kamrulkonok/evalllm2026-french-defense huggingface dataset:
IM 900 2021.pdf — page 145

30 avril 2021 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 18 sur 212 
TITRE 5 : SECURITE DES LIEUX ABRITANT DES INFORMATIONS ET 
SUPPORTS CLASSIFIES 
5.7 

139 
1. Cas envisagés 
 
a. Généralités 
Aucun organisme ne doit faire obstacle aux missions d’inspection, d’enquête ou de 
contrôle par les personnes disposant pour l’exercice de leurs attributions:  
-
du droit d’entrer dans les lieux où travaillent des salariés; 
-
de la possibilité d’effectuer les prélèvements aux fins d’analyse; 
-
de se faire présenter les livres, registres et documents utiles à l’accomplissement de 
leur mission.  
Cependant, lorsque l’organisme détient des ISC, seul le responsable de l’organisme visité 
peut les autoriser à pénétrer dans les zones où sont traités des ISC, et ce après contrôle 
de la qualité et vérification de l’identité de ces personnes. Ces personnes ne sont 
nullement autorisées à accéder ou prendre connaissance d’ISC. Si, dans des 
circonstances exceptionnelles, l’un de ces intervenants accède fortuitement à des ISC, il 
est tenu de ne pas les divulguer, sous peine de s’exposer aux dispositions des articles 413-
11 et 413-12 du code pénal. L’OS de l’entité visitée rappelle préalablement à ces 
personnes les règles de protection du secret. 
 
b. Cas d’une mission de contrôle 
Les personnes procédant aux inspections (inspecteurs et contrôleurs, médecins ou 
inspecteurs du travail, ingénieurs de prévention, instances représentatives du personnel, 
etc.) et nécessitant de pénétrer dans une zone où sont traités des ISC doivent être 
autorisées par l’autorité responsable du site, après avoir préalablement fait l’objet d’une 
vérification d’identité et d’un contrôle de leur qualité. Ces personnes ne sont nullement 
autorisées à accéder ou prendre connaissance d’ISC. 
 
c. Cas de l’exécution d’une opération de secours, de sécurité ou d’incendie  
Le personnel d’intervention en matière de secours, de sécurité ou d’incendie, agissant 
dans des cas d’urgence avérée, est autorisé à procéder aux opérations requises par la 
situation sans être soumis aux formalités ordinaires. 
 
d. Autres cas  
Dans tous les autres cas, l’intervention, pour une prestation de service, de personnes non 
qualifiées, dans un lieu abritant des éléments couverts par le secret de la défense 
nationale, n’est autorisée que dans le cadre d’un contrat sensible conclu par son 
employeur et comportant une clause de protection du secret. 
Dans le cadre de l’exécution de prestation prévue par un contrat sensible (cf. fiche 4.3), 
par exemple gardiennage de lieux abritant des éléments couverts par le secret de 
défense nationale, entretien ou maintenance dans de telles zones, ce contrat comporte 
une clause de protection du secret conforme à celle figurant à l’annexe 33 de l’IGI 1300. 
L’autorité contractante peut compléter ou adapter la clause selon les spécificités du 
contrat. 
La personne morale peut faire l’objet d’une enquête administrative pour le 
renseignement et la sûreté préalable. Les personnes physiques associées en font l’objet 
systématiquement (cf. fiche 3.9). L’autorité contractante peut écarter la candidature de
IM 900 2021.pdf — page 146

30 avril 2021 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 18 sur 212 
TITRE 5 : SECURITE DES LIEUX ABRITANT DES INFORMATIONS ET
SUPPORTS CLASSIFIES 
5.7

140 
la personne morale concernée à condition que l’avis ait été motivé par l’identification 
d’une interdiction de soumissionner137. 
Seules les personnes appartenant à l’entreprise titulaire du contrat ont le droit 
d’exécuter ce contrat sous réserve d’avoir fait l’objet, au préalable, d’une enquête 
administrative pour le renseignement et la sûreté. Les contrats de travail des personnes 
exécutant un contrat sensible comportent une clause de protection du secret présentée 
en annexe 33 de l’IGI 1300. Lorsqu’un salarié exécutant un contrat de travail ordinaire se 
trouve soumis aux conditions applicables aux contrats sensibles, un avenant est introduit 
dans son contrat de travail. 
2. Action en cas de compromission
Si une personne physique non qualifiée a eu accès à un ISC (malveillance, espionnage 
industriel, présence dans des lieux classifiés sans raison, …), il y a suspicion de 
compromission. La procédure à mettre en œuvre est la même que celle relevant d’une 
compromission avérée (cf. titre 8) et le service enquêteur est alerté au plus tôt.  

137 Articles 2, 45 et 46 de l’ordonnance n° 2015-899 du 23 juillet 2015 relative aux marchés publics, articles 
37, 40 I 3°, 41, 42 et 47 du décret n° 2016-361, ainsi que le 14° du I de l’article 3 de l’arrêté du 29 mars 2016 
fixant la liste des renseignements et des documents pouvant être demandés aux candidats aux marchés 
publics. L’acheteur peut tenir compte des garanties offertes en matière de sécurité des 
approvisionnements et des informations par les opérateurs économiques au cours du processus de 
sélection des candidatures ou des offres. Il peut également imposer des conditions particulières 
d’exécution du marché public de défense ou de sécurité.
IM 900 2021.pdf — page 147

30 avril 2021 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 18 sur 212 
TITRE 5 : SECURITE DES LIEUX ABRITANT DES INFORMATIONS ET 
SUPPORTS CLASSIFIES 
5.8 

