Pour les besoins de la sécurité des systèmes d'information, l'obligation prévue à l'article L. 1521-1 du code de procédure pénale n'est pas applicable à l'égard d'une personne de bonne foi qui transmet à la seule autorité nationale de sécurité des systèmes d'information une information sur l'existence d'une vulnérabilité concernant la sécurité d'un système de traitement automatisé de données.
L'autorité préserve la confidentialité de l'identité de la personne à l'origine de la transmission ainsi que des conditions dans lesquelles celle-ci a été effectuée.
L'autorité peut procéder aux opérations techniques strictement nécessaires à la caractérisation du risque ou de la menace mentionnés au premier alinéa du présent article aux fins d'avertir l'hébergeur, l'opérateur ou le responsable du système d'information.

Conformément à l’article 57 de l’ordonnance n° 2025-1091 (NOR : JUSD2530057R), ces dispositions, dans leur rédaction résultant de l’ordonnance précitée, entrent en vigueur le 1^er janvier 2029.

Code de la défense

Article L2321-4

Nota