Le règlement de sécurité renvoie de temps en temps sur des normes les rendant théoriquement « obligatoires ».
Cependant, les normes sont accessibles par une plateforme particulière et l’information de leur mise à jour n’est pas diffusée comme un texte réglementaire.
Aussi, de nombreuses interrogations en découlent :
– Comment avoir accès aux normes ? Sont-elles obligatoires si l’information n’est pas diffusée ?
– Devons-nous appliquez la dernière norme en vigueur (exemple MS53) ? …
– Est-ce qu’il existe des synthèses accessibles car les normes sont complexes et souvent renvoient vers d’autres normes ?
– Quels normes sont pour vous obligatoires et celles qui ne le sont pas ?
– Comment interpréter dans la norme SSI : l’application du VTP, du coordinateur SSI, …
– …
Les conséquences peuvent être importantes. En effet, il est possible d’appliquer strictement les normes comme également s’y opposer (Retex, RCCI, …) ou plus logiquement appliquer une position plus adaptée.
Aussi, je serais intéressé sur votre analyse sur cette application des normes.
Réponse :
Le LCL (ER) Bernard EMELIE a publié un livre intitulé « RESPONSABILITE DES POUVOIRS PUBLICS EN MATIERE DE PREVENTION » aux éditions France-Sélection. Il en extrait les lignes suivantes en réponse à votre question.
Sous-chapitre 2 – La place des normes
Un point, parmi les arguments exposés dans le rapport IGA, mérite, lui aussi, de figurer selon un mode nettement développé dans nos lignes :
« 3.3. L’ARTICULATION DU REGLEMENT AVEC LES NORMES TECHNIQUES DOIT ETRE PRECISEE »
« (…) Le règlement renvoie souvent à des documents techniques (normes, DTU, instructions techniques). Cela évite de l’alourdir et fournit aux exploitants, maîtres d’œuvre et entreprises des documents adaptés à leur pratique.
La difficulté de lecture qui en résulte est sans doute en grande partie inévitable, mais c’est surtout le mode de production des normes concernant les matériels (systèmes d’alarme, systèmes de sécurité incendie et autres) et leur évolution qui posent problème. Elles sont élaborées sous l’influence des industriels producteurs des matériels, et certaines prescriptions peuvent être motivées, aux dires de nombreux acteurs rencontrés, par des considérations de marché.
Elles peuvent ainsi évoluer de façon incontrôlée et devenir excessives, voir irréalistes, de façon autonome, sans réel contrôle de l’administration responsable des règlements de sécurité. Le changement d’une norme à laquelle renvoie un règlement peut ainsi, en dehors de toute évolution de ce dernier, imposer de changer des matériels en place, pour un coût qui peut être élevé. La norme peut ainsi augmenter la fréquence des opérations de maintenance, ou un nombre d’équipements techniques, sans que le règlement n’ait évolué (note de bas de page du rapport : NFS 61970 : le nombre de détecteurs y a été multiplié par deux sans que le règlement ne change).
La combinaison des règlements et des normes peut ainsi comporter le risque d’une délégation de fait à des acteurs privés du pouvoir de règlementer, ainsi que celui d’un emballement règlementaire non maîtrisé (…) »[1].
A cette salutaire attitude de prudence de l’IGA fait pièce l’influence doctrinale, notamment, de l’Europe, déterminant majeur en face du droit « dur » prévalant traditionnellement :
« (…) bien souvent l’AFNOR retire les normes « périmées ». Depuis le décret du 16 juin 2009 (relatif à la normalisation), le principe directeur est que la norme est d’application volontaire[2], et ne s’impose donc pas de fait. Ce décret est conforme à la nouvelle approche de droit souple européen, et aux règles OTC (organisation technique du commerce) : la norme ne doit pas valoir règlement (…) »[3].
Tout cela n’indique pas une critique du droit « dur » de la part des quatre inspecteurs mais une remontrance à peine voilée envers le système sur lequel repose la dynamique normative en matière technique.
Il n’est certainement pas indifférent, à ce stade de notre étude, de fournir à notre lecteur quelques éléments afférents à la nature (Section 1), au fonctionnement (Section 2) des normes, à leur « intimité » avec les standards (Section 3), à leur opérabilité (Section 4), ces données techniques sans lesquelles la procédure de police administrative qui nous occupe perdrait tout son sens.
