Conformité RMC DGA Fondamental : Guide Pas-à-Pas pour les PME

Vous êtes dirigeant ou responsable informatique d'une PME sous-traitante de la défense, et vous avez reçu de votre client principal une notification vous demandant d'atteindre la conformité RMC DGA Fondamental dans les prochains mois. La deadline approche, le budget est contraint, et vous ne savez pas par où commencer. Ce guide opérationnel vous accompagne pas-à-pas dans les six grandes étapes qui mènent de votre situation actuelle à la conformité complète avec les 32 mesures du Référentiel de Maturité Cyber DGA niveau Fondamental. Chaque étape est détaillée avec les actions concrètes à mener, les ressources nécessaires, les erreurs fréquentes à éviter, et un budget indicatif. La timeline proposée est de 6 mois, réaliste pour une PME de 20 à 100 salariés disposant d'une DSI interne légère ou faisant appel à un prestataire MSSP. En suivant ce guide, vous disposerez à son terme d'un dossier de preuves complet, prêt à être présenté à votre donneur d'ordres.

Étape 1 : Audit initial des 32 mesures (Mois 1)

Avant de planifier quoi que ce soit, il faut savoir où vous en êtes. L'audit initial consiste à évaluer votre conformité actuelle sur chacune des 32 mesures du RMC DGA Fondamental, mesure par mesure. Cette étape est cruciale : une mauvaise évaluation initiale fausserait tout le plan d'action.

Comment conduire le diagnostic

Constituez un groupe de travail minimal composé du dirigeant ou d'un représentant de la direction, du responsable informatique (interne ou prestataire), et si possible d'un référent métier utilisant les informations défense. Ce groupe doit évaluer chaque mesure selon trois critères : la mesure est-elle déjà en place, documentée, et applicable sur l'ensemble du périmètre concerné ?

Pour chaque mesure, le résultat est binaire en termes de conformité RMC DGA : soit conforme (preuve disponible), soit non conforme (à traiter). Évitez les positions intermédiaires "partiellement conforme" qui masquent la réalité des gaps : une mesure sans preuve documentaire est une mesure non conforme, même si elle est "pratiquée" informellement.

Le diagnostic initial peut être conduit en interne sur la base du cahier des charges des 32 mesures, ou confié à un prestataire spécialisé qui apporte à la fois la méthode et l'objectivité. Un prestataire externe identifie souvent des écarts que l'équipe interne n'a pas détectés (biais d'auto-évaluation). Comptez 3 000 à 8 000 euros pour un diagnostic externe, ou 10 à 15 jours.homme en interne.

Résultat attendu à l'issue du diagnostic

À la fin du mois 1, vous devez disposer d'une matrice de conformité documentée sur les 32 mesures, avec pour chaque mesure non conforme : une description précise de l'écart, les actions correctives requises, et une estimation de l'effort de mise en conformité. La matrice vous permettra de calculer votre score de départ et de prioriser le plan d'action.

Étape 2 : Priorisation des écarts et plan d'action (Mois 1-2)

Une fois les écarts identifiés, il faut les prioriser intelligemment. Toutes les mesures ont le même poids dans le RMC DGA Fondamental (toutes obligatoires), mais leur effort de mise en oeuvre varie considérablement. La priorisation permet d'obtenir des gains rapides et de séquencer logiquement les travaux.

Matrice effort-impact pour la priorisation

Classez les mesures non conformes selon deux axes : l'effort de mise en conformité (faible/moyen/élevé) et le risque de non-conformité pour l'entreprise (lié à la probabilité de vérification par le donneur d'ordres et à l'impact en cas d'incident). Cette matrice permet d'identifier :

• Quick wins (effort faible, risque élevé) : mesures à traiter en priorité absolue dans les 4 à 6 premières semaines. Exemples typiques : mise en place du MFA pour les accès distants, activation du chiffrement des disques durs (BitLocker), mise en place d'une procédure de notification d'incident.
• Chantiers structurants (effort élevé, risque élevé) : à planifier dès le début avec des jalons clairs. Exemples : déploiement de l'EDR sur l'ensemble du parc, mise en place de la sauvegarde hors site, rédaction de la PSSI.
• Chantiers importants (effort moyen, risque moyen) : à planifier sur la durée du projet.
• Mesures formelles (effort faible, risque faible) : procédures et politiques documentaires, à produire en fin de projet une fois les mesures techniques en place.

Le plan d'action formalisé

Le plan d'action est un document engageant la direction, qui sera présenté à votre donneur d'ordres si la mise en conformité ne peut pas être attestée immédiatement. Il doit mentionner pour chaque mesure en cours de traitement : l'action corrective, le responsable, la date cible, les ressources allouées, et le critère de fin (preuve de conformité attendue). Un plan d'action crédible peut permettre de maintenir un contrat en cours même si la conformité complète n'est pas encore atteinte, à condition que les jalons soient tenus.

