L'autorité nationale de sécurité des systèmes d'information mentionnée à l'article L. 2321-1 est l'Agence nationale de la sécurité des systèmes d'information.

La décision de mettre en œuvre les dispositifs mentionnés au premier alinéa de l'article L. 2321-2-1 sur les réseaux et les systèmes d'information des personnes mentionnées au même alinéa leur est notifiée par l'Agence nationale de la sécurité des systèmes d'information.

Cette notification est accompagnée d'un cahier des charges élaboré, le cas échéant, après concertation avec les personnes destinataires. Ce document précise les conditions techniques d'organisation et de fonctionnement nécessaires à la mise en œuvre de ces dispositifs ainsi que le délai dans lequel ils sont mis en œuvre et la durée de leur mise en œuvre. Il prévoit, le cas échéant, une phase de test préalable sur les réseaux ou systèmes d'information concernés.

La décision mentionnée au premier alinéa est communiquée sans délai à l'Autorité de régulation des communications électroniques et des postes.

Les dispositifs mentionnés au premier alinéa de l'article L. 2321-2-1 sont mis en œuvre pour une période maximale de trois mois, prorogeable en cas de persistance de la menace et dans cette limite. Toute prorogation fait l'objet d'une décision de l'Agence nationale de la sécurité des systèmes d'information notifiée aux personnes mentionnées au premier alinéa de l'article R. 2321-1-1 et communiquée à l'Autorité de régulation des communications électroniques et des postes.

Les marqueurs techniques exploités par les dispositifs mentionnés au premier alinéa de l'article L. 2321-2-1 sont des éléments techniques caractéristiques d'un mode opératoire d'attaque informatique, permettant de détecter une activité malveillante ou d'identifier une menace susceptible d'affecter la sécurité des systèmes d'information. Ils visent à détecter les communications et programmes informatiques malveillants et à recueillir et analyser les seules données techniques nécessaires à la prévention et à la caractérisation de la menace.

Les dispositifs de traçabilité des données collectées mentionnés au 2° de l'article L. 36-14 du code des postes et des communications électroniques garantissent notamment l'identification des agents mentionnés au deuxième alinéa de article L. 2321-2-1 et au premier alinéa de l'article L. 2321-3. Ces dispositifs enregistrent les opérations effectuées sur les données, dont leur suppression à l'issue du délai mentionné au troisième alinéa de l'article L. 2321-2-1.

Les modalités de la compensation des prestations assurées par les personnes mentionnées au premier alinéa de l'article R. 2321-1-1 au titre de l'article L. 2321-2-1 et du deuxième alinéa de l'article L. 2321-3 sont fixées par arrêté conjoint du Premier ministre et du ministre chargé des communications électroniques.