Section 1 – La norme : un simple référentiel ou une règle ?
Rendons à César… ce qui nous rattache personnellement au droit, en débutant nos définitions par ce que ledit droit entend en termes de « norme » :
« N. f. – Lat. norma : équerre, mesure, règle.
1 – Terme scientifique employé parfois dans une acception générale, comme équivalent de règle de droit (proposition abstraite et générale), qui évoque non pas l’idée de normalité (comme par exemple en biologie), ni celle de rationalité, ou de type convenu (standardisation), mais spécialement la valeur obligatoire attachée à une règle de conduite, et qui offre l’avantage de viser d’une manière générale toutes les règles présentant ce caractère, quels qu’en soient la source (loi, traité, voire règle de Droit naturel) ou l’objet (règle de conflit, Droit substantiel, etc.) (…)
2 – Parfois plus spécialement règle qui marque la direction générale à donner à une conduite. Comp. Standard, directive, notion-cadre.
3 – (sens voisin) Manière dont il convient de diriger son activité, méthode à suivre.
– de sécurité. Règle technique de caractère obligatoire en vue d’assurer la sécurité physique (…) »[4].
Ces paragraphes constituent un panel fort déterminant en ce qu’ils drainent, autour de la notion de norme, l’idée majoritaire d’applicabilité obligatoire, même si nous nous opposons vivement à l’appréciation donnée par l’auteur du contenu descriptif sur l’écart qu’il établit entre norme et normalité. En effet, si nous partons du principe que la norme soit obligatoire, comment reconnaître une quelconque légitimité à une telle référence si elle ne visait pas à cette normalité, particulièrement en matière de sécurité ? Rappelons d’ailleurs l’excellente image fixée au commencement de la définition : celle de l’équerre, véritable paradigme à nos yeux de la rectitude.
Le droit conduit à tout mais il n’incarne pas l’alpha et l’oméga, aussi recentrerons nous notre approche sur le pendant technique qui concerne plus spécialement le lecteur soucieux de prévention. Nous en donnerons ici deux définitions :
« Une norme technique est un référentiel publié par un organisme de normalisation officiellement agréé par un État via une organisation nationale de standardisation (comme AFNOR pour la France), agréé au niveau Européen (comme le CEN ou le ETSI), ou encore issu d’un traité international (comme ISO). Comme la langue anglaise ne marque pas la différence entre norme et standard (« norme » se dit « standard » en anglais), on parle pour les normes de standards de jure et pour les simples standards de standards de facto. Un simple standard (de facto) est généralement déterminé soit par un industriel pionnier ou en position dominante sur un marché, soit par une association professionnelle ou un consortium d’acteurs industriels (comme IEEE ou OASIS) »[5].
Intéressante, cette première approche ne nous a pas paru suffisante à rendre compte de l’envergure de la notion de norme. Aussi en fournirons nous une autre plus évocatrice :
« L’ISO (International Organization for Standardization) et la CEI donnent la définition suivante :
« Document établi par consensus et approuvé par un organisme reconnu, qui fournit, pour des usages communs et répétés, des règles, des lignes directrices ou des caractéristiques, pour des activités ou leurs résultats, garantissant un niveau d’ordre optimal dans un contexte donné. » »
Chacun l’aura remarqué. La seconde définition ne rejette pas, loin s’en faut, la nature de « règle » qui peut s’attacher à la norme technique (Cf. la primauté dans la liste des nuances d’appellation de la norme), ce qu’identifie bien la prose des rapporteurs de l’IGA.
Si règle il existe dans l’approche normative, non seulement juridique, mais technique, dans quel monde pouvons-nous inscrire cet auxiliaire du régalien ?:
« La réglementation (…) est, au sens large, un ensemble d’indications, de lois, de prescriptions, de règles et règlements, et autres textes juridiques régissant une activité sociale.
Il peut aussi simplement s’agir de l’ensemble des mesures légales et réglementaires qui régissent une question.
La réglementation est rédigée par les administrations compétentes ou les personnes mandatées »[6].