141 
5.8: ACCES DES MAGISTRATS AUX INFORMATIONS ET SUPPORTS 
CLASSIFIES 
Références: 
•
Code de procédure pénale – art. 56-4, 230-2 et 698-3 
•
Code de la défense – art. L. 2312-4 à L. 2312-8 
•
IGI 1300 – 1.2.2.2 
•
Note n° 331 DEF/CAB/BRES/DR du 14 avril 2011 relative à la procédure à suivre en 
cas de perquisition dans un lieu abritant des éléments couverts par le secret de la 
défense nationale ou dans un lieu neutre. 
Points clés: 
• Une perquisition ne peut être effectuée que par des magistrats ou des officiers de 
police judiciaire, selon les cas. Ils peuvent saisir des ISC mais ne sont pas autorisés 
à en prendre connaissance à ce stade de la procédure. 
• Les éléments utiles à la justice sont déclassifiés avant d’être versés à la procédure. 
Seul le ministre de la défense peut prendre une décision de déclassification138. 
• Pour saisir des ISC dans un lieu abritant, le magistrat doit être accompagné du 
président de la commission du secret de la défense nationale (CSDN) ou de son 
représentant ou de son délégué dûment habilité. 
• Seul le président de la CSDN, son représentant139, et, s’il y a lieu, les personnes qui 
l’assistent peuvent prendre connaissance d’éléments classifiés et vérifier s’ils 
concernent les infractions sur lesquelles portent les investigations. 
• Les autorités responsables des lieux abritant des ISC sont tenues de diffuser à 
l’intention de leurs personnels les consignes prescrivant la conduite à tenir en cas 
de perquisition, afin de faciliter le déroulement des opérations. 
• Lors d’une audition, aucun personnel n’est autorisé à s’exprimer au sujet d’une 
information classifiée avant que celle-ci ne soit déclassifiée.  
 
Il n’est pas tenu compte dans la présente fiche de l’exception que constituent les magistrats 
de la formation spécialisée du Conseil d’Etat chargée du contentieux de la mise en œuvre 
des techniques de renseignement soumises à autorisation et des fichiers intéressant la 
sûreté de l’Etat et la défense (cf. IGI 1300 – 1.2.2.2.b).   
  
1. Compétences 
Le détenteur d’une information classifiée a le devoir d’en refuser la communication à un 
tiers, même s’il s’agit d’un magistrat ou d’un officier de police judiciaire (OPJ). Pour être 
consultés par un magistrat ou un OPJ, les éléments classifiés sont au préalable déclassifiés 
sur décision du ministre140 (après avis de la CSDN). 
 
 

138 A l’exception des ISC dont il n’est pas l’autorité émettrice.  
139 Membre de la commission ou un délégué choisi sur une liste établie par la commission. 
140 A l’exception des ISC dont il n’est pas l’autorité émettrice.
IM 900 2021.pdf — page 149

30 avril 2021 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 18 sur 212 
TITRE 5 : SECURITE DES LIEUX ABRITANT DES INFORMATIONS ET
SUPPORTS CLASSIFIES 
5.8

143 
c. S’il s’agit d’un lieu abritant, s’assurer de la présence du magistrat et du président de 
la CSDN (ou de son représentant ou délégué dûment habilité). Les opérations de
perquisition ne peuvent débuter qu’en leur présence.
d. Informer dans les meilleurs délais sa hiérarchie de la démarche judiciaire.
e. Cas 1: Si le magistrat saisit des originaux dans un lieu abritant, des copies doivent
être laissées à leur détenteur. Les éléments éventuellement saisis sont remis au
président de la CSDN ou son représentant ou délégué dûment habilité et placés
sous scellés durant les opérations, sans que le magistrat ait pu prendre
connaissance de leur contenu. Ils ne peuvent être versés à la procédure qu’après
déclassification.
Cas 2: Si des ISC sont découverts dans un lieu neutre, l’OPJ avise immédiatement
le magistrat mandant. Le président de la CSDN est alerté et les documents saisis lui
sont transmis. Des copies des documents doivent être laissées à leur détenteur. Les
ISC sont placés sous scellés durant les opérations, sans que le magistrat ou l’OPJ ait
pu prendre connaissance de leur contenu. Ils ne peuvent être versés à la procédure
qu’après déclassification.
f. Rendre compte à sa hiérarchie du déroulement de la perquisition.
3. Cas particulier des auditions
Aucune autorité administrative ne peut autoriser l’un de ses agents à s’exprimer au sujet 
d’une information classifiée avant que celle-ci ait été préalablement déclassifiée. Si une 
autorité judiciaire interroge une personne sur des éléments couverts par le secret de la 
défense nationale, celle-ci doit donc refuser de répondre en rappelant les dispositions 
applicables en matière de protection du secret de la défense nationale.
IM 900 2021.pdf — page 150

30 avril 2021 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 18 sur 212 



ϭϰϰ

TITRE 6 : SECURITE DES SYSTEMES D’INFORMATION POUR LES 
ENTITES DE DROIT PRIVE 

REMARQUES GENERALES 
 
Le présent titre 6 ne s’applique qu’aux seules entités contractantes du MINARM et du 
CEA/DAM pour les systèmes d’information qu’elles exploitent pour l’exécution du 
contrat, quel qu’en soit le niveau de classification. Il s’inscrit en complément des 
règlementations en vigueur (IGI1300, II901, dispositif SAIV, etc.) sans se substituer à ces 
dernières. Il apporte certaines précisions sur ces différentes réglementations, vise à 
apporter une harmonisation et à préciser les interactions entre les entités contractantes 
et le ministère des armées. Dans certains cas, lorsque le ministère l’a jugé utile, il rappelle 
certaines mesures de la réglementation et peut apporter des mesures complémentaires. 
En ce qui concerne les systèmes livrés par les entités contractantes, les dispositions 
spécifiques prévues au contrat s’appliquent, qu’il s’agisse de méthodologie ou de 
mesures spécifiques. Sauf disposition prévue par le contrat, le système livré doit être 
conforme à la réglementation pour le niveau de classification des informations qu’il 
traitera en exploitation par le ministère. 
Les plates-formes représentatives ou de qualification des systèmes d’armes sont 
généralement construites dans le cadre du processus d’ingénierie. Contrairement aux 
autres systèmes détenus par l’industriel, la sécurité de ces plates-formes est fixée par les 
dispositions contractuelles, notamment les questions de représentativité du système 
d’arme ou de conformité à la réglementation.  
Les entités relevant du ministère doivent appliquer l’IM7326 (politique de sécurité des 
systèmes d’information). Les entités publiques sous tutelle du ministère appliquent 
également l’IM7326, sous couvert de l’autorité du ministère responsable de la tutelle qui 
pourra en préciser les éventuelles modalités d’application.
IM 900 2021.pdf — page 151

