LIVRE III _ RÉGIMES JURIDIQUES DE DÉFENSE - Légifrance.pdf — page 5

Modifié par LOI n°2023-703 du 1er août 2023 - art. 67
Création LOI n°2023-703 du 1er août 2023 - art. 65
systèmes d'information prises aux fins de caractérisation de la menace ne peuvent excéder une durée de deux
mois. Elles peuvent être renouvelées une fois en cas de persistance de la menace, sur avis conforme de l'Autorité
de régulation des communications électroniques, des postes et de la distribution de la presse. Elles prennent fin,
sans délai, lorsque la menace est neutralisée.
Les mesures prévues aux I et II, exception faite de celles prévues au troisième alinéa du présent III, sont soumises
au contrôle de l'Autorité de régulation des communications électroniques, des postes et de la distribution de la
presse dans les conditions prévues au I de l'article L. 36-14 du code des postes et des communications
électroniques.
IV.-Les données directement utiles à la caractérisation des menaces, recueillies par l'autorité nationale de sécurité
des systèmes d'information en application du II du présent article, ne peuvent être conservées plus de cinq ans.
Les autres données recueillies sont détruites dans un délai bref, précisé par voie réglementaire, quand elles ne
sont pas utiles à la caractérisation de la menace, à l'exception des données permettant d'identifier les utilisateurs
ou les détenteurs des systèmes d'information menacés, lesquels peuvent être informés par l'autorité mentionnée à
la première phrase du présent IV, le cas échéant après mise en œuvre du premier alinéa de l'article L. 2321-3.
V.-Un décret en Conseil d'Etat, pris après avis de l'Autorité de régulation des communications électroniques, des
postes et de la distribution de la presse et de la Commission nationale de l'informatique et des libertés, précise les
modalités d'application du présent article ainsi que les modalités de compensation des surcoûts identifiables et
spécifiques des prestations assurées à ce titre, à la demande de l'Etat, par les personnes mentionnées aux 1° et 2°
des I et II du présent article.
Article L2321-3
Pour les besoins de la sécurité des systèmes d'information des autorités publiques, des opérateurs mentionnés
aux articles L. 1332-1 et L. 1332-2 et des opérateurs mentionnés à l'article 5 de la loi n° 2018-133 du 26 février
2018 portant diverses dispositions d'adaptation au droit de l'Union européenne dans le domaine de la sécurité, les
agents de l'autorité nationale de sécurité des systèmes d'information, habilités par le Premier ministre dans des
conditions fixées par décret en Conseil d'Etat et dont la liste est transmise à l'Autorité de régulation des
communications électroniques, des postes et de la distribution de la presse, peuvent obtenir des opérateurs de
communications électroniques, en application du II bis de l'article L. 34-1 du code des postes et des
communications électroniques et des personnes mentionnées au 2 du I de l'article 6 de la loi n° 2004-575 du 21
juin 2004 pour la confiance dans l'économie numérique, en application du II du même article 6, l'identité, l'adresse
postale et l'adresse électronique d'utilisateurs ou de détenteurs de systèmes d'information vulnérables, menacés
ou attaqués, afin de les alerter sur la vulnérabilité ou l'atteinte de leur système.
Lorsque l'autorité nationale de sécurité des systèmes d'information est informée, en application de l'article L. 33-14
du code des postes et des communications électroniques, de l'existence d'un événement affectant la sécurité des
systèmes d'information d'une autorité publique, d'un opérateur mentionné aux articles L. 1332-1 et L. 1332-2 du
présent code ou à l'article 5 de la loi n° 2018-133 du 26 février 2018 précitée ou d'un opérateur public ou privé
participant aux systèmes d'information d'une des entités mentionnées au présent alinéa, les agents mentionnés au
premier alinéa du présent article peuvent obtenir des opérateurs de communications électroniques les données
techniques strictement nécessaires à l'analyse de cet événement. Ces données ne peuvent être exploitées qu'aux
seules fins de caractériser la menace affectant la sécurité de ces systèmes. Elles ne peuvent être conservées plus
de cinq ans.
Les surcoûts identifiables et spécifiques des prestations suivantes effectuées à la demande de l'autorité nationale
de sécurité des systèmes d'information sont compensés selon des modalités prévues par décret en Conseil d'Etat :
1° Les prestations assurées par les opérateurs de communications électroniques en application du premier alinéa
du présent article, dans les conditions prévues au VI de l'article L. 34-1 du code des postes et des communications
électroniques, et du deuxième alinéa du présent article ;
2° Les prestations assurées par les personnes mentionnées au 2 du I de l'article 6 de la loi n° 2004-575 du 21 juin
2004 précitée.
Article L2321-3-1
Aux seules fins de détecter et de caractériser des menaces et des attaques informatiques susceptibles de porter
atteinte à la défense, à la sécurité nationale et à la sécurité des systèmes d'information, les fournisseurs de
système de résolution de noms de domaine transmettent aux agents de l'autorité nationale de sécurité des
systèmes d'information individuellement désignés et spécialement habilités les données techniques ni directement
ni indirectement identifiantes enregistrées de manière temporaire par leurs serveurs gérant le système d'adressage
par domaines.
LIVRE III : RÉGIMES JURIDIQUES DE DÉFENSE D'APPLICA...
https://www.legifrance.gouv.fr/codes/section_lc/LEGITEXT...
5 of 53
3/28/26, 14:12