De toute évidence, attendons-nous à ce que ces implications provoquent des réactions. Et de la part de qui donc, exactement ? Des prosélytes de l’économie libérale, bien sûr :
« Pour certains économistes non-orthodoxes, les réglementations sur la fabrication des produits ou celles cherchant à garantir la concurrence sont une entrave à la circulation des marchandises et à l’entrée dans le marché de nouveaux acteurs. Ainsi, selon Israel Kirzner en 1978 : « L’orthodoxie aujourd’hui chancelante sur laquelle l’approche interventionniste reposait jusqu’à une période très récente reflète certaines incompréhensions quant au fonctionnement des marchés ; et ce sont des malentendus qui présentent une similitude remarquable avec ceux qu’avait identifiés Mises et, après lui, Hayek. Ces erreurs, dont les racines sont profondes, semblent responsables de l’étonnement et du désarroi ressentis en comprenant que l’intervention de l’Etat pourrait bien être elle-même le problème, et non la solution qu’elle avait si évidemment paru constituer. » »[7]
Nous n’épiloguerons pas, après ce commentaire, sur le rattachement du normatif technique au bloc du « volontarisme » ou à celui, en sa qualité d’auxiliaire déjà mentionné ci-dessus, de la hiérarchie des normes, car il est bien apparu aux rédacteurs de notre rapport IGA que ce type de référentiel peut tout de même susciter quelques problèmes épineux si les seuls agents économiques en traitent les aspects essentiels. Forgeons-nous donc une opinion à son égard en retraçant son mode de fonctionnement.
Section 2 – La norme, la corporation et la mondialisation
Consécutivement à la définition qui a mis en place notre précédent contenu, nous nous intéressons sans doute à l’usage de la norme mais, auparavant, nous effectuerons un détour, même réduit, par les aspects qu’elle a revêtus dans son passé. A cette occasion, nous livrerons à notre lecteur, par quelques sélections en caractères gras, les points que nous estimons les plus révélateurs au sein de l’évolution des normes techniques :
« (…) Au Moyen-Âge et sous l’Ancien Régime, le système des corporations imposait à certains corps de métiers des réglementations strictes comprenant notamment les normes de qualité des produits ou des services.
Des forme écrites et complexes de normalisation sont nées de la « philosophie des lumières » et de sa volonté d’universalisme, car nécessaires aux travaux des cartographes, des encyclopédistes et des naturalistes devant trier, analyser et organiser et parfois archiver de grandes quantité d’information et de matériel. Les archivistes et bibliothécaires ont eu, à partir de la Révolution française, la volonté d’organiser un catalogue collectif national, sur des bases répondant à des normes précises et à vocation « universelle ». En revanche, le système corporatif, incompatible avec les principes du libéralisme économique, est supprimé et entraîne dans sa disparition les normes de qualité qui lui étaient associées. La normalisation s’oriente désormais plus vers la rationalisation de la production que vers la qualité individuelle du produit (…) »[8].
Cette orientation va suivre un nouvel élan avec l’industrialisation intervenue au XIXe siècle, puis avec les conditions qui ont marqué la Première Guerre mondiale :
« (…) La normalisation répondait aux besoins d’économies d’échelles et de diminution des coûts, permis par une standardisation, et par ailleurs encouragée par la taylorisation et la mondialisation de l’industrie.
Après l’armistice de mai 1945, la coopération internationale se renforce avec l’aide de l’Unesco et de l’Organisation internationale de normalisation (ISO). Plus tard, c’est l’informatique et l’internet qui ont relancé les démarches collaboratives et parfois spontanées et auto-organisées de standardisation internationale.
Lors de toutes ces étapes, les entreprises dont les normes sont devenues dominantes ont ainsi pu gagner d’importantes parts de marché (…) »[9].
