Code de la défense - Légifrance du 2024 03 07.pdf — page 388

Chaque opérateur d'importance vitale établit et tient à jour la liste des systèmes d'information mentionnés à
l'article L. 1332-6-1, y compris ceux des opérateurs tiers qui participent à ces systèmes, auxquels s'appliquent
les règles de sécurité prévues au même article.
  
Les systèmes d'information figurant sur la liste mentionnée au premier alinéa sont dénommés “ systèmes
d'information d'importance vitale ”.
  
La liste est établie selon des modalités fixées par arrêté du Premier ministre pris après avis des ministres
coordonnateurs des secteurs d'activités d'importance vitale concernés. Ces arrêtés peuvent prévoir des
modalités différentes selon le secteur ou le type d'activité de l'opérateur. Lorsque l'arrêté n'est pas publié, il
est notifié aux personnes ayant besoin d'en connaître.
  
Chaque opérateur communique sa liste de systèmes d'information d'importance vitale et les mises à jour de
celle-ci à l'Agence nationale de la sécurité des systèmes d'information selon des modalités et dans des délais
fixés par l'arrêté mentionné au troisième alinéa.
  
L'Agence nationale de la sécurité des systèmes d'information peut, après avis des ministres coordonnateurs
concernés, faire des observations à l'opérateur sur sa liste. Dans ce cas, l'opérateur modifie sa liste
conformément à ces observations et communique la liste modifiée à l'Agence nationale de la sécurité des
systèmes d'information dans un délai de deux mois à compter de la réception des observations.
  
La liste des systèmes d'information d'importance vitale est couverte par le secret de la défense nationale.
    
Sous-section 2 : Détection des événements de sécurité
Article R1332-41-3
Les règles de sécurité prévues à l'article L. 1332-6-1 fixent les conditions et les délais dans lesquels les
opérateurs d'importance vitale mettent en œuvre des systèmes de détection des événements susceptibles
d'affecter la sécurité de leurs systèmes d'information d'importance vitale. Elles déterminent également le type
de système de détection utilisé.
 
Article R1332-41-4
Lorsque l'opérateur d'importance vitale est une administration de l'Etat, le Premier ministre, après avis des
ministres coordonnateurs des secteurs d'activités d'importance vitale concernés, décide, en fonction des
risques particuliers encourus par les systèmes d'information en cause, si les systèmes de détection sont
exploités par l'Agence nationale de la sécurité des systèmes d'information, par un autre service de l'Etat ou
par un prestataire de service qualifié.
  
Dans les autres cas, les systèmes de détection sont exploités exclusivement par un prestataire de service
qualifié.
  
Lorsque les systèmes de détection sont exploités par un prestataire de service qualifié, l'opérateur choisit le
prestataire sur la liste prévue à l'article R. 1332-41-9.
   
Article R1332-41-5
L'opérateur d'importance vitale conclut une convention avec le service de l'Etat ou le prestataire de service
chargé d'exploiter les systèmes de détection. Cette convention précise :
  
1° Les systèmes d'information de l'opérateur qui font l'objet du service de détection ;
  
Code de la défense. - Dernière modification le 01 mars 2024 - Document généré le 06 mars 2024