150 BULLETIN OFFICIEL Nº 7162 – 26 joumada II 1444 (19-1-2023)
–une copie des polices d’assurance souscrites par le prestataire pour couvrir les dommages qui pourraient être causés à toute personne physique ou morale résultant de sa faute professionnelle ;
– les états financiers des trois (3) derniers exercices et/ ou document justifiant la capacité financière du prestataire ;
– une copie des cartes nationales d’identité électroniques du personnel du prestataire chargé de la gestion et de la fourniture du service de confiance ou de tout document justifiant leur identité et des diplômes ainsi que la description de leurs qualifications en la matière, accompagnée des documents justificatifs ;
– la liste indiquant les fonctions confiées au personnel du prestataire, chargé de la fourniture des services de confiance ;
– le descriptif détaillé du service objet de la demande d’agrément, précisant notamment les fonctions de sécurité et les performances ;
– le plan de continuité d’activités prévu à l’article 33 de la loi n° 43-20 précitée ;
– la description détaillée du processus d’enregistrement des clients ;
– les conditions générales d’utilisation du service de confiance en vigueur ;
– le rapport d’analyse des risques du système d’information utilisé pour la fourniture du service de confiance objet de la demande ;
–le schéma d’architecture du système d’information utilisé dans l’exploitation et l’administration du service objet de la demande d’agrément ;
– la liste et les caractéristiques techniques des produits, logiciels, équipements et appareils utilisés par le prestataire de service pour la gestion et la fourniture du service de confiance ;
– les politiques, les mesures et les moyens pris par le prestataire du service de confiance en matière de sécurité de l’information ;
– les politiques de certification relatives au service de confiance objet de la demande et les déclarations des pratiques de certification correspondantes, ainsi que tous les documents auxquels font référence ;
Outre les documents susmentionnés et pour le prestataire de services qui entend délivrer les certificats qualifiés de signature électronique ou de cachet électronique :
• un exemplaire du dispositif qualifié de création de signature électronique ou du dispositif qualifié de création du cachet électronique sur lequel un certificat électronique porteur de test est stocké, ainsi que les éléments techniques nécessaires à la vérification de sa validité et ce, lorsque ce dispositif est remis aux clients ;
• ou seulement un certificat électronique porteur de test ainsi que les éléments techniques nécessaires à la vérification de sa validité, lorsque le dispositif qualifié de création de signature électronique ou du dispositif qualifié de création du cachet électronique n’est pas remis aux clients ;
– la liste des moyens et des prestations de cryptologie fournis ou utilisés dans le cadre de la gestion et de la fourniture du service de confiance, ainsi que les certifications de sécurité dont dispose les modules cryptographiques matériels (HSM) utilisés ;
–les conditions techniques d’utilisation des conventions secrètes, des moyens et des prestations de cryptologie et un descriptif des mesures nécessaires pour assurer leur sécurité ;
– la liste des sous-traitants éventuels impliqués dans l’exploitation, l’administration, la maintenance et le support technique du service de confiance, leurs dénominations ou raisons sociales et leurs sièges sociaux, en précisant la nature des activités sous-traitées.
* * * Annexe n° 3 Liste des documents accompagnant la déclaration préalable relative à la prestation des services de confiance autres que qualifiés – le formulaire de déclaration préalable conforme au modèle publié par l’autorité nationale sur son site Internet ;
– une copie des statuts de la société ;
–l’attestation d’inscription au registre du commerce ;
– une présentation générale du prestataire de services précisant : la répartition du capital, les activités et les types de services fournis, ses sites géographiques, son organisation et ses effectifs ;
– une copie de la carte nationale d’identité électronique de la personne chargée des formalités de la déclaration ou de tout document justifiant son identité, ainsi que les documents justifiant les pouvoirs qui lui sont conférés à cet effet ;
– un descriptif détaillé du service objet de la déclaration précisant principalement les fonctions de sécurité, les fonctions cryptographiques et les performances ;
– un descriptif détaillé du processus d’enregistrement des clients ;
– les politiques de certification relatives au service de confiance objet de la demande et les déclarations des pratiques de certification correspondantes, ainsi que tous les documents auxquels font référence ;
– pour le prestataire de service qui entend délivrer les certificats électroniques, un certificat électronique porteur de test ainsi que les éléments techniques nécessaires à la vérification de leur validité ;
– un descriptif des matériels et des logiciels informatiques et le cas échéant des moyens de cryptologie utilisés.
* * *