RMC DGA Niveau Fondamental : Référentiel de Maturité Cyber pour Fournisseurs Défense

En octobre 2024, la DGA a signifié à plusieurs PME sous-traitantes de la défense française qu'elles ne pourraient pas renouveler leurs contrats à compter de 2025 si elles ne justifiaient pas d'un niveau Fondamental RMC. Pour certaines de ces entreprises, présentes dans la supply chain défense depuis 20 ans, c'était la première fois qu'un critère cybersécurité devenait une condition d'accès au marché — et non plus un simple critère de préférence. La BITD (Base Industrielle et Technologique de Défense) française représente 200 000 emplois et 25 milliards d'euros de commandes annuelles. Elle est la cible prioritaire des services de renseignement étrangers — 80 % des attaques cyber ciblant l'industrie française ont des liens avec l'espionnage industriel ou étatique selon les rapports ANSSI 2023-2024. Le RMC est la réponse structurante de la DGA à cette menace. Ce guide s'adresse aux PME et ETI de la BITD qui doivent atteindre le niveau Fondamental avant fin 2025 — avec un plan d'action concret, les 32 mesures détaillées, et un comparatif avec les référentiels équivalents à l'international.

Contexte : pourquoi la DGA a créé le RMC pour sécuriser la BITD ?

La DGA — Direction Générale de l'Armement, autorité technique du Ministère des Armées — pilote les programmes d'armement français et gère les relations avec 4 000 entreprises de la BITD. Depuis les révélations Snowden de 2013 et surtout depuis le choc de l'invasion de l'Ukraine en 2022, la DGA a considérablement renforcé ses exigences de cybersécurité pour les fournisseurs. Le point de bascule a été la publication du rapport SGDSN 2023 sur les vulnérabilités cyber de la BITD française, qui pointait trois problèmes majeurs : l'hétérogénéité des niveaux de sécurité entre grands maîtres d'œuvre (Thales, Safran, MBDA, Naval Group) et PME sous-traitantes, l'absence de critères de qualification cyber dans les appels d'offres, et le manque de visibilité de la DGA sur le niveau réel de sécurité de la supply chain.

Le RMC a été développé en 2023-2024 en s'inspirant du modèle américain CMMC (Cybersecurity Maturity Model Certification) et du modèle britannique Cyber Essentials, mais adapté aux spécificités françaises : la nature des informations manipulées par la BITD (données techniques de défense, informations classifiées selon le code de la défense), le tissu industriel majoritairement constitué de PME et ETI, et le cadre réglementaire national (IGI 1300 pour les informations classifiées, ANSSI pour la cybersécurité). La première version du RMC a été publiée début 2024 ; la version opérationnelle avec le niveau Fondamental pleinement déployé est entrée en vigueur au 1er janvier 2025.

Structure du RMC : 5 niveaux de maturité et logique de progression

Le RMC est structuré en 5 niveaux de maturité, chacun incluant les exigences des niveaux précédents et ajoutant des exigences supplémentaires :

• Niveau 1 — Fondamental : 32 mesures — les bases absolues de la cybersécurité. Obligatoire pour tous les fournisseurs DGA détenant des données de défense.
• Niveau 2 — Essentiel : 32 + 47 = 79 mesures — la maturité opérationnelle. Requis pour les contrats IGC et les systèmes avec accès aux réseaux internes DGA.
• Niveau 3 — Important : 79 + 58 = 137 mesures — couverture étendue incluant la sécurité OT et la gestion avancée des menaces. Requis pour les programmes sensibles (Secret Défense partiel).
• Niveau 4 — Avancé : 137 + 73 = 210 mesures — niveau industrie de défense mature, incluant threat hunting, red team, et sécurité des systèmes embarqués. Requis pour les programmes Secret Défense.
• Niveau 5 — Exemplaire : 210 + 45 = 255 mesures — excellence cyber, réservé aux maîtres d'œuvre principaux des systèmes d'armes les plus sensibles.

La DGA a défini une période de montée en charge : les fournisseurs de rang 1 des programmes majeurs (Rafale, SNLE 3G, SCORPION, SCCOA) doivent atteindre le niveau Important avant fin 2026. Les autres fournisseurs de rang 1 ont jusqu'à fin 2025 pour le niveau Fondamental.

Périmètre d'application du niveau Fondamental : qui est concerné ?

