BITD Cybersécurité 2026 : Obligations des Fournisseurs DGA

La Base Industrielle et Technologique de Défense (BITD) française, forte de plus de 4 000 entreprises et 200 000 emplois directs, fait face en 2026 à une transformation profonde de ses obligations cybersécurité. La conjonction de la Loi de Programmation Militaire (LPM) 2024-2030, des nouvelles clauses contractuelles DGA, de la transposition de NIS 2 en droit français et des exigences issues de l'IGI 1300 crée un cadre réglementaire dense que tout fournisseur défense doit maîtriser. Sous-traitant de rang 1, équipementier de rang 2, bureau d'études technique ou prestataire de services numériques pour un programme d'armement : toutes ces entreprises sont aujourd'hui soumises à des obligations cybersécurité contractuelles et réglementaires qui conditionnent leur maintien dans la chaîne de valeur défense. Ce guide détaille l'ensemble des obligations applicables en 2026, les questionnaires sécurité DGA, les interactions avec NIS 2 et LPM, et les cas pratiques des fournisseurs Tier 1 et Tier 2.

Le cadre réglementaire de la BITD cybersécurité

La BITD française est encadrée par un ensemble de textes réglementaires qui se superposent et se complètent. Comprendre leur articulation est indispensable pour tout fournisseur cherchant à structurer sa conformité cybersécurité de manière efficiente.

La Loi de Programmation Militaire 2024-2030

La LPM 2024-2030 (Loi n°2023-703 du 1er août 2023) constitue le cadre budgétaire et stratégique de la défense française pour la décennie. Avec ses 413 milliards d'euros de crédits, elle représente une augmentation historique de 40 % par rapport à la LPM précédente. Mais au-delà des chiffres, la LPM 2024-2030 porte un message clair sur la cybersécurité de la chaîne d'approvisionnement : les fournisseurs BITD sont désormais considérés comme des vecteurs de risque potentiels et doivent démontrer leur niveau de maturité cyber pour maintenir leur qualification de fournisseur défense.

La LPM 2024-2030 renforce également les pouvoirs de l'ANSSI en matière de supervision de la chaîne de sous-traitance, en particulier pour les opérateurs d'importance vitale (OIV) du secteur défense. Elle introduit la notion d'opérateurs de services essentiels (OSE) étendus, incluant désormais plusieurs industriels de la BITD dans son périmètre.

L'IGI 1300 et la protection du secret défense

L'Instruction Générale Interministérielle n°1300 (IGI 1300) définit les règles de protection des informations et supports classifiés de la défense nationale. Elle s'applique à tout organisme privé ou public accédant à des informations classifiées Confidentiel Défense ou Secret Défense. Pour les fournisseurs BITD, l'IGI 1300 impose notamment :

• L'habilitation des personnels accédant aux informations classifiées (procédure gérée par la DGA et le Service de Protection des Renseignements et des Intérêts Économiques, le SPRIE)
• La mise en place de zones à accès réglementé (ZAR) pour le traitement physique des documents classifiés
• L'utilisation de systèmes d'information homologués pour le traitement numérique des informations classifiées (voir SSID / II 901)
• La déclaration des incidents de sécurité impliquant des informations classifiées dans des délais stricts

L'IGI 1300 ne se superpose pas au RMC DGA mais le complète : un fournisseur BITD manipulant des informations classifiées doit satisfaire aux deux exigences, le RMC DGA pour son SI général et l'IGI 1300 pour la gestion des informations classifiées spécifiquement.

NIS 2 et son impact sur la BITD

La directive NIS 2 (Network and Information Security 2), transposée en droit français par la loi du 17 octobre 2024, élargit considérablement le champ des entités soumises à des obligations de cybersécurité. Elle introduit les catégories "Entités Essentielles" (EE) et "Entités Importantes" (EI), avec des seuils d'applicabilité basés sur la taille de l'entreprise (50+ salariés ou 10 M€+ de chiffre d'affaires) et le secteur d'activité.

