de cet Etat dans le cadre d'une procédure équivalente, le Premier ministre, après avis du comité directeur de la certification, le déclare agréé au titre du présent décret.
La direction centrale de la sécurité des systèmes d'information peut s'assurer à tout moment que les centres d'évaluation continuent à satisfaire aux critères au vu desquels ils ont été agréés.
Lorsqu'un centre ne satisfait plus aux exigences mentionnées à l'article 11 ou qu'il manque aux obligations fixées par la décision d'agrément, l'agrément peut être retiré par le Premier ministre, après avis du comité directeur de la certification. Le retrait ne peut être prononcé qu'après que le représentant du centre d'évaluation a été mis à même de faire valoir ses observations devant le comité directeur de la certification.
Le comité directeur de la certification en sécurité des technologies de l'information a notamment pour mission :
a) De formuler des avis ou des propositions sur la politique de certification, sur les règles et normes utilisées pour les procédures d'évaluation et de certification et sur les guides techniques mis à la disposition du public ;
b) D'émettre un avis sur la délivrance et le retrait des agréments aux centres d'évaluation ;
c) D'examiner, à des fins de conciliation, tout litige relatif aux procédures d'évaluation organisées par le présent décret qui lui est soumis par les parties ;
d) D'émettre un avis sur les accords de reconnaissance mutuelle conclus avec des organismes étrangers en application de l'article 9.
La mission prévue au c ci-dessus peut être déléguée par le comité à l'un de ses membres, elle comporte obligatoirement l'audition des parties.
Le comité directeur de la certification en sécurité des technologies de l'information est présidé par le secrétaire général de la défense nationale ou son représentant. Outre son président, il comprend :
a) Un représentant du ministre de la justice ;
d) Un représentant du ministre de la défense ;
e) Un représentant du ministre chargé de l'industrie ;
f) Un représentant du ministre chargé de l'économie ;
g) Un représentant du ministre chargé de l'emploi ;
h) Un représentant du ministre chargé de la santé ;
i) Un représentant du ministre chargé de l'éducation nationale ;
j) Un représentant du ministre chargé de la communication ;
k) Un représentant du ministre chargé de la réforme de l'Etat ;
l) Un représentant du ministre chargé des transports ;
m) Un représentant du ministre chargé de la recherche.
Lorsque le comité directeur examine des questions concernant les dispositifs de création et de vérification de signature électronique, tels que définis à l'article 1er du décret du 30 mars 2001 susvisé, il comprend en outre douze personnalités qualifiées nommées pour trois ans par arrêté du Premier ministre.
Le secrétariat du comité directeur est assuré par la direction centrale de la sécurité des systèmes d'information.
Le comité directeur se réunit sur convocation de son président qui en fixe l'ordre du jour.
Le président peut inviter tout expert ou personne qualifiée dont la participation aux débats lui paraît nécessaire.
Le comité rend compte de ses travaux au Premier ministre.
La direction centrale de la sécurité des systèmes d'information fait annuellement rapport au comité directeur de la certification de l'activité qu'elle exerce dans le cadre de la mise en oeuvre du présent décret.
Dans la partie « Sécurité et défense nationale » du paragraphe 2 de l'annexe au décret n° 97-1184 du 19 décembre 1997 susvisé, il est ajouté, à la suite du tableau relatif au décret n° 2001-143 du 15 février 2001, les mots et le tableau suivants :
« Décret n° 2002-535 du 18 avril 2002 relatif à l'évaluation et à la certification de la sécurité offerte par les produits et les systèmes des technologies de l'information.
n°o 92 du 19/04/2002 page 6944 à 6946
Le décret du 30 mars 2001 susvisé est ainsi modifié :
I. - Le 1° du II de l'article 3 est remplacé par les dispositions suivantes :
« 1° Soit par le Premier ministre, dans les conditions prévues par le décret n° 2002-535 du 18 avril 2002 relatif à l'évaluation et à la certification de la sécurité offerte par les produits et les systèmes des technologies de l'information. La délivrance du certificat de conformité est rendue publique. »
« Art. 4. - La mise en oeuvre des procédures d'évaluation et de certification prévues au 1° du II de l'article 3 est assurée dans les conditions prévues par le décret n° 2002-535 du 18 avril 2002 relatif à l'évaluation et à la certification de la sécurité offerte par les produits et les systèmes des technologies de l'information. »
III. - Au premier alinéa de l'article 5, les mots : « l'arrêté » sont remplacés par les mots : « le décret ».
IV. - Au deuxième alinéa de l'article 7, les mots : « selon des règles définies par arrêté du Premier ministre » sont supprimés.
V. - Au premier alinéa du II de l'article 9, les mots : « par des organismes publics désignés par arrêté du Premier ministre et agissant sous l'autorité des services du Premier ministre chargés de la sécurité des systèmes d'information » sont remplacés par les mots : « par la direction centrale de la sécurité des systèmes d'information ».
Les certificats et les agréments des centres d'évaluation délivrés avant la date d'entrée en vigueur du présent décret, en application des dispositions de l'avis du Premier ministre relatif à la délivrance de certificats pour la sécurité offerte par les produits informatiques vis-à-vis de la malveillance, publié au Journal officiel de la République française du 1er septembre 1995, sont reconnus comme délivrés au titre du présent décret.
Le présent décret est applicable :
a) En Nouvelle-Calédonie et en Polynésie française, en tant qu'il concerne la signature électronique ;
b) Dans les îles Wallis-et-Futuna et à Mayotte.
Les dispositions du présent décret pourront être ultérieurement modifiées par décret, à l'exception :
a) Du premier alinéa des articles 8 et 12, du deuxième alinéa de l'article 14 et de l'article 19 dont la modification s'effectuera, le cas échéant, dans les conditions prévues à l'article 2 du décret du 15 janvier 1997 susvisé ;
b) De l'article 20.

References: l'article 6
 art. 3
 l'article 2
 l'article 1
 l'article 3
 l'article 11
 l'article 9
 l'article 1
 l'article 3
 Art. 4
 l'article 3
 l'article 5
 l'article 7
 l'article 9
 l'article 14
 l'article 19
 l'article 2
 l'article 20