30 avril 2021 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 18 sur 212 
TITRE 6 : SECURITE DES SYSTEMES D’INFORMATION POUR LES ENTITES DE
DROIT PRIVE
6.1 

145 
6.1: CARTOGRAPHIE DES SYSTEMES D’INFORMATION DES ENTITES 
CONTRACTANTES 
Références: 
•
Code de la défense – Art. L.1332-6-1 à L.1332-6-6
•
IGI 1300 – 6.1
•
II n°901/SGDSN/ANSSI relative à la protection des systèmes d’information sensibles 
•
Cartographie du système d’information, guide de l’ANSSI d’élaboration en 5 étapes
Points clés: 
• La cartographie permet une connaissance complète des systèmes d’information
de l’entité.
• Son contenu est décrit dans la PSSI de l’entité contractante.
La cartographie apporte une connaissance complète de l’environnement du système 
d’information (SI), de ses interactions avec l’extérieur et de toute son infrastructure 
technique. Cette connaissance détaillée permet de réagir plus efficacement en cas 
d’incident (cf. fiche 8.2). 
La cartographie des SI est établie sous la responsabilité de l’autorité qualifiée. Elle fournit 
la connaissance du système d’information global de l’entité (classifié et non classifié) et 
permet notamment d’appréhender les principaux risques sur son activité. Cette 
cartographie est également nécessaire à l’identification initiale des Systèmes 
d’Information d’Importance Vitale (SIIV) et des systèmes d’information traitant des 
informations sensibles, Diffusion Restreinte ou classifiées. 
L’autorité qualifiée en SSI de l’entité contractante précise dans la PSSI le contenu exact 
de la cartographie qui comprend au moins selon les recommandations de l’ANSSI: 
-
la description fonctionnelle et les lieux d’installation du SI et de ses différents sous-
réseaux et, le cas échéant, les plages d’adresses associées aux différents sous-réseaux
composant le système d’information;
-
la description fonctionnelle des points d’interconnexion du SI et de ses différents
sous-réseaux avec des réseaux tiers, notamment la description des équipements et
des fonctions de filtrage et de protection mis en œuvre au niveau de ces
interconnexions;
-
l’inventaire et l’architecture des dispositifs d’administration du SI permettant de
réaliser notamment les opérations d’installation à distance, de mise à jour, de
supervision, de gestion des configurations, d’authentification ainsi que de gestion des
comptes et des droits d’accès;
-
la liste des comptes disposant de droits d’accès privilégiés au SI. Cette liste précise
pour chaque compte le niveau et le périmètre des droits d’accès associés;
-
les équipements d'import et d'export de données;
-
l’inventaire, l’architecture et le positionnement des services de communication et
d’accès distant mis en œuvre par le SI.
IM 900 2021.pdf — page 152

30 avril 2021 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 18 sur 212 
TITRE 6 : SECURITE DES SYSTEMES D’INFORMATION POUR LES ENTITES DE
DROIT PRIVE
6.1 

146 
Les éléments de cartographie ainsi réunis sont des documents sensibles susceptibles de 
contenir des informations couvertes par le secret de la défense nationale.
IM 900 2021.pdf — page 153

30 avril 2021 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 18 sur 212 
TITRE 6 : SECURITE DES SYSTEMES D’INFORMATION POUR LES ENTITES DE
DROIT PRIVE
6.2 

147 
6.2: LE PROCESSUS D’HOMOLOGATION 
Références :  
•
Directive européenne  NIS141  (Network and Information Security - directive sur la
sécurité des réseaux et des systèmes d’information )
•
Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés
modifiée, dite  loi informatique et libertés  (LIL), reste applicable, dans une version 
remise à jour par la loi n° 2018-493 du 20 juin 2018 relative à la protection des
données personnelles, complétée par ses décrets d'application
•
Articles L.1332-6-1 à L.1332-6-6 du code de la défense
•
IGI 1300 – 6.1
•
II n°901/SGDSN/ANSSI relative à la protection des systèmes d’information sensibles 
•
Référentiel général de sécurité - version 2.0 du 13 juin 2014
Points clés: 
• L’homologation d’un SI consiste à évaluer les risques encourus afin de les traiter ou
de les accepter. Elle fournit un niveau de confiance dans l’usage et la protection
des informations et du système d’information.
• La démarche d’homologation est un préalable à toute mise en service d’un SI, quel
que soit son niveau de sensibilité ou de classification.
• La démarche d’homologation est globale: elle doit prendre en compte
l’écosystème métiers et IT, aussi bien interne qu’externe, dans lequel le SI
concerné s’intègre dans toutes ses phases de vie.
1. La démarche d’homologation
La démarche d’homologation s’intègre dans le cycle de vie d’un système d’information 
(SI). Elle repose sur une analyse de risque globale et prend en compte tous les éléments 
indispensables au fonctionnement et à la sécurité du système. Elle permet de s’assurer 
que les risques pesant sur ce système au regard des objectifs de sécurité, dans son 
contexte d’emploi, sont connus et maîtrisés. À cet effet, elle consiste à trouver le juste 
équilibre entre les risques résiduels acceptables, les actions à conduire pour la 
sécurisation et les contraintes techniques ou organisationnelles, en prononçant les 
arbitrages nécessaires, de manière formelle, par un responsable qui a autorité pour le 
faire. 
L’homologation de sécurité d’un SI correspond à une démarche globale: le périmètre du 
SI à homologuer comporte tous les éléments indispensables au fonctionnement et à la 
sécurité du système. Il inclut les éléments fonctionnels et d’organisation, les éléments 
techniques, ainsi que le périmètre géographique et physique. L’homologation tient 
compte de l’environnement numérique du système d’information comme les systèmes 
en interface, les équipements externes pouvant être connectés au système, notamment 
lors d’opération de maintenance, etc. 
La démarche d’homologation débute par la définition de la stratégie d’homologation qui 
a pour objectif de préciser : 

