kamrulkonok/evalllm2026-french-defense huggingface dataset:
2011113_IGI 1300_Protection du secret de la defense nationale_NP.pdf — page 54

54
 Art. 69 : Procédure de déclassification d’une information classifiée 
 
La déclassification d’une information classifiée, sollicitée par requête, peut être décidée après 
avis de la Commission consultative du secret de la défense nationale. 
 
1) Requête en déclassification d’une information  
 
Une juridiction française peut demander, dans le cadre d’une procédure engagée devant elle, la 
déclassification d’éléments protégés par le secret de la défense nationale103. Cette demande, 
motivée, est adressée à l’autorité administrative qui a procédé à la classification du document, 
qui saisit elle-même sans délai la Commission consultative du secret de la défense nationale 
(CCSDN).  
 
La CCSDN, autorité administrative indépendante104, rend un avis destiné à éclairer l’autorité 
classificatrice sur l’opportunité de déclassifier et de communiquer des informations désignées 
par la juridiction, à l’exclusion des informations dont les règles de classification ne relèvent pas 
des seules autorités françaises105. Pour les éléments classifiés par des autorités étrangères ou des 
organismes internationaux comme l’OTAN ou l’Union européenne, il appartient au magistrat 
de s’adresser à l’autorité ou à l’organisme concerné. Il peut, s’il le souhaite, s’informer des 
procédures auprès du SGDSN, autorité nationale de sécurité. 
La motivation énoncée par le magistrat requérant permet à la Commission d’une part de 
contrôler la validité de sa saisine en s’assurant que les éléments dont la déclassification est 
demandée intéressent effectivement la procédure, d’autre part de procéder au tri des pièces 
classifiées soumises à son appréciation afin de déterminer celles qui peuvent être utiles à la 
manifestation de la vérité. 
2) L’avis de la Commission consultative du secret de la défense nationale 
La Commission a accès à l’ensemble des éléments classifiés. Pour l'accomplissement de sa 
mission, elle est habilitée à procéder, le cas échéant, à l'ouverture des scellés des éléments 
classifiés qui lui sont remis. Elle en fait mention dans son procès-verbal de séance106.  
La CCSDN émet un avis dans le délai de deux mois à compter de sa saisine. Cet avis prend en 
considération les missions de service public de la justice, le respect de la présomption 
d’innocence et des droits de la défense, le respect des engagements internationaux de la France 
ainsi que la nécessité de préserver les capacités de défense et la sécurité des personnels. Le sens 
de l’avis peut être favorable, favorable partiellement ou défavorable à la déclassification. L’avis 
est transmis par la CCSDN au ministre concerné en sa qualité d’autorité classificatrice107.  
 
                                                 
103 Article L. 2312-4 du code de la défense. 
104 Créé par une loi du 8 juillet 1998, cet organisme consultatif indépendant fait l’objet des articles L. 2311-1 à 
2311-8 du code de la défense. 
105 Article L.2312-1 du code de la défense 
106 Article L. 2312-5 du code de la défense. 
107 Article L. 2312-7 du code de la défense.
2011113_IGI 1300_Protection du secret de la defense nationale_NP.pdf — page 55

55
3) La décision de l’autorité classificatrice 
 
L’avis de la Commission est consultatif. Le ministre a donc toute latitude pour ordonner une 
déclassification malgré un avis défavorable ou pour refuser la déclassification en dépit d’un 
avis favorable. Dans le délai de quinze jours francs à compter de la réception de l’avis de la 
CCSDN108, le ministre compétent notifie sa décision, qui n’a pas à être motivée, assortie du 
sens de l’avis, à la juridiction concernée. Le sens de l’avis rendu par la CCSDN est publié au 
Journal officiel de la République française109. 
 
Chaque élément déclassifié est revêtu d’une mention expresse de déclassification précisant la 
date de la décision du ministre. L’élément peut ensuite être versé au dossier de la procédure afin 
d’y être examiné par le magistrat et soumis aux parties qui pourront en débattre 
contradictoirement. Le versement par erreur à un dossier judiciaire d’une pièce classifiée fait 
encourir des sanctions pénales. 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
                                                 
108 Ou à l’expiration du délai de deux mois imparti à la CCSDN pour formuler son avis. 
109 Article L. 2312-8 du code de la défense.
2011113_IGI 1300_Protection du secret de la defense nationale_NP.pdf — page 56

56
 
TITRE IV : 
LA PROTECTION DES LIEUX 
 
 
 Les règles de sécurité applicables aux lieux sont mises en œuvre pour protéger les 
informations ou supports classifiés contre toute menace d’origine interne ou externe qui 
pourrait mettre en cause leur disponibilité, leur intégrité, leur confidentialité et afin 
d’empêcher qu’une personne non autorisée puisse y accéder ; 
 Les mesures de protection physique appliquées à une information dépendent de son 
niveau de classification ; 
 Tout système de protection physique doit s’appuyer sur une analyse des risques ; 
 Un dispositif de protection est satisfaisant lorsqu’il retarde suffisamment l’intrusion 
pour permettre la mise en œuvre des moyens d’intervention avant que les éléments 
couverts par le secret de la défense nationale ne soient compromis ; 
 Les contrôles élémentaires de personnes physiques ou morales sont prévus pour 
l’exécution de contrats sensibles dans des lieux abritant des secrets de la défense 
nationale ; 
 L’accès d’un magistrat aux lieux abritant des secrets de la défense nationale se fait 
dans des conditions clairement définies et impliquant l’intervention de la CCSDN. 
 
