IM 900 2021.pdf — page 37

30 avril 2021 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 18 sur 212 
TITRE 2 : STRUCTURES ET INSTRUMENTS DE PILOTAGE ET DE MISE EN 
ŒUVRE 
2.9 

31 
l’identification de vulnérabilités, faiblesses et/ou de non conformités afin d’apporter les 
recommandations permettant de définir et de mener toutes actions correctives 
nécessaires et des actions de progrès. Elle donne lieu à la rédaction et diffusion d’un 
rapport. 
Contrôle: vérification administrative, consistant à vérifier un écart par rapport à une 
norme, une référence, à la conformité avec la présente instruction et imposer les 
corrections nécessaires. Elle donne lieu à la rédaction et diffusion d’un rapport. 
 
1. Contrôle interne au sein des chaînes de protection du secret 
Les contrôles internes, conduits directement par les entités, constituent l’action de 
contrôle essentielle en matière de protection du secret pour l’ensemble des sites. 
Cette action est à la charge de la chaîne de protection du secret au sein des ADS et des 
entités contractantes ou liées par convention. Sous la responsabilité du chef d’entité (cf. 
fiche 2.4), les contrôles sont proposés et menés ou pilotés par les OS et OSSI, chacun 
dans leur domaine respectif.  
L’OS de niveau 1 (ou l’OCS, OS de groupe ou de holding, pour les entreprises 
contractantes) est responsable du contrôle de la chaîne de protection du secret dont il 
est l’autorité fonctionnelle31. Ces contrôles sont réalisés avec une périodicité maximale 
de trois ans. 
 
2. Contrôle externe  
Les organismes relevant du département ministériel et les entités contractantes ou liées 
par convention au MINARM sont soumises aux inspections du service enquêteur.  
Les inspections sont soit planifiées, soit conduites de manière inopinées à la diligence du 
ministre ou du directeur du service enquêteur. Pour les sites désignés point 
d’importance vitale, les modalités d’inspections sont décrites dans l’IM1544. 
Les rapports d’inspection utilisent des critères communs d’appréciation du niveau de 
sécurité afin de permettre la tenue à jour de tableaux de bord ministériels. 
Après la transmission du rapport d’inspection, l’entité inspectée dispose de 6 mois pour 
rendre compte des mesures correctives engagées sur son site  
Des audits peuvent être demandés par la chaîne hiérarchique dans les domaines relevant 
de sa compétence.  
Pour les entités contractantes ou liées par convention relevant de son périmètre32, la 
DGA planifie, en coordination avec la DRSD, et conduit des audits de sécurité de défense 
et des systèmes d’informations au titre de son rôle d’autorité d’habilitation, d’autorité 
de sécurité déléguée et d’autorité contractante de référence. Les rapports établissent 
les niveaux de sécurité sur la base des critères fournis par l’IM 1544. L’entité auditée 

31 Pour effectuer ses contrôles in situ, il lui est recommandé de s’appuyer sur une grille d’évaluation des 
vulnérabilités constatées dont le modèle est à adapter en fonction des spécificités du site. 
32 Toutes les entreprises contractant avec le MIN ARM hors DGSE. La DGSE planifie et conduit seule ou en 
coordination avec la DRSD des audits de sécurité de défense et des systèmes d’informations au titre de 
son rôle d’autorité d’habilitation et d’autorité contractante de référence.