Pour la BITD, NIS 2 s'applique directement à de nombreux industriels de la défense, qui entrent dans les secteurs "Défense" (Annexe I, entités essentielles) ou "Fabrication" (Annexe II, entités importantes) de la directive. Les obligations NIS 2 comprennent notamment la mise en place d'un système de gestion de la sécurité, la notification des incidents majeurs à l'ANSSI sous 24 heures (notification initiale) et 72 heures (rapport détaillé), et la prise en compte de la sécurité de la chaîne d'approvisionnement.

La bonne nouvelle pour les fournisseurs BITD déjà engagés dans le RMC DGA : les mesures du référentiel DGA couvrent une part significative des exigences NIS 2, permettant une rationalisation des efforts de conformité. Notre article dédié à la conformité NIS 2 détaille les obligations spécifiques selon le type d'entité.

Les obligations contractuelles DGA 2026

Au-delà du cadre réglementaire, les obligations cybersécurité des fournisseurs BITD se matérialisent dans les clauses contractuelles des marchés DGA. Ces clauses ont considérablement évolué depuis 2023 et connaissent une nouvelle vague de renforcement en 2026.

Les clauses de sécurité standards des marchés DGA

Les marchés DGA intègrent désormais systématiquement plusieurs types de clauses cybersécurité :

• Clause d'obligation de maturité cyber : référence explicite au RMC DGA et au niveau requis (Fondamental, Intermédiaire ou Avancé selon la sensibilité du programme)
• Clause de notification d'incident : obligation de notifier la DGA dans les 24 à 72 heures en cas d'incident cyber touchant le périmètre contractuel
• Clause d'audit : droit de la DGA ou de son représentant mandaté d'auditer les mesures de sécurité du fournisseur avec un préavis de 15 jours ouvrés
• Clause de gestion de la chaîne d'approvisionnement : obligation pour le fournisseur Tier 1 de répercuter les exigences cybersécurité sur ses propres sous-traitants (Tier 2 et au-delà)
• Clause de protection des données du programme : interdiction d'héberger les données du programme sur des infrastructures cloud non qualifiées ou situées hors de l'Union Européenne

Le questionnaire de sécurité DGA

La DGA utilise un questionnaire de sécurité standardisé transmis aux fournisseurs avant attribution de marché ou lors des revues contractuelles annuelles. Ce questionnaire couvre les 8 domaines du RMC DGA Fondamental et demande des éléments de preuve documentaires. Il comporte généralement :

• Des questions binaires (oui/non) sur chaque mesure des 32 contrôles Fondamentaux
• Des demandes de documents probatoires (politique de sécurité, rapport d'audit, certificats EDR, etc.)
• Des questions ouvertes sur les incidents passés et la gestion de crise
• Une section dédiée aux mesures spécifiques au programme concerné

Le questionnaire DGA doit être renseigné sous la responsabilité du dirigeant ou du responsable désigné de la sécurité. Toute fausse déclaration peut entraîner la résiliation du marché et l'exclusion des futures consultations.

Fournisseurs Tier 1 : obligations renforcées

Les fournisseurs de rang 1 — ceux contractant directement avec la DGA ou un maître d'œuvre principal — sont soumis aux obligations les plus contraignantes du cadre cybersécurité BITD 2026.

Exigences techniques au niveau Intermédiaire ou Avancé

Un fournisseur Tier 1 sur un programme d'armement majeur (SCORPION, RAFALE F5, MGCS, FDI, etc.) est généralement soumis au niveau Intermédiaire ou Avancé du RMC DGA. Cela implique notamment : un SOC interne ou externalisé assurant la supervision 24/7 des événements de sécurité, des tests d'intrusion annuels réalisés par un prestataire qualifié PASSI (Prestataires d'Audit de la Sécurité des Systèmes d'Information qualifiés par l'ANSSI), une architecture de sécurité documentée avec isolation des réseaux programmes, et un RSSI à temps plein ayant suivi des formations spécialisées.

Responsabilité de la chaîne d'approvisionnement

La responsabilité des Tier 1 ne s'arrête pas à leurs propres systèmes. Ils ont l'obligation contractuelle de s'assurer que leurs fournisseurs Tier 2 atteignent au minimum le niveau Fondamental du RMC DGA pour les parties du périmètre contractuel qu'ils gèrent. Cette obligation de surveillance aval crée une cascade de conformité qui remonte jusqu'aux PME les plus petites de la chaîne.

