Homologation de sécurité : le guide

Tout système d'information fait courir des risques à l'organisation qui l'utilise : panne, fuite de données, rançongiciel, fraude. L'homologation de sécurité est le moment où un responsable suffisamment haut placé, appelé autorité d'homologation, examine ces risques, vérifie ce qui a été fait pour les réduire, et décide par écrit que le système peut être mis ou maintenu en service. Sans cette décision, le système ne devrait pas être utilisé.

Le décret n° 2022-513, qui l'impose aux systèmes de l'État, en donne une définition simple : la décision atteste que les risques ont été identifiés, que les mesures pour les maîtriser sont en place, et que les risques résiduels ont été acceptés par l'autorité. Le guide de l'ANSSI insiste sur le dernier point : homologuer ne signifie pas que tout risque a disparu. On peut homologuer un système qui garde des risques non traités, à condition que l'autorité les juge acceptables et qu'un plan d'action soit suivi.

L'homologation n'est pas un audit ni une certification. Un audit constate un état technique à un instant donné ; une certification est délivrée par un organisme extérieur sur un référentiel. L'homologation, elle, est un acte de responsabilité interne : elle s'appuie sur des analyses et des audits, mais la décision revient à l'organisation, qui engage sa propre autorité. Dans d'autres pays, on parle d'accréditation ou d'autorisation.

Le guide de l'ANSSI et de la DINUM résume l'intérêt de la démarche en quatre effets. Homologuer un système permet de :

• vérifier que les risques liés à son usage ont été repérés et que les mesures pour les traiter sont prises ou programmées ;
• vérifier que les réglementations qui s'y appliquent sont respectées ;
• faire valider un plan d'action de renforcement de la sécurité ;
• engager l'autorité qui accepte son emploi et toutes les parties prenantes.

La fiche destinée aux décideurs ajoute un argument de gouvernance : l'homologation montre au dirigeant le niveau réel de sécurité des systèmes dont dépend son activité, et ce qu'une attaque réussie lui coûterait. Elle l'aide à arbitrer les investissements de cybersécurité en fonction des enjeux de chaque système, plutôt qu'au fil des urgences.

L'ANSSI publiait depuis 2014 un guide d'homologation en neuf étapes. En avril 2025, elle l'a remplacé par un nouveau guide écrit avec la Direction interministérielle du numérique (DINUM), accompagné de fiches méthodes. La directrice de la DINUM y reconnaît que la démarche était devenue lourde, voire contre-productive. Les principaux changements :

Le guide affiche aussi une ambition : étendre l'homologation à l'ensemble des services numériques d'une organisation, ce qui n'est possible que si la démarche coûte peu pour les systèmes à faibles enjeux.

Le guide de 2025 sépare deux choses que l'on confond souvent : sécuriser le système, travail continu des équipes qui commence dès la conception, et homologuer, c'est-à-dire évaluer ce travail et faire décider l'autorité. L'homologation proprement dite tient en quatre étapes, puis la sécurité est suivie jusqu'à la prochaine décision.

1. Chapitre 1 Textes et obligations RGS, décret de 2022, II 901, IGI 1300, LPM : qui doit homologuer, qui décide, pour combien de temps.
2. Chapitre 2 Sécuriser le système Gouvernance, périmètre, mesures, cartographie, MCO et MCS, analyse de risques, audits, plan d'action.
3. Chapitre 3 Niveau de démarche Évaluer criticité et exposition, puis choisir entre simplifié, intermédiaire et renforcé.
4. Chapitre 4 Dossier d'homologation Les pièces à réunir selon le niveau, et le document d'accompagnement de deux pages.
5. Chapitre 5 Comité, commission et décision Qui instruit, qui décide, comment se tient la commission et ce que contient la décision.
6. Chapitre 6 Suivi et renouvellement Revue annuelle, levée des réserves, renouvellement, systèmes répliqués et arrêt du système.

Une collectivité territoriale est une autorité administrative au sens de l'ordonnance de 2005 sur les échanges électroniques : son téléservice relève donc du RGS et doit être homologué avant son ouverture. Nous verrons quels textes s'appliquent, comment l'équipe sécurise le portail, quel niveau de démarche il appelle, ce que contient son dossier, comment se déroule la commission et ce qui se passe les années suivantes. Le scénario de rançongiciel étudié dans notre guide EBIOS RM y servira d'analyse de risques.

Les deux démarches visent l'amélioration continue et demandent une revue régulière, ce qui pousse souvent à les confondre. Une fiche méthode de l'ANSSI les compare point par point ; en voici l'essentiel :

Les deux se nourrissent : une déclaration d'applicabilité bien tenue ressemble beaucoup à la matrice de conformité d'un dossier d'homologation, et la revue de direction d'un SMSI peut accueillir la revue annuelle des systèmes homologués. Voir notre guide ISO 27001.

Pour les petites structures et les services en ligne simples, l'ANSSI propose un service gratuit, MonServiceSécurisé, qui guide une équipe du recensement de ses services jusqu'à la signature de la décision d'homologation. Les organisations qui gèrent des dizaines de systèmes, à des niveaux de démarche différents, ont surtout besoin de savoir à tout moment quels systèmes sont homologués, sous quelles réserves et jusqu'à quand.