Chapitre 2 - Du régime des moyens et des prestations de cryptologie
Section 1 - Du régime de la liberté
Art. 4
La fourniture, l’importation et l’exportation des moyens de cryptologie assurant exclusivement des fonctions d’authentification ou de contrôle d’intégrité sont libres.
Art. 5
Le principe de la liberté, nonobstant les dispositions de l’article 28 de la loi n° 26-2020 du 5 juin 2020 susvisée, s’applique :
- lorsque les moyens et les prestations de cryptologie sont conçus uniquement pour protéger des mots de passe, des informations d’identification ou d’authentification, utilisés uniquement pour contrôler l’accès à des informations à des services ou à des locaux ;
- lorsque les moyens et les prestations de cryptologie sont conçus uniquement pour élaborer, protéger, vérifier, prouver ou détecter une procédure de signature numérique, une valeur de contrôle cryptographique, une information d’identification ou d’authentification.
Art. 6
L’utilisation des moyens et des prestations de cryptologie permettant d’assurer des fonctions de confidentialité n’est libre que lorsque ces moyens et ces prestations s’appuient sur des conventions secrètes gérées par un organisme agréé par l’agence nationale de sécurité des systèmes d’information.
L’agence nationale de sécurité des systèmes d’information s’assure, par tout moyen, que les conventions secrètes gérées par un organisme agréé ne sont pas contraires à l’ordre public ou ne portent pas atteinte aux intérêts de la défense nationale et de la sécurité intérieure ou extérieure de l’Etat.
Art. 7
L’utilisation privée par une personne physique de logiciel de cryptographie possédant une longueur de clé inférieure ou égale à 128 bits est libre.
Art. 8
Toute utilisation par un fournisseur, à des fins exclusives de développement, de validation, de démonstration ou de test, d’un moyen ou d’une prestation de cryptologie, est dispensée des formalités d’autorisation ou de déclaration.
La liste des opérations utilisant des moyens et des prestations de cryptologie dispensées de toute formalité préalable est établie et publiée par l’agence nationale de sécurité des systèmes d’information.
Section 2 - Du régime de la déclaration
Art. 9
Conformément aux dispositions de l’article 30 de la loi n° 26-2020 du 5 juin 2020 susvisée, la fourniture ou l’importation d’un moyen de cryptologie n’assurant pas exclusivement des fonctions d’authentification ou de contrôle d’intégrité est soumise à une déclaration préalable auprès de l’agence nationale de sécurité des systèmes d’information.
Le prestataire ou la personne procédant à la fourniture ou à l’importation d’un moyen de cryptologie met à la disposition de l’agence nationale de sécurité des systèmes d’information une description des caractéristiques techniques de ce moyen de cryptologie, ainsi que le Code source des logiciels utilisés.
Art. 10
Lorsqu’un fournisseur ou un importateur satisfait à l’obligation de déclaration, les intermédiaires chargés, le cas échéant, de la diffusion de ce moyen sont dispensés des obligations prévues à l’article 9 ci-dessus, sous réserve de se conformer aux clauses des conventions les liant aux fournisseurs.
Art. 11
Toute réforme, destruction ou disparition de moyens de cryptologie, soumises aux dispositions de l’article 9 du présent décret, doit faire l’objet d’une déclaration préalable auprès de l’agence nationale de sécurité des systèmes d’information.
L’agence nationale de sécurité des systèmes d’information s’assure, à tout moment, de l’exactitude de l’information fournie.
Les dispositions du présent article ne s’appliquent pas aux utilisations prévues à l’article 7 du présent décret.
Art. 12
La déclaration d’importation est limitée dans le temps.
Elle est valable pendant une année, lorsque l’importation a pour objet la fourniture d’un moyen ou d’une prestation de service de cryptologie.
Elle est valable pendant trois mois, lorsqu’elle vise une utilisation ponctuelle ou une exportation ultérieure.
Section 3 - Du régime de l’autorisation
Art. 13
Conformément aux dispositions de l’article 33 de la loi n° 26-2020 du 5 juin 2020 susvisée, sont soumises à une autorisation préalable de l’agence nationale de sécurité des systèmes d’information :
- l’exportation d’un moyen de cryptologie n’assurant pas exclusivement des fonctions d’authentification ou de contrôle d’intégrité ;
- l’opération de chiffrement utilisant une longueur de clef supérieure à 128 bits ;
- l’utilisation, au-delà de 32 bits, des moyens et des prestations de cryptologie permettant d’assurer des fonctions de confidentialité, nonobstant les dispositions de l’article 6 du présent décret.
Sauf autorisation écrite de l’agence nationale de sécurité des systèmes d’information, il est interdit d’importer, de transférer, d’exporter, de commercialiser ou d’utiliser un moyen de cryptologie utilisant une longueur de clef supérieure à 512 bits.
Art. 14
L’autorisation d’un moyen ou d’une prestation de service de cryptologie mentionne le type de procédure de gestion des conventions secrètes envisagées.
Art. 15
L’autorisation délivrée à tout demandeur vaut autorisation pour les intermédiaires chargés de la diffusion du moyen ou de la prestation.
