Les centres d'évaluation chargés de procéder à l'évaluation prévue au présent décret et aux articles R. 331-85 à R. 331-88 du code de la propriété intellectuelle sont agréés dans les conditions fixées par le présent chapitre.

I.-La demande d'agrément est formulée auprès de l'Agence nationale de la sécurité des systèmes d'information. Cette demande précise le domaine dans lequel l'organisme demandeur entend exercer son activité.

II.-L'organisme demandeur doit faire la preuve :

a) De sa conformité à des critères de qualité selon les règles ou les normes en vigueur ;

b) De son aptitude à appliquer les critères d'évaluation en vigueur et la méthodologie correspondante ainsi qu'à assurer la confidentialité requise par l'évaluation ;

c) De sa compétence technique à conduire une évaluation.

La conformité mentionnée au a et l'aptitude mentionnée au b sont attestées soit par une accréditation délivrée par une instance d'accréditation mentionnée à l'article L. 115-28 du code de la consommation, soit par l'Agence nationale de la sécurité des systèmes d'information.

La compétence technique mentionnée au c est appréciée par l'Agence nationale de la sécurité des systèmes d'information, notamment à partir des moyens, des ressources et de l'expérience du centre d'évaluation.

L'agrément est délivré par le directeur général de l'Agence nationale de la sécurité des systèmes d'information, après avis du comité directeur de la certification. Il peut énoncer les obligations particulières auxquelles est soumis le centre d'évaluation. Il est valable pour une durée de deux ans renouvelable.

Lorsqu'un centre d'évaluation situé hors du territoire national ou d'un autre Etat membre de la Communauté européenne a déjà fait l'objet d'un agrément par les autorités de son pays d'installation dans le cadre d'une procédure homologue, le directeur général de l'Agence nationale de la sécurité des systèmes d'information peut, après avis du comité directeur de la certification, le déclarer agréé au titre du présent décret. Cet agrément, qui est accordé pour une durée de deux ans renouvelable, peut être limité à un niveau d'assurance déterminé.

Lorsqu'un centre d'évaluation situé dans un Etat membre de la Communauté européenne a déjà fait l'objet d'un agrément par les autorités de cet Etat dans le cadre d'une procédure équivalente, le directeur général de l'Agence nationale de la sécurité des systèmes d'information, après avis du comité directeur de la certification, le déclare agréé au titre du présent décret.

L'Agence nationale de la sécurité des systèmes d'information peut s'assurer à tout moment que les centres d'évaluation continuent à satisfaire aux critères au vu desquels ils ont été agréés.

Lorsqu'un centre ne satisfait plus aux exigences mentionnées à l'article 11 ou qu'il manque aux obligations fixées par la décision d'agrément, l'agrément peut être retiré par le directeur général de l'Agence nationale de la sécurité des systèmes d'information, après avis du comité directeur de la certification. Le retrait ne peut être prononcé qu'après que le représentant du centre d'évaluation a été mis à même de faire valoir ses observations devant le comité directeur de la certification.

Le comité directeur de la certification en sécurité des technologies de l'information a notamment pour mission :

a) De formuler des avis ou des propositions sur la politique de certification, sur les règles et normes utilisées pour les procédures d'évaluation et de certification et sur les guides techniques mis à la disposition du public ;

b) D'émettre un avis sur la délivrance et le retrait des agréments aux centres d'évaluation ;

c) D'examiner, à des fins de conciliation, tout litige relatif aux procédures d'évaluation organisées par le présent décret qui lui est soumis par les parties ;

d) D'émettre un avis sur les accords de reconnaissance mutuelle conclus avec des organismes étrangers en application de l'article 9.

La mission prévue au c ci-dessus peut être déléguée par le comité à l'un de ses membres, elle comporte obligatoirement l'audition des parties.

Le comité directeur de la certification en sécurité des technologies de l'information est présidé par le secrétaire général de la défense et de la sécurité nationale ou son représentant. Outre son président, il comprend :

a) Un représentant du ministre de la justice ;

b) Un représentant du ministre de l'intérieur ;

c) Un représentant du ministre des affaires étrangères ;

d) Un représentant du ministre de la défense ;

e) Un représentant du ministre chargé de l'industrie ;

f) Un représentant du ministre chargé de l'économie ;

g) Un représentant du ministre chargé de l'emploi ;

h) Un représentant du ministre chargé de la santé ;

i) Un représentant du ministre chargé de l'éducation nationale ;

j) Un représentant du ministre chargé de la communication ;

k) Un représentant du ministre chargé de la réforme de l'Etat ;

l) Un représentant du ministre chargé des transports ;

m) Un représentant du ministre chargé de la recherche.

Lorsque le comité directeur examine des questions concernant les dispositifs de création et de vérification de signature électronique, tels que définis à l'article 1er du décret du 30 mars 2001 susvisé, il comprend en outre douze personnalités qualifiées nommées pour trois ans par arrêté du Premier ministre.

Le secrétariat du comité directeur est assuré par l'Agence nationale de la sécurité des systèmes d'information.

Le comité directeur se réunit sur convocation de son président qui en fixe l'ordre du jour.

Le président peut inviter tout expert ou personne qualifiée dont la participation aux débats lui paraît nécessaire.

Le comité rend compte de ses travaux au Premier ministre.

L'Agence nationale de la sécurité des systèmes d'information fait annuellement rapport au comité directeur de la certification de l'activité qu'elle exerce dans le cadre de la mise en oeuvre du présent décret.

Les certificats et les agréments des centres d'évaluation délivrés avant la date d'entrée en vigueur du présent décret, en application des dispositions de l'avis du Premier ministre relatif à la délivrance de certificats pour la sécurité offerte par les produits informatiques vis-à-vis de la malveillance, publié au Journal officiel de la République française du 1er septembre 1995, sont reconnus comme délivrés au titre du présent décret.

Le présent décret est applicable :

a) En Nouvelle-Calédonie et en Polynésie française, en tant qu'il concerne la signature électronique ;

b) Dans les îles Wallis et Futuna et à Mayotte.

Les dispositions du présent décret peuvent être modifiées par décret, à l'exception du premier alinéa des articles 8 et 12, du dernier alinéa de l'article 9, de l'article 13 et du deuxième alinéa de l'article 14 qui peuvent été modifiés par décret en Conseil d'Etat.