Décret n° 92-1358 du 28 décembre 1992. définissant les conditions dans lesquelles sont souscrites les déclarations et accordées les autorisations concernant les moyens et prestations de cryptologie.

Le Premier ministre,

Sur le rapport du ministre d'Etat, ministre des affaires étrangères du garde des sceaux ministre de la justice, du ministre de l'intérieur et de la sécurité publique, du ministre de la défense, du ministre de l'industrie et du commerce extérieur, du ministre du budget, du ministre des départements et territoires d'outre-mer et du ministre des postes et télécommunications,

Vu le code des postes et télécommunications ;

Vu l'article R. 25 du code pénal ;

Vu la loi n° 90-1170 du 29 décembre 1990 sur la réglementation des télécommunications, notamment son article 28 ;

Vu la loi n° 91-648 du 11 juillet 1991 modifiant le code des postes et télécommunications et la loi n° 90-1170 du 29 décembre 1990 sur la réglementation des télécommunications ;

Vu le décret du 18 avril 1939 modifié fixant le régime des matériels de guerre, armes et munitions ;

Vu le décret n° 55-965 du 16 juillet 1955 portant réorganisation de la commission interministérielle pour l'étude des exportations de matériels de guerre ;

Vu le décret n° 73-364 du 12 mars 1973 modifié relatif à l'application du décret-loi du 18 avril 1939 ;

Vu le décret n° 86-316 du 3 mars 1986 portant création du directoire de la sécurité des systèmes d'information ;

Vu le décret n° 86-317 du 3 mars 1986 modifié portant création d'une délégation interministérielle pour la sécurité des systèmes d'information ;

Vu le décret n° 86-318 du 3 mars 1986 modifié portant création du service central de la sécurité des systèmes d'information ;

Vu le décret n° 86-319 du 3 mars 1986 portant modification de l'appellation du centre d'études cryptographiques supérieures en centre d'études supérieures de la sécurité des systèmes d'information, ensemble le décret n° 87-354 du 25 mai 1987 relatif au centre d'études supérieures de la sécurité des systèmes d'information ;

Le Conseil d'Etat (section des travaux publics) entendu,

Décrète :

TITRE Ier

DECLARATION DE FOURNITURE, D'EXPLOITATION OU D'UTILISATION DE MOYENS OU DE PRESTATIONS DE CRYPTOLOGIE

Art. 1er. -

Les déclarations de fourniture ou d'utilisation souscrites au titre de l'article 328 de la loi du 29 décembre 1990 susvisée sont effectuées auprès du service central de la sécurité des systèmes d'information, qui en délivre récépissé.

La forme et le contenu du dossier de déclaration sont définis par arrêté du Premier ministre. Ce dossier comporte une partie technique et une partie administrative. La partie technique est une description complète en langue française du moyen ou de la prestation de cryptologie et de son mode d'exploitation, y compris de la gestion des conventions secrètes. La partie administrative permet de s'assurer de l'identité du déclarant.

La déclaration de fourniture peut être accompagnée d'une déclaration d'utilisation générale, qui précise le domaine d'utilisation prévu du moyen ou de la prestation ainsi que les éventuelles catégories d'utilisateurs auxquelles le moyen ou la prestation est destiné.

Art. 2. -

La déclaration de fourniture prévue à l'article 1er est effectuée une seule fois pour un moyen ou une prestation de cryptologie donné, même si ce moyen ou cette prestation a plusieurs fournisseurs ou fait l'objet de plusieurs livraisons. Elle est souscrite un mois au moins avant la première livraison, qu'elle soit à titre gratuit ou onéreux.

La déclaration d'utilisation est effectuée par l'utilisateur du moyen ou de la prestation un mois au moins avant toute utilisation ; cette déclaration est souscrite que pour les moyens ou les prestations qui n'ont pas fait l'objet d'une déclaration d'utilisation générale au titre d'une déclaration de fourniture antérieure.

Art. 3. -

La déclaration d'exportation prévue par l'article 28 de la loi du 29 décembre 1990 susvisée donne lieu au dépôt préalable au service central de la sécurité des systèmes d'information d'un dossier de déclaration de fourniture en vue de l'exportation, suivant les modalités prévues aux articles 1er et 2 du présent décret.

