Homologation obligatoire : les textes, l'autorité, la durée

Le guide de l'ANSSI et de la DINUM dresse la liste des textes qui, en France, rendent l'homologation obligatoire avant toute mise en exploitation. Ils visent des systèmes différents et se cumulent parfois sur un même système :

• les systèmes des autorités administratives qui échangent des informations avec les usagers ou entre elles, soumis au référentiel général de sécurité (RGS), ainsi que ceux qui appliquent la politique de sécurité des systèmes d'information de l'État (PSSIE) ;
• les infrastructures et services du système d'information de l'État et de ses établissements publics, visés par le décret n° 2022-513 du 8 avril 2022 ;
• les systèmes qui traitent des informations sensibles de niveau Diffusion Restreinte, publiques ou privées, et relèvent de l'instruction interministérielle 901 (II 901) ;
• les systèmes qui traitent des informations classifiées et relèvent de l'instruction générale interministérielle 1300 (IGI 1300) sur la protection du secret de la défense nationale ;
• les systèmes d'information d'importance vitale (SIIV) des opérateurs d'importance vitale, en application de la loi de programmation militaire (LPM) ;
• les systèmes qui traitent des informations classifiées de l'Union européenne (IGI 2102) ou de l'OTAN (II 2100).

Le guide précise que la liste n'est pas fermée : d'autres réglementations, notamment sectorielles, peuvent imposer une homologation. Il recommande de suivre les publications des sites gouvernementaux spécialisés, car ces textes évoluent.

Les textes ne fixent pas tous les mêmes règles sur trois points : l'identité de l'autorité d'homologation, la durée maximale de la décision et les audits à réaliser. Le guide les récapitule ainsi :

Deux règles d'arbitrage complètent ce tableau. Si une politique de sécurité interne contredit un texte, c'est le texte qui s'applique. Si deux textes imposent des mesures voisines, on retient la plus restrictive. Enfin, le guide rappelle que tout manquement peut engager la responsabilité de l'autorité de l'organisation.

L'ordonnance n° 2005-1516 sur les échanges électroniques avec l'administration définit largement les autorités administratives : administrations de l'État, collectivités territoriales, établissements publics administratifs, organismes de sécurité sociale et autres organismes chargés d'un service public administratif. Son article 9 prévoit un référentiel général de sécurité et demande à chaque autorité de déterminer les fonctions de sécurité nécessaires pour protéger ses systèmes.

Le décret n° 2010-112 décrit la démarche. Son article 3 demande d'identifier les risques qui pèsent sur le système, d'en déduire des objectifs de sécurité proportionnés (disponibilité, intégrité, confidentialité, identification des utilisateurs), puis les fonctions de sécurité à mettre en place, et de réexaminer régulièrement le tout. Son article 5 impose à l'autorité d'attester formellement auprès des utilisateurs que le système est protégé conformément à ces objectifs ; pour un téléservice, cette attestation doit être rendue accessible aux usagers. C'est cette attestation que l'on appelle homologation.

Notre article sur le RGS détaille le référentiel, ses versions et les produits qualifiés.

Le décret n° 2022-513 du 8 avril 2022 a généralisé l'homologation à tout le système d'information et de communication de l'État. Depuis son entrée en vigueur, le 1er octobre 2022, chaque infrastructure et chaque service logiciel de l'État et de ses établissements publics doit être homologué avant sa mise en œuvre ; ceux qui existaient déjà disposaient de deux ans pour l'être. Le décret s'ajoute aux homologations prévues par les autres textes (RGS, systèmes classifiés, systèmes d'importance vitale) sans les remplacer.

Le décret organise aussi les responsabilités. Chaque ministre désigne une ou plusieurs autorités qualifiées en sécurité des systèmes d'information (AQSSI), responsables de la sécurité des systèmes qui relèvent d'elles ; l'AQSSI contrôle l'application de la politique de sécurité notamment par l'homologation, et peut déléguer cette fonction à des autorités d'homologation. L'instruction générale interministérielle n° 1337, approuvée par arrêté du 26 octobre 2022, précise que l'AQSSI est par défaut l'autorité d'homologation et qu'il ne doit exister qu'une seule autorité d'homologation par système.

Une entreprise est concernée par une obligation d'homologation dans trois cas principaux : quand elle exploite un système d'importance vitale en tant qu'opérateur d'importance vitale, quand elle traite des informations classifiées (industriels de défense, par exemple), ou quand elle traite des informations de niveau Diffusion Restreinte, que le guide rattache à l'II 901 qu'elles soient publiques ou privées. Un prestataire qui développe ou héberge le téléservice d'une administration participe aussi, sans en être l'autorité, à l'homologation de son client.

En dehors de ces cas, la démarche n'est pas obligatoire, mais l'ANSSI la recommande fortement pour tout système critique pour l'organisation. La directive NIS 2 ne figure pas dans la liste des textes dressée par le guide ; ses exigences de gestion des risques se prêtent pourtant bien à une démarche d'homologation, comme le montre notre guide NIS 2. Dans le privé, la fiche méthode sur l'autorité indique que l'autorité d'homologation est généralement un membre de la direction générale.

Le portail traite aussi des données personnelles, dont celles d'enfants : le RGPD s'applique en parallèle, avec sa propre logique (registre, analyse d'impact). Notre guide RGPD et notre article sur l'AIPD y reviennent ; les deux démarches gagnent à partager la même analyse de risques.