Code de la défense - Légifrance du 2024 03 07.pdf — page 102

Lorsque le titulaire du nom de domaine apporte des éléments établissant que la menace est neutralisée,
l'autorité nationale mentionnée au premier alinéa du présent I demande qu'il soit mis fin sans délai aux
mesures prises en application des 1° ou 2°.
  
II.-Lorsqu'il est constaté qu'une menace susceptible de porter atteinte à la défense et à la sécurité nationale
résulte de l'exploitation d'un nom de domaine enregistré à cette fin, l'autorité nationale de sécurité des
systèmes d'information peut demander :
  
1° A une personne mentionnée au 1° du I de procéder au blocage ou à la redirection du nom de domaine vers
un serveur sécurisé de l'autorité nationale ou vers un serveur neutre ;
  
2° A l'office d'enregistrement ou à un bureau d'enregistrement, mentionnés au 2° du même I, d'enregistrer,
de renouveler, de suspendre ou de transférer le nom de domaine. A la demande de l'autorité, les données
d'enregistrement ne sont pas rendues publiques.
  
III.-Les mesures prévues aux I et II sont prises par les personnes mentionnées aux 1° et 2° des mêmes I et II
dans un délai, fixé par l'autorité nationale de sécurité des systèmes d'information, qui ne peut être inférieur à
deux jours ouvrés.
  
Elles sont mises en œuvre pour une durée et dans une mesure strictement nécessaires et proportionnées dans
leurs effets à la préservation de l'intégrité du réseau, à la caractérisation et à la neutralisation de la menace et
à l'information des utilisateurs ou des détenteurs des systèmes affectés, menacés ou attaqués.
  
Les mesures de redirection d'un nom de domaine vers un serveur sécurisé de l'autorité nationale de sécurité
des systèmes d'information prises aux fins de caractérisation de la menace ne peuvent excéder une durée de
deux mois. Elles peuvent être renouvelées une fois en cas de persistance de la menace, sur avis conforme de
l'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse. Elles
prennent fin, sans délai, lorsque la menace est neutralisée.
  
Les mesures prévues aux I et II, exception faite de celles prévues au troisième alinéa du présent III, sont
soumises au contrôle de l'Autorité de régulation des communications électroniques, des postes et de la
distribution de la presse dans les conditions prévues au I de l'article L. 36-14 du code des postes et des
communications électroniques.
  
IV.-Les données directement utiles à la caractérisation des menaces, recueillies par l'autorité nationale de
sécurité des systèmes d'information en application du II du présent article, ne peuvent être conservées plus
de cinq ans. Les autres données recueillies sont détruites dans un délai bref, précisé par voie réglementaire,
quand elles ne sont pas utiles à la caractérisation de la menace, à l'exception des données permettant
d'identifier les utilisateurs ou les détenteurs des systèmes d'information menacés, lesquels peuvent être
informés par l'autorité mentionnée à la première phrase du présent IV, le cas échéant après mise en œuvre du
premier alinéa de l'article L. 2321-3.
  
V.-Un décret en Conseil d'Etat, pris après avis de l'Autorité de régulation des communications électroniques,
des postes et de la distribution de la presse et de la Commission nationale de l'informatique et des libertés,
précise les modalités d'application du présent article ainsi que les modalités de compensation des surcoûts
identifiables et spécifiques des prestations assurées à ce titre, à la demande de l'Etat, par les personnes
mentionnées aux 1° et 2° des I et II du présent article.
Article L2321-3
 
Pour les besoins de la sécurité des systèmes d'information des autorités publiques, des opérateurs mentionnés
aux articles L. 1332-1 et L. 1332-2 et des opérateurs mentionnés à l'article 5 de la loi n° 2018-133 du 26
février 2018 portant diverses dispositions d'adaptation au droit de l'Union européenne dans le domaine de
la sécurité, les agents de l'autorité nationale de sécurité des systèmes d'information, habilités par le Premier
ministre dans des conditions fixées par décret en Conseil d'Etat et dont la liste est transmise à l'Autorité de
régulation des communications électroniques, des postes et de la distribution de la presse, peuvent obtenir
Code de la défense. - Dernière modification le 01 mars 2024 - Document généré le 06 mars 2024