Fournisseurs Tier 2 : le niveau Fondamental comme sésame

Pour la grande majorité des PME de la BITD — qui sont des fournisseurs Tier 2 ou Tier 3 — le niveau Fondamental du RMC DGA est la priorité absolue de 2026. C'est le prérequis pour maintenir ou développer leur présence dans la chaîne de valeur défense.

Calendrier de mise en conformité imposé

De nombreux maîtres d'œuvre industriels ont intégré dans leurs contrats de sous-traitance des jalons de conformité RMC DGA Fondamental avec des échéances précises. Le calendrier le plus fréquemment constaté en 2025-2026 est le suivant : diagnostic dans les 3 mois suivant la signature du contrat, plan d'action validé à 6 mois, conformité complète démontrée à 12 mois. Un dépassement de ces jalons peut entraîner une réduction des attributions voire la non-reconduction du contrat.

Accès aux financements publics

La conformité RMC DGA Fondamental conditionne désormais l'accès à plusieurs dispositifs de soutien public dédiés à la BITD. Le Fonds de Transformation de l'Industrie de Défense (FTDI), géré par la DGA, réserve une enveloppe spécifique aux PME engagées dans une démarche RMC DGA. Des aides de BPIFrance et des régions sont également disponibles pour cofinancer les projets de mise en conformité cybersécurité. Notre page dédiée à l'accompagnement conformité cybersécurité présente les dispositifs disponibles.

Articulation pratique NIS 2 et RMC DGA

Pour les fournisseurs BITD soumis à la fois à NIS 2 et au RMC DGA — ce qui est le cas de la majorité des entreprises de taille significative — la question de l'articulation pratique des deux référentiels est centrale. La bonne approche consiste à partir du RMC DGA comme socle et à identifier les exigences NIS 2 additionnelles.

Les principales exigences NIS 2 non couvertes par le RMC DGA Fondamental portent sur : la formalisation d'une politique de gestion des risques (approche risques vs prescriptive RMC DGA), la notification structurée des incidents à l'ANSSI avec les délais NIS 2 (24h/72h/1 mois), et la responsabilité des dirigeants qui engage personnellement les membres de la direction sur les obligations NIS 2. Un fournisseur BITD ayant atteint le niveau Fondamental RMC DGA couvre environ 70 % des exigences NIS 2 Entité Importante.

Les dispositifs de soutien aux PME BITD pour la cybersécurité

Face à la complexité et au coût des obligations cybersécurité, l'écosystème public et para-public a développé un ensemble de dispositifs d'accompagnement spécifiquement destinés aux PME de la BITD. Ces dispositifs permettent de mutualiser les efforts et de réduire significativement le coût individuel de mise en conformité.

Le premier dispositif est le Guichet Défense PME de la DGA, qui propose aux PME BITD un accompagnement personnalisé pour comprendre et mettre en œuvre les exigences cybersécurité contractuelles. Ce guichet peut orienter vers des prestataires référencés et des financements disponibles. Le Groupement des Industries Françaises de Défense et de Sécurité (GICAT) et le Groupement des Industries Françaises Aéronautiques et Spatiales (GIFAS) proposent également des ressources mutualisées pour leurs adhérents, notamment des formations collectives sur le RMC DGA et des kits documentaires (trames de PSSI, procédures types) adaptés aux PME de leurs secteurs respectifs.

Les Centres Régionaux de Réponse aux Incidents Cyber (CSIRT régionaux), soutenus par l'ANSSI dans le cadre du Plan France Relance, constituent un autre maillon d'accompagnement de proximité. Ils proposent généralement des diagnostics cybersécurité gratuits ou à tarif réduit pour les PME, un premier échelon utile avant d'engager un prestataire privé pour la mise en conformité RMC DGA complète. La liste des CSIRT régionaux est disponible sur cyber.gouv.fr.

