{"character_count": 716, "word_count": 4946
Article L2321-4-1
En cas de vulnérabilité significative affectant un de leurs produits ou en cas
d'incident informatique compromettant la sécurité de leurs systèmes
d'information et susceptible d'affecter significativement un de leurs produits,
les éditeurs de logiciels notifient à l'autorité nationale de sécurité des
systèmes d'information cette vulnérabilité ou cet incident ainsi que l'analyse
de ses causes et de ses conséquences. Cette obligation s'applique aux éditeurs
qui fournissent ce produit :
1° Sur le territoire français ;
2° A des sociétés ayant leur siège social sur le territoire français ;
3° Ou à des sociétés contrôlées, au sens de l'article L. 233-3 du code de
commerce, par des sociétés ayant leur siège social sur le territoire
français.
Les éditeurs de logiciels informent les utilisateurs de ce produit, dans un
délai fixé par l'autorité nationale de sécurité des systèmes d'information et
déterminé en fonction de l'urgence, des risques pour la défense et la sécurité
nationale et du temps nécessaire aux éditeurs pour prendre les mesures
correctives. A défaut, l'autorité nationale de sécurité des systèmes
d'information peut enjoindre aux éditeurs de logiciels de procéder à cette
information. Elle peut également informer les utilisateurs ou rendre publics
cette vulnérabilité ou cet incident ainsi que son injonction aux éditeurs si
celle-ci n'a pas été mise en œuvre.
Pour l'application du présent article, on entend par éditeur de logiciel toute
personne physique ou morale qui conçoit ou développe un produit logiciel ou fait
concevoir ou développer un produit logiciel et qui le met à la disposition
d'utilisateurs, à titre onéreux ou gratuit.
Pour l'application du premier alinéa, on entend par incident informatique tout
événement compromettant la disponibilité, l'authenticité, l'intégrité ou la
confidentialité des données stockées, transmises ou faisant l'objet d'un
traitement ou des services que les réseaux et les systèmes d'information offrent
ou rendent accessibles.
Un décret en Conseil d'Etat, pris après avis de l'Autorité de régulation des
communications électroniques, des postes et de la distribution de la presse,
définit les modalités d'application du présent article. Il précise notamment les
critères d'appréciation du caractère significatif de la vulnérabilité ou de
l'incident mentionnés au premier alinéa. Le caractère significatif de la
vulnérabilité est défini en fonction des pratiques et des standards
internationaux communément admis.

Références
Articles faisant référence à l'article


Code de commerce - article L233-3 AUTONOME MODIFIE, en vigueur du 2001-12-12 au 2005-07-27 CITATION cible
    

Code de commerce - article L233-3 AUTONOME MODIFIE, en vigueur du 2005-07-27 au 2015-12-05 CITATION cible
    

Code de commerce - article L233-3 AUTONOME MODIFIE, en vigueur du 2000-09-21 au 2001-05-16 CITATION cible
    

Code de commerce - article L233-3 AUTONOME MODIFIE, en vigueur du 2001-05-16 au 2001-12-12 CITATION cible
    

Code de commerce - article L233-3 AUTONOME VIGUEUR, en vigueur depuis le 2015-12-05 CITATION cible
    

LOI n° 2023-703 du 1er août 2023 relative à la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense - article 66 ENTIEREMENT_MODIF CREE source
    

Textes faisant référence à l'article


Avis n° 2024-0369 du 28 février 2024 sur le projet de décret pris en application des dispositions relatives à la sécurité des systèmes d'information de la loi de programmation militaire pour les années 2024-2030 CITATION source
    

Décret n° 2024-421 du 10 mai 2024 pris pour l'application des articles L. 2321-2-1 à L. 2321-4-1 du code de la défense et des articles L. 33-14 et L. 36-14 du code des postes et des communications électroniques CITATION source
    

Références faites par l'article


      2023-08-01 CREE cible LOI n° 2023-703 du 1er août 2023 relative à la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense - article 66 ENTIEREMENT_MODIF


      2024-05-10 CITATION cible Décret n° 2024-421 du 10 mai 2024 pris pour l'application des articles L. 2321-2-1 à L. 2321-4-1 du code de la défense et des articles L. 33-14 et L. 36-14 du code des postes et des communications électroniques VIGUEUR


      2024-06-18 CITATION cible Arrêté du 18 juin 2024 portant création d'un traitement automatisé de données à caractère personnel dénommé « Suivi des signalements de vulnérabilités par des éditeurs de logiciel » VIGUEUR


      2024-06-18 CITATION cible Arrêté du 18 juin 2024 portant création d'un traitement automatisé de données à caractère personnel dénommé « Suivi des signalements de vulnérabilités par des éditeurs de logiciel » - article 1 AUTONOME VIGUEUR, en vigueur depuis le 2024-06-26


      2999-01-01 CITATION source Code de commerce - article L233-3 AUTONOME MODIFIE, en vigueur du 2000-09-21 au 2001-05-16