 
Chapitre 1 :  
Principes de protection physique des lieux 
 
Art 70 : Principes généraux 
 
La protection physique est l’ensemble des mesures de sécurité destinées à garantir l’intégrité 
des bâtiments et des locaux spécifiquement dédiés aux informations ou supports classifiés, ainsi 
que la fiabilité des meubles dans lesquels ils sont conservés, afin d’éviter toute perte, 
dégradation ou compromission. Elle vise aussi à faciliter l’identification du ou des auteurs 
d’une éventuelle intrusion.  
 
Le degré de sécurité physique à appliquer aux lieux pour assurer leur protection dépend du 
niveau de classification des documents qu’ils abritent, de leur volume et des menaces 
auxquelles ils sont exposés. Le dispositif global de protection et la solution technique retenue 
reposent sur les conclusions de l’évaluation des menaces et des contraintes inhérentes à 
l’environnement du site, ainsi que des méthodes de travail et de gestion des informations ou 
supports classifiés concernés (par exemple, en fonction de la circulation de ces informations ou 
supports dans le site et du nombre de personnes y ayant accès). Les vulnérabilités liées aux 
systèmes d’information doivent également être prises en compte. 
 
Cet ensemble de mesures de protection se compose de quatre éléments combinés ou dissociés 
en fonction du niveau de classification : 
- un ou plusieurs dispositifs de protection (les obstacles) ; 
- un ou plusieurs dispositifs de détection et d’alarme ; 
- des moyens d’intervention articulés sur des procédures et des consignes préétablies ; 
- un ou plusieurs dispositifs de dissuasion (indications).
2011113_IGI 1300_Protection du secret de la defense nationale_NP.pdf — page 57

57
Ainsi, un dispositif de sécurité satisfaisant a pour objectif, en retardant l’intrusion (aucun 
obstacle n’étant infranchissable), de permettre la mise en œuvre des moyens d’intervention, 
alertés et guidés par les dispositifs de détection avant que les informations ou supports classifiés 
ne soient compromis. 
 
Pour être efficace, un système de protection physique doit s’appuyer sur une analyse précise des 
risques et : 
- être multiple, c’est-à-dire, dans une logique de défense en profondeur, comporter 
plusieurs dispositifs successifs, complémentaires, de nature différente, associés ou 
combinés à un ou plusieurs dispositifs de détection-alarme reposant eux-mêmes sur des 
principes différents ; 
- être homogène, c’est-à-dire garantir la même efficacité en tous points, l’intrusion 
s’opérant toujours dans la zone de moindre résistance et la valeur d’un système 
équivalant à celle de son élément le plus faible ; 
- être dissuasif, c’est-à-dire contribuer à réduire le risque d’une tentative d’intrusion ; 
-  être contrôlé, c’est-à-dire être testé fréquemment afin de vérifier qu’il est en état 
opérationnel ; 
- être traçable, c’est-à-dire fournir tout moyen pouvant apporter un historique du 
fonctionnement des différents composants. 
 
Afin d’éviter l’intrusion, à l’intérieur d’un site ou d’un local protégé, d’une personne non 
autorisée qui représente toujours une menace pour les informations ou supports classifiés 
détenus, la protection physique comprend nécessairement un système de contrôle d’accès110. 
 
Le contrôle d’accès constitue un moyen matériel de s’assurer qu’une personne qui demande à 
pénétrer dans un lieu ou à accéder à une information a le droit de le faire. Il a donc pour 
objectif :  
- 
de filtrer les flux de circulation, les individus et les véhicules qui souhaitent entrer ou 
sortir d’un site, d’un bâtiment ou d’un local ; 
- 
de contrôler les individus et les véhicules dans les zones protégées ; 
- 
d’empêcher ou de limiter les déplacements de personnes non autorisées. 
 
Le contrôle d’accès comprend des mécanismes de différents niveaux :  
- 
l’autorisation d’accès; 
- 
l’identification et/ou l’authentification de la personne ; 
- 
la traçabilité, afin d’identifier a posteriori celui qui est entré ou sorti. 
 
La sécurisation physique des accès d’énergie, des locaux techniques et des moyens de 
communication participe également de la protection physique des informations ou supports 
classifiés.  
 
Art. 71 : Les modalités matérielles de protection 
 
Les types de mesures de protection physique, leur articulation selon le type de barrière, et les 
mesures spécifiques aux niveaux supérieurs de classification sont détaillés en annexes 5 à 7. 
 
Le système de protection physique de toute information ou support classifié est constitué de 
plusieurs « barrières » cohérentes, inclusives et successives :  
                                                 
110 Annexe 4.
2011113_IGI 1300_Protection du secret de la defense nationale_NP.pdf — page 59

59
délai réel écoulé entre la détection de l’intrusion, la résistance des moyens mécaniques et la 
possibilité d’une intervention.  
 
