Loi n 2004-5 du 3 fvrier 2004, relative la scurit informatique.Travaux prparatoires: Discussion et adoption par la chambre des dputs dans sa sance du 13 janvier 2004.

JORT n 10 du 3 fvrier 2004, page 242 243

Au nom du peuple,La chambre des dputs ayant adopt,Le Prsident de la Rpublique promulgue la loi dont la teneur suit :

CHAPITRE PREMIER - De l'agence nationale de la scurit informatique

Article premier. - La prsente loi a pour objet d'organiser le domaine de la scurit informatique et de fixer les rgles gnrales de protection des systmes informatiques et des rseaux.

Art. 2. - Est cre, une entreprise publique caractre non administratif dote de la personnalit morale et de l'autonomie financire dnomme "Agence Nationale de la Scurit Informatique". Elle est soumise dans ses relations avec les tiers la lgislation commerciale et son sige est fix Tunis.L'agence est soumise la tutelle du ministre charg des technologies de la communication.L'organisation administrative et financire et les modalits de fonctionnement de l'agence sont fixes par dcret. Art. 3. - L'agence nationale de la scurit informatique effectue un contrle gnral des systmes informatiques et des rseaux relevant des divers organismes publics et privs et elle est charge notamment des missions suivantes :

veiller l'excution des orientations nationales et de la stratgie gnrale en matire de scurit des systmes informatiques et des rseaux,

suivre l'excution des plans et des programmes relatifs la scurit informatique dans le secteur public l'exception des applications particulires la dfense et la scurit nationale et assurer la coordination entre les intervenants dans ce domaine,

assurer la veille technologique dans le domaine de la scurit informatique, tablir des normes spcifiques la scurit informatique et laborer des guides techniques en

l'objet et procder leur publication, oeuvrer encourager le dveloppement de solutions nationales dans le domaine de la

scurit informatique et les promouvoir conformment aux priorits et aux programmes quiseront fixs par l'agence,

participer la consolidation de la formation et du recyclage dans le domaine de la scurit informatique,

veiller l'excution des rglementations relatives l'obligation de l'audit priodique de la scurit des systmes informatiques et des rseaux.

L'autorit de tutelle peut confier l'agence toute autre activit en rapport avec le domaine de son intervention.

Art. 4. - En cas de dissolution de l'agence, ses biens feront retour l'Etat qui excute ses obligations et ses engagements conformment la lgislation en vigueur.

CHAPITRE II - De l'audit obligatoire

Art. 5. - Les systmes informatiques et les rseaux relevant des divers organismes publics sont soumis un rgime d'audit obligatoire et priodique de la scurit informatique, l'exception des systmes informatiques et des rseaux appartenant aux ministres de la dfense nationale et de l'intrieur et du dveloppement local.Sont galement soumis l'audit obligatoire priodique de la scurit informatique, les systmes informatiques et les rseaux des organismes qui seront fixs par dcret.

Sont fixs par dcret, les critres relatifs la nature de l'audit, sa priodicit et aux procdures de suivi de l'application des recommandations contenues dans le rapport d'audit. Art. 6. - Dans le cas o les organismes prvus l'article 5 de la prsente loi n'effectuent pas l'audit obligatoire priodique, l'agence nationale de la scurit informatique avertit l'organisme concern qui devra effectuer l'audit dans un dlai ne dpassant pas un mois partir de la date de cet avertissement.A l'expiration de ce dlai sans rsultat, l'agence est tenue de dsigner, aux frais de l'organisme contrevenant, un expert qui sera charg de l'audit sus indiqu. Art. 7. - Sous rserve des exceptions prvues aux articles 3 et 5 de la prsente loi, les organismes publics et privs doivent permettre l'agence nationale de la scurit informatique et aux experts quiseront chargs de l'opration d'audit, de consulter tous les documents et dossiers relatifs la scuritinformatique afin d'accomplir leurs missions.

CHAPITRE III - Des auditeurs

Art. 8. - L'opration d'audit est effectue par des experts, personnes physiques ou morales, pralablement certifies par l'agence nationale de la scurit informatique.Sont fixes par dcret, les conditions et les procdures de certification de ces experts. Art. 9. - Il est interdit aux agents de l'agence nationale de la scurit informatique et aux experts chargs des oprations d'audit de divulguer toutes informations dont ils ont eu connaissance lors de l'exercice de leurs missions.Sont passibles des sanctions prvues l'article 254 du code pnal, quiconque divulgue, participe ou incite la divulgation de ces informations.

CHAPITRE IV - Des dispositions diverses Art. 10. - Tout exploitant d'un systme informatique ou rseau, qu'il soit organisme public ou priv, doit informer immdiatement l'agence nationale de la scurit informatique de toutes attaques,intrusions et autres perturbations susceptibles d'entraver le fonctionnement d'un autre systme informatique ou rseau, afin de lui permettre de prendre les mesures ncessaires pour y faire face.L'exploitant est tenu de se conformer aux mesures arrtes par l'agence nationale de la scurit informatique pour mettre fin ces perturbations. Art. 11. - Dans les cas prvus l'article prcdent et afin de protger les systmes informatiques etles rseaux, l'agence nationale de la scurit informatique peut proposer l'isolement du systme informatique ou du rseau concern jusqu' ce que ces perturbations cessent. L'isolement est prononc par dcision du ministre charg des technologies de la communication.Concernant les exceptions prvues l'article 3 de la prsente loi, des procdures adquates seront arrtes en coordination avec les ministres de la dfense nationale et de l'intrieur et du dveloppement local.La prsente loi sera publie au Journal Officiel de la Rpublique Tunisienne et excute comme loi de l'Etat.Tunis, le 3 fvrier 2004.