Homologation de sécurité des SI

L'homologation de sécurité est la prise en compte et l'acceptation formelle des risques numériques d'un système d'information par une autorité responsable. Elle constitue un préalable à toute mise en service et doit être renouvelée périodiquement, tous les trois ans au maximum.

Elle est rendue obligatoire par de nombreux textes selon la nature des informations traitées — Référentiel Général de Sécurité (RGS), décret n°2022-513 relatif à la sécurité numérique de l'État, Instructions Générales Interministérielles (IGI 1300, IGI 2102, II 2100, II 901), Loi de Programmation Militaire pour les Systèmes d'Information d'Importance Vitale (SIIV) — et fortement recommandée par l'ANSSI pour tout système jugé critique, même hors obligation réglementaire.

Elle concerne aussi bien les administrations et opérateurs publics que les entreprises privées engagées auprès de donneurs d'ordre exigeants. C'est notamment le cas des titulaires de marchés de la Direction générale de l'armement (DGA), pour lesquels le Ministère des Armées impose une homologation adaptée au juste besoin du système d'information, selon une démarche élémentaire, adaptée ou standard fixée par leur autorité d'homologation.

Cette page synthétise la méthodologie du Guide de l'homologation de sécurité des systèmes d'information, publié par l'ANSSI en partenariat avec la DINUM (avril 2025), dont le détail et les fiches méthodes associées sont référencés en fin de page.

Avant de lancer la démarche

Les prérequis

Ces éléments doivent être réunis avant de constituer le dossier d'homologation.

Gouvernance de sécurité

Une politique de sécurité des systèmes d'information (PSSI), un modèle de gouvernance en trois lignes de maîtrise (opérationnel, RSSI, contrôle) et des équipes de direction engagées et budgétées.

Périmètre et écosystème définis

Une cartographie précise du système d'information à homologuer et des briques externes — interconnexions, hébergeurs, prestataires — dont il dépend sans en faire partie.

Réglementations identifiées

Les textes applicables au système (RGS, IGI 1300, IGI 2102, II 2100, II 901, LPM/SIIV…) qui déterminent l'autorité d'homologation compétente, la durée maximale et les audits spécifiques exigés.

Mesures de sécurité appliquées

Les bonnes pratiques d'hygiène numérique et les exigences des référentiels et politiques de sécurité en vigueur, suivies et justifiées mesure par mesure.

Analyse de risques menée

L'identification et le traitement des risques liés à l'emploi du système, selon une méthode reconnue — la méthode EBIOS Risk Manager de l'ANSSI est recommandée.

Plans et audits réalisés

Plan de maintien en condition opérationnelle (MCO), plan de maintien en condition de sécurité (MCS), plan de résilience et audits de sécurité couvrant le périmètre retenu.

Méthodologie ANSSI / DINUM

Homologuer en quatre étapes

Une démarche cyclique, à adapter à la criticité et à l'exposition du système.

1

Constituer le comité d'homologation

Présidé par le RSSI ou le conseiller à la sécurité numérique (CSN), le comité réunit les responsables métier, l'équipe de conception (maîtrise d'ouvrage et d'œuvre), les équipes d'exploitation, les auditeurs et tout expert nécessaire. Il doit être formé avant la mise en service du système et avant chaque ré-homologation.

2

Identifier le niveau de la démarche et constituer le dossier

Le niveau — simplifié, intermédiaire ou renforcé — est déterminé par la criticité du système et son exposition aux sources de risque numérique. Il fixe la liste des pièces à réunir : document d'accompagnement, dossier d'architecture, matrice de conformité, analyse de risques, procédures d'exploitation, plans MCO/MCS/résilience et audits.

3

Évaluer le dossier et émettre un avis d'homologation

Le comité analyse les pièces du dossier, échange avec leurs auteurs et rend un avis argumenté à l'autorité d'homologation : favorable, favorable sous réserve — avec un plan de levée des réserves sous 12 mois maximum —, ou défavorable si le système ne peut pas encore être mis en service.

4

Organiser la commission d'homologation

Réunion de présentation à l'autorité d'homologation, obligatoire pour toute démarche de niveau renforcé. Elle se prononce sur la mise ou le maintien en service du système et fixe la durée de l'homologation — trois ans maximum, quelle que soit la réglementation applicable.

Une fois obtenue, l'homologation ne dispense pas d'un suivi dans la durée : revue annuelle de la sécurité du système, mise à jour du plan d'action et renouvellement de la démarche avant l'échéance sont nécessaires pour la maintenir.

Fiches méthodes de l'ANSSI

L'ANSSI met à disposition un guide complet et des fiches méthodes complémentaires, adaptées à différentes typologies de systèmes d'information et de contextes.

Sources

Une démarche d'homologation à mener sereinement

Dipole Security accompagne vos équipes dans l'analyse de risques, l'audit qualifié PASSI LPM et la constitution du dossier d'homologation.

Nous contacter