L'Autorité nationale des jeux établit et tient à jour la liste des organismes habilités à réaliser les missions de certification mentionnées aux II et III de l'article 23 de la loi du 12 mai 2010 susvisée.
Cette liste est publiée sur le site internet de l'Autorité nationale des jeux.

Seuls peuvent être inscrits sur la liste mentionnée à l'article 11 les organismes :

- établis dans un Etat membre de l'Union européenne ou un Etat partie à l'accord sur l'Espace économique européen ;
- disposant des compétences suffisantes et du personnel qualifié approprié ;
- exerçant leurs missions de certification en toute indépendance et en toute impartialité, conformément, notamment, aux dispositions de l'article 17.

Le dossier de demande d'inscription sur la liste des organismes certificateurs est rédigé en langue française. Il est adressé à l'Autorité nationale des jeux par voie électronique ou par courrier postal ou déposé contre reçu au siège de l'Autorité. L'Autorité nationale des jeux en accuse réception par tout moyen et procède à son enregistrement.

La demande d'inscription sur la liste des organismes certificateurs fait l'objet d'un examen par l'Autorité nationale des jeux dans un délai de deux mois à compter de sa date de réception.
Le dossier de demande d'inscription comporte tous les éléments permettant à l'Autorité nationale des jeux de s'assurer que le demandeur présente les qualités requises pour être inscrit sur la liste des certificateurs, à savoir :

- un document retraçant les références de prestations réalisées par le demandeur dans des domaines d'expertise similaires à ceux exigés pour délivrer la certification ainsi que les périodes de réalisation de ces prestations ;
- la liste des personnes dédiées aux opérations de certification ainsi que leurs curriculum vitae détaillés ;
- des rapports d'analyse type mettant en avant les méthodologies utilisées et l'étendue des analyses conduites en matière d'audits applicatifs intrusifs et d'audits de configuration de plate-forme d'hébergement.

Lorsque le dossier de demande n'est pas complet, un courrier est adressé au demandeur l'invitant à transmettre, dans un délai qui ne peut être inférieur à quinze jours, la ou les pièces faisant défaut.
L'instruction de la demande d'inscription est suspendue pendant ce délai. Toute demande demeurée incomplète au terme du délai imparti entraîne le prononcé, par l'Autorité nationale des jeux, d'une décision d'irrecevabilité de la demande d'inscription.
Au cours de l'instruction, le demandeur est tenu de fournir, à la demande de l'Autorité nationale des jeux, toute information de nature à l'éclairer sur les éléments contenus dans le dossier déposé. En outre, le demandeur peut être auditionné par l'Autorité nationale des jeux.

L'inscription sur la liste des organismes certificateurs est valable cinq ans. Elle est renouvelable.
La décision d'inscription énonce, le cas échéant, les obligations particulières auxquelles sont soumis les organismes certificateurs.
Toute décision de refus d'inscription est motivée et notifiée à l'intéressé par tout moyen propre à en établir la date de réception.

L'organisme inscrit sur la liste des organismes certificateurs accomplit la mission de certification qui lui est confiée conformément à l'état de l'art.
Une copie du contrat de certification conclu entre l'organisme certificateur et l'opérateur faisant l'objet de la certification est communiquée pour information à l'Autorité nationale des jeux à l'exécution de la prestation de certification.

L'organisme inscrit sur la liste des organismes certificateurs est indépendant de l'opérateur pour lequel il effectue la mission de certification.
Il ne peut mener aucune mission de certification pour un opérateur de jeux ou de paris en ligne ou pour la personne morale unique mentionnée à l'article 137 de la loi du 22 mai 2019 susvisée s'il a été son conseil ou son prestataire dans les douze mois précédant la signature du contrat de certification.
La durée de l'incompatibilité prévue à l'alinéa précédent court à compter du plus récent des deux événements suivants :

- la dernière prestation réalisée par l'organisme certificateur au profit de l'opérateur faisant l'objet de la certification ;
- le dernier paiement réalisé au profit de l'organisme certificateur par l'opérateur faisant l'objet de la certification.

L'incompatibilité prévue au présent article s'applique, dans les mêmes conditions, dans le cas où l'organisme certificateur a été le conseil ou le prestataire d'une société contrôlant l'opérateur faisant l'objet de la certification au sens de l'article L. 233-3 du code de commerce ou étant contrôlée par elle.
L'organisme inscrit sur la liste des organismes certificateurs informe sans délai l'Autorité nationale des jeux de la survenance de toute situation de conflit d'intérêts au regard de son activité de certification. Cette information est communiquée par tout moyen propre à en établir la réception.