Chapitre 2 :  
Les zones protégées 
 
Art. 73 : Définition  
 
L’objet de la zone protégée est d’assurer aux lieux intéressant la défense nationale, qu’il 
s’agisse de services, d’établissements ou d’entreprises, publiques ou privées, une protection 
juridique contre les intrusions, complémentaire de la protection physique évoquée 
précédemment. Elles sont érigées en fonction du besoin de protection déterminé par le ministre 
compétent.  
 
La zone protégée est définie à l’article 413-7 du code pénal. Elle consiste en tout local ou 
terrain clos délimité, où la libre circulation est interdite et l’accès soumis à autorisation afin de 
protéger les installations, les matériels, le secret des recherches, des études ou des fabrications 
ou les informations ou supports classifiés qui s’y trouvent. Les limites sont visibles et ne 
peuvent être franchies par inadvertance.  
 
Les modalités de création de la zone protégée sont définies aux articles R. 413-1 à R. 413-5 du 
code pénal. 
 
Des mesures d’interdiction d’accès sont prises par l’autorité responsable. L’ensemble des accès 
doit être contrôlé en permanence afin que toute pénétration à l’intérieur d’une zone protégée ne 
puisse être exécutée par ignorance. A cet effet, des pancartes sont disposées en nombre suffisant 
aux endroits appropriés.   
 
L’autorisation de pénétrer dans une zone protégée est donnée par le chef du service, de 
l’établissement ou de l’entreprise, selon les directives et sous le contrôle de l’autorité ayant 
décidé de la création de la zone protégée.   
 
En vertu des dispositions pénales précitées, toute personne non autorisée s’introduisant dans 
une zone protégée encourt une peine correctionnelle.   
 
Chapitre 3 : 
Les zones réservées 
 
Art. 74 : Création des zones réservées 
 
L’institution de zones réservées a pour but d'apporter une protection renforcée aux informations 
et supports ainsi qu’aux systèmes d’information classifiés au niveau Secret Défense.  
 
Chaque ministre veille à ce que des zones réservées soient créées, par décision des autorités 
responsables de la détention d’informations classifiées, dans tous les services et organismes qui, 
de manière habituelle, élaborent, traitent, reçoivent ou détiennent des informations ou supports 
classifiés au niveau Secret Défense. La création de zones réservées, le cas échéant temporaires, 
est par ailleurs recommandée dans les services ou les organismes traitant occasionnellement 
d’informations ou supports classifiés à ce niveau.
2011113_IGI 1300_Protection du secret de la defense nationale_NP.pdf — page 60

60
Une zone réservée ne peut être créée en dehors d’une zone protégée. Elle peut être incluse dans 
une zone protégée ou lui correspondre. 
 
Les mesures de sécurité applicables aux zones réservées sont définies à l’annexe 7. 
 
Chapitre 4 :  
Lieux abritant temporairement des secrets : 
la protection des réunions de travail et des salles de conférence 
 
Art. 75 : La préparation et l’organisation des réunions de travail et des conférences 
 
L’autorité organisatrice doit veiller à la protection des informations ou supports classifiés 
échangés au cours d’une réunion de travail, d’une conférence, d'un exercice ou d’une 
présentation de matériel. 
 
Le local prévu pour la séance au cours de laquelle sont traités des informations ou supports 
classifiés doit : 
- être à l'abri des interceptions par écoute directe ou indirecte (insonorisation, absence de 
microphone) et des prises de vues non autorisées ; 
- n’être accessible qu'aux personnes autorisées (création éventuelle d'une zone protégée 
temporaire). 
 
Le contrôle technique des lieux est effectué de manière régulière par le service chargé de la 
sécurité. 
 
L’autorité organisatrice précise, lors des invitations ou convocations à une réunion de travail, à 
une conférence, à un exercice ou à une présentation de matériel, le niveau de classification des 
informations ou supports classifiés qui seront communiqués, pour permettre la désignation de 
personnes habilitées au niveau requis et ayant besoin d’en connaître. Les limites et le degré de 
précision à apporter à la communication, au cours de conférences ou de présentations de 
matériels, doivent être déterminés au préalable par le responsable. 
 
Les autorités destinataires de l’invitation adressent en temps utile à l’autorité organisatrice les 
noms et fonctions des personnes chargées de les représenter ainsi que leur niveau d’habilitation. 
L’autorité organisatrice établit alors la liste de toutes les personnes participant à la séance, à 
quelque titre que ce soit : auditeurs, conférenciers, assistants, techniciens chargés des 
projections ou essais, etc.  
  
Art. 76 : La protection des informations ou supports classifiés au cours des réunions de travail 
et des conférences 
 
L’autorité organisatrice s’assure de l’identité et du niveau d’habilitation de chacun des 
participants présents au vu, si besoin est, de certificats de sécurité111. Elle s’assure que personne 
ne détienne, lors de la réunion, d’appareil permettant la captation, la réémission et 
l’enregistrement d’informations tels que, par exemple, un téléphone mobile, un assistant 
personnel (PDA) ou un ordinateur portable. 
 