En outre et sous réserve des dispositions du premier alinéa de l'article 13 du présent décret, chaque exportation donne lieu à la présentation à l'administration des douanes d'une copie du récépissé de la déclaration de fourniture en vue de l'exportation.

TITRE II

AUTORISATION DE FOURNITURE, D'EXPORTATION OU D'UTILISATION DE MOYENS OU DE PRESTATIONS DE CRYPTOLOGIE

Art. 4. -

Les demandes d'autorisation de fourniture souscrites au titre de l'article 28 de la loi du 29 décembre 1990 susvisée sont déposées auprès du service central de la sécurité des systèmes d'information, qui en délivre récépissé. La forme et le contenu du dossier de demande d'autorisation sont définis par arrêté du Premier ministre. Ce dossier comporte une partie administrative et une partie technique.

La partie technique est une description complète en langue française du moyen ou de la prestation de cryptologie et de son mode d'exploitation, y compris de la gestion des conventions secrètes. La demande précise la durée pour laquelle l'autorisation est demandée ; cette durée ne peut excéder cinq ans.

La partie administrative permet de s'assurer de l'identité du demandeur. Pour une prestation elle comprend également un engagement de respect de dispositions portant sur les spécifications de la prestation et les mesures à prendre pour assurer sa sécurité. Ces dispositions sont définies par arrêté du Premier ministre pris après avis du directoire de la sécurité des systèmes d'information.

Art. 5. -

L'autorisation d'utilisation délivrée au titre de l'article 28 de la loi du 29 décembre 1990 susvisée est soit une autorisation d'utilisation générale, valable pour toute personne physique ou morale, soit une autorisation d'utilisation personnelle, valable pour son seul titulaire.

La demande d'autorisation d'utilisation générale d'un moyen ou d'une prestation de cryptologie est formulée par le titulaire d'une autorisation de fourniture de ce moyen ou de cette prestation, les deux demandes pouvant être déposées simultanément.

La demande d'autorisation d'utilisation personnelle est formulée par la personne physique ou morale qui souhaite utiliser un moyen ou une prestation de cryptologie et qui ne bénéficie pas d'une autorisation d'utilisation générale.

Art. 6. -

Les demandes d'autorisation d'utilisation sont déposées auprès du service central de la sécurité des systèmes d'information, qui en délivre récépissé. La forme et le contenu du dossier de demande d'autorisation d'utilisation sont définis dans l'arrêté prévu à l'article 4 du présent décret. Ce dossier comporte une partie technique et une partie administrative.

La partie technique est une description complète en langue française du moyen ou de la prestation de cryptologie et de son mode d'exploitation, y compris de la gestion des conventions secrètes. Cette partie n'est pas exigée lorsque le moyen ou la prestation a déjà fait l'objet d'une autorisation de fourniture ou d'utilisation antérieure.

La partie administrative permet de s'assurer de l'identité du demandeur ; elle précise également le domaine d'utilisation prévu du moyen ou de la prestation, son lieu d'implantation ainsi que, pour une demande d'autorisation d'utilisation générale, les éventuelles catégories d'utilisateurs auxquelles le moyen ou la prestation est destiné.

La demande précise la durée pour laquelle l'autorisation est demandée ; cette durée ne peut excéder dix ans. Dans le cas d'une autorisation d'utilisation générale, cette durée est décomptée à partir de la date de fourniture du moyen ou de la prestation.

Art. 7. -

Les demandes d'autorisation de fourniture ou d'utilisation sont instruites par le service central de la sécurité des systèmes d'information.

L'autorisation est accordée par le Premier ministre. Elle peut être assortie de conditions ayant pour objet de réserver l'emploi de certains moyens ou de certaines prestations à des catégories déterminées d'utilisateurs ou d'applications. Dans ce cas, elle précise les modalités d'élaboration et de communication au service central de la sécurité des systèmes d'information de documents lui permettant de vérifier le respect de ces conditions.

Art. 8. -

L'autorisation de fourniture ou d'utilisation d'un moyen ou d'une prestation de cryptologie peut être retirée temporairement ou définitivement :

1° En cas de fausse déclaration ou de faux renseignement ;

2° En cas de modification des circonstances au vu desquelles l'autorisation a été délivrée :

3° Lorsque le bénéficiaire de l'autorisation n'a pas respecté la réglementation relative à la cryptologie ou les obligations particulières prescrites par l'autorisation ;

4° Lorsque le bénéficiaire de l'autorisation cesse l'exercice de l'activité pour laquelle a été délivrée l'autorisation.