Gestion des fournisseurs tiers et supply chain cyber

L'une des dimensions les plus complexes de la conformité BITD 2026 est la gestion de la supply chain cyber : comment s'assurer que les fournisseurs de ses fournisseurs respectent également un niveau minimal de cybersécurité ? NIS 2 et les clauses DGA imposent aux fournisseurs Tier 1 de mettre en place une démarche de gestion de la sécurité de leur propre chaîne d'approvisionnement, ce qui se traduit en pratique par l'inclusion d'exigences cybersécurité dans les contrats de sous-traitance, des questionnaires d'auto-évaluation transmis aux fournisseurs Tier 2, et dans les cas les plus critiques, des audits ou des visites de sites.

La mise en place d'une politique de sécurité des fournisseurs (PSF) est aujourd'hui attendue de tout industriel BITD de taille significative. Cette politique définit les critères de qualification cyber des fournisseurs, les exigences minimales à respecter selon le niveau de sensibilité des informations partagées, et les procédures de suivi et d'audit. Pour les PME Tier 1 qui n'ont pas les ressources d'un service achats structuré, des questionnaires standardisés (inspirés du RMC DGA) transmis annuellement à leurs fournisseurs constituent une approche pragmatique et proportionnée. Notre guide des obligations BITD 2026 développe cette dimension supply chain en détail.

Incidents cyber récents ciblant la BITD européenne

La menace cyber pesant sur la BITD n'est pas théorique. Plusieurs incidents significatifs survenus entre 2022 et 2025 ont démontré la réalité du risque et l'importance d'une protection en profondeur de la chaîne de sous-traitance. En 2022, un sous-traitant d'un maître d'œuvre européen de systèmes de missiles a été victime d'une compromission par ransomware ayant entraîné l'exfiltration de données techniques relatives à des programmes en développement. En 2023, une attaque de type spear-phishing ciblant des ingénieurs d'une PME française travaillant sur des équipements électroniques embarqués avait permis à des attaquants d'accéder pendant plusieurs mois au réseau de l'entreprise avant d'être détectés. Ces incidents ont conduit la DGA à accélérer le déploiement des obligations cybersécurité contractuelles et à renforcer les exigences de détection et de notification d'incidents dans les marchés 2024-2026. Ils illustrent concrètement pourquoi le RMC DGA et les clauses contractuelles DGA ne sont pas des contraintes administratives mais des mesures de protection réellement nécessaires dans le contexte géopolitique actuel.

Sécuriser les échanges numériques dans la chaîne BITD

Les échanges numériques entre les différents maillons de la chaîne BITD constituent l'un des vecteurs d'attaque les plus exploités par les acteurs malveillants. E-mails contenant des pièces jointes sensibles, transferts de fichiers via des plateformes non sécurisées, accès distants aux systèmes clients via des VPN mal configurés : chaque lien de communication représente une surface d'attaque potentielle. Les obligations cybersécurité contractuelles DGA 2026 adressent explicitement cette dimension en imposant des exigences sur les canaux de communication utilisés pour partager des informations de programme.

La messagerie électronique standard (Microsoft 365, Google Workspace, messageries grand public) est formellement exclue pour l'échange d'informations à diffusion restreinte ou de documents techniques sensibles dans le cadre de marchés DGA. Des plateformes d'échange de fichiers sécurisées et tracées doivent être utilisées, généralement mises à disposition par le maître d'œuvre ou la DGA dans le cadre du programme. Pour les accès distants aux systèmes du donneur d'ordres, un VPN dédié avec authentification MFA est systématiquement exigé, et les accès doivent être journalisés et auditables. La mise en conformité sur ces aspects de sécurité des échanges est souvent l'un des premiers chantiers engagés par les PME BITD, car c'est aussi l'un des risques les plus immédiats et les plus facilement exploitables par un attaquant.

Programme de conformité BITD : construire une roadmap sur 18 mois

Pour une PME ou ETI de la BITD souhaitant structurer une approche globale de ses obligations cybersécurité 2026, une roadmap sur 18 mois permet d'aborder les différentes obligations de manière séquencée et maîtrisée, en évitant de disperser les efforts sur tous les fronts simultanément.

