Décret n° 2025-513 du 29 décembre 2025 réglementant les activités des fournisseurs des services, des produits et des technologies de cybersécurité

Le présent décret réglemente les activités des fournisseurs des services, des produits et des technologies de cybersécurité.

Il s’applique à toute personne physique ou morale qui exerce les activités de fournisseurs des services, des produits et des technologies de cybersécurité ou toutes autres activités connexes.

Au sens du présent décret, les termes ci-après sont définis comme suit :

• activité de cybersécurité : ensemble de mesures organisationnelles, techniques, humaines et juridiques mises en œuvre pour protéger les systèmes d’information, les réseaux, les infrastructures numériques, les données et les utilisateurs contre les menaces, incidents ou attaques portant atteinte à leur confidentialité, intégrité, disponibilité et traçabilité ;
• autorisation : acte délivré par l’agence nationale de sécurité des systèmes d’information à toute personne morale répondant aux conditions fixées par la réglementation en vigueur, en vue d’exercer les activités de fourniture des services de cybersécurité soumis à ce régime ;
• criminalistique numérique : ensemble des méthodes scientifiques, techniques et procédurales utilisées pour identifier, collecter, préserver, analyser, interpréter et présenter des preuves numériques, de manière à les rendre fiables, vérifiables et recevables devant une autorité judiciaire, administrative ou disciplinaire ;
• équipe d’intervention d’urgence en informatique (CERT : Computer Emergency Response Team) : équipe spécialisée chargée de répondre aux incidents de cybersécurité ;
• équipe d’intervention d’urgence en informatique sectorielle : équipe spécialisée chargée de répondre aux incidents de cybersécurité dans un domaine spécifique ;
• externalisation d’un service ou système : opération qui consiste à confier, en partie ou en totalité, le service ou le système d’une entité à un prestataire dans le cadre d’un contrat fixant de façon précise, le niveau de services et la durée de l’externalisation ;
• fournisseur de service de cybersécurité : entité proposant des services, des produits ou des technologies de cybersécurité ;
• hébergement externe partagé : mode de service d’hébergement assuré par un prestataire tiers (hébergeur ou fournisseur de services cloud), dans lequel plusieurs clients mutualisent la même infrastructure matérielle et logicielle, comprenant notamment les serveurs, la bande passante et les capacités de stockage ;
• incident de sécurité : un ou plusieurs événement(s) liés à la sécurité de l’information, indésirable(s) ou inattendu(s) présentant une probabilité forte de compromettre les opérations liées à l’activité de l’organisme ou de menacer la sécurité de l’information ;
• info nuage (Cloud computing) : modèle permettant un accès aisé, généralement à la demande, au travers d’un réseau, à un ensemble de ressources informatiques partagées et configurables ;
• infrastructure technique : ensemble des composants matériels et logiciels nécessaires à la fourniture d’un service de cybersécurité ;
• investigation numérique : procédé visant à collecter et analyser tout élément technique, fonctionnel ou organisationnel du système d’information permettant de qualifier une situation suspecte en incident de sécurité et de comprendre le mode opératoire, l’étendue d’un incident de sécurité sur un système d’information ;
• licence : document délivré par l’agence nationale de sécurité des systèmes d’information, définissant les modalités et les conditions selon lesquelles son titulaire peut exercer certaines activités de prestataire des services de cybersécurité gérés et lui conférant des droits et des obligations spécifiques détaillés dans un cahier des charges y annexé ;
• plan de mise à niveau technologique et de renouvellement de l’infrastructure technique : document stratégique, opérationnel et normatif qui planifie, organise les actions de modernisation, de remplacement, d’intégration et d’alignement des cycles de vie techniques des infrastructures conformément aux exigences fixées par l’agence nationale de sécurité des systèmes d’information ;
• prestataire de services de cybersécurité gérés ou managés : tout opérateur fournissant l’un des services de cybersécurité en mode externalisé, notamment : la surveillance, la détection, la prévention, l’atténuation et la réponse aux menaces ;
• produit de sécurité : tout dispositif, matériel ou logiciel fournissant et/ou intégrant des fonctions de sécurité des systèmes d’information ;
• sécurité en tant que service (SECaaS : Security as a Service) : modèle de prestation des services de cybersécurité fournis à la demande, principalement à travers des solutions infonuagiques (Cloud), permettant à une personne de bénéficier des mécanismes de protection externalisés, évolutifs et mutualisés ;
• service de cybersécurité : toute prestation visant la surveillance, la protection, Ia détection, le diagnostic, l’atténuation, la réponse aux incidents ou le renforcement de la sécurité des systèmes d’information ;
• SOC : centre des opérations de sécurité.

Sont considérés comme fournisseurs des services, des produits et des technologies de cybersécurité :

• les prestataires des services de cybersécurité gérés ou managés ;
• les prestataires de sécurité en tant que service (SECaaS) ;
• les prestataires des services d’info nuage ou Cloud, fournissant des services aux infrastructures d’information critiques et/ou aux opérateurs d’importance vitale ;
• les prestataires des services d’accompagnement et de conseil en sécurité des systèmes d’information ;
• les prestataires des services de criminalistique numérique ou d’investigation numérique ;
• les prestataires d’administration et de maintenance sécurisées ;
• les prestataires de sécurité des systèmes d’information industrielle ;
• les fournisseurs des produits et des technologies de cybersécurité.

En fonction des activités à réaliser, les fournisseurs des services, des produits et des technologies de cybersécurité sont soumis à l’un des régimes ci-après :

• la licence ;
• l’agrément ;
• l’autorisation.

Nul ne peut fournir un service de cybersécurité sans avoir préalablement obtenu un des titres prévus à l’alinéa ci-dessus, délivré par l’agence nationale de sécurité des systèmes d’information.

Les établissements ou entreprises relevant du secteur public, fournisseurs des services de cybersécurité, sont soumis aux conditions prévues à l’article 4 ci-dessus.

Tout fournisseur des services, des produits et des technologies de cybersécurité, dans le cadre de la réalisation des activités pour lesquelles la licence, l’agrément ou l’autorisation lui a été délivré, peut recourir à un ou plusieurs prestataires externes spécialisés, pour l’exercice desdites activités, sous réserve du respect des conditions suivantes :

• le recours à des prestataires externes pour l’exécution d’activités dont l’autorisation lui a été délivrée, doit être notifié à l’agence nationale de sécurité des systèmes d’information pour approbation, à travers la délivrance d’une autorisation préalable ;
• le fournisseur demeure seul responsable, vis-à-vis de l’agence nationale de sécurité des systèmes d’information et des clients, de la conformité, de la qualité et de la sécurité des services rendus, même lorsque ceux-ci sont exécutés en tout ou partie par un prestataire externe ;
• les prestataires externes associés doivent présenter des garanties relatives aux exigences de sécurité et de conformité, équivalentes à celles exigées au prestataire agréé ;
• le recours à un prestataire externe doit être formalisé par un contrat écrit définissant la nature des prestations, les responsabilités respectives, les obligations de sécurité, les modalités de contrôle, ainsi que les clauses de confidentialité et d’audit ;
• l’agence nationale de sécurité des systèmes d’information se réserve le droit de procéder ou de faire procéder à tout audit des prestataires externes associés, dans les mêmes conditions que pour le fournisseur des services de cybersécurité.