A aucun moment de notre citation n’apparaissent de propos qui dénonceraient une faiblesse ou une faille dans les manifestations du droit « dur ». En revanche, ce sont bien les prodromes et l’épanouissement d’une organisation économique libérale qui s’imposent progressivement. A quoi tout cela aboutit-il ?:
« (…) on note qu’en France au XXe siècle, le développement des normes a d’abord surtout été d’initiative publique par l’État (avec une forte composante réglementaire ou législative), ce qui est aujourd’hui de moins en moins le cas, l’industrie, le commerce et les consommateurs étant eux-mêmes demandeurs et producteurs de ces normes pour rendre les offres comparables entre les différents fournisseurs de produits et services, ou pour mieux les différencier. Ainsi on a assisté à une explosion des labels et certifications privées, qui au lieu de faciliter la concurrence et la comparaison des offres, en a accru la complexité, l’État (et aujourd’hui de plus en plus les normalisateurs ou législateurs européens) n’intervenant plus qu’en dernier ressort pour légaliser et protéger certains labels sélectionnés (…) »[10].
En d’autres termes, la démarche normative devant, à son origine, donner du sens à l’activité productive ou de service ne se résume pas, finalement, aujourd’hui voire désormais, à une… normalité garantie. Faut-il alors, sans abandonner toute référence à ladite norme, nous tourner instamment vers d’autres notions, comme, par exemple, la standardisation, que nous avons déjà mentionnée plus haut ainsi qu’à la section 1 ci-dessus, sans toutefois en fournir une approche qui nous satisfasse ?
Section 3 – La norme et la standardisation
Norme et standard apparaissent de prime abord en filigrane l’un de l’autre, comme cette autre précision à venir en fait naître le sentiment :
« Dans le cas général, un fabricant ou un prestataire de service n’est pas obligé de suivre une norme. Cela dit, elles peuvent cependant être imposées :
de manière contractuelle : lorsqu’un donneur d’ordre fixe des normes à respecter pour la réalisation du contrat de référence;
de manière plus étendue : des dispositions légales ou réglementaires imposent — dans des cas précis et définis — le respect de normes dans la conception, la composition, la fabrication des biens et services — voir le cas des normes applicables aux installations électriques, aux jouets pour enfants, aux appareils à pression, etc.
Cependant, compte tenu des contraintes de procédure qui s’imposent aux organismes de normalisation, il existe un décalage, plus ou moins important, entre les normes et la pratique. Certains standards de fait, reconnus et adoptés universellement, peuvent acquérir plus de force que des normes, tandis que certaines normes techniques peuvent ne jamais être appliquées.»[11]
Parviendrons-nous donc à donner corps à cette fameuse « standardisation », norme de facto[12] ou concept plus original que prévisible ?
« Un standard est un référentiel publié par une entité privée autre qu’un organisme de normalisation national ou international ou non approuvé par un de ces organismes pour un usage national ou international. On ne parle de standard qu’à partir du moment où le référentiel a une diffusion large, on parle alors de standard de facto (standard de fait).
Un standard est ouvert quand le référentiel est diffusé librement.
(…) ».
Afin de ne pas égarer notre lecteur, nous poursuivons la citation d’internet réservée à la définition du standard :
« Dans la loi française nº 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique, on peut lire la définition suivante d’un standard ouvert (Titre Ier, De la liberté de communication en ligne, Chapitre Ier, La communication au public en ligne, article 4) : « On entend par standard ouvert tout protocole de communication, d’interconnexion ou d’échange et tout format de données interopérable et dont les spécifications techniques sont publiques et sans restriction d’accès ni de mise en œuvre. »
Cette définition rend obligatoire l’indépendance des protocoles et des formats de données vis-à-vis des éditeurs, des fabricants et des utilisateurs de logiciels ou de systèmes d’exploitation ainsi que la mise à disposition de spécifications techniques documentées et non soumises à des royalties en cas de brevet. Mais elle permet que la mise à disposition sans restriction d’accès des spécifications, ou leur mise en œuvre, soit payante contre un paiement forfaitaire raisonnable (destiné par exemple à couvrir les frais relatifs à cette publication ou à la maintenance administrative des normes par leur éditeur).
En revanche, cette définition ne semble pas imposer que le référentiel ait fait l’objet d’un examen collectif et d’une recherche de consensus technique, comme c’est le cas d’une norme.»
Section 4 – La norme en point d’orgue ?