                                                 
111 Modèle 05/IGI 1300 en annexe.
2011113_IGI 1300_Protection du secret de la defense nationale_NP.pdf — page 61

61
L’autorité organisatrice peut interdire toute prise de note ou tout enregistrement des 
interventions par les auditeurs. Elle veille, en application des principes stricts de cloisonnement 
de l’information classifiée, en particulier pour les niveaux Très Secret Défense et Secret 
Défense, à ce que la communication demeure limitée à l’objet de la réunion.  
 
Dans certains établissements affectés aux besoins de la défense et de la sécurité nationale, des 
installations radioélectriques de brouillage peuvent être utilisées aux fins de rendre inopérants, 
tant pour l’émission que pour la réception, les appareils de communications électroniques de 
tous types (téléphones mobiles et ordinateurs portables par exemple)112.   
 
Art. 77 : Les mesures de sécurité à l’issue d’une réunion de travail ou d’une conférence 
 
En cas de communication d’informations Très Secret Défense ou Secret Défense, l’organisateur 
consigne, dans un procès-verbal succinct à classifier éventuellement, les domaines 
d’information qui ont été exposés, les mesures prises pour en assurer la protection ainsi que la 
liste des participants avec mention de la justification de leur habilitation. 
 
 L’autorité organisatrice de la réunion fait procéder en fin de séance : 
- à la récupération et à la mise en sécurité des informations ou supports classifiés 
éventuellement mis à la disposition des auditeurs (documents, graphiques, plans, films, 
bandes d'enregistrement, etc.) ; 
- à la destruction des supports provisoires et préparatoires. 
 
 
Les auditeurs et les participants assument la pleine responsabilité de la protection de leurs 
documents de travail et de leurs notes, qui sont à classifier au niveau correspondant à celui des 
informations recueillies. Ces documents sont détruits par leurs soins dès qu’ils ont cessé d’être 
utiles. 
 
La transmission des notes prises par les participants ou de leurs comptes rendus de réunion 
s’effectue par les voies prévues aux articles 57 et 58 de la présente instruction.  
 
Une liste de contrôle des tâches à effectuer tout au long de la préparation, de la tenue et de la fin 
de la réunion figure à l’annexe 8. 
 
Chapitre 5 : 
L’accès des personnes non qualifiées 
aux lieux abritant des secrets de la défense nationale 
 
La nécessité d’exécuter une prestation de service, qu’il s’agisse d’un contrat sensible ou de 
l’obligation d’intervenir en urgence, ou une mission de contrôle peut rendre indispensable 
l’accès de personnes non qualifiées à des lieux abritant des éléments couverts par le secret de la 
défense nationale.  
 
Art 78 : Accès de personnes non qualifiées pour l’exécution d’une prestation de service 
 
1) L’expression « contrat sensible » recouvre tout contrat ou marché, quels que soient son 
régime juridique ou sa dénomination, à l’exception des contrats de travail, dont l’exécution 
s’exerce au profit d’un service ou dans un lieu abritant des informations ou supports classifiés 
                                                 
112 Article L. 33-3 du code des postes et communications électroniques.
2011113_IGI 1300_Protection du secret de la defense nationale_NP.pdf — page 66

66
TITRE V - 
MESURES DE SECURITE RELATIVES AUX SYSTEMES D’INFORMATION 
 
 Pour les systèmes d’information traitant d’informations classifiées s’appliquent les 
règles de la présente instruction et des instructions spécifiques d’application émises par 
l’Agence nationale de la sécurité des systèmes d’information (ANSSI); 
 La SSI concerne tous les acteurs ayant une responsabilité dans la mise en œuvre de 
ces principes et mesures : les services informatiques pour la sécurité logique et les 
autres aspects de la sécurité informatique, les directions métiers pour les droits d’accès 
aux informations, et les responsables de la sécurité physique des locaux; 
 La chaîne fonctionnelle de sécurité des systèmes d’information, placée sous l’autorité 
du HFDS dans les ministères, ou d’une structure de sécurité équivalente dans les 
organismes ne relevant pas d’un département ministériel, est chargée de prescrire, 
d’appliquer pour ce qui la concerne, et de contrôler les mesures de sécurité nécessaires ; 
ces dernières doivent viser la disponibilité, la confidentialité et l’intégrité, en restant 
proportionnées aux enjeux des informations et des systèmes concernés ; 
 L’homologation est l’acte formel par lequel l’autorité responsable certifie, après 
évaluation des risques, que la protection des informations et du système est assurée au 
niveau requis.  
 
 
Art. 83 : Champ d’application  
 
Le présent titre précise les mesures à appliquer pour protéger les informations classifiées dans 
les systèmes informatisés de traitement de l’information. 
 
Ces mesures s’appliquent à tout système d’information ayant vocation à traiter des informations 
classifiées, qu’il soit placé sous la responsabilité d’un département ministériel (administration 
centrale ou service déconcentré), d’un organisme ou d’un établissement qui en relève, d’un 
organisme public ou privé ayant passé un contrat concernant la défense ou la sécurité nationale, 
ou plus généralement de toute personne publique ou privée qui traite de telles informations.  
 
Des instructions et des directives techniques complètent en tant que de besoin les mesures 
générales exposées dans la présente instruction. 
 
