Chaque gestionnaire de l'infrastructure, le gestionnaire d'infrastructure délégué, chaque entreprise ferroviaire et chaque titulaire d'une convention d'exploitation prévue à l'article 4.1 du cahier des charges de la SNCF élaborent un système de gestion de la sécurité.
Le système de gestion de la sécurité explicite les règles, procédures et méthodes à mettre en oeuvre pour atteindre en permanence les objectifs de sécurité mentionnés à l'article 2. Il comporte un processus permettant de tirer profit de l'expérience acquise.

Chaque gestionnaire de l'infrastructure ainsi que le gestionnaire d'infrastructure délégué doivent être titulaires d'un agrément de sécurité, délivré par l'EPSF pour une durée maximale de cinq ans, qui établit leur aptitude à satisfaire aux exigences réglementaires de sécurité et à maîtriser les risques liés à l'exercice de leur activité.
La délivrance de l'agrément de sécurité vaut approbation du système de gestion de la sécurité du titulaire et des dispositions concrètes prévues pour sa mise en oeuvre en ce qui concerne en particulier l'aptitude physique et professionnelle et la formation des personnels affectés aux tâches essentielles pour la sécurité, le respect de la réglementation de sécurité et celle des règles techniques et de maintenance applicables à l'infrastructure du réseau ferré national.

Une entreprise ferroviaire ne peut avoir accès au réseau ferré national sans être titulaire d'un certificat de sécurité établissant son aptitude à satisfaire aux exigences réglementaires de sécurité et à maîtriser les risques liés à l'exploitation des services de transport ferroviaire qu'elle entend réaliser sur ce réseau.
Le certificat de sécurité comprend deux parties.
La délivrance de la première partie, dite partie A, est subordonnée au respect de conditions relatives à l'organisation et à la mise en oeuvre par l'entreprise ferroviaire d'un système de gestion de la sécurité adapté à la nature et à l'importance des services de transport qu'elle souhaite assurer. Cette partie du certificat de sécurité est réputée acquise pour toute entreprise ferroviaire établie dans un Etat membre de l'Union européenne ou appliquant des règles équivalentes à celles de l'Union européenne en vertu d'accords conclus avec celle-ci et disposant déjà, pour des activités de transport ferroviaire équivalentes, d'un certificat de sécurité.
La délivrance de la seconde partie, dite partie B, est subordonnée pour les services et les lignes du réseau ferré national pour lesquels le certificat est demandé :
1° Au respect des conditions relatives à l'aptitude physique et professionnelle et à la formation du personnel affecté aux tâches essentielles pour la sécurité ;
2° Au respect de la réglementation de sécurité sur le réseau ferré national et à ses modalités d'application ;
3° A la prise en compte de la documentation d'exploitation prévue à l'article 10 ;
4° Au respect des règles techniques et de maintenance applicables aux matériels.

Le certificat de sécurité est délivré par l'EPSF pour une durée maximale de cinq ans. Il est périmé si les services qu'il couvre n'ont pas effectivement commencé dans le délai d'un an suivant la date de sa délivrance.
Le titulaire d'un certificat de sécurité doit présenter une nouvelle demande s'il modifie de façon substantielle son système de gestion de la sécurité ou le service pour lequel le certificat a été délivré.

Un certificat de sécurité délivré dans un Etat membre de l'Union européenne ou appliquant des règles équivalentes à celles de l'Union européenne en vertu d'accords conclus avec celle-ci, à une entreprise ferroviaire pour la fourniture de services jusqu'à un point frontière peut valoir certificat de sécurité pour des services effectués sur des sections du réseau ferré national dont l'origine ou la destination est ce point frontière.
Ces sections sont définies par un arrêté du ministre chargé des transports qui précise en outre les modalités applicables.

Le titulaire d'une convention d'exploitation prévue à l'article 4.1 du cahier des charges de la SNCF ne peut exercer les missions qui lui sont confiées par cette convention sans avoir obtenu une attestation de sécurité délivrée par l'EPSF pour une durée maximale de cinq ans. Il peut toutefois, sans cette attestation, réaliser les missions relatives à la conception, à la réalisation ou à la modification de systèmes ou sous-systèmes dont l'intégration au réseau ferré national est prévue par cette convention, pour lesquelles il a obtenu l'autorisation de mise en exploitation commerciale prévue au titre V du présent décret. L'obligation d'obtenir cette autorisation est rappelée dans la convention.
L'attestation de sécurité certifie l'aptitude du bénéficiaire à satisfaire aux exigences réglementaires de sécurité et à maîtriser les risques liés à l'exercice des missions qui lui sont confiées, notamment ses activités relatives à la maintenance de l'infrastructure et des matériels et à l'exploitation de services de transport sur le réseau ferré national.
La délivrance de l'attestation de sécurité vaut approbation, d'une part, du système de gestion de la sécurité du titulaire et, d'autre part, des dispositions prises par celui-ci en vue du respect des exigences réglementaires de sécurité.
Lorsque la convention contient des dispositions relatives à la fois à la gestion de l'infrastructure et à l'exploitation de services de transport, le système de gestion de la sécurité traite de ces deux missions en deux parties distinctes.
Lorsque la convention contient des dispositions relatives à l'infrastructure, la partie du système de gestion de la sécurité du titulaire qui traite de l'infrastructure est transmise à l'EPSF qui, après avoir recueilli l'avis de RFF et de la SNCF, s'assure de sa compatibilité avec les autres systèmes de gestion de la sécurité en vigueur sur le réseau.

Le silence gardé par l'EPSF pendant plus de quatre mois sur une demande d'agrément de sécurité, de certificat de sécurité ou d'attestation de sécurité vaut décision de rejet. Ce délai ne court qu'à compter du moment où le dossier est complet. L'EPSF fait connaître dans le mois suivant la réception de la demande si celle-ci comporte ou non l'ensemble des pièces et documents requis. A défaut, le dossier est réputé complet au terme de ce délai.
La demande d'agrément de sécurité du gestionnaire d'infrastructure délégué est adressée à RFF qui le transmet avec son avis à l'EPSF dans un délai de deux mois.
Lors de l'instruction d'un certificat de sécurité, l'EPSF recueille l'avis de RFF sur les éléments constitutifs de la partie B.
La modification d'un agrément de sécurité, d'un certificat de sécurité ou d'une attestation de sécurité en cours ne peut porter sur la durée de validité de l'acte.
Un arrêté du ministre chargé des transports précise les modalités de demande et les conditions de délivrance de l'agrément de sécurité, du certificat de sécurité et de l'attestation de sécurité, les modalités de leur renouvellement, de leur suspension, de leur retrait ou de leur restriction, et les modalités d'information de l'Agence ferroviaire européenne et, le cas échéant, de l'Etat qui a délivré la partie A du certificat.