SSID 2026 : Sécurité des Systèmes d'Information Défense — Guide Complet

La Sécurité des Systèmes d'Information Défense — connue sous l'acronyme SSID — constitue le cadre normatif et technique le plus exigeant de l'écosystème cybersécurité de la défense française. Elle encadre la conception, le déploiement, l'exploitation et la maintenance de tout système d'information manipulant des informations classifiées au sens de la défense nationale, depuis les études de faisabilité d'un système d'armes jusqu'aux réseaux de commandement opérationnel. En 2026, la SSID s'impose à un nombre croissant d'acteurs industriels de la Base Industrielle et Technologique de Défense (BITD) qui participent à des programmes de souveraineté nationale. Sa maîtrise est un prérequis absolu pour les fournisseurs de rang 1 et 2 participant à des programmes majeurs tels que SCORPION, RAFALE F5, MGCS, CONTACT ou les futurs systèmes cyber-électroniques. Ce guide complet de la SSID 2026 couvre son cadre juridique (IGI 1300, II 901), la classification des informations défense, les architectures sécurisées pour systèmes d'armes et études sensibles, son interface avec le RMC DGA, et les obligations de notification d'incidents ANSSI/DGA.

Qu'est-ce que le SSID ?

Le SSID (Sécurité des Systèmes d'Information Défense) est l'ensemble des règles, procédures, architectures et certifications qui gouvernent la protection des systèmes d'information du ministère des Armées et de ses partenaires industriels lorsqu'ils traitent des informations classifiées. Il couvre le cycle de vie complet d'un système d'information : de la définition des exigences de sécurité en phase de conception jusqu'à la décommission sécurisée des supports et équipements en fin de vie.

Le SSID n'est pas une norme privée ou un référentiel volontaire : c'est un corpus réglementaire obligatoire dont le non-respect peut entraîner des sanctions pénales (manquement au secret de la défense nationale) et des conséquences contractuelles graves (résiliation de marché, exclusion des consultations DGA). Il s'applique à tous les acteurs — militaires, civils d'État, industriels privés — accédant à des systèmes traitant des informations classifiées.

Cadre juridique : IGI 1300 et II 901

L'IGI 1300 : le texte fondateur

L'Instruction Générale Interministérielle n°1300 (IGI 1300), cosignée par le Premier ministre et le ministre de la Défense, constitue le texte réglementaire fondateur de la protection des informations classifiées en France. Elle définit les niveaux de classification (Très Secret, Secret, Confidentiel Défense), les règles d'habilitation du personnel, les conditions de traitement physique et numérique des informations classifiées, et les procédures de contrôle et de déclaration des incidents.

Pour les entreprises industrielles, l'IGI 1300 impose notamment : la désignation d'un Fonctionnaire de Sécurité de Défense (FSD) ou d'un correspondant sécurité défense, la mise en place de locaux sécurisés pour la consultation des documents classifiés (zones à accès réglementé, ZAR), l'utilisation de systèmes d'information homologués pour le traitement numérique des informations classifiées, et la mise en place de procédures de destruction sécurisée des supports.

L'IGI 1300 s'applique aux entreprises privées dès lors qu'elles sont titulaires d'un marché classifié ou qu'elles ont besoin d'accéder à des informations classifiées pour l'exécution d'un marché non classifié (consultation de spécifications techniques, accès à des données de résistance balistique, etc.).

L'II 901 : les règles techniques de la SSID

L'Instruction Interministérielle n°901 (II 901), gérée par le Secrétariat Général de la Défense et de la Sécurité Nationale (SGDSN) en coordination avec l'ANSSI, définit les règles techniques applicables aux systèmes d'information traitant des informations classifiées. Elle précise les architectures de sécurité minimales, les algorithmes de chiffrement autorisés (notamment les produits certifiés de niveau Renforcé pour les informations Secret), les conditions d'accès distant aux systèmes classifiés, et les procédures d'homologation.