Étape 3 : Mise en oeuvre technique (Mois 2-5)

L'étape de mise en oeuvre technique est la plus longue et la plus coûteuse. Elle concerne principalement les domaines 2 à 6 du RMC DGA (gestion des accès, protection des postes, sécurité réseau, correctifs, sauvegarde).

Chantier MFA et gestion des accès

Le déploiement du MFA pour tous les accès distants (VPN, RDP, webmail) et les comptes administrateurs est souvent la mesure qui génère le plus de résistance opérationnelle, car elle modifie les habitudes de travail. Prévoyez une phase de communication interne avant le déploiement, puis une période de support utilisateurs de 2 à 3 semaines. Les solutions MFA les plus courantes en contexte PME sont Microsoft Authenticator (intégré à Azure AD/Entra ID), Duo Security, ou Google Authenticator pour les systèmes Linux. Le coût est généralement inclus dans les licences Microsoft 365 Business Premium (qui intègre également l'EDR Defender).

Chantier EDR et protection des postes

Le déploiement d'un EDR (Endpoint Detection and Response) sur 100 % du parc est requis par la mesure 3.1 du RMC DGA Fondamental. Pour les PME sous Microsoft 365, Microsoft Defender for Endpoint Plan 1 ou 2 est une option intégrée. Pour les environnements hétérogènes, des solutions comme SentinelOne, CrowdStrike Falcon Go, ou ESET Protect peuvent être adaptées. Le déploiement sur l'ensemble du parc (postes Windows, Mac, serveurs) nécessite un inventaire préalable complet et une gestion des exceptions (postes legacy, systèmes industriels) documentée.

Chantier sauvegarde et PCA

La mise en place d'une politique de sauvegarde conforme (fréquence quotidienne, stockage hors site, tests de restauration mensuels documentés) est l'une des mesures les plus directement liées à la résilience opérationnelle. En contexte PME, des solutions SaaS comme Veeam Cloud Connect, Acronis Cyber Protect Cloud, ou Backblaze Business offrent des capacités de sauvegarde hors site à coût maîtrisé. Le plan de continuité ou de reprise d'activité (PCA/PRA) peut être minimal mais doit exister : même un document de 5 pages décrivant les priorités de reprise et les contacts d'urgence satisfait à cette exigence.

Chantier réseau et correctifs

La segmentation réseau (bureautique vs. systèmes défense) et le filtrage des flux sont souvent les mesures les plus techniques et les plus coûteuses pour les PME. Si votre infrastructure réseau ne permet pas une segmentation physique, une segmentation logique par VLAN peut suffire à condition d'être correctement configurée et documentée. La gestion des correctifs nécessite la mise en place d'un processus formel (veille CVE, calendrier de déploiement, documentation des exceptions) plutôt que des outils coûteux — un tableau de bord simple dans un outil de gestion de projet peut suffire.

Étape 4 : Constitution du dossier de preuves (Mois 4-6)

Le dossier de preuves est la pièce maîtresse de votre conformité RMC DGA Fondamental. C'est ce document que vous présenterez à votre donneur d'ordres pour démontrer votre conformité. Il doit être structuré, complet, et actualisable dans le temps.

Structure recommandée du dossier de preuves

Organisez le dossier en 8 sections correspondant aux 8 domaines du RMC DGA Fondamental. Pour chaque mesure, incluez :

• La référence de la mesure (ex. : Domaine 2, Mesure 2.1 - Politique de mots de passe)
• La description de la mise en oeuvre (comment la mesure est appliquée dans votre environnement)
• La ou les pièces justificatives : captures d'écran de configuration, extraits de procédures, rapports d'audit, registres...
• La date de la dernière vérification ou mise à jour
• Le responsable de la mesure

Un dossier bien structuré pour une PME de 50 salariés représente typiquement 80 à 150 pages de documentation, incluant les captures d'écran et pièces jointes. Privilégiez la qualité et la traçabilité à la quantité : un dossier de 80 pages bien organisé est préférable à 300 pages de captures d'écran mal référencées.

Les preuves les plus importantes

Certaines preuves sont particulièrement scrutées par les donneurs d'ordres. Assurez-vous d'avoir des éléments irréfutables sur : la PSSI signée par le dirigeant (preuve de l'engagement de la direction), les rapports de test de restauration des sauvegardes (sur les 3 derniers mois au minimum), les journaux d'accès aux systèmes sensibles, les attestations de sensibilisation du personnel (liste d'émargement ou confirmation de formation en ligne), et la procédure de notification d'incident avec ses coordonnées opérationnelles.

