1. Le titulaire d'une convention d'exploitation prévue à l'article 4.1 du cahier des charges de la SNCF ne peut exercer les missions qui lui sont confiées par cette convention sans avoir obtenu une attestation de sécurité délivrée par l'EPSF pour une durée maximale de cinq ans. Il peut toutefois, sans cette attestation, réaliser les missions relatives à la conception, à la réalisation ou à la modification de systèmes ou sous-systèmes dont l'intégration au réseau ferré national est prévue par cette convention, pour lesquelles il a obtenu l'autorisation de mise en exploitation commerciale prévue au titre V du présent décret. L'obligation d'obtenir cette autorisation est rappelée dans la convention.
2. L'attestation de sécurité certifie l'aptitude du bénéficiaire à satisfaire aux exigences réglementaires de sécurité et à maîtriser les risques liés à l'exercice des missions qui lui sont confiées, notamment ses activités relatives à la maintenance de l'infrastructure et des matériels et à l'exploitation de services de transport sur le réseau ferré national.
3. La délivrance de l'attestation de sécurité vaut approbation, d'une part, du système de gestion de la sécurité du titulaire et, d'autre part, des dispositions prises par celui-ci en vue du respect des exigences réglementaires de sécurité.
4. Lorsque la convention contient des dispositions relatives à la fois à la gestion de l'infrastructure et à l'exploitation de services de transport, le système de gestion de la sécurité traite de ces deux missions en deux parties distinctes.
5. Lorsque la convention contient des dispositions relatives à l'infrastructure, la partie du système de gestion de la sécurité du titulaire qui traite de l'infrastructure est transmise à l'EPSF qui, après avoir recueilli l'avis de RFF et de la SNCF, s'assure de sa compatibilité avec les autres systèmes de gestion de la sécurité en vigueur sur le réseau.