À cet effet, l’autorisation précise que l’exportateur est tenu de notifier à l’agence nationale de sécurité des systèmes d’information, l’identité de la personne physique procédant, soit en son nom propre, soit pour le compte d’une autre personne, à l’acquisition du moyen ou de la prestation de services de cryptologie.
La notification de l’identité des intermédiaires s’effectue dans les mêmes conditions que la demande d’autorisation.
L’agence nationale de sécurité des systèmes d’information peut refuser au demandeur ou aux intermédiaires l’autorisation demandée. La décision de refus est motivée.
Art. 16
L’exportateur ou l’intermédiaire d’un moyen ou d’une prestation de cryptologie doit présenter, conformément aux dispositions de l’article 4 de la loi n° 30-2019 du 10 octobre 2019 susvisée, aux agents assermentés et/ou commissionnés de l’agence nationale de sécurité des systèmes d’information, la copie de l’autorisation correspondante.
Art. 17
L’autorisation d’exportation d’un moyen ou d’une prestation de cryptologie en vue d’une utilisation collective destinée à une catégorie d’utilisateurs, dispense l’utilisateur appartenant à cette catégorie d’une autorisation personnelle.
Art. 18
L’autorisation délivrée, peut être assortie de conditions visant à réserver l’emploi de ce moyen ou de cette prestation aux personnes appartenant à la catégorie d’utilisateurs autorisés.
La liste des personnes concernées par cette autorisation est établie par le titulaire de l’autorisation collective et transmise à l’agence nationale de sécurité de systèmes d’information dans les sept jours après réception.
Art. 19
Toute demande d’autorisation, à titre individuel ou à titre collectif, est limitée dans le temps, pour l’emploi du moyen ou de la prestation de cryptologie.
Elle est accordée à compter de la date de la délivrance de l’autorisation, pour :
- une durée de six mois, si elle est individuelle ;
- une durée d’une année, si elle est collective.
Art. 20
Tout moyen de cryptologie exportée doit faire l’objet d’une déclaration auprès des services de douane, conformément à la réglementation en vigueur.
Art. 21
Dans le cas où un moyen ou une prestation de cryptologie faisant l’objet d’une demande d’autorisation utilise un logiciel pour assurer tout ou partie de sa fonction cryptologique, le demandeur doit fournir ce logiciel, à l’agence nationale de sécurité des systèmes d’information.
Art. 22
L’usage d’un moyen ou d’une prestation de cryptologie ne donne lieu à aucune autorisation, lorsqu’il vise à dissimuler la teneur des communications établies à partir :
- des installations radioélectriques d’amateurs ;
- des installations destinées aux radiocommunications de loisirs et des postes émetteurs-récepteurs fonctionnant sur les canaux banalisés.
Art. 23
L’agence nationale de sécurité des systèmes d’information procède, autant de fois que de besoin, au contrôle de l’application des dispositions du cahier des charges, par l’organisme autorisé.
Art. 24
L’agence nationale de sécurité des systèmes d’information ne délivre pas l’autorisation dans les cas suivants :
- lorsque le demandeur ne fournit pas à l’agence les informations et les documents nécessaires qu’elle exige pour compléter le dossier dans un délai d’un mois à compter de la date de notification ;
- lorsque le demandeur fournit à l’agence des informations erronées ;
- lorsque les conditions relatives à l’exportation d’un moyen ou d’une prestation de cryptologie ne sont pas remplies.
La décision de refus est motivée.
Section 4 - Des dispositions communes aux régimes de la déclaration et de l’autorisation
Art. 25
L’agence nationale de sécurité des systèmes d’information peut demander aux titulaires d’une autorisation ou aux déclarants la communication, dans un délai ne pouvant excéder un mois à compter de la réception de sa demande, des caractéristiques techniques et du Code source du moyen de cryptologie qui a fait l’objet de l’autorisation ou de la déclaration.
Art. 26
L’agence nationale de sécurité des systèmes d’information précise la nature de ces caractéristiques techniques qui portent sur la description complète de la mise en œuvre du moyen de cryptologie, ainsi que sur ses fonctions ou procédés de cryptologie.
L’agence nationale de sécurité des systèmes d’information peut également demander aux titulaires d’une autorisation ou aux déclarants, dans le délai d’un mois, la mise à sa disposition de deux modèles du moyen de cryptologie concerné.
Art. 27
Toute cession, sous quelque forme que ce soit, d’un moyen ou d’une prestation de cryptologie est soumise à l’autorisation préalable de l’agence nationale de sécurité des systèmes d’information.
Le fournisseur ou l’importateur d’un moyen ou d’une prestation de cryptologie délivre à l’acquéreur la copie de son autorisation.
L’acquéreur est tenu d’informer l’agence nationale de sécurité des systèmes d’information, dans un délai de deux mois à compter de la date de la réalisation de la cession.
Art. 28
L’importateur d’un moyen ou d’une prestation de cryptologie ou son intermédiaire, doit présenter, à la demande des agents assermentés et/ou commissionnés de l’agence nationale de sécurité des systèmes d’information lors des contrôles, la déclaration ou l’autorisation initiale.
Art. 29
En cas de modification des caractéristiques techniques prévues à l’article 25 du présent décret, du changement du nom commercial ou technique du moyen de cryptologie et de la fin de la période de validité de l’autorisation, une nouvelle demande de la déclaration ou de l’autorisation doit être réalisée.