Erreurs fréquentes à éviter

L'expérience des PME BITD ayant traversé la démarche RMC DGA révèle plusieurs erreurs récurrentes qui retardent la mise en conformité ou affaiblissent le dossier de preuves.

Erreur 1 : Sous-estimer le périmètre réel

Définir un périmètre trop étroit (par exemple, exclure les postes de télétravailleurs, les laptops personnels utilisés pour accéder aux systèmes défense, ou les équipements IoT connectés au réseau bureautique) est la première source de rejet lors de la revue par le donneur d'ordres. Établissez votre périmètre de manière exhaustive et documentée dès le départ.

Erreur 2 : Négliger la documentation

Une mesure techniquement en place mais non documentée est une mesure non conforme aux yeux du RMC DGA. La documentation (politiques, procédures, journaux, rapports) est aussi importante que les mesures techniques elles-mêmes. Intégrez la rédaction documentaire dès le début des travaux, en parallèle des chantiers techniques.

Erreur 3 : Oublier la sensibilisation du personnel

La sensibilisation est systématiquement sous-estimée dans les projets de mise en conformité technique. Or, le RMC DGA Fondamental exige une sensibilisation documentée de l'ensemble du personnel. Une session de 30 minutes en réunion d'équipe avec liste d'émargement et support PowerPoint suffit pour l'année, mais elle doit avoir eu lieu et être prouvable.

Erreur 4 : Procrastiner sur le plan de continuité

La rédaction du PCA/PRA est souvent repoussée en fin de projet, puis bâclée dans l'urgence. Pourtant, c'est l'une des mesures les plus vérifiées car elle témoigne de la maturité de la direction sur les enjeux de résilience. Allouez 2 jours de rédaction au début du projet, pas à la fin.

Budget typique et financement

Le budget global d'une démarche RMC DGA Fondamental pour une PME de 20 à 100 salariés se situe entre 20 000 et 70 000 euros selon le niveau de maturité initial et la proportion de recours à des prestataires externes. Une PME déjà équipée d'un EDR, d'un firewall récent et pratiquant des sauvegardes régulières peut descendre en dessous de 15 000 euros. Une PME partant de zéro sur les aspects techniques devra prévoir 40 000 à 70 000 euros.

Plusieurs dispositifs permettent de cofinancer ces investissements. Le dispositif MonEspaceNumerique de BPIFrance propose des aides pour les projets de cybersécurité des PME. Des financements régionaux existent également, notamment via les DREETS (Directions Régionales de l'Économie, de l'Emploi, du Travail et des Solidarités) qui soutiennent les investissements de mise aux normes. Renseignez-vous auprès de votre CCI ou de votre DREETS pour identifier les dispositifs applicables à votre région et votre secteur.

Pour un accompagnement expert de cette démarche, notre équipe de RSSI externalisés et de consultants cybersécurité PME propose des offres packagées spécifiquement calibrées pour la conformité RMC DGA Fondamental, de l'audit initial à la remise du dossier de preuves. Découvrez aussi notre guide complet du RMC DGA et le comparatif RMC DGA vs ISO 27001.

Maintenir la conformité dans le temps

La conformité RMC DGA Fondamental n'est pas un projet ponctuel : c'est un état à maintenir dans la durée. Une fois le dossier de preuves initial constitué et validé par votre donneur d'ordres, il faut mettre en place les processus permettant de conserver la conformité malgré les évolutions de votre SI (nouvelles applications, nouveaux postes, départs et arrivées de personnel, changements d'infrastructure).

La clé d'un maintien efficace est l'intégration de la conformité RMC DGA dans les processus opérationnels existants plutôt que de la traiter comme une activité parallèle. Concrètement, cela signifie : inclure une vérification de la conformité RMC DGA dans le processus d'achat de nouveaux équipements ou logiciels, intégrer la sensibilisation RMC DGA dans le processus d'onboarding des nouveaux employés, et programmer des revues trimestrielles de la matrice de conformité pour détecter les dérives avant qu'elles ne deviennent des écarts majeurs.

Les mises à jour du référentiel DGA doivent également être suivies avec attention. Si la DGA publie une nouvelle version du RMC DGA ou des exigences complémentaires dans vos clauses contractuelles, votre plan de maintien doit prévoir une procédure d'évaluation et d'adaptation dans un délai raisonnable (typiquement 6 mois pour les mises à jour mineures, 12 à 18 mois pour les évolutions majeures).

Témoignage : PME aéronautique défense (120 salariés)

Le témoignage de cette ETI aquitaine, sous-traitante de rang 1 d'un maître d'œuvre aéronautique de défense, illustre bien la réalité d'une démarche RMC DGA réussie. Confrontée à une demande de conformité RMC DGA Fondamental dans le cadre du renouvellement d'un contrat de maintenance d'équipements avionique militaire, l'entreprise a choisi de combiner dès le départ RMC DGA Fondamental et ISO 27001, anticipant les exigences futures de ses clients.

