2021 IM 1300 revue suite loi PATR JO 11aout21.pdf — page 90

11 août 2021 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 1 sur 86 
 
 
 
87 
En tant qu’autorité nationale en matière de sécurité des systèmes d’information, l’agence 
nationale de la sécurité des systèmes d’information peut participer à toute commission 
d’homologation d’un système d’information classifié. Afin de lui permettre d’apprécier la 
nécessité de sa participation, l’autorité d’homologation l’informe dans un délai raisonnable de 
la date de la commission et lui transmet, le cas échéant, les pièces nécessaires à l’instruction du 
dossier d’homologation. Les modalités de transmission des décisions et d’accès aux dossiers 
sont déterminées en accord avec le service du haut fonctionnaire de défense et de sécurité 
compétent. 
L’agence nationale de la sécurité des systèmes d’information est membre de droit de la 
commission d’homologation lorsque le secrétaire général de la défense et de la sécurité 
nationale est autorité d’homologation. 
Dossier d’homologation 
Le dossier d’homologation est établi selon les recommandations de l’agence nationale de la 
sécurité des systèmes d’information. Le dossier d’homologation, initié dès la conception du 
système, est par la suite tenu à jour tout au long du cycle de vie du système d’information 
classifié. 
La stratégie d’homologation précise, à partir de l’analyse de risques pesant sur le système 
d’information classifié et conformément à la politique de sécurité des systèmes d’information 
applicable, la constitution du dossier d’homologation. 
La nécessité de verser au dossier d’homologation les documents listés ci-après est ainsi évaluée 
et justifiée au regard de l’analyse de risques et de la stratégie d’homologation. Si un document 
n’est pas versé au dossier d’homologation, la justification associée y figure. 
Peuvent être versés au dossier d’homologation les documents suivants : 
-
la politique de sécurité du système d’information applicable ; 
-
les procédures d’exploitation sécurisée du système, y compris la documentation à 
destination des utilisateurs et des administrateurs ; 
-
les modalités de gestion des risques résiduels ; 
-
le plan d’amélioration continue de la sécurité ; 
-
les résultats des tests et des audits menés pour vérifier l’état de sécurité du système ; 
-
la documentation relative à la gestion des éléments cryptographiques mis en œuvre dans 
le système d’information ; 
-
la cartographie complète du système d’information qui comprend notamment la liste 
des équipements externes pouvant être connectés au système d’information (matériel de 
maintenance, d’audit, etc.) ; 
-
les schémas détaillés de l’architecture du système d’information ; 
-
les agréments des dispositifs de sécurité ; 
-
l’analyse de risques et les mesures de mitigation envisagées, lorsque, par dérogation, il 
est envisagé de recourir à des dispositifs de sécurité non agréés (cf. 6.5.2). 
Une fois le système d’information classifié déployé, les documents relatifs aux lieux 
d’installation, et notamment les mesures de protection physique et les avis techniques d’aptitude 
physique, sont versés au dossier d’homologation. 
Le dossier d’homologation est tenu à disposition : 
-
du service du haut fonctionnaire de défense et de sécurité ;