Tout devient plus clair, n’est-ce-pas ? Nous venons de dessiner à grands traits deux mobiles (ou deux variables, pour employer un langage de proximité mathématique) absolument remarquables. L’affaire est donc bouclée. Erreur ! Il convient maintenant d’examiner la perméabilité qui existe entre notre duo de mobiles, démarche centrée sur le standard qui se ferme et sur la norme qui… s’ouvre (Sous-section 1 et 2), pour nous permettre (du moins l’espérons nous) d’établir une sorte de hiérarchie entre l’un et l’autre, ou de dresser le bilan de ces deux associés (Sous-section 3).
Sous-section 1 – La requalification du standard en norme
Dans la mesure où la cible essentielle de nos présentes lignes se situe dans le fonctionnement d’une police administrative au quotidien, opérons un nouveau détour du côté de ce monde anglo-saxon devenu « l’intime » de nos concitoyens :
« Aux États-Unis, une loi (…) récente existe, qui demande aux administrations gouvernementales et à leurs fournisseurs de ne plus seulement utiliser des normes issues des organismes de normalisation officiels nationaux (ou internationaux dont les États-Unis sont représentés directement[13]), mais d’évaluer et utiliser des standards industriels quand ils existent et quand ils sont pertinents, les organismes officiels de normalisation (nationaux ou internationaux) pouvant être sollicités pour effectuer une telle sélection lorsque des standards concurrents s’opposent pour un même domaine d’application. (…) »[14]
L’option retenue par le pays de la statue de la Liberté semble attribuer une primauté indéniable au standard mais ne concluons pas trop vite au triomphe de l’initiative privée quand ledit standard trace sa route vers la norme :
« Promotion d’un standard fermé en norme »[15]. Ce sous-titre exprime à lui seul combien le premier gagne à redevenir la seconde :
« Un standard est fermé quand le référentiel n’est pas diffusé, ou quand il est soumis à des restrictions d’accès, par exemple si sa mise en œuvre nécessite le paiement de royalties à cause de brevets, ou si l’octroi de licence sur les brevets est soumis à une acceptation préalable par son éditeur ou si son éditeur impose une clause contractuelle de confidentialité.
Un standard (ou une norme) initialement ouvert peut être requalifié comme fermé, si des brevets soumis à royalties ou à des restrictions d’accès (y compris par l’éditeur lui-même du standard ou de la norme) viennent plus tard restreindre son utilisation, c’est pourquoi tout standard ouvert doit être publié et rendu accessible sans restriction avant son approbation, afin de permettre aux titulaires de brevets (ou de brevets en cours d‘enregistrement) de faire part de leurs observations relatives aux conditions d’accès dans un temps raisonnable. L’éditeur du standard ouvert ou de la norme s’engage lui-même (ou les membres de son comité technique et participants à ses travaux de normalisation) révèle tous les brevets applicables à la mise en œuvre de la norme publiée et dont ils ont eu connaissance à la date de publication du standard ouvert ou de la norme. (…) »[16]
Mais tout cela est tellement simple, que l’on peut aussi retrouver le standard où l’on ne l’attendait plus.
Sous-section 2 – La pérennité du standard au sein de la norme
C’est assez inattendu mais, comme en politique, le standard et la norme peuvent quelquefois cohabiter :
« L’ISO admet aussi les références à des standards fermés dans ses normes internationales, si l’accès et l’implémentation de ces standards aux fins d’implémenter la norme sont seulement soumis au paiement d’une licence forfaitaire et à prix « raisonnable », et ne sont pas soumis à royalties fondées sur l’utilisation, la diffusion ou le produit de la vente des produits et services basés sur la norme, et si leurs spécifications restent ouverte (c’est le cas de certaines des technologies brevetées incluses dans la norme internationale MPEG par exemple, et soumises à l’octroi payant d’une licence à prix forfaitaire), et s’il n’y a pas non plus de restrictions d’accès parmi les demandeurs de licences sur ces technologies fermées autres que celles éventuellement prévues par une législation nationale spécifique ou un traité international (par exemple sur les systèmes de cryptographie ou les technologies nucléaires ou pour l’armement), puisque cette législation s’impose aux utilisateurs indépendamment de la norme internationale. Ou bien si celui qui propose la promotion d’un standard fermé en norme internationale s’engage à lever ces restrictions d’accès et de mise en œuvre dès la date d’entrée en vigueur de la norme. (…) ».[17]
Sous-section 3 – Une indissociation dans la mixité !
