Décret n° 2001-1667 du 17 juillet 2001, portant approbation du cahier des charges relatif à l'exercice de l'activité de fournisseur de services de certification électronique

Le Président de la République,

Sur proposition du ministre des technologies de la communication,

Vu la loi n° 2000-83 du 9 août 2000, relative aux échanges et au commerce électroniques et notamment son article 12,

Vu le décret n° 2000-2331 du 10 octobre 2000, fixant l'organisation administrative et financière et les modalités de fonctionnement de l'agence nationale de certification électronique,

Vu l'avis du ministre du commerce,
Vu l'avis du tribunal administratif.

Décrète :

Article premier. – Est approuvé, le cahier des charges, annexé au présent décret, relatif à l'exercice de l'activité de fournisseur de services de certification électronique.

Art. 2. – Les ministres des technologies de la communication et du commerce sont chargés, chacun en ce qui le concerne, de l'exécution des dispositions du présent décret qui sera publié au Journal Officiel de la République Tunisienne.

Tunis, le 17 juillet 2001.

Zine El Abidine Ben Ali

ANNEXE

Cahier des charges relatif à l'exercice de l'activité de fournisseur de services de certification électronique

Article premier. – Le présent cahier des charges fixe les conditions et les procédures d'exercice de l'activité de fournisseur de services de certification électronique, conformément aux dispositions de la loi relative aux échanges et au commerce électroniques.

CHAPITRE PREMIER

Des conditions générales

Art. 2. – Toute personne physique ou morale désirant exercer l'activité de fournisseur de services de certification électronique doit :

• remplir les conditions prévues à l'article 11 de la loi relative aux échanges et au commerce électroniques,
• assurer sa responsabilité civile et professionnelle pour couvrir les préjudices pouvant être subis par les tiers et résultant des services qu'il fournit,
• fournir un capital social ne devant pas être inférieur à cent mille dinars libérés lors de la constitution de l'entreprise, et pour la personne physique, présenter une attestation bancaire prouvant l'existence d'une provision de cent mille dinars au moins bloqués pour la réalisation du projet,
• ne pas se trouver dans une situation d'incompatibilité avec les conditions d'exercice d'une profession commerciale conformément à la législation en vigueur.

CHAPITRE 2

Des ressources humaines

Art. 3. – Les fonctions techniques du fournisseur de services de certification électronique sont classées en trois catégories comme suit :

• la gestion du système informatique et des serveurs relatifs aux dispositifs de certification,
• la direction des systèmes de sécurité relatifs à la gestion et à la vérification des opérations de certification,
• la modification du dispositif de certification et la direction des règles et des procédures de gestion des clients.

Le premier responsable du système informatique et des serveurs relatifs aux dispositifs de certification est chargé de veiller à la bonne exploitation du système, l'entretien des équipements et des systèmes informatiques, leur fonctionnement et leur arrêt, ainsi que la sécurisation des opérations de conservation électronique des données.

Le premier responsable des systèmes de sécurité est chargé de diriger les agents chargés de procéder aux opérations de certification, de concevoir la réalisation des règles de sécurité, de vérifier les registres de certification ainsi que la conformité des règles utilisées aux règles adoptées par l'agence nationale de certification électronique.

Le premier responsable de la modification du dispositif de certification est chargé de gérer les méthodes d'acceptation des clients et la création et le renouvellement des certificats.

Art. 4. – Les responsables des trois fonctions doivent être titulaires au moins de la maîtrise ou d'un diplôme équivalent ainsi que d'une formation spécifique dans la sécurité des systèmes de communication, des réseaux de télécommunications ainsi que dans les échanges et le commerce électroniques.

Aucun agent ou responsable ne peut exercer concomitamment plus d'une seule de ces fonctions.

