Décret n° 2025-510 du 29 décembre 2025 fixant le régime juridique de fourniture des moyens et des prestations de cryptologie

Sans préjudice des dispositions de l’article 38 de la loi n° 26-2020 du 5 juin 2020 susvisée, le retrait de l’agrément est prononcé immédiatement par l’agence nationale de sécurité des systèmes d’information (ANSSI), lorsque le maintien de celui-ci risque de mettre en péril les intérêts de la défense nationale ou de la sécurité publique. La décision de retrait est motivée.

Lorsqu’un prestataire de services de cryptologie ne respecte pas les obligations découlant de son cahier des charges ou de la réglementation en vigueur, applicable au domaine de la cryptologie, l’agence nationale de sécurité des systèmes d’information prononce, par décision motivée, l’une des sanctions administratives suivantes :

• le retrait provisoire, pour une durée de trois mois, de l’agrément accordé ;
• le retrait définitif de l’agrément.

Toute utilisation par un fournisseur des moyens et des prestations de cryptologie, non établis et publiés par l’agence nationale de sécurité des systèmes d’information expose son contrevenant à un retrait provisoire, pour une durée de trois mois, de l’agrément accordé.

Le contrevenant dispose d’un délai d’un mois pour se conformer. Passé ce délai, une décision d’arrêt de ses activités peut être prononcée, par le directeur général de l’agence nationale de sécurité des systèmes d’information.

Nonobstant les sanctions prévues aux alinéas ci-dessus, le contrevenant est passible d’une amende dont le montant fixé en fonction de la gravité des manquements ou des violations commis et en relation avec les avantages ou les profits tirés de ces manquements ou de ces violations est supérieur ou égal à 1 et ne dépassant pas 2,5 % du chiffre d’affaires tel que déclaré dans l’exercice comptable de l’année précédente. Ce pourcentage peut être doublé en cas de récidive. La même sanction s’applique en cas de non-respect des dispositions de l’article 11 du présent décret.

L’agence nationale de sécurité des systèmes d’information notifie à l’organisme agréé la décision de retrait de son agrément.

Dès la notification du retrait de l’agrément, l’organisme concerné informe, sans délai, les utilisateurs de ses services, de la cessation de son activité de gestion des conventions secrètes, et leur communique la liste des autres organismes agréés offrant les mêmes services.

Les utilisateurs concernés peuvent choisir un autre organisme agréé, à qui sera confiée la gestion de leurs conventions secrètes.

Dans le cas où un utilisateur ne choisit pas un autre organisme dans un délai d’un mois à partir de la cessation d’activité du prestataire de cryptologie dont l’agrément est retiré, il transmet à l’agence nationale de sécurité des systèmes d’information, sur un support électronique dont le format est défini par cette dernière, les conventions secrètes qu’il détient, sans pouvoir en conserver de copie.

Ce support est déposé auprès d’un autre organisme désigné à cet effet par l’agence nationale de sécurité des systèmes d’information.

Le non-respect des dispositions du présent article expose tout contrevenant à des sanctions prévues par la réglementation en vigueur.