Le retrait ne peut intervenir, sauf urgence, qu'après que le titulaire de l'autorisation a été mis à même de faire valoir ses observations.

En cas d'urgence l'autorisation peut être suspendue.

Art. 9. -

Les demandes d'autorisation d'exportation souscrites au titre de l'article 28 de la loi du 29 décembre 1990 susvisée sont instruites par le service central de la sécurité des systèmes d'information. Le dossier de demande est constitué d'une partie technique, d 'une partie administrative et d'une demande de licence d'exportation.

La partie technique et la partie administrative sont déposées auprès du service central de la sécurité des systèmes d'information, qui en délivre récépissé. Elles sont exigibles une seule fois pour un moyen ou une prestation de cryptologie donné. Elles sont identiques dans la forme et le contenu à la demande d'autorisation de fourniture mentionnée à l'article 4 du présent décret. Toutefois, elles ne sont pas exigibles lorsque le demandeur est titulaire d'une autorisation de fourniture. L'autorisation d'exportation est délivrée par le Premier ministre.

La demande de licence d'exportation, comportant copie du récépissé ou de l'autorisation de fourniture mentionnés à l'alinéa précédent est déposée, pour chaque exportation du produit ou de la prestation, auprès de l'administration des douanes. La licence d'exportation est délivrée après accord du Premier ministre.

Art. 10. -

Par dérogation aux dispositions de l'article 9 du présent décret, les demandes d'autorisation d'exportation d'un moyen de cryptologie conçu ou modifié pour les besoins militaires sont soumises à la procédure définie par les articles 12 et 13 du décret du 18 avril 1939 susvisé et les textes pris pour leur application, dans les conditions suivantes :

• a) L'agrément préalable, au sens de l'article 12 du décret précité, tient lieu de l'autorisation d'exportation prévue à l'article 9 ci-dessus ; il est délivré par le Premier ministre ;
• b) L'autorisation d'exportation, au sens de l'article 13 du décret précité, tient lieu de la licence d'exportation prévue à l'article 9 ci-dessus ; elle est délibérée après accord du Premier ministre.

TITRE III

DISPOSITIONS DIVERSES

Art. 11. -

Aucune autorisation de fourniture ou d'utilisation ne pourra être accordée pour un usage destiné à dissimuler la teneur des communications établies à partir :

• 1° Des installations radioélectriques d'amateurs ;
• 2° Des installations radioélectriques destinées aux radiocommunications de loisir ;
• 3° Des postes émetteurs-récepteurs fonctionnant sur les canaux banalisés, dits postes CB ;
• 4° Des installations radioélectriques pouvant être établies librement en application de l'article L. 33-3 (3°) du code des postes et télécommunications.

Art. 12. -

Le fournisseur d'un moyen ou d'une prestation de cryptologie peut utiliser un ou plusieurs intermédiaires pour la diffusion de ce moyen ou de cette prestation. L'autorisation obtenue ou la déclaration effectuée par le fournisseur est valable pour ses intermédiaires, avec les mêmes conditions lorsqu'elles existent : une autorisation de fourniture peut prévoir que le fournisseur déclare ses intermédiaires.

Chaque fournisseur et chaque intermédiaire d'un moyen ou d'une prestation de cryptologie doit détenir copie du récépissé de la déclaration ou de l'autorisation de fourniture correspondante. Lorsque la fourniture fait l'objet d'un contrat entre un fournisseur et un utilisateur, ce contrat doit faire mention de la déclaration ou de l'autorisation de fourniture.

Art. 13. -

La déclaration d'utilisation d'un moyen de cryptologie détenu par un particulier pour son usage exclusif tient lieu de déclaration d'exportation temporaire de ce moyen pour cet usage. La déclaration de fourniture d'un moyen de cryptologie est également considérée comme une déclaration d'exportation temporaire d'un échantillon de ce moyen. Ces déclarations dispensent des formalités prévues au deuxième alinéa de l'article 3 du présent décret.

La décision d'autorisation d'utilisation d'un moyen de cryptologie détenu par un particulier pour son usage exclusif peut mentionner qu'elle vaut également autorisation d'exportation temporaire de ce moyen et qu'elle dispense des formalités prévues à l'article 9 du présent décret.

