Arrêté du ministre des technologies de la communication du 12 septembre 2023, fixant les procédures et les conditions d'octroi du label « sécurisé » et de son retrait

Le ministre des technologies de la communication,

Vu la Constitution,

Vu le code des télécommunications promulgué par la loi n° 2001-1 du 15 janvier 2001, ensemble les textes qui l'ont modifié ou complété, dont le dernier en date la loi n° 2013-10 du 12 avril 2013,

Vu le décret-loi n° 2023-17 du 11 mars 2023, relatif à la cybersécurité,

Vu le décret n° 2004-1248 du 25 mai 2004, fixant l'organisation administrative et financière et les modalités de fonctionnement de l'agence nationale de la sécurité informatique,

Vu le décret n° 2012-1997 du 11 septembre 2012, fixant les attributions du ministère des technologies de l'information et de la communication,

Vu le décret n° 2012-1998 du 11 septembre 2012, portant organisation du ministère des technologies de l'information et de la communication,

Vu le décret gouvernemental n° 2020-48 du 23 janvier 2020, relatif aux procédures d'homologation d'importation et de commercialisation des équipements terminaux de télécommunications et des équipements radioélectriques,

Vu le décret Présidentiel n° 2021-138 du 11 octobre 2021, portant nomination des membres du gouvernement,

Vu le décret n° 2023-550 du 1er août 2023, portant nomination du Chef du Gouvernement.

Arrête :

Article premier - L'Agence Nationale de la Cybersécurité, sur demande du développeur ou de l'importateur, attribue le label « sécurisé » à chaque logiciel ou équipement électronique qui remplit les conditions suivantes :

• Ayant les conditions de sécurité et les garanties nécessaires pour protéger les utilisateurs et les données traitées, transmises et stockées contre les cyber-incidents,
• Exempt des vulnérabilités de sécurité connues,
• Assurant la continuité du service, la sureté et la qualité du fonctionnement dans des conditions d'utilisation inhabituelle et extrême.

Art. 2 - Tout développeur ou importateur de logiciel ou d'équipement électronique souhaitant obtenir le label « sécurisé » doit déposer une demande à l'Agence Nationale de la Cybersécurité par lettre recommandée ou par voie électronique avec un accusé de réception ou directement à l'agence sous pli fermé contre récépissé de dépôt.

La demande doit obligatoirement inclure :

• Une fiche signalétique portant le nom commercial ou l'identifiant descriptif du logiciel ou de l'équipement électronique, la date de production et le code de la version présentée pour évaluation et les domaines d'utilisation,
• Documents prouvant la propriété ou le droit de commercialisation ou d'exploitation au niveau national,

• La charte professionnelle, disponible chez les services de l'agence, dument signée par le développeur ou l'importateur du logiciel ou de l'équipement électronique sujet de la demande du label « sécurisé »,
• Une copie du logiciel ou un échantillon de l'appareil électronique sujet de l'évaluation,
• Documents décrivant les fonctions essentielles et les fonctionnalités de sécurité à évaluer,
• Un rapport détaillé d'audit de sécurité élaboré par des experts-auditeurs exerçant leur activité conformément à la législation en vigueur, démontrant que le logiciel ou l'équipement électronique est exempt de vulnérabilités qui menacent la sécurité des données, des utilisateurs et des systèmes associés, et est établi conformément à la méthodologie, le modèle et les normes techniques définies par l'Agence dans un référentiel,
• Une copie des certificats obtenus par le logiciel ou l'appareil électronique auprès de structures de certification, compétentes similaires et nationales ou internationales, le cas échéant.

L'Agence peut demander tout documents supplémentaires nécessaires pour l'étude du dossier ou de vérifier le code source du logiciel ou les interfaces de programmation d'application adoptées.

Art. 3 - Les demandes d'obtention du « sécurisé » sont examinées par une commission technique présidée par le directeur général de l'Agence Nationale de la Cybersécurité ou son représentant et composée de membres de :

• Centre d'Etudes et de Recherche des Télécommunications,
• Agence Nationale des Fréquences,
• Agence Nationale de Certification Electronique,
• Agence Technique des Télécommunications.

La commission technique se réunit sur convocation de son président chaque fois que nécessaire pour étudier les demandes, émettre un avis sur les aspects techniques et vérifier le respect du logiciel ou de l'appareil électronique, objet de l'évaluation, des textes juridiques et des guides de procédure relatifs à la cybersécurité.

La commission technique ne peut se réunir légalement qu'en présence de la majorité de ses membres. Elle émet ses avis à la majorité des voix des membres présents. En cas d'égalité des voix, celle du président est prépondérante.

Dans le cas où le quorum n'est pas atteint, les membres de la commission seront convoqués pour une deuxième réunion trois (3) jours après la date de la première, dans ce cas, la commission se réunit quel que soit le nombre des membres présents et ses travaux sont consignés par des procès-verbaux.

L'Agence Nationale de la Cybersécurité assure le secrétariat permanent de cette commission.

Art. 4 - L'Agence accorde le label « sécurisé » dans un délai n'excédant pas un mois à compter de la date de la réunion de la commission technique et le certificat de labélisation émis reste valable pour une durée de trois (3) ans.

Art. 5 - Le certificat du label « sécurisé » attribué au logiciel ou à l'équipement électronique comprend :

• Le nom commercial ou l'identifiant descriptif du logiciel ou de l'équipement électronique, la date de production et le code de la version du produit labélisé,
• Le nom du développeur ou de la structure importatrice du logiciel ou de l'équipement électronique labélisé,
• La date de délivrance et la durée de validité du certificat,
• Identifiant unique du certificat attribué,
• Le cachet électronique visuel protégeant le document conformément à la législation en vigueur.

Art. 6 - Le développeur ou l'importateur est tenu d'informer l'agence de tout changement apporté au logiciel ou à l'appareil électronique portant le label « sécurisé ». L'agence peut également procéder au contrôle du produit labélisé et vérifier dans quelle mesure il respecte les exigences de sécurité.

Art. 7 - L'Agence peut, sur proposition de la commission technique prévue à l'article 3 du présent arrêté, retirer le label « sécurisé » avant l'expiration de sa durée de validité en cas de modification des caractéristiques techniques ou d'évolution technologique introduisant des vulnérabilités critiques dans le logiciel ou l'équipement électronique.

Art. 8 - Le présent arrêté sera publié au Journal officiel de la République tunisienne.

Tunis, le 12 septembre 2023.

Le ministre des technologies de la communication

Nizar Ben Neji

Vu

Le Chef du Gouvernement

Ahmed Hachani