141 http://eur-lex.europa.eu/legal-content/FR/TXT/?uri=uriserv:OJ.L_.2016.194.01.0001.01.FRA&toc=OJ:L:2016:194:TOC
IM 900 2021.pdf — page 156

30 avril 2021 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 18 sur 212 
TITRE 6 : SECURITE DES SYSTEMES D’INFORMATION POUR LES ENTITES DE
DROIT PRIVE
6.2 

150 
-
d’importance vitale (SIIV);
-
essentiels (SE) [NIS];
-
sensibles ou Diffusion Restreinte (II901) ou classifiés (IGI1300);
-
établissant des échanges entre administrations ou réalisant des télé-services au profit
des citoyens [RGS];
-
traitant de données à caractère personnel (DCP), [Loi I&L];
-
relevant des dispositions de la présente instruction.
En fonction de la nature du système d’information objet de l’homologation, il peut être 
parfois impossible pour des raisons techniques ou opérationnelles de se conformer à 
certaines mesures de sécurité. Par exemple, l’authentification forte de l’utilisateur sur un 
système d’arme comme un missile air-air peut apparaitre peu pertinente. Les non 
conformités éventuelles doivent figurer dans le dossier d’homologation, doivent y être 
justifiées et les éventuels risques associés doivent être identifiés. 
Lorsque plusieurs réglementations s’appliquent sur un même SI, la démarche 
d’homologation et la décision d’homologation sont uniques et couvrent l’ensemble des 
réglementations applicables. 
4. Le dossier d’homologation
La composition du dossier d’homologation est fixée dans la stratégie d’homologation. Il 
contient généralement une sélection des documents suivants: 
-
une description du système d’information (son utilité, son cadre d’emploi, les
composants matériels et logiciels, l’architecture réseau logique et physique, les
utilisations, administrateurs et responsables de sécurité, les références des plans
contractuels);
-
les objectifs de sécurité du système d’information;
-
la politique de sécurité du système d’information143;
-
les procédures d’exploitation de la sécurité (PES);
-
les modalités de gestion des risques résiduels;
-
le plan d’amélioration continue de la sécurité;
-
les résultats des tests et des audits menés pour vérifier l’état de sécurité du système;
-
la documentation de sécurité à destination des utilisateurs et des administrateurs;
-
la documentation relative à la gestion des éléments cryptographiques mis en œuvre
dans le système d’information;
-
la cartographie complète du système d’information qui comprend notamment la liste
des équipements externes pouvant être connectés au système d’information (matériel 
de maintenance, d’audit, etc.);
-
les schémas détaillés de l’architecture du système d’information;
-
les agréments des dispositifs de sécurité;
-
l’analyse de risque et les mesures de mitigation envisagées.
Pour les SI classifiés, le dossier d’homologation doit contenir:
-
les avis techniques d’aptitude physique (ATAP) ;
-
sauf dérogation de la DRSD et de l’autorité contractante, l’avis technique d’aptitude
informatique (ATAI) (Cf. fiche 6.3)

143 Généralement, il s’agit de la politique de sécurité des systèmes d’information applicable au sein de 
l’organisme éventuellement complété d’éléments propre au système d’information considéré.
IM 900 2021.pdf — page 157

30 avril 2021 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 18 sur 212 
TITRE 6 : SECURITE DES SYSTEMES D’INFORMATION POUR LES ENTITES DE 
DROIT PRIVE 
6.2 

151 
-
et les autres documents prévus par l’IGI1300. 
Conformément à l’IGI1300, la nécessité du versement de chacun de ces documents au 
dossier d’homologation est évaluée et justifiée au regard des enjeux du système 
d’information. Si un document n’est pas versé au dossier d’homologation, la justification 
associée y figure. 
Le dossier d’homologation, particulièrement la politique de sécurité du SI et le plan 
d’amélioration continue de la sécurité, présente les mesures de sécurité en profondeur 
suivantes : 
-
protection : mesures visant à réduire les vulnérabilités et facteurs d’exposition du SI 
(surface d’attaque) ; 
-
défense : mesures visant à superviser le SI, détecter les événements de sécurité et 
anticiper la réponse à un incident ; 
-
résilience : mesures visant à gérer les situations de crise et à assurer la continuité et 
reprise d’activité ; 
-
gouvernance : mesures visant à définir une organisation de management des risques 
cyber adaptée, agile et réactive pour le SI. 
 
5. Commission d’homologation 
L’autorité d’homologation met en place une commission d’homologation chargée de 
l’assister et de préparer la décision d’homologation. Une telle commission comprend 
notamment des représentants des utilisateurs du système et des responsables de 
l’exploitation et de la sécurité du système.  
Pour les SI classifiés, la DRSD144 est membre de droit de la commission. Pour les autres SI, 
la DRSD est systématiquement informée et membre de la commission si nécessaire. Les 
autorités contractantes sont membres de droit des commissions d’homologation. Si elles 
le jugent nécessaire, elles peuvent solliciter le FSSI du Ministère des Armées. Afin de leur 
permettre d’apprécier la nécessité de leur participation, l’autorité d’homologation les 
informe, dans un délai raisonnable, de la date de la commission et leur transmet, le cas 
échéant, le dossier d’homologation. 
Au titre de la maitrise du risques cyber au sein de l'industrie de défense, la DGA doit 
pouvoir accéder aux informations concernant l'état de cybersécurité de leurs SI et 
participer aux commissions d'homologation de ces SI. 
En tant qu’autorité nationale en matière de sécurité des systèmes d’information, l’ANSSI 
conserve la possibilité de participer à toute commission d’homologation d’un SI classifié. 
Elle en est membre de droit lorsque le SGDSN est l’autorité d’homologation. 
 