Le niveau Fondamental s'applique à tout fournisseur ou sous-traitant de la DGA qui :

• Accède, stocke ou traite des données techniques de défense (plans, spécifications, codes source de systèmes de défense)
• Utilise des systèmes d'information connectés aux réseaux DGA ou des systèmes fournisseurs de type EDI (échange de données informatisées)
• Produit des équipements militaires ou à double usage soumis au contrôle des exportations (SBDU)
• A accès à des informations non classifiées mais sensibles au sens de l'IGI 1300 (informations à diffusion restreinte)

En pratique, la quasi-totalité des entreprises titulaires d'un marché DGA sont concernées. La DGA estime à environ 2 800 le nombre de PME et ETI directement visées par l'obligation de niveau Fondamental, parmi les 4 000 fournisseurs actifs de la défense française.

Les 3 piliers du niveau Fondamental : gouvernance, hygiène, continuité

Le niveau Fondamental repose sur 3 piliers, chacun regroupant un sous-ensemble des 32 mesures :

Pilier 1 — Gouvernance basique (8 mesures) : responsabilité cyber identifiée, politique de sécurité documentée, gestion des accès formalisée, contrats fournisseurs avec clauses cyber, déclaration d'incidents à la DGA, sensibilisation des collaborateurs, registre des actifs SI critiques, procédure de vérification des habilitations.

Pilier 2 — Hygiène numérique (18 mesures) : c'est le cœur technique du niveau Fondamental, largement inspiré du Guide d'Hygiène Informatique de l'ANSSI. Ces mesures couvrent la configuration sécurisée des postes et serveurs, la gestion des mises à jour, le contrôle des accès distants, la protection contre les malwares, la surveillance des journaux d'accès, et la sécurisation des connexions Internet.

Pilier 3 — Continuité d'activité (6 mesures) : sauvegarde des données critiques, test de restauration, plan de réponse aux incidents simplifié, procédure de notification DGA, identification des systèmes critiques pour la production défense, délai de rétablissement documenté.

Tableau des 32 mesures Fondamentales RMC DGA

Processus d'évaluation RMC Fondamental : auto-évaluation et attestation

Le niveau Fondamental du RMC est délibérément construit pour être accessible aux PME sans expertises juridiques ou certifications externes coûteuses. Le processus se déroule en 3 étapes :

Étape 1 — Auto-évaluation : l'entreprise remplit le questionnaire RMC Fondamental mis à disposition par la DGA (format Excel et en ligne sur le portail fournisseurs DGA). Pour chacune des 32 mesures, elle indique son statut (Conforme / Partiel / Non conforme) et la preuve documentaire disponible. Cette auto-évaluation génère un score de maturité par pilier et global.

Étape 2 — Plan correctif : pour chaque mesure en statut Partiel ou Non conforme, l'entreprise formalise un plan correctif avec une échéance. La DGA n'exige pas que 100 % des mesures soient conformes pour valider le niveau Fondamental — elle évalue la dynamique de mise en conformité et l'absence de gaps critiques (notamment F-04, F-05, F-07, F-08, F-10, F-11 qui sont non négociables).

Étape 3 — Attestation sur l'honneur : le dirigeant de l'entreprise signe une attestation sur l'honneur déclarant que l'entreprise a réalisé l'auto-évaluation, que les résultats sont fidèles à la réalité, et qu'un plan correctif est en place pour les mesures non conformes. Cette attestation est transmise à la DGA et versée au dossier de qualification fournisseur.

L'audit tiers est optionnel au niveau Fondamental mais peut être demandé par la DGA en cas de doute sur la sincérité de l'attestation, notamment pour les fournisseurs ayant subi un incident cyber dans les 24 derniers mois.

Comparaison RMC Fondamental vs CMMC Level 1 vs Cyber Essentials vs NIS2

Les fournisseurs dual-use (travaillant simultanément pour la défense française, américaine ou britannique) peuvent tirer parti des recoupements entre les différents référentiels :

CMMC Level 1 (USA) : 17 pratiques issues de NIST SP 800-171 basique. Recoupe 14 des 32 mesures RMC Fondamental, principalement sur la protection des accès et l'hygiène numérique. Les gaps principaux : RMC exige des mesures spécifiques aux données classifiées françaises que CMMC ne couvre pas, et CMMC a des exigences plus précises sur la protection des CUI (Controlled Unclassified Information) que le RMC à ce stade.

Cyber Essentials (UK) : 5 contrôles techniques (pare-feu, configurations sécurisées, contrôle d'accès, protection malwares, mises à jour). Recoupe environ 10 mesures RMC Fondamental. Cyber Essentials est plus restreint — le RMC Fondamental est significativement plus exigeant.

NIS2 exigences minimales : les 10 mesures minimales NIS2 (article 21 de la directive) recoupent largement les piliers Gouvernance et Continuité du RMC Fondamental. Pour un fournisseur de la BITD qui est aussi une entité NIS2, les deux référentiels sont complémentaires et mutualisables à environ 60 %.

