L'opérateur d'importance vitale conclut une convention avec le service de l'Etat ou le prestataire de service chargé d'effectuer le contrôle. Cette convention précise :

1° Les systèmes d'information qui font l'objet du contrôle ;

2° Les objectifs et le périmètre du contrôle ;

3° Les modalités de déroulement du contrôle, notamment les conditions d'accès aux sites et aux systèmes d'information de l'opérateur ;

4° Les informations nécessaires à la réalisation du contrôle, fournies par l'opérateur, et les conditions de leur protection ;

5° Les modalités selon lesquelles sont effectuées les analyses techniques sur les systèmes d'information de l'opérateur.

La convention est conclue dans des délais compatibles avec le délai fixé par le Premier ministre pour la réalisation du contrôle.

Une copie de la convention signée est adressée sans délai par l'opérateur à l'Agence nationale de la sécurité des systèmes d'information.