Sur les 6 premiers mois, la priorité est de satisfaire aux exigences contractuelles immédiates : diagnostic RMC DGA Fondamental, traitement des gaps critiques (MFA, EDR, sauvegarde hors site, procédure d'incident), et constitution d'un premier dossier de preuves partiel pour répondre aux demandes de vos donneurs d'ordres. C'est la phase de conformité "urgente" qui sécurise les relations contractuelles existantes. Sur les mois 7 à 12, on consolide la conformité RMC DGA Fondamental complète (32 mesures couvertes avec preuves), on met en place les processus de maintien dans le temps, et on commence l'évaluation NIS 2 si l'entreprise est dans son périmètre. Sur les mois 13 à 18, on engage la démarche ISO 27001 si elle est stratégiquement pertinente, on structure la politique de sécurité des fournisseurs (PSF), et on développe les capacités de détection d'incidents pour aller vers le niveau Intermédiaire du RMC DGA si les marchés le requièrent. Cette roadmap doit être pilotée par un RSSI — interne ou externalisé — qui coordonne l'ensemble des chantiers et assure le reporting régulier à la direction. Pour un accompagnement sur mesure, consultez notre offre de RSSI externalisé dédiée aux industriels BITD.

Cybersécurité BITD et innovation défense

La conformité cybersécurité dans la BITD ne doit pas être perçue uniquement comme une contrainte mais aussi comme un enabler d'innovation et d'accès à de nouveaux marchés. Les programmes d'innovation défense (DGA Innovation, ASTRID, RAPID) intègrent de plus en plus la maturité cybersécurité comme critère d'éligibilité des PME candidates. Un fournisseur BITD conforme RMC DGA Fondamental et engagé dans une démarche ISO 27001 se positionne avantageusement pour répondre à des appels à projets innovants où la protection de la propriété intellectuelle est cruciale. De même, l'export de technologies de défense est conditionné par les autorités françaises (DGA, SGDSN, CIEDES) à un niveau de sécurité satisfaisant des industriels exportateurs — une conformité robuste sur le plan cybersécurité facilite les procédures d'autorisation d'exportation de matériels de guerre (AEMG) pour les fournisseurs souhaitant développer leurs activités à l'international. Investir dans la cybersécurité BITD, c'est donc à la fois satisfaire aux obligations contractuelles et réglementaires actuelles, et préparer la compétitivité de l'entreprise pour les marchés défense de demain, français comme européens.

FAQ BITD Cybersécurité 2026

Un fournisseur non conforme RMC DGA peut-il conserver ses marchés DGA ?

La tolérance dépend de la sensibilité du programme et de la phase du contrat. En phase d'exécution d'un marché existant, la DGA peut accorder une période de mise en conformité avec jalons. Pour les renouvellements et nouvelles attributions, la non-conformité RMC DGA est de plus en plus éliminatoire. La tendance 2026 est au durcissement de cette posture.

L'IGI 1300 s'applique-t-elle à une PME qui ne travaille que sur des études non classifiées ?

Non. L'IGI 1300 ne s'applique qu'aux entités accédant à des informations effectivement classifiées Confidentiel Défense ou Secret Défense. Une PME travaillant uniquement sur des études à diffusion restreinte (DR) n'est pas soumise à l'IGI 1300 mais reste soumise au RMC DGA pour la protection de ces informations DR.

NIS 2 s'applique-t-elle aux PME de la BITD de moins de 50 salariés ?

En principe, NIS 2 ne s'applique pas aux entreprises de moins de 50 salariés et moins de 10 M€ de chiffre d'affaires, sauf si elles sont identifiées comme critiques par l'ANSSI ou si leurs maîtres d'œuvre leur répercutent contractuellement des obligations équivalentes à NIS 2.

Quels sont les délais de notification d'incident aux termes des clauses DGA 2026 ?

Les clauses DGA 2026 imposent une notification initiale à la DGA dans les 24 heures suivant la détection d'un incident cyber touchant le périmètre contractuel. Un rapport d'analyse préliminaire est attendu sous 72 heures, et un rapport final sous 30 jours. Ces délais sont identiques à ceux de NIS 2 pour les entités essentielles.

Où trouver les textes officiels sur les obligations cyber BITD ?

Les principaux textes sont accessibles sur le site de la DGA pour le RMC DGA et les clauses contractuelles, sur cyber.gouv.fr pour NIS 2 et les guides ANSSI, et au Journal Officiel via Légifrance pour l'IGI 1300 et les textes législatifs.