Chapitre 1 : 
L’organisation des responsabilités relatives aux systèmes d’information 
 
Art. 84 : Les instances interministérielles chargées de la sécurité des systèmes d’information  
 
1) Le Secrétariat général de la défense et de la sécurité nationale (SGDSN) 
 
Le SGDSN propose et met en œuvre la politique du Gouvernement en matière de sécurité des 
systèmes d'information132, notamment pour les systèmes traitant d’informations relevant du 
secret de la défense nationale. Il s’assure que le Président de la République et le Gouvernement 
disposent des moyens de communication électronique nécessaires en matière de défense et de 
sécurité nationale. Il est à ce titre également chargé de garantir la sécurité de ces moyens de 
                                                 
132 Article R. 1132-3 du code de la défense.
2011113_IGI 1300_Protection du secret de la defense nationale_NP.pdf — page 67

67
communication. Il dispose à cette fin d’un service à compétence nationale, l’agence nationale 
de la sécurité des systèmes d'information (ANSSI). 
 
2) L’Agence nationale de la sécurité des systèmes d’information (ANSSI) 
 
L’ANSSI est l’autorité nationale en matière de défense et de sécurité des systèmes 
d’information133. Elle assiste le Secrétaire général de la défense et de la sécurité nationale dans 
l’exercice de ses attributions dans le domaine de la sécurité des systèmes d’information. 
 
3) Le comité stratégique de la sécurité des systèmes d’information 
 
Ce comité propose au Premier ministre les orientations stratégiques en matière de sécurité des 
systèmes  d’information et suit leur mise en œuvre134. 
 
Il est présidé par le Secrétaire général de la défense et de la sécurité nationale. Son secrétariat 
est assuré par l’ANSSI. 
  
Art. 85 : Les départements ministériels 
 
Chaque ministre est responsable, dans le département et les organismes dont il a la charge, de la 
sécurité des systèmes d’information. Il met en place un réseau de responsabilités, dénommé 
« chaîne fonctionnelle » de la sécurité des systèmes d’information, chargé d’appliquer la 
réglementation, de mettre en œuvre les mesures et d’en contrôler l’application.  
 
L’organisation de cette chaîne de responsabilités, décrite dans le présent chapitre, peut être 
adaptée dans chaque département ministériel en fonction de contraintes particulières. 
 
En matière de sécurité des systèmes d’information, le HFDS, sous la responsabilité du ministre,  
anime la politique de sécurité des systèmes d’information et en contrôle l’application135. En 
particulier, il veille au déploiement, dans son ministère, des moyens sécurisés gouvernementaux 
de communication électronique. Il désigne un fonctionnaire de sécurité des systèmes 
d’information (FSSI) pour l’assister dans ce domaine. 
 
Le HFDS est plus particulièrement chargé : 
- 
de diffuser les instructions interministérielles relatives à la sécurité des systèmes 
d’information à l’ensemble des personnels concernés et d’en préciser les modalités 
d'application ;  
- 
d’élaborer les instructions particulières pour son ministère, en définissant, pour chaque type 
de système d'information, les mesures de protection nécessaires ;  
- 
de contrôler l'application de ces instructions et l'efficacité des mesures prescrites ; 
- 
de recenser les besoins de protection des systèmes d’information et de veiller à ce qu’ils 
soient satisfaits ;  
- 
de prescrire les inspections et les contrôles nécessaires pour vérifier l'application effective 
des instructions et des directives traitant de la sécurité des systèmes d'information ; 
- 
d’organiser la sensibilisation des personnels et particulièrement des autorités qualifiées et 
agents de sécurité des systèmes d’information, et de contrôler la formation des personnels. 
 
                                                 
133 Décret n° 2009-834 du 7 juillet 2009, article 3. 
134 Décret n° 2009-834 du 7 juillet 2009, article 7. 
135 Article R. 1143-5 du code de la défense.
2011113_IGI 1300_Protection du secret de la defense nationale_NP.pdf — page 68

68
Art. 86 : Autorités qualifiées et agents de sécurité 
 
1) L'autorité qualifiée en sécurité des systèmes d’information (AQSSI) 
 
Les autorités qualifiées sont responsables de la sécurité des systèmes d'information au niveau 
d’un service, d’une direction d’un ministère, au niveau d’un organisme ou d’un établissement 
relevant d’un ministère. 
 
Les autorités qualifiées sont désignées par le ministre pour le département et les organismes 
dont il a la charge. Leur responsabilité ne peut être déléguée. 
 
En liaison avec le HFDS et le FSSI du département ministériel dont elle relève, l'autorité 
qualifiée est notamment chargée :  
- 
de définir, à partir des objectifs de sécurité qu’il fixe, ou, pour les systèmes traitant 
d’informations classifiées, des objectifs de sécurité fixés par la présente instruction, une 
politique de sécurité des systèmes d'information adaptée à son service, sa direction, son 
établissement ou son organisme ;  
- 
de s'assurer que les dispositions réglementaires et le cas échéant contractuelles sur la 
sécurité des systèmes d'information sont appliquées;  
- 
de faire appliquer  les consignes et les directives internes ;  
- 
de s'assurer que des contrôles internes de sécurité sont régulièrement effectués ;  
- 
d’organiser la sensibilisation et la formation du personnel aux questions de sécurité, en 
particulier en matière de systèmes d’information ; 
- 
de s’assurer de la mise en œuvre des procédures réglementaires prescrites pour 
l’homologation des systèmes, pour l’agrément des dispositifs de sécurité et pour la gestion 
des articles contrôlés de la sécurité des systèmes d’information (ACSSI)136 ; 
- 
de désigner les autorités d’homologation des systèmes relevant de sa responsabilité. 
 
