Homologation de Sécurité ANSSI

Définition

L'homologation de sécurité est une démarche propre au contexte français de la cybersécurité de l'État, formalisée dans le Référentiel Général de Sécurité (RGS) et dans la Politique de Sécurité des Systèmes d'Information de l'État (PSSIE). Elle constitue l'acte par lequel une autorité compétente atteste qu'un système d'information (SI) est protégé de manière adéquate au regard des risques pesant sur lui, afin d'autoriser sa mise en service dans un contexte opérationnel donné. L'homologation de sécurité est obligatoire pour les systèmes d'information de l'État, des collectivités territoriales et des établissements publics, conformément à l'Instruction Interministérielle sur la Défense et la Sécurité des Systèmes d'Information (II 901) et à la circulaire du Premier Ministre du 17 juillet 2014. Elle s'applique à tous les systèmes traitant des informations sensibles ou nécessaires aux missions de service public. Le processus d'homologation suit plusieurs étapes. L'expression des besoins de sécurité (EBS) définit les critères de confidentialité, intégrité, disponibilité et traçabilité applicables aux informations traitées. L'analyse de risques (typiquement via la méthode EBIOS Risk Manager) identifie les menaces, vulnérabilités et risques pesant sur le SI. La définition des mesures de sécurité précise les contrôles techniques et organisationnels mis en place pour traiter les risques. L'audit de sécurité vérifie la mise en œuvre effective des mesures. L'autorité d'homologation prononce alors la décision d'homologation (homologation provisoire ou définitive, refus, ou recommandation de mesures complémentaires). La décision d'homologation est prononcée par l'Autorité d'Homologation (AH), généralement le directeur de l'organisme concerné ou le fonctionnaire de sécurité des systèmes d'information (FSSI) désigné. L'ANSSI accompagne les organismes dans leur démarche via ses référentiels, ses formations et ses outils (PIRANET, guides méthodologiques). Dans le contexte NIS2, la notion d'homologation s'étend progressivement vers les entités essentielles du secteur privé, avec l'exigence de démontrer la conformité de leurs systèmes critiques à des référentiels de sécurité reconnus.