Art. 14. -

Les déclarants ou les demandeurs au titre des procédures prévues par le présent décret prennent toutes dispositions nécessaires pour que le service central de la sécurité des systèmes d'information puisse vérifier la concordance entre le dossier technique fourni et le moyen ou la prestation objet de la déclaration ou de la demande.

Le service central de la sécurité des systèmes d'information peut requérir le demandeur d'une autorisation de mettre à sa disposition, sauf empêchement majeur, deux modèles du moyen qui fait l'objet de la demande, pour une durée au plus égale à six mois.

Si un moyen ou une prestation de cryptologie faisant l'objet d'une demande d'autorisation utilise un logiciel pour assurer tout ou partie de sa fonction cryptologique, le demandeur doit fournir ce logiciel, sur demande du service central de la sécurité des systèmes d'information dans les conditions fixées par l'arrêté prévu à l'article 4 du présent décret.

Le demandeur d'une autorisation peut faire valoir des essais déjà effectués dans un autre Etat membre de la Communauté économique européenne. Les éléments relatifs à ces essais sont alors joints au dossier technique transmis au service central de la sécurité des systèmes d'information.

Art. 15. -

Sera puni des peines d'amende prévues pour les contraventions de 5e classe quiconque aura fourni, notamment en les ayant fabriqués, détenus en vue de la vente, mis en vente, ou distribués à titre gratuit ou onéreux, des moyens de cryptologie sans l'autorisation prévue par l'article 28 de la loi du 29 décembre 1990 susvisée.

Sera puni des peines d'amende prévues pour les contraventions de 5e classe quiconque aura utilisé un moyen ou une prestation de cryptologie sans l'autorisation prévue par la même loi.

Sera puni des peines d'amende prévues pour la contravention de 5e classe quiconque aura fourni ou exporté des prestations de cryptologie sans que la déclaration préalable prévue par la même loi ait été déposée.

Sera puni des peines d'amende prévues pour les contraventions de 4e classe quiconque aura fourni, notamment en les ayant fabriqués, détenus en vue de la vente, mis en vente, distribués à titre gratuit ou onéreux, ou exporté des moyens de cryptologie, sans que la déclaration préalable prévue par la même loi ait été déposée.

Sera puni des peines d'amende prévues pour les contraventions de 4 classe quiconque aura utilisé un moyen ou une prestation de cryptologie sans que la déclaration préalable prévue par la même loi ait été déposée.

Le tribunal pourra, en outre, dans tous les cas, prononcer la confiscation des moyens de cryptologie en cause.

Art. 16. -

L'habilitation prévue par l'article 28-III de la loi du 29 décembre 1990 susvisée est donnée à l'issue d'une formation spécifique organisée par le centre d'études supérieures de la sécurité des systèmes d'information et dispensés sous la responsabilité d'un officier de police judiciaire. Elle est accordée par arrêté du Premier ministre. Elle peut être retirée, à tout moment, par arrêté motivé du Premier ministre. Le Premier ministre la retire dès que l'agent quitte l'emploi qui l'avait rendue nécessaire.

Les agents habilités prêtent serment devant le tribunal de grande instance dans le ressort duquel se trouve leur résidence administrative. La prestation de serment est enregistrée sans frais au greffe du tribunal : l'acte de ce serment est dispensé du timbre et d'enregistrement ; il est transcrit gratuitement sur les commissions d'emploi visées à l'alinéa suivant.

Dans l'exercice de leurs fonctions, ces agents doivent être munis de leur commission d'emploi faisant mention de leur habilitation et de leur prestation de serment. Ils sont tenus de la présenter à la première réquisition.

Art. 17. -

Le service central de la sécurité des systèmes d'information veille à ce que ne soient pas divulguées les informations recueillies en application du présent décret lorsqu'elles relèvent d'un secret protégé par la loi.

Art. 18. -

Le ministre d'Etat, ministre des affaires étrangères, le garde des sceaux, ministre de la justice, le ministre de l'intérieur et de la sécurité publique, le ministre de la défense, le ministre de l'industrie et du commerce extérieur, le ministre du budget, le ministre des départements et territoires d'outre-mer et le ministre des postes et télécommunications sont chargés, chacun en ce qui le concerne, de l'exécution du présent décret, qui sera publié au Journal officiel de la République française.

Copyright © 1996 AdmiNet by courtesy of Le Journal Officiel