L'II 901 est le document technique de référence pour les ingénieurs et architectes systèmes travaillant sur des programmes classifiés. Elle impose notamment l'utilisation de produits cryptographiques certifiés par l'ANSSI (de niveau CSPN ou qualifié), l'isolation réseau stricte des systèmes classifiés (pas de connexion Internet directe, filtrage rigoureux des flux), et des procédures de contrôle d'accès physique et logique renforcées.

Classification des informations défense

Comprendre la classification des informations défense est indispensable pour dimensionner les mesures de protection appropriées. Le système français comporte trois niveaux de classification :

Confidentiel Défense (CD)

Le niveau Confidentiel Défense protège les informations dont la divulgation est de nature à nuire à la défense nationale ou à porter atteinte aux intérêts fondamentaux de la Nation. Pour les fournisseurs BITD, les informations classifiées CD les plus fréquentes concernent les caractéristiques techniques d'équipements militaires, les procédures d'emploi, et les données de vulnérabilité de systèmes en service. Le traitement numérique des informations CD nécessite des systèmes homologués utilisant des produits cryptographiques certifiés CSPN minimum.

Secret Défense (SD)

Le niveau Secret Défense protège les informations dont la divulgation est susceptible de porter une atteinte grave à la défense nationale. Les systèmes traitant des informations SD imposent des mesures renforcées : isolation physique complète (air gap), chiffrement avec des produits cryptographiques qualifiés, traçabilité exhaustive des accès, et contrôle d'intégrité. La population des utilisateurs habilités SD est très restreinte et fait l'objet d'enquêtes approfondies.

Très Secret Défense (TSD)

Le niveau Très Secret Défense, réservé aux informations les plus sensibles de la Nation (capacités nucléaires, renseignement de très haut niveau, programmes de R&D les plus stratégiques), est traité dans des structures dédiées et concerne un nombre très limité d'industriels de la BITD. Les fournisseurs travaillant à ce niveau font l'objet de procédures de sélection et de contrôle particulièrement rigoureuses.

Les informations à diffusion restreinte (DR)

En dehors de la classification formelle, la mention "à diffusion restreinte" (DR) protège des informations sensibles ne relevant pas du secret de la défense nationale mais dont la communication à des personnes non habilitées constituerait un risque. Les informations DR constituent l'essentiel du flux documentaire des fournisseurs BITD de rang 2 et 3. Elles ne sont pas soumises à l'IGI 1300 mais au RMC DGA et aux clauses contractuelles DGA.

Architectures sécurisées pour systèmes d'armes

La conception d'architectures sécurisées pour des systèmes d'armes ou des études classifiées obéit à des principes stricts déclinant les exigences de l'II 901 en choix techniques concrets.

Principe de défense en profondeur

Toute architecture SSID repose sur la défense en profondeur : aucun périmètre n'est considéré comme sûr, et chaque couche de sécurité (physique, réseau, système, applicatif) doit être indépendamment protégée. Les zones de sécurité sont délimitées par des passerelles de sécurité certifiées (pare-feu qualifiés, diodes réseau pour les flux unidirectionnels vers les zones non classifiées) et chaque flux inter-zones est explicitement autorisé, documenté et audité.

Cloisonnement réseau et zones de sécurité

L'architecture SSID typique pour un industriel de la BITD comprend au minimum trois zones réseau physiquement séparées : la zone bureautique standard (sans accès à des informations classifiées), la zone DR / informations sensibles non classifiées (périmètre RMC DGA), et la zone classifiée (périmètre SSID / IGI 1300). Les passages entre zones sont gérés par des passerelles qualifiées, et les transferts de fichiers entre zones sont opérés via des procédures sécurisées (clé chiffrée, décontamination antivirale, traçabilité).

Chiffrement et produits certifiés

L'II 901 impose pour les informations Confidentiel Défense l'utilisation de produits cryptographiques certifiés CSPN (Certification de Sécurité de Premier Niveau) minimum. Pour les informations Secret Défense, des produits cryptographiques qualifiés par l'ANSSI au niveau Renforcé ou Élevé sont requis. Les algorithmes non certifiés ou à clés insuffisantes (AES-128 pour des informations SD, par exemple) sont explicitement exclus. L'ANSSI publie et maintient le catalogue des produits certifiés et qualifiés utilisables dans les systèmes SSID.