L'Autorité nationale des jeux peut demander tout document ou information lui permettant de s'assurer que l'organisme certificateur continue de satisfaire aux obligations résultant de l'inscription sur la liste des organismes certificateurs, notamment au regard de la qualité des certifications réalisées.

L'organisme inscrit sur la liste des organismes certificateurs rend compte immédiatement à l'Autorité nationale des jeux de toute modification affectant les informations constitutives de sa demande d'inscription.
Si l'organisme ne remplit plus les conditions mises à son inscription sur la liste des organismes certificateurs ou les engagements auxquels était soumise son inscription, l'Autorité nationale des jeux peut le retirer de la liste.
Préalablement à ce retrait, l'Autorité nationale des jeux informe l'intéressé, par tout moyen propre à établir la date de réception de cette information, qu'il envisage de le retirer de la liste des organismes certificateurs et l'invite à présenter ses observations écrites dans un délai qui ne peut être inférieur à quinze jours.
La décision de retrait est motivée et notifiée à l'intéressé par tout moyen propre à en établir la date de réception.
La liste des organismes certificateurs est mise à jour en conséquence.

Conformément aux dispositions de l'article 23 de la loi du 12 mai 2010 susvisée, les travaux de certification portent sur le respect par l'opérateur de l'ensemble des obligations techniques applicables à son activité.
L'Autorité nationale des jeux détermine la méthode, la nature et l'étendue des contrôles menés par les organismes certificateurs.

Les opérations d'analyse conduites par l'organisme certificateur ne sont pas itératives au cours d'une même certification : chaque exigence contrôlée fait l'objet d'un contrôle unique.
Des échanges peuvent avoir lieu au moment du contrôle entre l'organisme certificateur et l'opérateur dont il assure la certification. Toutefois, une fois le contrôle effectué, ces échanges ne peuvent en aucun cas conduire l'organisme certificateur à effectuer une nouvelle analyse.
En particulier, les modifications, le cas échéant apportées par un opérateur en cours de certification sur un point de contrôle déjà mesuré, ne peuvent pas modifier la constatation initiale qui doit figurer dans le rapport de certification.

A l'issue de ses travaux, l'organisme certificateur établit un rapport faisant état des constats réalisés. Ce rapport dresse la liste de l'ensemble des non-conformités constatées, quel que soit leur niveau de gravité.
Le rapport conclut soit à la certification sans réserve, soit à la certification avec réserves.
La certification est faite avec réserves lorsqu'une ou plusieurs exigences techniques présentant un niveau critique défini par le référentiel technique ne sont pas atteintes.
L'organisme certificateur transmet à l'opérateur concerné le document attestant de l'obtention de la certification visé à l'article 23 de la loi du 12 mai 2010 précitée afin que celui-ci procède à la transmission prévue à cet article. Ce document indique si la certification est obtenue avec ou sans réserve et fait état, le cas échéant, de la ou des réserves concernées.

A l'issue de la remise du rapport de certification, l'opérateur établit, s'il y a lieu, des fiches d'anomalies qu'il adresse à l'Autorité nationale des jeux dans le délai d'un mois suivant la remise de ce rapport. Ces fiches d'anomalies sont adressées, pour information, à l'organisme certificateur.
Les fiches d'anomalies sont distinctes du rapport de certification.
Elles comportent la liste de l'ensemble des non-conformités relevées dans le rapport de certification, quel que soit leur niveau de gravité.
Pour chaque non-conformité, l'opérateur propose, le cas échéant, des mesures correctives ainsi qu'un échéancier de mise en œuvre.
Ces fiches d'anomalies peuvent également permettre à l'opérateur de porter à la connaissance de l'Autorité nationale des jeux toute information ou observation utile concernant le déroulement des opérations de certification et/ou de lui faire état de son éventuel désaccord avec les conclusions de ce rapport ou avec la méthodologie employée. L'opérateur pourra, le cas échéant, faire procéder à un nouveau contrôle et en produire le résultat avec la transmission à l'Autorité nationale des jeux des fiches d'anomalies.

Les organismes inscrits sur la liste des organismes certificateurs en raison de leurs compétences techniques avant la date de publication du présent décret demeurent inscrits sur cette liste jusqu'au terme fixé par les dispositions en vigueur à la date de leur inscription.
Les organismes inscrits sur la liste des organismes certificateurs en raison de leurs compétences techniques en leur qualité de sous-traitants avant la date de publication du présent décret demeurent inscrits sur cette liste jusqu'au terme fixé par les dispositions en vigueur à la date de leur inscription. Ils peuvent proposer des missions de certification à titre principal dans le cadre des dispositions du présent décret à compter de sa publication.