Art. 5. – Nul ne peut gérer une entreprise de fournisseur des services de certification électronique ou exercer les fonctions prévues à l'article 3 du présent cahier des charges :

• s'il a fait l'objet d'une condamnation pour usage de faux, vol, abus de confiance, escroquerie, appropriation illégitime de biens ou de valeurs appartenant à autrui, détournement par un dépositaire public, émission de chèque sans provision ou recel des objets obtenus suite à ses infractions,
• s'il a fait l'objet d'une condamnation définitive de faillite,
• s'il est administrateur ou gérant d'une société qui a fait l'objet d'une déclaration de faillite ou s'il a fait l'objet d'une condamnation en application des articles 288 et 289 du code pénal relatifs aux causes de la faillite.

Art. 6. – Quelles que soient les fonctions qu'ils exercent, les agents du fournisseur de services de certification ne peuvent :

• occuper, hors de l'entreprise, un poste rémunéré ou effectuer des travaux rémunérés sans l'autorisation préalable, écrite ou électronique, de l'agence nationale de certification électronique à l'exception des travaux scientifiques, littéraires et artistiques,
• occuper les fonctions de membre de conseil d'administration, de gérant ou de directeur d'une entreprise commerciale sans l'autorisation préalable, écrite ou électronique, de l'agence nationale de certification électronique.

CHAPITRE 3

Des certificats

Art. 7. – Les certificats électroniques que le fournisseur peut émettre sont classés en trois catégories :

• "certificat personnel" qui permet l'identification du titulaire du certificat et sa liaison avec les éléments de vérification de sa signature,

• "certificat serveur Web" qui permet l'identification du serveur et la certification de son contenu,
• "certificat réseau" qui permet l'identification des réseaux privés virtuels et qui garantit la sécurité de tous les échanges effectués à travers ces réseaux.

Art. 8. – Le fournisseur de services de certification électronique est tenu de procéder aux opérations de recherche et d'investigation nécessaires pour l'émission de certificats fiables et il est tenu, à cet effet, de fixer la méthodologie de vérification et de la mettre ainsi que les rapports de vérification à la disposition de l'agence nationale de certification électronique.

Les agents chargés de la vérification doivent être habilités par l'agence.

Le fournisseur répond à la demande de certificat du titulaire dans un délai maximum de sept jours ouvrables à compter de la date de la réception de la demande.

Art. 9. – Le fournisseur de services de certification électronique est tenu, avant l'émission des certificats, d'obtenir l'accord écrit ou électronique du titulaire du certificat concernant les informations contenues dans le certificat.

Le fournisseur est tenu d'aviser le titulaire du certificat par écrit ou par voie électronique de tout changement du contenu du certificat et d'obtenir, à cet effet, au préalable son accord écrit ou électronique.

Art. 10. – Un deuxième certificat peut être émis sur la base d'un premier certificat valable émis par le même fournisseur ou par un autre fournisseur reconnu, et en cas de retrait ou de suspension du premier certificat, le deuxième certificat sera suspendu ou automatiquement annulé.

Art. 11. – Le fournisseur de services de certification électronique est tenu de mentionner dans chaque certificat la date et l'heure du commencement de sa validité ainsi que la fin de sa validité.

L'horaire doit être exprimé en heure, minute, seconde et dixième.

Art. 12. – Les frais d'étude et de suivi de la demande du certificat sont fixés selon la catégorie du certificat sur la base des frais des heures de travail effectif nécessaire pour l'étude du dossier.

Le prix du certificat est fixé suivant la valeur des transactions que le certificat permet d'accomplir.

Art. 13. – Tout fournisseur de services de certification électronique qui a procédé à l'annulation ou à la suspension d'un certificat est tenu d'actualiser immédiatement le registre relatif à la publication des certificats prévus à l'article 14 de la loi relative aux échanges et au commerce électroniques et de mentionner la date, l'heure, la minute, la seconde et le dixième.

Le fournisseur n'est pas tenu responsable des préjudices dont pourraient être victimes les utilisateurs du certificat annulé ou qui a été suspendu après la date et l'horaire précités.

Art. 14. – Les fournisseurs de services de certification électronique s'engagent à accepter tous les certificats émis par un fournisseur de services de certification électronique établi dans un pays étranger et qui a été reconnu dans le cadre d'un accord de reconnaissance mutuelle conclu par l'agence nationale de certification électronique.

