Nº 7162 – 26 joumada II 1444 (19-1-2023) BULLETIN OFFICIEL 147
ART. 10. – Le bénéficiaire du certificat de conformité du dispositif qualifié de création de signature électronique ou du dispositif qualifié de création de cachet électronique est tenu d’informer, sans délai, à l’autorité nationale toute modification, ou évolution ou mise à jour apportées audit dispositif. Cette information doit être accompagnée d’un rapport d’analyse de risques et d’impacts, au vu duquel l’autorité nationale décide la continuité de la validité du certificat de conformité ou non.
ART. 11. – Un certificat de conformité d’un dispositif qualifié de création de signature électronique ou d’un dispositif qualifié de cachet électronique est renouvelé, suivant les mêmes modalités prévues pour son obtention.
Le dossier de demande de renouvellement doit être présenté trois (3) mois au moins avant la date d’expiration dudit certificat.
ART. 12. – Lorsque les conditions au vu desquelles le certificat de conformité d’un dispositif qualifié de création de signature électronique ou d’un dispositif qualifié de création du cachet électronique a été délivré ne sont plus remplies ou lorsqu’il est porté à la connaissance de l’autorité nationale tout autre fait remettant en cause la conformité dudit dispositif aux exigences prévues aux articles 8 et 17 de la loi n° 43-20 précitée, ladite autorité peut suspendre provisoirement, pour une durée n’excédant pas trois (3) mois, ce certificat de conformité jusqu’à ce que les corrections nécessaires soient apportées.
L’autorité nationale indique la suspension provisoire du certificat de conformité en question dans la liste prévue auxdits articles 8 et 17.
A l’expiration de ladite durée, et sans apport effectif des corrections requises, l’autorité nationale retire ce certificat.
Chapitre II Des prestataires de services de confiance
Section première. – Des prestataires de services de confiance agréés
ART. 13. – La demande d’agrément prévu à l’article 33 de la loi n° 43-20 précitée est déposée auprès de l’autorité nationale contre récépissé, ou lui est adressée par envoi recommandé postal ou électronique, accompagnée d’un dossier comportant les documents fixés à l’annexe n° 2 du présent décret.
Le demandeur informe l’autorité nationale, au cours de la phase d’examen du dossier de la demande d’agrément, de toute modification de l’un des éléments au vu desquels la demande d’agrément a été effectuée.
ART. 14. – L’autorité nationale examine le dossier de demande d’agrément. A cet effet, le demandeur est soumis, à ses frais, à une évaluation sur pièces et sur place par un organisme désigné à cet effet par l’autorité nationale et ce, en vue de s’assurer de son respect des conditions et des engagements prévus par les dispositions de la loi n° 43-20 précitée et des textes pris pour son application, et les règles de sécurité applicables au service de confiance objet de la demande, fixées par l’autorité nationale dans les référentiels d’exigences.
Les travaux d’évaluation prévue au premier alinéa ci-dessus se font sous la supervision de l’autorité nationale.
Un rapport d’évaluation est établi par l’organisme qui le transmet à l’autorité nationale et au demandeur pour compléter le dossier de sa demande.
ART. 15. – Lorsqu’elle agrée le prestataire de services de confiance, l’autorité nationale lui délivre une décision comprenant notamment :
– la date de délivrance de l’agrément et son numéro ;
– la dénomination et l’adresse du prestataire ;
– le service objet de l’agrément ;
– la durée de validité de l’agrément ne devant pas excéder trois (3) ans ;
– les exigences à respecter, le cas échéant.
ART. 16. – Le prestataire de service de confiance informe l’autorité nationale de toute modification de l’un des éléments au vu desquels l’agrément lui a été délivré.
ART. 17. – L’agrément du prestataire de services de confiance est renouvelé, selon les mêmes modalités prévues pour son obtention.
La demande de renouvellement de l’agrément doit être présentée quatre (4) mois au moins avant la date d’expiration de validité de l’agrément.
ART. 18. – Sans préjudice des délais prévus par la législation en vigueur, le prestataire de services de confiance agréé est tenu de conserver les données relatives à la fourniture des services de confiance qualifiés pendant une durée minimale de sept (7) ans.
Les types des données à conserver sont définis dans les référentiels d’exigences.
ART. 19. – La notification des atteintes à la sécurité ou les pertes d’intégrité prévues à l’article 40 de la loi n° 43-20 précitée s’effectue conformément aux modalités fixées dans le référentiel de gestion des incidents de cybersécurité.
ART. 20. – Est entendu par moyens d’identification électronique au sens du b) du paragraphe 1 de l’alinéa 2 de l’article 33 de la loi n° 43-20 précitée :
– la carte nationale d’identité électronique, régie par les dispositions de la loi n° 04-20 relative à la carte nationale d’identité électronique ;
– tout autre document électronique qui permet, conformément au texte législatif ou réglementaire qui l’institue, de prouver l’identité à distance de son titulaire et qui répond aux spécifications techniques minimales fixées par l’autorité nationale.