Gestion des postes de travail classifiés

Les postes de travail accédant à des informations classifiées doivent être dédiés à cet usage (pas de double usage bureautique/classifié), durcis selon les préconisations ANSSI (désactivation des ports USB non autorisés, chiffrement total du disque avec produit certifié, contrôle d'intégrité du démarrage), et placés dans des locaux sécurisés à accès contrôlé. Le recours au cloud computing pour les données classifiées n'est autorisé qu'en utilisant des solutions SecNumCloud qualifiées et dans des conditions très strictes définies par l'ANSSI.

Interface RMC DGA et SSID

La relation entre le RMC DGA et le SSID est celle d'une hiérarchie de protection : le RMC DGA couvre la protection des informations non classifiées sensibles (notamment les informations à diffusion restreinte), tandis que le SSID prend le relais pour les informations classifiées. Pour un industriel BITD travaillant à la fois sur des études non classifiées et des programmes classifiés, les deux référentiels s'appliquent simultanément sur des périmètres distincts.

En pratique, les contrôles RMC DGA Fondamental constituent un prérequis logique avant d'aborder le SSID : une entreprise qui ne maîtrise pas les bases de la gestion des accès, de la protection des postes et de la sécurité réseau ne sera pas en mesure de satisfaire aux exigences bien plus strictes de l'II 901. La trajectoire naturelle d'un industriel BITD est donc : RMC DGA Fondamental → RMC DGA Intermédiaire → périmètre SSID pour les marchés classifiés.

Plusieurs contrôles se recoupent entre les deux référentiels (MFA, chiffrement, journalisation, gestion des correctifs) mais avec des niveaux d'exigence différents. Les solutions acceptables au niveau RMC DGA (Microsoft Defender, BitLocker) peuvent ne pas être qualifiées par l'ANSSI pour un usage dans un système SSID classifié — vérifiez toujours la liste des produits certifiés ANSSI pour les composants d'une architecture SSID. Voir notre article sur le RMC DGA pour le détail du référentiel DGA.

Procédure d'homologation des systèmes SSID

Tout système d'information devant traiter des informations classifiées doit faire l'objet d'une procédure d'homologation formelle avant sa mise en service. Cette procédure est conduite sous la responsabilité de l'Autorité Qualifiée pour la Sécurité des Systèmes d'Information (AQSSI) du programme concerné (généralement un officier général ou un directeur de programme DGA).

La procédure d'homologation comprend : la rédaction d'une Étude de Sécurité (ES) documentant les risques et les mesures de protection, la rédaction d'un Dossier de Sécurité du Système (DSS) décrivant l'architecture et les configurations de sécurité, des tests de sécurité (audit de configuration, tests d'intrusion si requis), et la délivrance par l'AQSSI d'une décision d'homologation avec ou sans réserves. La décision d'homologation est temporaire (durée définie dans la décision) et doit être renouvelée à chaque évolution significative du système.

Notification d'incidents ANSSI et DGA

Les obligations de notification d'incidents cybersécurité applicables aux systèmes SSID sont parmi les plus strictes du cadre réglementaire français. Elles combinent les exigences de l'IGI 1300, du cadre NIS 2 (pour les entités concernées), et des clauses contractuelles DGA.

Incidents touchant des informations classifiées

Tout incident de sécurité (intrusion avérée, compromission suspectée, vol de support, perte de contrôle des accès) touchant des informations classifiées doit faire l'objet d'une notification immédiate au Fonctionnaire de Sécurité de Défense (FSD) de l'entreprise, qui alerte sans délai le Service de Protection des Renseignements et des Intérêts Économiques (SPRIE) et la DGA. Le délai de notification initiale est de moins de 24 heures après la détection. Un rapport détaillé est attendu sous 72 heures, suivi d'un rapport final dans un délai fixé par la DGA selon la gravité de l'incident.

