Le Président de la République,
Sur proposition du ministre des technologies de la communication et du transport,
Vu la loi n° 2004-5 du 3 février 2004, relative à la sécurité informatique et notamment son article 8,
Vu le décret n° 2004-1248 du 25 mai 2004, fixant l'organisation administrative et financière et les modalités de fonctionnement de l'agence nationale de la sécurité informatique,
Vu le décret n° 2004-1250 du 25 mai 2004, fixant les systèmes informatiques et les réseaux des organismes soumis à l'audit obligatoire périodique de la sécurité informatique et les critères relatifs à la nature de l'audit et à sa périodicité et les procédures de suivi de l'application des recommandations contenues dans le rapport d'audit,
Vu l'avis du tribunal administratif.
Décrète :
Article premier. - Le présent décret fixe les conditions et les procédures de certification des experts auditeurs dans le domaine de la sécurité informatique, conformément à l'article 8 de la loi susvisée n° 2004-5 du 3 février 2004.
Art. 2. - Toute personne désirant obtenir un certificat pour exercer l'activité d'expert auditeur dans le domaine de la sécurité informatique, doit être :
- de nationalité tunisienne,
- sans antécédents judiciaires,
- titulaire d'un diplôme d'études supérieures spécialisées dans la sécurité informatique ou d'un diplôme équivalent ou,
- titulaire d'un diplôme d'ingénieur en informatique ou en télécommunication ou d'un diplôme équivalent et qui a suivi avec succès un cycle de formation reconnu par l'agence nationale de la sécurité informatique ou,
- titulaire d'une maîtrise en informatique ou en télécommunication ou d'un diplôme équivalent et qui a suivi avec succès un cycle de formation reconnu par l'agence nationale de la sécurité informatique et qui a occupé une fonction en rapport avec le domaine de la sécurité informatique, pour une période minimale de deux années.
Toute personne morale désirant obtenir un certificat pour exercer l'activité d'expert auditeur dans le domaine de la sécurité informatique, doit employer à plein temps, au moins trois experts auditeurs, certifiés auprès de l'agence nationale de la sécurité informatique.
Art. 3. - Les demandes d'obtention du certificat sont adressées à l'agence nationale de la sécurité informatique, et ce, par lettre recommandée ou document électronique fiable avec accusé de réception ou par dépôt auprès de l'agence contre récépissé.
Art. 4. - La demande de la personne physique désirant obtenir un certificat pour exercer l'activité d'expert auditeur dans le domaine de la sécurité informatique doit, obligatoirement, comporter les documents ci-après :
- Une fiche de renseignement établie par l'agence nationale de la sécurité informatique, dûment remplie et signée par le demandeur du certificat,
- Une copie de la carte d'identité nationale,
- Un certificat de nationalité datant de moins de trois mois,
- Le bulletin n° 3 datant de moins de trois mois,
- Une copie des diplômes universitaires prouvant le niveau scientifique requis,
- Une copie du certificat de la formation requise, le cas échéant,
- Les documents prouvant l'expérience professionnelle dans le domaine de la sécurité informatique, le cas échéant.
Art. 5. - La demande de la personne morale désirant obtenir un certificat pour exercer l'activité d'expert auditeur dans le domaine de la sécurité informatique doit, obligatoirement, comporter les documents ci-après :
- Une fiche de renseignement établie par l'Agence Nationale de la Sécurité Informatique, dûment remplie et signée par le représentant juridique du demandeur du certificat,
- Une copie de la carte d'identité nationale du représentant juridique de la personne morale,
- Une copie des certificats des trois experts auditeurs qui vont être employés,
- Une copie des statuts,
- Une copie des contrats de travail conclus avec les trois experts auditeurs,
- Une copie de l'extrait du registre de commerce.
Art. 6. - L'agence nationale de la sécurité informatique est chargée, après avis de la commission prévue à l'article 7 du présent décret, de répondre au postulant dans un délai maximum d'un mois à compter de la date de réception de la totalité des documents sus-indiqués, et ce, pour signifier l'octroi du certificat soit le refus qui doit être motivé. En cas de refus, le dossier sera restitué à son dépositaire.
Art. 7. - Il est créé au sein de l'agence nationale de la sécurité informatique une commission chargée de donner son avis sur les demandes d'obtention et de retrait du certificat pour l'exercice de l'activité d'expert auditeur dans le domaine de la sécurité informatique.
Cette commission est présidée par le directeur général de l'agence ou son représentant et composée des membres suivants :
- Un représentant du Premier ministère,
- Un représentant du ministère de la défense nationale,
- Un représentant du ministère de l'intérieur et du développement local,
- Un représentant du ministère des technologies de la communication et du transport,
- Un représentant du ministère de l'enseignement supérieur, de la recherche scientifique et de la technologie,
- Un représentant du ministère des finances,
- Un représentant de la profession.
Les membres de la commission sont nommés par décision du ministre chargée des technologies de la communication sur proposition des ministères et des organisations concernés.
La commission se réunit sur convocation de son président, sur la base d'un ordre du jour communiqué aux membres au moins une semaine avant la réunion. La commission ne peut se réunir qu'en présence des deux tiers de ses membres au moins. Au cas où ce quorum n'est pas atteint, la commission tiendra après 10 jours une deuxième réunion quel que soit le nombre des membres présents. Dans tous les cas, la commission donne ses avis à la majorité des voix des membres présents, en cas d'égalité des voix, celle du président est prépondérante.
Le président de la commission peut inviter, à titre consultatif, toute personne dont la contribution est jugée utile.
La commission transmet mensuellement au ministère chargé des technologies de la communication, une copie des certificats délivrés, ainsi que des avis relatifs aux certificats retirés provisoirement ou définitivement.
Les services de l'agence nationale de la sécurité informatique sont chargés du secrétariat de la commission.
Art. 8. - L'expert auditeur doit suivre un cycle de formation dans le domaine de la sécurité informatique, reconnu par l'agence nationale de la sécurité informatique, et ce, au moins une fois tous les trois ans. En cas de manquement à ces dispositions, le directeur général de l'agence nationale de la sécurité informatique peut, sur avis de la commission prévue à l'article 7 du présent décret, retirer provisoirement le certificat jusqu'à ce que l'expert régularise sa situation. Le certificat est retiré définitivement de l'expert qui n'a pas effectué le cycle de formation dans un délai maximum de trois mois à partir de la date du retrait provisoire du certificat.
L'expert doit fournir à l'agence nationale de la sécurité informatique une copie du certificat de la formation requise.
Art. 9. - En cas de manquement de l'expert auditeur à ses obligations professionnelles ou d'infraction aux dispositions de la loi susvisée n° 2004-5 du 3 février 2004 et ses textes d'application, le directeur général de l'agence nationale de la sécurité informatique peut, après avis de la commission prévue à l'article 7 du présent décret, retirer le certificat.
Le président de la commission doit convoquer l'expert auditeur pour présenter, devant la commission, ses observations concernant les faits qui lui sont reprochés.
Art. 10. - Le ministre des technologies de la communication et du transport est chargé de l'exécution du présent décret qui sera publié au Journal Officiel de la République Tunisienne.
Tunis, le 25 mai 2004.
Zine El Abidine Ben Ali