6. Décision d’homologation 
La décision d’homologation constitue le premier aboutissement de la démarche 
d’homologation, le cas échant après avis de la commission d’homologation. Elle se 
traduit par l’attestation formelle de l’autorité d’homologation et précise les éventuelles 
conditions d’emploi, que le SI considéré est protégé conformément aux objectifs de 

144 Ou la DGSE, le cas échéant.
IM 900 2021.pdf — page 158

30 avril 2021 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 18 sur 212 
TITRE 6 : SECURITE DES SYSTEMES D’INFORMATION POUR LES ENTITES DE
DROIT PRIVE
6.2 

152 
sécurité fixés. Ces objectifs sont généralement exprimés en termes de confidentialité, 
d’intégrité, de disponibilité et de traçabilité.  
L’autorité d’homologation accepte les risques résiduels de sécurité, en pleine 
connaissance des vulnérabilités du système d’information qui sont liées notamment : 
-
aux usagers
-
aux interconnexions avec d’autres systèmes ;
-
aux supports amovibles;
-
aux accès à distance par des utilisateurs  nomades  ;
-
aux moyens de visualisation et d’hébergement des informations classifiées;
-
aux opérations de maintenance, d’exploitation ou de télégestion du système,
notamment lorsqu’elles sont effectuées par des prestataires externes.
Un SI classifié protège des informations classifiées soit transmises par le ministère pour 
l’exécution du contrat, soit élaborées dans le cadre du contrat au profit du ministère. La 
compromission de ces informations est de nature à remettre en cause les intérêts 
fondamentaux de la nation. Par ailleurs, la perte d’intégrité d’information sur des SI 
protégeant des informations de niveau Diffusion Restreinte ou classifié peut entraîner le 
sabotage d’un système d’armes (rendre le système d’armes non fonctionnel, non 
conforme aux performances attendues, non intègre, permettre sa prise de contrôle par 
un attaquant). Ainsi, de façon exceptionnelle, pour les SI classifiés ou protégeant des 
informations de niveau Diffusion Restreinte, si le niveau de risque est jugé inacceptable 
par la DRSD et par l’autorité contractante, et pourrait mettre en péril la confidentialité, 
la disponibilité ou l’intégrité d’informations Diffusion Restreinte ou classifiées de défense, 
alors l’autorité d’homologation n’est pas autorisée à prononcer l’homologation du SI. 
Dans ce cas exceptionnel, avec l’accord de la DRSD et de l’autorité contractante, une 
Autorisation 
Provisoire 
d’Emploi 
(APE) 
peut 
être 
proposée 
à 
l’autorité 
d’homologation. La durée de validité d’une APE est de 6 mois maximum et est 
renouvelable au plus une fois. 
La décision d’homologation doit intervenir avant la mise en service opérationnelle du 
système. 
La décision d’homologation est prononcée pour une durée maximale: 
-
de cinq ans pour un SI traitant de données non protégées, sensibles ou Diffusion
Restreinte;
-
de trois ans pour un SI au niveau Secret;
-
de deux ans pour un SI au niveau Très Secret ou traitant d’informations classifiées au
niveau Très Secret classification spéciale.
Cette durée d’homologation peut être réduite par une règlementation plus 
contraignante, comme celle concernant les systèmes d’information d’importance vitale. 
Dans le cas d’une Autorisation Provisoire d’Emploi peut être proposée à l’autorité 
d’homologation. La durée de validité d’une APE est de 6 mois maximum et est 
renouvelable au plus une fois.
IM 900 2021.pdf — page 159

30 avril 2021 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 18 sur 212 
TITRE 6 : SECURITE DES SYSTEMES D’INFORMATION POUR LES ENTITES DE
DROIT PRIVE
6.2 

153 
La 
DRSD 
et 
l’autorité 
contractante 
sont 
destinataires 
de 
toute 
décision 
d’homologation145 ou d’autorisation provisoire d’emploi. Elles peuvent demander le 
dossier d’homologation correspondant. 
7. Contrôle et renouvellement de l’homologation
Conformément aux 
instructions 
de 
la 
PSSI 
de 
l’opérateur privé, 
l’autorité 
d’homologation fixe les conditions du maintien de l’homologation de sécurité au cours 
du cycle de vie du système d’information. Elle contrôle régulièrement que le système 
fonctionne effectivement selon les conditions qu’elle a approuvées, en particulier après 
des opérations de maintien en condition opérationnelle et de maintien en condition de 
sécurité (MCS).  
L’autorité d’homologation examine le besoin de renouvellement de l’homologation 
avant le terme prévu sur la base du dossier tenu à jour par le Responsable de la Sécurité 
du SI. 
Une nouvelle décision d’homologation est nécessaire lorsque: 
-
les conditions d’exploitation du système ont été significativement modifiées;
-
des nouvelles fonctionnalités ou applications ont été installées;
-
le système a été interconnecté à de nouveaux systèmes;
-
des problèmes d’application des mesures de sécurité ou des conditions de maintien
de l’homologation ont été révélés;
-
les menaces sur le système ont évolué;
-
de nouvelles vulnérabilités ont été découvertes;
-
le système a fait l’objet d’un incident de sécurité;
-
un ATAI défavorable ou, à la demande de la DRSD et de l’autorité contractante, un
ATAI avec réserve.
Le Responsable de la Sécurité du SI analyse les évènements pouvant remettre en cause 
l’homologation et, en fonction des impacts, il sollicite ou non l’autorité d’homologation 
via la commission d’homologation pour la conduite à tenir.  
L’autorité d’homologation est responsable de contrôler le niveau de sécurité atteint du 
système (cf. fiche 6.4)͘ 
La DRSD, l’autorité contractante ou l’autorité d’habilitation peuvent contrôler eux-
mêmes ou faire contrôler le niveau de sécurité atteint et la maitrise des risques du 
système. Dans le cas d’un système classifié, si ce contrôle est réalisé par la DRSD, il donne 
lieu à un ou plusieurs ATAI. Dans un système Diffusion Restreinte, le contrôle donne lieu 
à un avis sur le niveau de sécurité et si besoin des recommandations. 
Sauf dérogation de la DRSD et de l’autorité contractante, le renouvellement d’une 
homologation nécessite un nouvel avis technique d’aptitude informatique (ATAI). 