Interface avec le dispositif ANSSI

L'ANSSI dispose d'un centre de cyberdéfense (COSSI) qui peut intervenir en soutien pour les incidents majeurs touchant des systèmes classifiés ou des systèmes d'importance vitale. Pour les industriels BITD soumis à NIS 2, la notification à l'ANSSI suit les délais NIS 2 (24h / 72h / 1 mois) en parallèle de la notification DGA. En cas d'incident majeur touchant un programme d'armement en cours, la DGA peut activer une cellule de crise interministérielle impliquant l'ANSSI, les services de renseignement, et les unités militaires concernées.

L'ANSSI (cyber.gouv.fr) publie des guides spécifiques sur la gestion des incidents pour les industriels de la défense. La page dédiée au portail cybersécurité de la DGA recense également les procédures de signalement applicables. Pour un accompagnement dans la mise en place de votre dispositif de notification, consultez notre page SSID 2026 et notre offre d'accompagnement conformité cybersécurité.

Le cycle de vie d'un système d'information défense selon le SSID

La SSID s'applique à toutes les phases du cycle de vie d'un système d'information défense, de sa conception jusqu'à sa décommission. Cette approche cycle de vie est fondamentale : la sécurité doit être "by design", intégrée dès les spécifications initiales du système et non ajoutée après coup.

En phase de conception, les exigences de sécurité sont formalisées dans un document d'expression des besoins de sécurité (EBIOS RM ou méthode équivalente), qui identifie les risques pesant sur les missions du système et définit les objectifs de sécurité à atteindre. Cette phase implique les équipes techniques du fournisseur, la DGA, et éventuellement l'ANSSI pour les systèmes les plus sensibles. En phase de développement et d'intégration, les architectures de sécurité sont implémentées conformément aux spécifications, avec des revues de sécurité intermédiaires à chaque jalon majeur du programme. En phase de qualification, des tests de sécurité formels (analyse de code, audit de configuration, tests d'intrusion) sont conduits pour vérifier que les objectifs de sécurité sont atteints avant la mise en service opérationnelle. En phase d'exploitation, la surveillance de sécurité, la gestion des correctifs, et la gestion des incidents constituent le socle du maintien en condition de sécurité (MCS). Enfin, en phase de décommission, les supports contenant des informations classifiées doivent être détruits selon des procédures homologuées (démagnétisation, destruction physique, procédure agréée IGI 1300).

Acteurs clés de l'écosystème SSID

La mise en oeuvre de la SSID implique un ensemble d'acteurs institutionnels et industriels dont il est important de connaître les rôles respectifs.

La Direction Générale de l'Armement (DGA) est le donneur d'ordres principal et l'autorité de prescription pour la plupart des programmes d'armement. Elle valide les dossiers d'homologation et supervise la conformité des industriels à travers ses maîtres d'ouvrage de programme. L'Agence Nationale de la Sécurité des Systèmes d'Information (ANSSI) est l'autorité nationale en matière de cybersécurité pour les systèmes civils et la référence technique pour les systèmes de défense. Elle qualifie les produits cryptographiques utilisables dans les systèmes SSID et publie les guides techniques de référence. Le Secrétariat Général de la Défense et de la Sécurité Nationale (SGDSN) coordonne, sous l'autorité du Premier ministre, la politique interministérielle de sécurité des systèmes d'information classifiés. Le Service de Protection des Renseignements et des Intérêts Économiques (SPRIE), rattaché à la DGA, est compétent pour les enquêtes d'habilitation et la protection du patrimoine économique et technologique de la défense. Pour les industriels BITD, le premier point de contact est généralement le correspondant DGA de leur programme, qui peut les orienter vers les autres acteurs selon les besoins spécifiques de leur dossier.

