Comité, commission et décision d'homologation

Le comité d'homologation éclaire la décision. Il est présidé et animé par un responsable, en général le RSSI, ou le conseiller à la sécurité numérique dans les entités publiques de l'État. Il doit exister avant la mise en service et avant chaque nouvelle homologation. Autour de son responsable, le guide de l'ANSSI et de la DINUM y voit :

• les responsables métier, qui connaissent les enjeux du système ;
• l'équipe de conception, côté maîtrise d'ouvrage et maîtrise d'œuvre ;
• l'équipe support (DSI) qui exploite le système ;
• les auditeurs, qui mesurent les écarts aux objectifs de sécurité ;
• des experts qui guident la démarche ou animent des ateliers ;
• le gestionnaire des risques (risk manager) ou le responsable de la conformité ;
• toute autre personne utile à l'avis.

Le responsable s'assure que ces personnes sont identifiées, disponibles et engagées, sensibilisées, et habilitées au bon niveau pour un système classifié. Le guide insiste sur l'impartialité : chacun doit juger la sécurité du système quels que soient les intérêts à le mettre en service.

Une fois le niveau choisi et le dossier réuni, le comité vérifie que les procédures de sécurité existent, qu'elles répondent aux enjeux et qu'elles sont appliquées. Le guide conseille d'organiser des séances de questions avec les auteurs des documents, pour aller au-delà de l'écrit. Le comité propose ensuite à l'autorité un avis justifié, qui peut prendre trois formes :

Pour accélérer les homologations sans renoncer au contrôle, le guide de 2025 fait davantage confiance aux équipes aux niveaux simplifié et intermédiaire, et contrôle après coup :

• Simplifié : l'équipe opérationnelle déclare que toutes les mesures nécessaires sont appliquées ; le RSSI peut alors rendre un avis favorable, que l'autorité valide, une validation électronique suffisant. La décision est enregistrée. L'ANSSI recommande ensuite de vérifier les déclarations, au besoin par échantillonnage : on tire au hasard quelques systèmes, on contrôle leurs mesures et on extrapole.
• Intermédiaire : l'équipe déclare que les mesures sont appliquées et que toutes les pièces du niveau ont été fournies ; cela suffit pour un avis favorable et pour la décision. Le comité analyse ensuite les pièces en détail pendant la période d'homologation. Si elles sont conformes, l'homologation est maintenue ; sinon, les écarts sont présentés au plus vite à l'autorité, qui peut suspendre l'homologation après une commission tenue rapidement.
• Renforcé : le comité n'émet son avis qu'après avoir évalué toutes les pièces, et la décision est prise en commission.

L'autorité d'homologation est une personne dont le niveau hiérarchique permet d'assumer les risques et des choix stratégiques et financiers. La fiche méthode de l'ANSSI dédiée à cette question distingue :

• dans le secteur public, l'autorité qualifiée en sécurité des systèmes d'information (AQSSI), juridiquement responsable de la sécurité des systèmes de son organisation ; pour l'État, le décret n° 2022-513 la fait désigner par chaque ministre ;
• dans le secteur privé, en général un membre de la direction générale, parfois aussi appelé AQSSI ;
• dans les deux cas, une personne à qui l'AQSSI ou le dirigeant a délégué ce pouvoir, par exemple le directeur des risques ou l'autorité d'emploi du système. L'autorité première reste juridiquement responsable, notamment en cas d'incident.

Le guide veut une autorité proche du métier du système, pour qu'elle comprenne vraiment ce qu'elle accepte. Dans les organisations matricielles où elle est difficile à trouver, la fiche propose quatre questions : quelle direction métier utilise le système, qui le finance, qui dispose des leviers de décision, et quelle personne est juridiquement responsable au nom de l'organisation ? Elle déconseille de désigner plusieurs autorités pour un même système, ce qui dilue les responsabilités ; l'IGI 1337 pose la même règle pour l'État.

La commission d'homologation est la réunion où le système est présenté à l'autorité, qui se prononce sur sa mise ou son maintien en service. Elle est nécessaire au niveau renforcé. Le guide donne des conseils très concrets :

• la planifier tôt et s'assurer que l'autorité est disponible ;
• tenir une pré-commission sans l'autorité, pour préparer les réponses aux questions probables, régler les derniers désaccords et caler la présentation ;
• n'inviter que les membres clés du comité (DSI, RSSI, responsable métier, par exemple) ;
• préférer une réunion en présentiel ; à distance, tester le matériel avant et utiliser des moyens de visioconférence au niveau d'habilitation requis ;
• tenir en une heure au plus, questions comprises, avec un gardien du temps, et des supports synthétiques centrés sur la décision ;
• exposer les risques ouvertement et clairement, sans les minimiser ni les cacher.

La fiche destinée aux décideurs résume ce que l'autorité doit avoir compris en sortant : le contexte et les enjeux du système, son taux de conformité aux textes, les actions menées et prévues contre les risques, et les risques résiduels qui subsistent. Le comité lui présente une proposition d'avis et de durée, qu'elle peut suivre ou discuter.

La décision est formalisée par écrit, sur les supports officiels de l'organisation, et communiquée aux personnes concernées. Le guide en précise plusieurs règles :

• durée : elle dépend de la maturité de la sécurité, des évolutions prévues et de l'exposition ; l'ANSSI déconseille de dépasser trois ans, et un système au plan d'action chargé ne peut pas être homologué longtemps. Réduire la durée revient à renforcer la surveillance ;
• pas de renouvellement automatique : à l'échéance, une nouvelle démarche doit être menée ;
• stabilité : une décision sans réserve n'est normalement pas remise en cause avant son terme, sauf changement notable du système ou de son contexte ;
• champ : seule l'utilisation en production, ou la connexion à un système en production, demande une homologation. Un système de test, sans données réelles et déconnecté de la production, n'en a pas besoin jusqu'à son passage en conditions réelles ;
• information des utilisateurs : le guide recommande de leur faire savoir que le système est homologué, par un message au démarrage ou une communication interne. Pour un téléservice soumis au RGS, l'attestation doit être accessible aux usagers.