Pour les fournisseurs aéronautiques et de défense, le niveau Fondamental RMC correspond grosso modo au niveau Starter d'AERO EXCELLENCE™ V2 côté cybersécurité — les deux référentiels convergent vers les mêmes fondamentaux inspirés du Guide d'Hygiène Informatique ANSSI.

Impact contractuel : comment la DGA intègre le RMC dans les marchés ?

La DGA a intégré le RMC dans les marchés publics de défense via plusieurs mécanismes contractuels distincts :

La clause DR-SEC-01 (Sécurité du système d'information) : clause standard insérée dans tous les nouveaux marchés DGA depuis mi-2024. Elle oblige le titulaire à être en conformité avec le niveau RMC correspondant à la sensibilité du marché, à maintenir cette conformité pendant toute la durée du marché, et à notifier la DGA de tout incident cyber significatif dans les 72 heures.

Les critères de qualification fournisseurs : la DGA a mis à jour son référentiel de qualification fournisseurs (le Q-DSP) pour intégrer le niveau RMC comme critère obligatoire. Un fournisseur qui ne peut pas justifier d'un niveau Fondamental ne peut pas être qualifié pour les marchés visés — et la qualification est un prérequis aux appels d'offres DGA dans la plupart des segments.

Les audits DGA-SCA : le Service de Certification et d'Accréditation (SCA) de la DGA dispose d'une équipe d'auditeurs cybersécurité qui peut réaliser des audits inopinés chez les fournisseurs titulaires de marchés sensibles. Ces audits vérifient la conformité réelle aux mesures RMC déclarées dans l'attestation.

Chemin vers le niveau Essentiel : les 47 mesures supplémentaires

Le niveau Essentiel (79 mesures au total) est exigé pour les contrats impliquant des Informations Générales Confidentielles (IGC) ou un accès aux systèmes internes DGA. Les 47 mesures supplémentaires se concentrent sur 4 domaines :

• Détection et surveillance (12 mesures) : déploiement d'un SIEM ou d'un SOC externalisé, alertes en temps réel, revue quotidienne des logs, corrélation d'événements
• Gestion avancée des vulnérabilités (10 mesures) : scan de vulnérabilités mensuel, procédure de patch management différencié, veille CVE adaptée aux technologies utilisées
• Sécurité des développements (8 mesures) : secure coding guidelines, revue de code sécurisée, tests de sécurité (SAST/DAST) dans le cycle de développement
• Supply chain et tiers (17 mesures) : qualification cybersécurité des sous-traitants de rang 2, audits fournisseurs critiques, gestion du cycle de vie des composants (SBOM basique)

Pour les PME qui visent directement le niveau Essentiel, la durée de mise en conformité est typiquement de 18 à 24 mois, avec un budget moyen de 60 000 à 150 000 euros selon la taille et la maturité de départ. L'accompagnement par un RSSI externalisé spécialisé défense est vivement recommandé pour piloter ce type de démarche.

Guide de mise en œuvre pour les PME et ETI de la BITD en 6 mois

Voici un plan de mise en conformité RMC Fondamental sur 6 mois pour une PME de 30 à 100 salariés sans RSSI dédié :

Mois 1 — Diagnostic : réaliser l'auto-évaluation RMC Fondamental (2-3 jours), identifier les gaps, prioriser les mesures non négociables (F-04, F-05, F-07, F-08, F-10, F-11). Désigner le référent cybersécurité interne (ou mandater un prestataire). Budget : 2 000 à 5 000 euros si accompagnement externe.

Mois 2 — Mesures techniques prioritaires : déploiement MFA sur accès distants et comptes admin (1 semaine), vérification de la couverture EDR (1 semaine), activation du chiffrement sur les postes et supports amovibles (1 semaine), revue et mise à jour de la politique de mots de passe (quelques heures). Ces 4 mesures couvrent les items non négociables les plus fréquemment manquants.

Mois 3 — Documentation et gouvernance : rédaction ou mise à jour de la politique de sécurité SI (2-3 jours), formalisation de la procédure de gestion des accès, inventaire des actifs critiques, insertion des clauses cyber dans les 5-10 contrats fournisseurs les plus critiques. Ce mois est souvent le plus chronophage — prévoir du temps de réunion avec la DG et les équipes.

Mois 4 — Continuité et sauvegardes : vérification du dispositif de sauvegarde et test de restauration documenté, identification des systèmes critiques pour la production défense, rédaction de la fiche réflexe incident cyber (1 page, diffusée à tous les collaborateurs). Si les sauvegardes ne sont pas encore hors ligne : planifier l'investissement (solution NAS + stockage cloud isolé).

Mois 5 — Sensibilisation et formation : organisation d'une session de sensibilisation cybersécurité pour tous les collaborateurs (2-3 heures, avec focus sur les spécificités défense : espionnage industriel, ingénierie sociale, gestion des données sensibles). Production des attestations de participation.