Dans le cas d’un organisme qui ne relève pas d’un ministre, notamment un organisme privé, il 
appartient au responsable de cet organisme de désigner, en son sein, une personne ayant la 
fonction d’autorité qualifiée au sens du présent article. 
 
2) L'agent, le responsable ou l’officier de sécurité des systèmes d'information (ASSI, RSSI, 
OSSI)  
 
Les autorités qualifiées peuvent se faire assister par un ou plusieurs agents, responsables ou 
officiers de sécurité des systèmes d'information (ASSI, RSSI, OSSI)137. Elles précisent, lors de 
leur désignation, le périmètre de leurs attributions et leur dépendance hiérarchique. Ce 
périmètre peut être un service, une direction ou un organisme, dans sa totalité, un ou plusieurs 
systèmes d’information, ou un établissement.  
 
Ces agents assurent principalement les fonctions opérationnelles de la sécurité des systèmes 
d’information. Ils peuvent être notamment chargés :  
 
− d’être les contacts privilégiés des utilisateurs du système pour les questions de sécurité ; 
− d’assurer la formation et la sensibilisation des responsables, des informaticiens et des 
usagers en matière de sécurité des systèmes d’information ; 
                                                 
136 Article 91 de la présente instruction.  
137 Désignés sous l’appellation d’ASSI dans la suite de l’instruction.
2011113_IGI 1300_Protection du secret de la defense nationale_NP.pdf — page 69

69
− de tenir à jour la liste des personnels ayant accès aux systèmes d’information ; 
− de faire surveiller en permanence les activités des personnes extérieures appelées à effectuer 
des interventions sur les systèmes d’information ; 
− de s'assurer de l'application, par les personnels d'exploitation et les utilisateurs, des règles de 
sécurité prescrites ;  
− d’assurer leur sensibilisation aux mesures de sécurité et de les informer de toutes 
modification des conditions d’emploi du système ; 
− de veiller à la mise en œuvre des mesures de protection prescrites, d’établir des consignes 
particulières et de contrôler leur application ;  
− d’assurer la gestion, la comptabilité et le suivi des ACSSI dans leur périmètre de 
responsabilité, et d’en assurer périodiquement l'inventaire ;  
− d’établir les consignes de sécurité relatives à la conservation, au stockage et à la destruction 
des ACSSI ;  
− de vérifier périodiquement l’installation et le bon fonctionnement des dispositifs de 
sécurité ;   
− de veiller au respect des procédures opérationnelles de sécurité propres au système 
d’information ;   
− de surveiller les opérations de maintenance ;  
− de rendre compte de toute anomalie constatée ou de tout incident de sécurité. 
 
Art. 87 : L’administrateur de la sécurité d’un système 
 
Pour chaque système d’information traitant d’informations classifiées, l’autorité responsable de 
l’emploi du système désigne un administrateur de la sécurité pour mettre en œuvre les mesures 
opérationnelles de sécurité. A cet effet, l’administrateur est notamment chargé, en liaison avec 
l’ASSI concerné : 
- 
de l’installation des logiciels correctifs de sécurité et des logiciels de protection ; 
- 
de la gestion des moyens d’accès et d’authentification du système ;  
- 
de la gestion des comptes et des droits d’accès des utilisateurs ; 
- 
de l’exploitation des alertes de sécurité et des journaux de sécurité. 
 
L’administrateur rend compte à l’ASSI de toute vulnérabilité du système qu’il détecte, de tout 
incident de sécurité et de toute difficulté dans l’application des mesures de sécurité. 
 
L’administrateur de la sécurité doit dans la mesure du possible être distinct de l’administrateur 
du système. Il doit être habilité au niveau de classification des informations traitées par le 
système et au minimum au niveau Secret Défense.  
 
Chapitre 2 :  
La protection des systèmes d’information 
 
Art. 88 : Principes généraux de protection des systèmes d’information 
 
L’objectif général de la protection d’un système d’information est de garantir l’intégrité, 
l’authenticité, la confidentialité et la disponibilité des informations traitées par ce système. La 
protection d’un système d’information s’appuie sur des principes portant sur l’organisation et 
sur les moyens techniques, auxquels s’ajoutent des principes de défense en profondeur. Ces 
principes doivent être respectés strictement dès lors que le système est susceptible de traiter des 
informations classifiées.
2011113_IGI 1300_Protection du secret de la defense nationale_NP.pdf — page 73

73
− dans les autres cas, notamment lorsque le système d’information appartient à un organisme 
privé, la désignation de l’autorité d’homologation relève de la responsabilité du ou des 
organismes concernés par le système d’information.  
 
L’autorité d’homologation doit être choisie au niveau hiérarchique suffisant pour assumer la 
responsabilité afférente à la décision d’homologation, et notamment pour accepter les risques 
résiduels. Elle est en principe l’autorité chargée de l’emploi du système. Elle peut être l’autorité 
qualifiée. 
 
