LIVRE III _ RÉGIMES JURIDIQUES DE DÉFENSE - Légifrance.pdf — page 6

Création LOI n°2016-1321 du 7 octobre 2016 - art. 47
Création LOI n°2023-703 du 1er août 2023 - art. 66
A cette fin, les fournisseurs de système de résolution de noms de domaine transmettent à l'autorité nationale de
sécurité des systèmes d'information les données mentionnées au premier alinéa, qu'ils rendent préalablement
anonymes. Ils ne transmettent aucune donnée technique permettant d'identifier la source de la connexion ou
relative aux équipements terminaux utilisés. Les données transmises ne peuvent être exploitées qu'aux seules fins
mentionnées au même premier alinéa et ne peuvent être conservées plus de cinq ans.
Pour l'application dudit premier alinéa, on entend par fournisseur de système de résolution de noms de domaine la
personne mettant à disposition un service permettant la traduction d'un nom de domaine en un numéro unique
identifiant un appareil connecté à internet.
Un décret en Conseil d'Etat, pris après avis de l'Autorité de régulation des communications électroniques, des
postes et de la distribution de la presse et de la Commission nationale de l'informatique et des libertés, détermine
les modalités d'application du présent article. Il détermine notamment les données techniques collectées par les
agents de l'autorité nationale de sécurité des systèmes d'information ainsi que la fréquence et les conditions de
leur transmission par les fournisseurs de système de résolution de noms de domaine.
Article L2321-4
Pour les besoins de la sécurité des systèmes d'information, l'obligation prévue à l'article 40 du code de procédure
pénale n'est pas applicable à l'égard d'une personne de bonne foi qui transmet à la seule autorité nationale de
sécurité des systèmes d'information une information sur l'existence d'une vulnérabilité concernant la sécurité d'un
système de traitement automatisé de données.
L'autorité préserve la confidentialité de l'identité de la personne à l'origine de la transmission ainsi que des
conditions dans lesquelles celle-ci a été effectuée.
L'autorité peut procéder aux opérations techniques strictement nécessaires à la caractérisation du risque ou de la
menace mentionnés au premier alinéa du présent article aux fins d'avertir l'hébergeur, l'opérateur ou le responsable
du système d'information.
Article L2321-4-1
En cas de vulnérabilité significative affectant un de leurs produits ou en cas d'incident informatique compromettant
la sécurité de leurs systèmes d'information et susceptible d'affecter significativement un de leurs produits, les
éditeurs de logiciels notifient à l'autorité nationale de sécurité des systèmes d'information cette vulnérabilité ou cet
incident ainsi que l'analyse de ses causes et de ses conséquences. Cette obligation s'applique aux éditeurs qui
fournissent ce produit :
1° Sur le territoire français ;
2° A des sociétés ayant leur siège social sur le territoire français ;
3° Ou à des sociétés contrôlées, au sens de l'article L. 233-3 du code de commerce, par des sociétés ayant leur
siège social sur le territoire français.
Les éditeurs de logiciels informent les utilisateurs de ce produit, dans un délai fixé par l'autorité nationale de
sécurité des systèmes d'information et déterminé en fonction de l'urgence, des risques pour la défense et la
sécurité nationale et du temps nécessaire aux éditeurs pour prendre les mesures correctives. A défaut, l'autorité
nationale de sécurité des systèmes d'information peut enjoindre aux éditeurs de logiciels de procéder à cette
information. Elle peut également informer les utilisateurs ou rendre publics cette vulnérabilité ou cet incident ainsi
que son injonction aux éditeurs si celle-ci n'a pas été mise en œuvre.
Pour l'application du présent article, on entend par éditeur de logiciel toute personne physique ou morale qui
conçoit ou développe un produit logiciel ou fait concevoir ou développer un produit logiciel et qui le met à la
disposition d'utilisateurs, à titre onéreux ou gratuit.
Pour l'application du premier alinéa, on entend par incident informatique tout événement compromettant la
disponibilité, l'authenticité, l'intégrité ou la confidentialité des données stockées, transmises ou faisant l'objet d'un
traitement ou des services que les réseaux et les systèmes d'information offrent ou rendent accessibles.
Un décret en Conseil d'Etat, pris après avis de l'Autorité de régulation des communications électroniques, des
postes et de la distribution de la presse, définit les modalités d'application du présent article. Il précise notamment
les critères d'appréciation du caractère significatif de la vulnérabilité ou de l'incident mentionnés au premier alinéa.
Le caractère significatif de la vulnérabilité est défini en fonction des pratiques et des standards internationaux
LIVRE III : RÉGIMES JURIDIQUES DE DÉFENSE D'APPLICA...
https://www.legifrance.gouv.fr/codes/section_lc/LEGITEXT...
6 of 53
3/28/26, 14:12