SSID et coopérations de défense européennes

La SSID française s'inscrit dans un contexte de coopérations de défense européennes croissantes, notamment au travers de l'OCCAR (Organisation Conjointe de Coopération en matière d'Armement), du Fonds Européen de Défense (FED), et des programmes de coopération bilatéraux (franco-allemand sur le MGCS, franco-britannique sur le drone de combat FCAS/Tempest). Ces coopérations imposent aux industriels participants de concilier les exigences SSID françaises avec les référentiels équivalents des pays partenaires (BSI IT-Grundschutz en Allemagne, NCSC Cyber Essentials au Royaume-Uni, CCN-STIC en Espagne).

L'harmonisation progressive des référentiels cybersécurité de défense européens, portée notamment par l'Agence Européenne de Défense (AED/EDA), vise à réduire cette complexité. Des travaux d'alignement sont en cours pour définir un cadre européen commun de maturité cyber pour la défense, qui pourrait à terme permettre une reconnaissance mutuelle entre les référentiels nationaux. En attendant cette harmonisation, les industriels BITD français participant à des programmes multinationaux doivent maintenir une veille active sur les évolutions réglementaires des pays partenaires, et s'appuyer sur des conseils juridiques et techniques spécialisés pour naviguer dans cet environnement multi-référentiel complexe. Nos experts en SSID et en conformité BITD peuvent vous accompagner dans cette démarche.

FAQ SSID 2026

Un fournisseur BITD doit-il nécessairement passer par une procédure d'homologation SSID ?

Oui, si son système d'information traite des informations classifiées. La procédure d'homologation est obligatoire pour tout système manipulant des informations Confidentiel Défense ou Secret Défense, qu'il soit exploité par un opérateur étatique ou un industriel privé. Pour les informations à diffusion restreinte (DR), l'homologation SSID n'est pas requise mais les mesures du RMC DGA s'appliquent.

Peut-on utiliser du cloud public pour traiter des informations défense classifiées ?

Non, pas dans le cloud public standard. L'utilisation de services cloud pour des informations classifiées est conditionnée à l'emploi de solutions SecNumCloud qualifiées par l'ANSSI, dans des conditions très strictes. Le cloud souverain qualifié est en cours de développement en France mais reste limité aux niveaux Confidentiel Défense. Les informations Secret Défense et au-delà nécessitent des infrastructures dédiées et physiquement isolées.

Quelle est la durée d'une habilitation SSID pour un salarié ?

La durée d'une habilitation défense dépend du niveau de classification : 5 ans pour le niveau Confidentiel Défense, 5 ans également pour le niveau Secret Défense avec réexamen périodique renforcé. La procédure d'habilitation est instruite par la DGA (pour les industriels BITD) ou par le SPRIE et dure de 3 à 9 mois selon le niveau et le profil de la personne. L'habilitation d'un salarié ne lui confère pas automatiquement le droit d'accès à toutes les informations classifiées du niveau considéré : le besoin d'en connaître reste la règle.

Quels sont les produits cryptographiques certifiés ANSSI utilisables en SSID ?

L'ANSSI publie et maintient un catalogue des produits certifiés et qualifiés disponible sur le site cyber.gouv.fr. Les produits sont classifiés par niveau de certification (CSPN, CC EAL, Qualifié) et par type (chiffrement, pare-feu, authentification, etc.). Pour les systèmes SSID Confidentiel Défense, les produits de niveau CSPN ou supérieur sont généralement requis. Pour les systèmes Secret Défense, des produits qualifiés de niveau Renforcé ou Élevé sont imposés.

Comment contacter l'ANSSI en cas d'incident touchant un système SSID ?

L'ANSSI dispose d'un numéro de signalement des incidents cybersécurité disponible sur cyber.gouv.fr. Pour les incidents touchant des informations classifiées, la chaîne de signalement passe en premier lieu par le FSD de l'entreprise et la DGA, qui active si nécessaire la coordination avec l'ANSSI et les services de l'État compétents. Ne signalez pas directement à l'ANSSI un incident sur des informations classifiées sans avoir d'abord alerté la DGA.