145 Les décisions d’homologation relatives aux entités contractantes avec la DGSE répondent à une procédure 
spécifique.
IM 900 2021.pdf — page 160

30 avril 2021 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 18 sur 212 
TITRE 6 : SECURITE DES SYSTEMES D’INFORMATION POUR LES ENTITES DE
DROIT PRIVE
6.3 

154 
6.3: CONTRÔLE D’APTITUDE AU TRAITEMENT D’INFORMATIONS 
NUMERIQUES CLASSIFIEES 
Références:  
•
IGI 1300 – annexe 30
•
DTM 63
•
II 300, directives 485 et 495
•
Guide DGA de rédaction DSSI
Points clés: 
• Les systèmes d’information classifiés sont homologués pour être utilisés. Dans ce
cadre, un avis technique d’aptitude informatique (ATAI) est nécessaire sauf
dérogation prévue par la présente fiche.
• L’ATAI est émis par la DRSD et informe les autorités contractantes et l’autorité
d’homologation du niveau de protection du secret atteint sur le système
d’information de l’entité.
1. Généralités
Pour les SI classifiés intéressant la défense, la DRSD contrôle le niveau de sécurité et 
s’assure que les risques cyber sont maitrisés. Ce contrôle donne lieu à un ou plusieurs avis 
d’aptitude informatique (ATAI). Un ATAI est généralement nécessaire dans le cadre de 
l’homologation ou des renouvellements d’homologation. 
Afin de produire un ATAI, la DRSD146 s’assure en particulier que:  
-
Pour les contrats classifiés intéressant la défense, le niveau de classification du
système d’information est conforme aux prescriptions du plan contractuel de sécurité 
du contrat.
-
Les constituants physiques du système d’information sont situés dans des locaux
ayant fait l’objet d’un avis technique d’aptitude et que, le cas échéant, les liens
informatiques cheminant hors de ces locaux font l’objet d’une approbation
conformément à la fiche 6.10.
-
Les mesures de protection contre les signaux parasites compromettants sont
conformes.
-
Les personnes ayant accès au système d’information ou à ses constituants physiques
sont habilitées au niveau idoine.
-
Les supports numériques classifiés (ISC) sont dûment marqués et enregistrés
Pour les systèmes d’information de niveau Très Secret, la DRSD s’assure de plus que:
-
les résultats de mesures d’atténuation électromagnétiques (Tempest) réalisées par un
organisme accrédité identifient les locaux utilisés comme aptes à traiter des
informations numériques classifiées au niveau Très Secret en fonction des
caractéristiques des équipements présents.
-
les locaux identifiés sont érigés en zone réservée incluse dans une zone protégée.

146 Ou la DGSE pour les contrats qui la concernent.
IM 900 2021.pdf — page 162

30 avril 2021 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 18 sur 212 
TITRE 6 : SECURITE DES SYSTEMES D’INFORMATION POUR LES ENTITES DE 
DROIT PRIVE 
6.3 

156 
  
c.  Avis défavorable 
La mise en lumière de vulnérabilités graves ou de non conformités réglementaires 
mettant en péril la confidentialité, la disponibilité ou l’intégrité d’informations classifiées 
de défense peuvent conduire la DRSD à émettre un avis défavorable. 

IM 900 2021.pdf — page 164

30 avril 2021 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 18 sur 212 
TITRE 6 : SECURITE DES SYSTEMES D’INFORMATION POUR LES ENTITES DE 
DROIT PRIVE 
6.4 

158 
Les conditions d'utilisation des équipements nécessaires à l'audit doivent respecter la 
fiche 6.7 relative à la mobilité et aux supports amovibles. 
Pour un système Diffusion Restreinte ou classifié, en cas de recours à un prestataire, celui-
ci doit être qualifié Prestataire d’Audit de la Sécurité des Système d’Information 
(selon la nature du système d’information: PASSI ou PASSI-LPM149). Le plan contractuel 
de sécurité du sous-contrat doit préciser comment la prestation d’audit doit être réalisée 
(il peut prévoir l’impossibilité pour les auditeurs de récupérer des informations issues du 
système d’information audité, la mise à disposition par l’entreprise auditée des moyens 
d’audit ou des moyens pour rédiger le rapport d’audit, la réalisation complète de la 
prestation dans les locaux de l’entreprise auditée, l’exécution des outils d’audit par les 
administrateurs du système et non par les auditeurs, la réalisation de la totalité de la 
prestation par des moyens logiciels et/ou matériels propres aux auditeurs mais avec des 
mesures de contrôle et de surveillance particulières, …). 
Les rapports d'audit sont classifiés selon les dispositions prévues par l’annexe 9 de la 
présente instruction.  
L’audit porte au moins sur: 
-
l’application des dispositions réglementaires et des directives particulières de l’AQSSI 
responsable; 
-
le respect des conditions organisationnelles et techniques prévues par l’homologation 
ou l'autorisation provisoire d'emploi du système ; 
-
l’adéquation des règles d’exploitation (contrôle des procédures d’exploitation de 
sécurité); 
-
la protection du personnel ; 
-
les mesures de sauvegarde en cas d’incident ou d’accident ; 
-
la planification des mesures particulières relatives aux situations de crise ; 
-
l’évaluation des conséquences des risques acceptés ; 
-
le respect des dispositions réglementaires relatives à la gestion des ACSSI; 
-
la protection contre les signaux parasites compromettants. 
Les conditions de mise à disposition des outils, des privilèges et de communication des 
relevés techniques nécessaires à la réalisation de l’audit de sécurité doivent figurer dans 
une charte d’audit spécifique au système visé, quel que soit son niveau de classification 
et sans préjudice des dispositions de la présente instruction. Cette charte d’audit entre 
l’entité du système d’information visé et celui réalisant l’audit précise ces conditions et 
le périmètre de l’audit. 

149 Prestataire d’audit qualifié par l’ANSSI au sens des articles L.1332-6-1 à L.1332-6-6 du code de la défense.
IM 900 2021.pdf — page 165

30 avril 2021 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 18 sur 212 
TITRE 6 : SECURITE DES SYSTEMES D’INFORMATION POUR LES ENTITES DE 
DROIT PRIVE 
6.5 

159 
6.5: SOUS-CONTRACTANCE A UN TIERS EN MATIERE INFORMATIQUE 
Références :  
•
Décret n° 2016-361 du 24 mars 2016 relatif aux marchés de défense et de sécurité 
•
IGI 1300 – 6.3 
•
Guide de l’externalisation150, par l’ANSSI 
Points clés: 
• Pour les systèmes d’information classifiés ou Diffusion Restreinte, le recours par un 
contractant du MINARM à une sous-contractance informatique doit être 
explicitement autorisé par le plan contractuel de sécurité initial. 
• Préalablement à la mise en place d’une sous-contractance, une analyse de risque 
doit être menée. 
• La contractualisation par l’entreprise à un tiers d’activités sur des systèmes 
d’information sensibles, Diffusion Restreinte ou classifiés impose de formaliser les 
objectifs de sécurité dans des documents dédiés et d’appliquer les mesures de 
protection associées. 
 