Le diagnostic initial a révélé 18 mesures non conformes sur 32, principalement sur la gestion des accès (pas de MFA), la sauvegarde hors site (non réalisée), et l'absence totale de documentation des procédures de sécurité. Le plan d'action a été structuré sur 10 mois, avec un investissement total de 78 000 euros (solutions techniques et accompagnement conseil). La conformité RMC DGA Fondamental a été atteinte à 9 mois, et la certification ISO 27001 obtenue 14 mois après le lancement du projet. Résultat : le contrat a été renouvelé, et l'entreprise a depuis remporté deux nouveaux marchés où sa double conformité a été un facteur différenciant dans l'évaluation des offres. La responsable des opérations témoigne : "La démarche a été exigeante, mais le bénéfice dépasse la seule conformité réglementaire — nous avons une bien meilleure visibilité sur notre SI et nos risques, et cela se ressent dans la confiance de nos clients."

Planifier le budget cybersécurité annuel post-conformité

Une fois la conformité RMC DGA Fondamental atteinte, il faut budgéter son maintien annuel. Pour une PME de 50 salariés, le budget cybersécurité récurrent post-conformité se décompose généralement en : licences EDR et outils de sécurité (3 000 à 8 000 euros/an), maintenance et support du prestataire MSSP ou RSSI externalisé (6 000 à 15 000 euros/an), sensibilisation annuelle du personnel (1 000 à 3 000 euros), mise à jour du dossier de preuves (1 000 à 2 000 euros), et veille sur l'évolution du référentiel et des menaces (inclus dans le contrat RSSI externalisé).

Au total, le maintien annuel de la conformité RMC DGA Fondamental représente 11 000 à 28 000 euros pour une PME de 50 salariés, soit un coût inférieur à 600 euros par salarié et par an. Ramené au chiffre d'affaires typique d'une PME BITD (5 à 20 M€), ce budget représente 0,1 % à 0,5 % du CA — un investissement raisonnable au regard des enjeux contractuels et réputationnels. Pour optimiser ce budget, notre équipe propose des offres de RSSI externalisé et d'accompagnement conformité adaptées aux PME BITD, avec des formules mensuelles sans engagement permettant d'ajuster le niveau de service selon l'activité.

FAQ Conformité RMC DGA Fondamental PME

Est-il possible de faire la démarche RMC DGA Fondamental entièrement en interne sans prestataire ?

Oui, c'est possible pour les PME disposant d'un informaticien compétent et d'un dirigeant impliqué. Cependant, un regard externe apporte objectivité et méthode, et réduit le risque d'une auto-évaluation trop indulgente. Pour un premier projet, un accompagnement hybride (diagnostic et revue finale par un prestataire, travaux techniques en interne) représente souvent le meilleur équilibre coût-qualité.

Que se passe-t-il si on ne respecte pas le délai imposé par le donneur d'ordres ?

Un dépassement de délai doit être communiqué proactivement à votre donneur d'ordres, avec un plan d'action actualisé et des jalons révisés. La plupart des maîtres d'œuvre industriels font preuve de pragmatisme face à un fournisseur démontrant un engagement sincère et des progrès mesurables. Un fournisseur qui ne communique pas et dépasse le délai sans explication s'expose en revanche à des conséquences contractuelles.

Faut-il un outil de gestion documentaire spécifique pour le dossier de preuves ?

Non. Un dossier SharePoint ou Google Drive bien organisé, ou même un répertoire de fichiers structuré sur un serveur, suffit. L'essentiel est que les preuves soient accessibles, nommées de manière cohérente, et que la date des captures d'écran et documents soit clairement identifiable. Des outils GRC (Gouvernance, Risque, Conformité) comme Vanta, Secureframe ou des outils français comme le logiciel de gestion de conformité EGRC peuvent faciliter la gestion, mais ne sont pas requis.

Combien de temps faut-il maintenir les preuves après la conformité ?

Le RMC DGA ne fixe pas de durée de rétention spécifique pour le dossier de preuves, mais les journaux d'audit doivent être conservés 12 mois minimum (exigence de la mesure 8.4). Pour les documents de politique et procédure, une révision annuelle est recommandée. Maintenez le dossier à jour en continu plutôt que de le reconstituer avant chaque revue.

Quelles ressources officielles pour guider la mise en conformité RMC DGA ?

Outre les documents DGA transmis dans le cadre des marchés, l'ANSSI (cyber.gouv.fr) publie le guide "La cybersécurité pour les TPE/PME en 12 questions" et les guides techniques sur les thèmes couverts par le RMC DGA (mots de passe, sauvegardes, protection des postes, etc.). Ces ressources gratuites constituent une base documentaire précieuse pour les mesures techniques et organisationnelles.