Le ministre d'État, ministre de l'intérieur,
Vu le code de la route, notamment ses articles L. 221-4, L. 221-6, L. 221-7 et L. 221-9 ;
Vu l'arrêté du 1er septembre 2020 portant agrément de France Code en qualité d'organisateur de l'épreuve théorique générale du permis de conduire ;
Vu l'arrêté du 29 avril 2024 fixant le cahier des charges prévu à l'article L. 221-7 du code de la route ;
Vu le courrier de la déléguée interministérielle à la sécurité routière en date du 7 janvier 2025 visant à recueillir les observations des représentants de France Code sur les manquements constatés ;
Vu les observations formulées par France Code dans son courriel du 24 janvier 2025 ;
Considérant la méconnaissance grave par France Code du cahier des charges tel que prévu par l'article L. 221-7 du code de la route ;
Considérant le rapport d'audit de la société EY réalisé durant le mois d'octobre 2024 ;
Considérant que France Code ne présente aucune documentation technique, à savoir aucune information apportée sur les choix d'architecture, sur la matrice des flux ou encore sur la matrice des accès et populations d'utilisateurs ;
Considérant la présence de nombreuses failles dans le code installé par France Code, une analyse de l'application a permis d'identifier que l'utilisation de la fonctionnalité XML-RPC, qui est une fonctionnalité de Wordpress permettant de transmettre des données, est très vulnérable ;
Considérant l'identification de plusieurs dysfonctionnements pour le site internet, comme l'accessibilité depuis internet au formulaire d'authentification Wordpress ou encore la possibilité de se connecter à distance au dashboard du site France Code ;
Considérant que la liste de défaillances non exhaustive fait apparaître un niveau de sécurité informatique très insuffisant, révélant 66 vulnérabilités dont 4 sont d'ordre critique ;
Considérant que l'expertise du système installé par France Code fait apparaître des vulnérabilités portant atteinte à la confidentialité et à l'intégrité des données sensibles du système d'information, conduisant au risque de compromission du système ;
Considérant que ces manquements sont qualifiés de graves au regard de l'article L. 221-9 susmentionné ;
Considérant que France Code n'apporte dans son courriel du 24 janvier 2025 aucun élément concret quant à la prise en compte réelle des conclusions de l'audit, à la mesure de la gravité des manquements constatés et susceptible de répondre aux obligations du cahier des charges tel que prévu par l'article L. 221-7 du code de la route ;
Considérant que ces manquements sont qualifiés de graves au regard de l'article L. 221-9 susvisé,
Arrête :