L’autorité d’homologation met en place une commission d’homologation chargée de l’assister 
et de préparer la décision d’homologation. Une telle commission comprend notamment des 
représentants des utilisateurs du système, et des responsables de l’exploitation et de la sécurité 
du système. En tant qu’autorité nationale en matière de sécurité des systèmes d’information, 
l’ANSSI peut participer à toute commission d’homologation. Elle en est membre de droit 
lorsque le SGDSN est l’autorité d’homologation.  
 
3) Décision d’homologation  
 
La décision d’homologation est prise après l’examen du dossier d’homologation. Celui-ci 
comporte notamment :  
- 
une analyse de risques ;  
- 
la politique de sécurité du système ; 
- 
les procédures d’exploitation de la sécurité ; 
- 
la gestion des risques résiduels ; 
- 
les résultats des tests et des audits menés pour vérifier la conformité du système à la 
politique de sécurité et aux procédures d’exploitation ; 
- 
le cas échéant, les agréments des dispositifs de sécurité. 
 
La décision d’homologation doit intervenir avant la mise en service opérationnel du système. 
Cependant, de façon exceptionnelle, lorsque l’urgence opérationnelle le requiert, il peut être 
procédé à une mise en service provisoire, sans attendre l’homologation du système, en tenant 
compte de l’avancement de la procédure d’homologation et des risques résiduels de sécurité.  
Dans ce cas, la mise en service définitive interviendra ultérieurement, lorsque l’homologation 
de sécurité aura été prononcée.    
 
La décision d’homologation est prononcée pour une durée maximale : 
- de cinq ans pour un système d’information au niveau Confidentiel Défense ; 
- de deux ans pour un système d’information au niveau Secret Défense ou Très Secret Défense. 
 
L’ANSSI est destinataire de toute décision d’homologation portant sur les systèmes 
d’information traitant d'informations classifiées. Elle peut demander le dossier d’homologation 
correspondant.  
 
4) Contrôle et renouvellement de l’homologation 
 
L’autorité d’homologation fixe les conditions du maintien de l’homologation de sécurité au 
cours du cycle de vie du système d’information. Elle contrôle régulièrement que le système 
fonctionne effectivement selon les conditions qu’elle a approuvées, en particulier après des 
opérations de maintien en condition opérationnelle.
2011113_IGI 1300_Protection du secret de la defense nationale_NP.pdf — page 74

74
L’autorité d’homologation examine le besoin de renouvellement de l’homologation avant le 
terme prévu notamment lorsque : 
 
- 
les conditions d’exploitation du système ont été modifiées ; 
- 
des nouvelles fonctionnalités ou applications ont été installées ; 
- 
le système a été interconnecté à de nouveaux systèmes ; 
- 
des problèmes d’application des mesures de sécurité ou des conditions de maintien de 
l’homologation ont été révélés, par exemple lors d’un audit de sécurité ;  
- 
les menaces sur le système ont évolué ; 
- 
de nouvelles vulnérabilités ont été découvertes ;  
- 
le système a fait l’objet d’un incident de sécurité. 
 
Art. 91 : Articles contrôlés de la sécurité des systèmes d’information (ACSSI) 
 
Certains moyens, tels que les dispositifs de sécurité ou leurs composants, et certaines 
informations relatives à ces moyens (spécifications algorithmiques, documents de conception, 
clés de chiffrement, rapports d’évaluation, etc.) peuvent nécessiter la mise en œuvre d'une 
gestion spécifique visant à assurer leur traçabilité tout au long de leur cycle de vie. Il s’agit des 
moyens et des informations, qu’ils soient eux-mêmes classifiés ou non, qu’il est essentiel de 
pouvoir localiser à tout moment et en particulier en cas de compromission suspectée ou avérée. 
 
Ces moyens et informations sont appelés « articles contrôlés de la sécurité des systèmes 
d’information » (ACSSI). Ils portent un marquage spécifique les identifiant, en plus, le cas 
échéant, de leur mention de classification.  
 
La décision de classer ACSSI un moyen ou une information est prise par l’ANSSI après avis de 
la commission d’agrément du dispositif de sécurité concerné. Dans le cas où le dispositif de 
sécurité n’est pas soumis à agrément du dispositif de sécurité n’est pas soumis à agrément, 
l’autorité d’homologation d’un système d’information qui met en œuvre un tel dispositif de 
sécurité peut décider après avis de la commission d’homologation de classer ACSSI ce 
dispositif ou ses composants ou les informations qui y sont liées. 
 
Les principes de gestion des ACSSI ont pour objectif : 
 
- 
de former, de sensibiliser et de responsabiliser les détenteurs de tels moyens et 
informations ; 
- 
d'assurer la comptabilité de ces moyens et informations, et d'en établir l'inventaire à un 
niveau central ou local, selon les besoins, de façon qu'ils puissent être localisés à tout 
moment ; 
- 
de gérer leur diffusion ; 
- 
de contrôler périodiquement leur localisation et leur état ; 
- 
d’informer la chaîne fonctionnelle de toute compromission suspectée ou avérée à la suite 
d’événements tels que la perte, le vol ou la disparition, même temporaire ; 
- 
de s’assurer de leur destruction.
2011113_IGI 1300_Protection du secret de la defense nationale_NP.pdf — page 75

75
Art. 92 : Systèmes d’information particuliers  
 
1) Traitement des informations « Spécial France » 
 
Les systèmes d’information susceptibles de traiter des informations portant la mention « Spécial 
France »141 doivent faire en outre l’objet de mesures de sécurité particulières pour garantir que 
les utilisateurs étrangers qui auraient un besoin d’accès légitime au système ne puissent accéder 
aux informations dont l’accès n’est autorisé qu’aux seuls utilisateurs français.    
 