Mois 6 — Consolidation et attestation : revue finale de l'auto-évaluation, constitution du dossier de preuves documentaires, signature de l'attestation sur l'honneur par le dirigeant, transmission à la DGA. Organisation d'un exercice de crise cyber tabletop (4 heures, équipe direction + IT + référent cyber) — cette mesure (F-32) est souvent reportée en fin de démarche car elle nécessite d'impliquer la direction générale.

Questions fréquentes sur le RMC DGA Fondamental

Mon entreprise n'a pas de données classifiées Défense — le RMC me concerne-t-il quand même ?

Oui, dès lors que vous manipulez des données techniques de défense (plans, spécifications) ou des informations à diffusion restreinte au sens de l'IGI 1300, même non classifiées. La plupart des fournisseurs DGA de rang 1 et 2 entrent dans ce périmètre. En cas de doute sur votre situation, la cellule sécurité économique de votre préfecture de région (SISSE) ou votre directeur de programme DGA peut vous conseiller.

Puis-je sous-traiter la mise en conformité RMC Fondamental à un prestataire externe ?

Oui, et c'est même recommandé pour les PME sans RSSI dédié. Plusieurs prestataires PRIS (Prestataires de Réponse aux Incidents de Sécurité) qualifiés ANSSI proposent des accompagnements RMC clés en main. Attention : l'attestation sur l'honneur doit être signée par le dirigeant de l'entreprise — un prestataire peut vous aider à vous conformer mais ne peut pas attester à votre place.

Que se passe-t-il si la DGA découvre que mon attestation RMC était inexacte ?

Une fausse déclaration sur attestation dans le cadre d'un marché public de défense est une faute grave. Elle peut entraîner la résiliation du marché pour faute, le déclassement de la qualification fournisseur DGA, et dans les cas graves une procédure pénale pour faux en écriture et manquement aux obligations de sécurité défense. La DGA n'a pas encore activé de procédure de ce type en 2024-2025, mais les premières sanctions administratives ont été annoncées pour 2026.

Le RMC DGA est-il compatible avec la certification ISO 27001 ?

Oui, avec un recouvrement d'environ 65 %. Une entreprise certifiée ISO 27001 couvre la grande majorité des mesures de gouvernance et d'hygiène du niveau Fondamental. Les gaps principaux sont sur les mesures spécifiques défense (F-22 clauses sous-traitants, F-23 habilitations, F-24/F-25 notifications DGA/ANSSI) et sur la continuité d'activité adaptée aux contraintes contractuelles DGA. Un gap analysis ISO 27001 ↔ RMC prend généralement 2 à 3 jours de travail.

Le niveau Fondamental RMC sera-t-il étendu aux sous-traitants de rang 2 et 3 ?

La DGA l'a clairement annoncé : à partir de 2027, l'obligation se propage aux sous-traitants de rang 2 via les clauses contractuelles imposées aux titulaires de rang 1. Les sous-traitants de rang 3 seront couverts par des exigences d'auto-évaluation à partir de 2028. La montée en charge est progressive pour éviter de déstabiliser la BITD, mais la direction est claire : d'ici 2030, l'ensemble de la supply chain défense française devra disposer d'un niveau RMC minimal.

Références officielles et sources pour le RMC DGA

La documentation officielle du RMC est disponible sur le portail fournisseurs de la Direction Générale de l'Armement : defense.gouv.fr/dga. L'inscription au portail fournisseurs DGA (portail PLOSS) est gratuite et permet d'accéder au questionnaire d'auto-évaluation officiel, aux guides d'application par type de marché, et aux informations sur les audits SCA.

Pour comprendre les fondements techniques des 32 mesures Fondamentales, le Guide d'Hygiène Informatique ANSSI est la référence primaire — il est disponible gratuitement en téléchargement. Les mesures F-04 à F-20 du RMC Fondamental sont directement tirées de ce guide avec des adaptations pour le contexte défense.

Les entreprises qui souhaitent articuler leur démarche RMC avec d'autres référentiels trouveront des ressources utiles dans nos articles dédiés : notre guide complet ISO 27001 détaille comment la certification ISO 27001 couvre 65 % des mesures RMC, et notre article sur la conformité NIS2 pour les PME explique comment mutualiser les démarches NIS2 et RMC pour les entreprises soumises aux deux référentiels. Pour les fournisseurs également certifiés EN 9100 et engagés dans la labellisation AERO EXCELLENCE™ V2, notre guide détaillé sur AirCyber Bronze, Silver et Gold montre les synergies possibles entre les référentiels cybersécurité de la filière défense/aéronautique française.