IM 900 2021.pdf — page 112

30 avril 2021 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 18 sur 212 
TITRE 4 : MESURES DE SECURITE APPLICABLES AUX PERSONNES
MORALES DANS LE CADRE DES CONTRATS 
4.13 

106 
informations sensibles ou Diffusion Restreinte sont détenus dans les établissements du 
contractant. 
Ils portent sur les moyens humains, matériels, technologiques, organisationnels et 
d’infrastructures déployés par la personne morale pour assurer la protection, l’intégrité, 
la manipulation, la conservation et la traçabilité des ISC, des ACSSI et des informations 
Diffusion Restreinte ou sensibles, objet du contrat. 
2. Périodicité
Les contrôles sont réalisés, dans la mesure du possible, en début de contrat avant la mise 
à disposition des informations sensibles ou Diffusion Restreinte, des ACSSI et des ISC 
dans les locaux du contractant et sur les SI devant abriter des informations Diffusion 
Restreinte, sensibles ou des ISC, à l’issue de manquement ou d’incident de sécurité 
impliquant le contractant, en cours d’exécution à l’initiative des autorités contractantes 
de référence, d’habilitation et de sécurité déléguée et à la clôture du contrat. 
Toute personne morale liée au ministère des armées par un contrat avec détention ou 
accès à des ISC peut ainsi faire l’objet d’une inspection du service enquêteur ou d’un 
audit par l’autorité d’habilitation, l’autorité de sécurité déléguée ou l’autorité 
contractante (cf. fiche 2.9). 
Le délai raisonnable entre deux inspections est fixé à cinq ans lorsqu’il y a détention 
d’ISC. 
Le ministre et le directeur du service enquêteur ainsi que les autorités d’habilitation, 
contractantes de référence et de sécurité déléguée peuvent déclencher une inspection 
ou un audit de manière inopinée. L’autorité contractante peut solliciter une inspection 
auprès du service enquêteur. 
3. Compte rendu et suite donnée au contrôle et aux inspections
A l’issue du contrôle, d’un audit ou d’une inspection, les autorités contractantes de 
référence et d’habilitation ou le service enquêteur rédigent un compte rendu de l’état 
des lieux objectif du niveau de protection de la personne morale et des éventuelles 
vulnérabilités constatées. 
Lorsqu’elles révèlent des insuffisances, les conclusions des contrôles donnent lieu à des 
actions correctives. Dans ce cas un contrôle ultérieur permet d’en vérifier l’efficacité. 
Après la transmission du compte rendu,la personne morale contrôlée dispose de six mois 
pour rendre compte à l’autorité contractante de référence, à l’autorité d’habilitation et 
au service enquêteur des mesures correctives apportées ou engagées sur son site.  
Le refus de procéder à tout ou partie de ces actions correctives peut entraîner : 
Ͳ
sans préjudice des sanctions pénales et civiles, les conséquences dues au non-respect 
des dispositions acceptées contractuellement lors de l'engagement initial, comme la 
résiliation du contrat avec dédommagement de l’autorité contractante ; 
Ͳ
la révision temporaire ou définitive des aptitudes physique et informatique de 
l'établissement pour non-respect des prescriptions de sécurité et pour l’inobservation 
de la réglementation relative à la protection du secret de la défense nationale. Cette 
disposition peut entraîner la remise en cause du contrat et l’application de pénalités ;