Comme nous, le lecteur a pu, le cas échéant, se sentir déstabilisé par la physionomie du système que nous venons de décrire, a fortiori s’il a conservé très vive à l’esprit la réflexion, reprise à nouveau ici, du rapport IGA-IGAS de juin 2014 qui n’augurait rien de particulièrement engageant :
« La combinaison des règlements et des normes peut ainsi comporter le risque d’une délégation de fait à des acteurs privés du pouvoir de règlementer, ainsi que celui d’un emballement règlementaire non maîtrisé (…) »[18].
Nous sommes en conséquence très fortement incité à le synthétiser autant que possible.
Sous l’inter appellation de la norme et du standard qui tend à les confondre, nous avons nettement discerné une distinction déterminante : l’expression de jure pour la première (point n°1) et de facto pour le second (point n° 2). Qu’en penser ?
Point n° 1 – La norme : quelques exceptions au principe volontariste
La situation est acquise. La norme se situe dans le giron du réglementaire, ce qui s’avère nettement le cas dans notre Pays :
« (…) Un décret du 16 juin 2009 confirme que le droit français réserve le terme « normalisation » aux référentiels publiés par l’Afnor (ou aux organismes ayant reçu une délégation de l’Afnor, agréés par le ministre chargé de l’Industrie comme « bureaux de normalisation sectoriels » (article 2 du décret de 2009). Ce décret abroge le décret nº 84-74 du 26 janvier 1984 fixant le statut de la normalisation et précise que les agréments délivrés antérieurement à l’entrée en vigueur du décret (le 18 juin 2009) restent valables jusqu’au 1er janvier 2010.
Ces référentiels appelés « normes françaises homologuées » sont par principe d’application volontaire (article 17 du décret de 2009) mais certaines prennent force de loi, devenant d’application obligatoire par arrêté signé du ministre chargé de l’Industrie et du ou des ministres intéressés. Les normes rendues d’application obligatoire sont listées sur le site internet de l’Afnor et référencés dans les lois, décrets et arrêtés.
Les autres (d’application volontaire) peuvent être utilisés comme référentiels dans les marchés publics. Les normes publiées par les organismes européens de normalisation (CEN, CENELEC et ETSI) sont « de droit » des « normes françaises homologuées (…) ».
Sur le plan de l’application pratique de ces « modèles écrits »[19], l’occurrence du caractère exécutoire de la norme en vertu de la signature ministérielle dont elle est revêtue la place d’emblée dans l’actualité la plus immédiate. Tout comme, par exemple, le décret qui en remplace un précédent, la dernière norme en date devient bien sûr celle à laquelle on doit se référer pour être conforme.
Point n° 2 – Le standard : quelques exceptions au principe d’ouverture
Dans la mesure où nous avons bien remarqué l’origine privée du standard[20], avec le risque identifié par le rapport de juin 2014, réitéré plus haut, nous évoluons sans conteste dans le… de facto, et ceci constitue bien à nos yeux un second inconvénient à ce couple étrange, aux marges du droit positif, que nous pouvons résumer par l’expression « norme-standard ». Sa physionomie : tantôt « ouverte », tantôt « fermée », pour l’une comme pour l’autre, laisse, selon nous, une place trop large au mélange des genres, surtout dans une société comme la nôtre, avide de retrouver la simplicité, et qui se voit cependant confrontée à une surenchère de complexité[21].
En conclusion, tout ceci (norme et standard) constitue un domaine d’un abord pour le moins délicat (doux euphémisme !) qui requiert de la part de ses utilisateurs un sens aigu du contact entre professionnels[22], une mise entre parenthèses de l’acharnement concurrentiel[23], afin qu’information de groupe et négociations avec les tenants du label permettent de maintenir l’intégrité physique du public bien au-delà d’un simple objectif aventureux, et, somme toute, que l’esprit du règlement de sécurité ne soit pas tourné ou détourné.
[1] p 30 du rapport IGA – juin 2014
