2021 IM 1300 revue suite loi PATR JO 11aout21.pdf — page 43

11 août 2021 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 1 sur 86 
 
 
 
40 
L’autorité qualifiée en sécurité des systèmes d’information 
L’autorité qualifiée en sécurité des systèmes d’information (AQSSI) a pour mission de garantir la sécurité des 
systèmes d’information classifiés. Elle doit avoir un niveau hiérarchique suffisant et disposer de tous les 
moyens nécessaires à l’accomplissement de ses missions. 
a) Modalité de désignation de l’autorité qualifiée en sécurité des systèmes d’information 
Chaque ministre désigne pour les services centraux, déconcentrés, les services à compétence nationale relevant 
de sa responsabilité, les organismes extérieurs ainsi que pour les établissements publics dont il assure la tutelle, 
la ou les autorités qualifiées en sécurité des systèmes d’information. 
S’agissant des autres personnes morales (organisme ayant accès à des informations et supports classifiés en 
raison de leur désignation en tant qu’opérateur d’importance vitale ou en vertu d’une convention ou d’un 
contrat conformément aux parties 4.1, 4.2, 4.3 et 4.4), il appartient au responsable de l’organisme de désigner, 
en son sein, une personne ayant la fonction d’autorité qualifiée en sécurité des systèmes d’information. Il en 
informe le fonctionnaire de sécurité des systèmes d’information du ministère dont il relève. 
b) Missions de l’autorité qualifiée en sécurité des systèmes d’information 
L’autorité qualifiée en sécurité des systèmes d’information définit les lignes directrices relatives à la sécurité 
des systèmes d’information classifiés pour les organismes relevant de ses attributions et en contrôle 
l’application58. 
À ce titre, elle approuve les exigences de sécurité relatives à la sécurité des systèmes d’information classifiés 
intégrées dans la politique de protection des organismes relevant de ses attributions (cf. 2.3.1.3). 
Les missions en matière de sécurité des systèmes d’information confiées aux officiers de sécurité des systèmes 
d’information, aux responsables de la sécurité des systèmes d’information, aux autorités d’homologation, aux 
autorités d’emploi ou, plus généralement, aux organismes, sont réalisées sous l’autorité et la responsabilité de 
leur autorité qualifiée en sécurité des systèmes d’information. 
Afin de lui permettre de maîtriser les systèmes d’information placés sous sa responsabilité et d’améliorer la 
capacité de réaction en cas d’incident, chaque autorité qualifiée en sécurité des systèmes d’information 
élabore, avec, le cas échéant, l’appui du ou des officiers de sécurité des systèmes d’information qui lui sont 
fonctionnellement rattachés, la cartographie de l’ensemble des systèmes d’information classifiés dont elle est 
responsable. L’autorité qualifiée en sécurité des systèmes d’information s’assure que cette cartographie, 
établie suivant les recommandations de l’agence nationale de la sécurité des systèmes d’information, est 
régulièrement actualisée. 
L’accès à cette cartographie respecte le besoin d’en connaître. Son éventuelle classification est déterminée par 
l’autorité qualifiée en sécurité des systèmes d’information. 
L’officier de sécurité des systèmes d’information (OSSI) 
Le responsable d’organisme utilisant des systèmes d’information classifiés désigne, parmi son personnel, une 
personne exerçant la fonction d’officier de sécurité des systèmes d’information ainsi que, dans la mesure du 
possible, un adjoint ou un suppléant répondant aux exigences suivantes, complétées le cas échéant par 
l’instruction ministérielle : 
-
rWUHKDELOLWpDXQLYHDXUHTXLVSDUFHWWHIRQFWLRQ 
-
DYRLUXQQLYHDXKLpUDUFKLTXHVXIILVDQW 
-
GLVSRVHUGHWRXVOHVPR\HQVQpFHVVDLUHVjO¶DFFRPSOLVVHPHQWGHVHVPLVVLRQV 
-
DSSDUWHQLUGHIDoRQVXIILVDPPHQWVWDEOHjO¶RUJDQLVPH 
-
rWUHIRUPpjODOpJLVODWLRQHWjODUpJOHPHQWDWLRQUHODWLYHVjODSURWHFWLRQGXVHFUHWjODVpFXULWpGHV
V\VWqPHVG¶LQIRUPDWLRQ\FRPSULVFODVVLILpV
58 Article R. 2311-6-2 du code de la défense.