L'agence nationale transmet aux fournisseurs la liste des accords conclus à cet effet, et se charge de l'actualiser chaque fois qu'elle conclue un nouvel accord.

CHAPITRE 4

De la conservation des données

Art. 15. – Le fournisseur de services de certification électronique est tenu de conserver les enregistrements relatifs, notamment à :

• l'émission, le renouvellement, la suspension, le retrait et l'annulation des certificats,
• les procédures de gestion des équipements et des programmes informatiques,
• tout document dont la conservation est jugée utile par l'agence nationale de certification électronique.

Ces renseignements sont conservés sur un support électronique pour une période minimale de 20 ans à compter de la date de son traitement.

Art. 16. – Le fournisseur de services de certification électronique est tenu de conserver, obligatoirement, les supports électroniques et les documents en papiers contenant les données dans des conteneurs conformément aux conditions prévues à l'article 18 du présent cahier des charges.

CHAPITRE 5

Des obligations du fournisseur

Art. 17. – Le fournisseur de services de certification électronique est tenu de mettre ses serveurs et ses équipements terminaux qui permettent l'accès à ces serveurs dans des endroits sécurisés auxquels ne peuvent accéder que les agents autorisés et dont les noms sont fixés dans une liste établie à cet effet.

Le fournisseur de services de certification électronique doit tenir au niveau de chaque serveur, une banque de données sur laquelle sont enregistrées toutes les opérations d'accès au serveur.

Art. 18. – Le fournisseur de services de certification électronique s'engage à :

• équiper son local d'un réseau électrique et d'un système de climatisation assurant la continuité du travail et l'exploitation des équipements et des dispositifs,
• assurer les conteneurs de conservation contre la chaleur, l'humidité, les effets magnétiques et toute forme de perturbation,
• protéger les clés utilisées par ses agents,
• détruire les données contenues dans les conteneurs avant de détruire ces derniers ou de les exploiter pour d'autres fins.

Art. 19. – Le fournisseur de services de certification électronique doit mettre à la disposition du public une banque de données ouverte 24/24 heures tous les jours de la semaine, comprenant les informations suivantes :

• le registre des certificats,
• les conditions générales et les procédures adoptées par le fournisseur dans les opérations de certification électronique,
• les autres services qu'il fournit et les conditions pour en bénéficier,
• les tarifs appliqués aux services fournis.

Ces informations doivent être approuvées, au préalable, par l'agence nationale de certification électronique.

Art. 20. – Le fournisseur de services de certification électronique doit prendre toutes les mesures nécessaires pour informer ses clients et les utilisateurs des certificats de leurs droits et leurs obligations lors de l'utilisation du certificat, il s'engage particulièrement à :

• réserver un dispositif de création de la signature pour l'émission des certificats électroniques,
• réserver un dispositif de création de la signature pour chacun de ses agents, pour l'exercice exclusif et leur mission,
• publier les procédures et les conditions de la certification, dans un serveur web lui appartenant, signé électroniquement par son représentant légal.

CHAPITRE 6

De la vérification

Art. 21. – Le fournisseur de services de certification électronique doit permettre à l'agence nationale de certification électronique d'entrer dans le local et de contrôler les serveurs utilisés pour la fourniture du service et, le cas échéant, de prendre connaissance de tous les documents et les dossiers.

Art. 22. – L'agence nationale de certification électronique vérifie la fiabilité des équipements et des règles adoptées ainsi que la conformité de la fourniture du service au cahier des charges et aux procédés de sécurité présentés dans le dossier de la demande d'autorisation.

La vérification s'étend aux opérations d'acceptation du certificat, son émission et aux systèmes d'accès aux informations confidentielles.

L'agence peut demander au fournisseur de services de certification électronique de fournir tous les renseignements, de lui permettre de réaliser toutes les perquisitions sur les lieux, la présentation des registres comptables et les contrats, et d'une manière générale, tous les documents qu'elle jugera utile pour accomplir sa mission.

Les opérations de vérification sont effectuées périodiquement et chaque fois que l'agence nationale de certification électronique le jugera utile.