La sous-contractance informatique consiste à confier à un tiers tout ou partie de l’activité 
dans le domaine des systèmes d’information. Il peut s’agir, entre autres, de MCO 
(maintien en condition opérationnelle), de MCS (maintien en condition de sécurité), de 
TMA (tierce maintenance applicative), d’ASP (Application Service Provider - fournisseur 
d'applications en ligne), de SAAS (Software as a service - logiciel en tant que service), de 
MSSP (Managed Security Service Provider - fournisseur de service de sécurité géré), etc. 
Toute entreprise sous contrat avec le MINARM traitant des informations Diffusion 
Restreinte ou classifiées est tenue d’appliquer les présentes dispositions. Le recours à une 
sous-contractance doit être explicitement autorisé par le plan contractuel de sécurité. 
Le cas échéant, les activités peuvent être identifiées comme des tâches essentielles151 qui 
ne peuvent faire l’objet d’un sous-contrat. En particulier, les prestations d’administration 
de la sécurité d’un système d’information classifié ne peuvent pas faire l’objet d’un sous-
contrat. 
 
1. Analyse de risque préalable par l’autorité contractante. 
Une analyse de risque est nécessaire pour formaliser des objectifs de sécurité ainsi que 
des mesures adaptées au contexte. Cette analyse de risque permettra à l’autorité 
d’homologation d’autoriser ou non la sous-contractance. 
L’entreprise doit veiller à conserver la maîtrise du système d’information (gouvernance, 
dépendance technologique, etc.). 
Trois sources de risques principales liées à la démarche de sous-contractance à un tiers 
doivent être envisagées: 

150 https://www.ssi.gouv.fr/uploads/IMG/pdf/2010-12-03_Guide_externalisation.pdf 
151 Au sens de l’article 133 du décret de référence.
IM 900 2021.pdf — page 167

30 avril 2021 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 18 sur 212 
TITRE 6 : SECURITE DES SYSTEMES D’INFORMATION POUR LES ENTITES DE 
DROIT PRIVE 
6.5 

161 
Il doit leur être également demandé un descriptif des dispositifs de télémaintenance et 
des mesures de sécurité techniques et organisationnelles proposées: 
-
la sécurité de la liaison: réseau public ou ligne spécialisée, type de VPN, etc.; 
-
les dispositifs techniques de sécurité: filtrage des accès réseau, droits d’accès, etc.; 
-
les mesures organisationnelles, les procédures retenues pour déclencher une 
intervention; 
-
les mécanismes d’authentification des techniciens assurant le support; 
-
la traçabilité des actions; 
-
la protection des accès aux données confidentielles en cas d’utilisation sur un système 
de production; 
-
les éventuels rapports d’audit et plans d’action afférents
IM 900 2021.pdf — page 168

30 avril 2021 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 18 sur 212 
TITRE 6 : SECURITE DES SYSTEMES D’INFORMATION POUR LES ENTITES DE
DROIT PRIVE
6.6 

162 
6.6: PRISE EN COMPTE DE LA SECURITE DANS LE CYCLE DE VIE DES 
SYSTEMES D’INFORMATION 
Référence :  
IGI 1300 – 6.6. 
Point clé: 
La sécurité doit être prise en compte dans tout le cycle de vie d’un système 
d’information depuis la phase de conception/développement en passant par la phase 
d’exploitation (maintien en condition opérationnelle et de sécurité) jusqu’au retrait de 
service. Elle est à la charge de l’entité contractante. 
1. Développement
a. Principes
Afin de prévenir les attaques informatiques, les systèmes d’information et les 
applications métier doivent être développés de manière robuste et sécurisée 
conformément à l’état de l’art. La sécurité doit être prise en compte dès la conception 
d’un système. Cette précaution relève du responsable de l’organisme. Le RSSI de 
l’organisme est chargé d’en organiser la mise en œuvre. 
A cet effet, l’ANSSI fournit des guides et recommandations. Il s’agit de guides et 
recommandations concernant la méthodologie pour intégrer la sécurité dans le 
développement d’un système d’information, concernant la maitrise des risques cyber ou 
concernant la configuration et la sécurité des solutions disponibles sur étagère. 
b. Dispositions particulière concernant les supports physiques intégrés dans des
équipements
Une grande partie des équipements constitutifs des systèmes d’information est équipée 
de supports physiques de stockage rémanent (mémoires de masse de type disque dur 
magnétique, SSD, mémoire flash, …). On les retrouve au sein d’équipements tels que les 
serveurs, ordinateurs individuels, robots de sauvegarde, périphériques de stockage, 
copieurs multifonctions,  ordiphones , vidéoprojecteurs, systèmes de visioconférence, 
des matériels de téléphonie et équipements de réseau. 
Les actes contractuels d'approvisionnement et de maintenance d'équipements qui 
intègrent des supports physiques pour traiter des informations classifiées ou Diffusion 
Restreinte doivent comprendre des clauses de non-retour de ces supports chez les 
fournisseurs, applicables dès lors que ces supports ont traité des informations classifiées 
ou Diffusion Restreinte. 
Sur les SI classifiés, ces supports physiques contiennent des informations classifiées et 
doivent être traités, si les informations ne sont pas chiffrées par un dispositif agréé, 
comme étant des ISC physiques, soit de façon unitaire, soit au niveau de l’équipement. 
A chaque étape de la vie du système, la traçabilité et la gestion réglementaire de ces ISC 
doit être assurée.
IM 900 2021.pdf — page 169

30 avril 2021 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 18 sur 212 
TITRE 6 : SECURITE DES SYSTEMES D’INFORMATION POUR LES ENTITES DE 
DROIT PRIVE 
6.6 

163 
c. Authentification 
L’authentification forte de l’utilisateur (exemple: par carte à puce ou token) est 
obligatoire pour tout système d’information traitant des informations Diffusion 
Restreinte ou classifiées. Elle est fortement recommandée pour les systèmes 
d’information traitant des données sensibles. Les dérogations à cette règle sont possibles 
mais doivent être justifiées dans le dossier d’homologation. 
 
2. Exploitation et administration 
 
a. Homologation 
L’homologation est un prérequis pour la mise en service d’un système d’information. 
Cf. fiche 6.2. 
 
b. Habilitation des personnes accédant au SI 
Une personne disposant de droits d’accès administrateur d’un SI Secret ou Très Secret 
doit être habilitée au niveau Très Secret. 
Une personne disposant de droits d’accès administrateur d’un SI Diffusion Restreinte 
doit être habilitée au niveau Secret. 
Une personne ne possédant pas de compte administrateur est habilitée au même niveau 
que le SI. 
Les exigences ci-dessus concernant le niveau d’habilitation des administrateurs sont sans 
incidence sur le niveau d’habilitation de la personne morale. 
 
c.
Gestion des privilèges 
Le principe du moindre privilège doit être appliqué. A cet effet, le nombre 
d’administrateur sera réduit autant que possible et des revues périodiques des droits 
seront menées, au moins annuellement. 
Les comptes d’administration doivent être attribués individuellement et ne doivent être 
utilisés qu’à des fins d’administration. L’utilisation du système d’information se fait 
exclusivement avec des privilèges restreints d’utilisateur. 
Les utilisateurs ne doivent pas pouvoir modifier les paramètres de configuration de 
démarrage de leur poste. 
 
d. Procédure de transfert de données entre deux réseaux de classifications 
différentes 
Le transfert d’information entre deux réseaux de classifications différentes se fait 
idéalement par une passerelle agréée par l’ANSSI ou homologuée et prévue à cet effet 
(généralement équipée d’une ou de plusieurs diodes). A défaut, le transfert d’information 
peut être effectué via un support amovible exclusivement dédié à cet effet selon une 
procédure fixée par l’entité contractante qui permet de vérifier l’innocuité du transfert 
d’information et de maitriser les supports amovibles utilisés pour de tels transferts.
IM 900 2021.pdf — page 170

30 avril 2021 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 18 sur 212 
TITRE 6 : SECURITE DES SYSTEMES D’INFORMATION POUR LES ENTITES DE 
DROIT PRIVE 
6.6 

164 
3. Maintien en condition opérationnelle (MCO) 
Les opérations de maintenance sur un système d’information classifié doivent 
obligatoirement être tracées et imputées. 
 
Interventions de maintenance: 
Avant chaque intervention de maintenance, il est obligatoire de s'assurer de la mise en 
place des mesures de préservation des informations à protéger et des équipements 
classifiés, sensibles ou Diffusion Restreinte (une procédure d’effacement pourra être mise 
en œuvre avant toute intervention de la société de maintenance). Après l'intervention, 
la configuration du système est vérifiée afin de s’assurer de sa conformité avec l'état 
requis. En particulier, il est vérifié que les modifications apportées n'altèrent pas le niveau 
de sécurité pour lequel une homologation a été prononcée. Si l'intervention est associée 
à une évolution significative du système et notamment de sa configuration, celle-ci 
donne lieu à une nouvelle homologation du système. 
Seuls les composants matériels mis à disposition ou administrés par l’organisme dont 
dépend un système classifié ou explicitement autorisés dans le dossier d’homologation 
du SI peuvent être connectés à des SI classifiés. 
Une personne en charge de la maintenance ayant potentiellement accès à des 
informations classifiées et ne possédant pas de compte administrateur est habilitée au 
même niveau que le SI sur lequel elle est amenée à effectuer une opération de 
maintenance. Si elle n'est pas habilitée à ce niveau, elle est accompagnée pendant toute 
l'opération par un agent habilité et ayant des compétences suffisantes pour s’assurer que 
la personne en charge de la maintenance n’ait pas accès à des informations classifiées et 
n’introduise pas d’élément non maîtrisé dans le SI traitant d’informations classifiées. 
 
4. Maintien en condition de sécurité (MCS) 
 
a. Généralités 
Le MCS est l’ensemble de mesures organisationnelles et techniques concourant à 
maintenir le niveau de sécurité accepté lors de l’homologation tout au long du cycle de 
vie du SI.  
Le MCS est de la responsabilité de l’entité contractante qui exploite le système. Elle 
approuve les modifications ou installations de patchs et peut avoir à requérir l’avis formel 
du ministère. 
Tout système doit prévoir les dispositions requises pour permettre de couvrir les risques 
tout au long de la vie du système. Des moyens techniques et organisationnels sont prévus 
et mis en place pour valider puis diffuser les mesures correctrices requises. Ces 
procédures de MCS font partie du périmètre d'homologation du système. 
L’entité contractante se tient informée des vulnérabilités ou mesure correctrices 
diffusées par les fournisseurs de solutions ou des centres de prévention et d’alerte en 
matière de cyber sécurité.
IM 900 2021.pdf — page 171

30 avril 2021 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 18 sur 212 
TITRE 6 : SECURITE DES SYSTEMES D’INFORMATION POUR LES ENTITES DE 
DROIT PRIVE 
6.6 

165 
b. Configuration et mise à jour de sécurité 
Le système d’information doit utiliser des logiciels soutenus par les éditeurs et 
régulièrement mis à jour. 
Les ressources logicielles et matérielles font l’objet d’une procédure de gestion de 
configuration, définie dans le cadre de l’homologation. Sauf difficulté technique ou 
opérationnelle justifiée, l’installation des mises à jour de sécurité est planifiée après 
vérification de l’origine de la version et de son intégrité. Lors d’une décision de ne pas 
installer la mise à jour, des mesures techniques et organisationnelles sont mises en œuvre 
pour réduire les risques liés à l’utilisation de cette version obsolète ou vulnérable.