2) Echanges internationaux  
 
Lorsque des informations classifiées sont transmises dans des systèmes d’information relevant 
de la responsabilité d’Etats étrangers ou d’organisations internationales, des mesures de 
protection doivent être fixées par des accords ou des règlements de sécurité avec ces 
partenaires, qui assurent à ces informations un niveau de protection au moins équivalent à celui 
prévu dans la présente instruction.  
 
La protection des systèmes d’information traitant d’informations classifiées confiées à la France 
par des Etats étrangers ou par des organisations internationales, est assurée conformément aux 
accords et aux règlements de sécurité établis avec ces partenaires. Ces accords et règlements 
font le cas échéant l’objet d’instructions complémentaires pour l’application de ces mesures en 
France. A défaut de tels accords ou règlements, les dispositions de la présente instruction 
s’appliquent à ces systèmes.   
                                                 
141 Conformément à l’article R. 2311-4 du code de la défense.
2011113_IGI 1300_Protection du secret de la defense nationale_NP.pdf — page 76

76
 
TITRE VI :  
LA PROTECTION DU SECRET DANS LES CONTRATS 
 
 
 Les personnes morales de droit privé, de la même façon que les personnes physiques, 
doivent être habilitées pour l’exécution de travaux classifiés ; 
 La détention par un contractant d’informations ou de supports classifiés est 
conditionnée par l’aptitude physique des locaux à accueillir de tels informations ou 
supports. 
 
 
Art. 93 : Principes généraux de sécurité 
  
La sécurité des informations ou supports classifiés dans les contrats, entendus au sens de 
l’article 2 de la présente instruction, est garantie par l’insertion de stipulations répondant aux 
présentes prescriptions et précisant les obligations des contractants. Tout contrat de sous-
traitance142 d’un marché nécessitant l’accès aux informations ou supports classifiés obéit aux 
règles de la présente instruction, y compris dans la phase précontractuelle. 
 
Tout contrat qui implique l’accès aux informations ou supports classifiés comporte des clauses 
de protection du secret précisant les obligations des contractants telles que définies en annexe 
9. Le titulaire d’un tel contrat s’engage, sous sa responsabilité pénale et contractuelle, à assurer 
la protection des informations ou supports classifiés qu’il aura à détenir ou à connaître au titre 
de ce contrat en tenant compte des dispositions particulières stipulées dans l’annexe de sécurité 
se rapportant au contrat.  
 
L'aptitude physique à détenir des informations ou supports classifiés est conditionnée par le 
respect des dispositions législatives et réglementaires en matière de protection du secret de la 
défense nationale. Le titulaire d’un contrat dont l’objet implique la détention d’informations ou 
de supports classifiés est tenu de mettre en œuvre dans son ou ses établissements les mesures de 
sécurité requises pour assurer la protection du secret de la défense nationale conformément à 
l’article 71. A l’égard de toute personne qu’il emploie, qu’il reçoit ou avec laquelle il a des 
liens, le titulaire du contrat concerné prend toutes mesures utiles pour contrôler, et le cas 
échéant limiter, l’accès aux parties de ses installations dans lesquelles la protection des 
informations ou supports classifiés le justifie. 
 
Chapitre 1 : 
Mesures de sécurité dans la négociation et la passation des contrats 
 
Section 1 : Phase précontractuelle 
 
Art. 94 : Obligations de l’autorité contractante 
 
Dès le début d’une procédure de passation d’un contrat ou s’il y a lieu dans l’avis d’appel 
public à la concurrence, l’autorité contractante est tenue d’informer les futurs candidats du délai 
imparti pour fournir les documents nécessaires à l’habilitation et, si le contrat nécessite la 
détention d’informations ou de supports classifiés, les documents nécessaires pour faire 
                                                 
142 Au sens de la loi n° 75-1334 du 31 décembre 1975 relative à la sous-traitance.
2011113_IGI 1300_Protection du secret de la defense nationale_NP.pdf — page 79

79
Section 2 : La procédure d’habilitation 
 
Art.99 : L’enquête préalable 
 
Afin d’évaluer si une entreprise ne présente pas de vulnérabilité pour la défense et la sécurité 
nationale, les investigations menées par le service enquêteur portent notamment sur les 
détenteurs réels du pouvoir de direction et de contrôle ainsi que sur le ou les actionnaires. 
L’autorité nationale de sécurité de l’Etat de la nationalité des dirigeants ou des actionnaires peut 
être consultée. Le sens de l’enquête de vulnérabilité n’affecte en rien l’honorabilité de 
l’entreprise concernée ni celle de ses dirigeants.  
 
Au terme des investigations, le service enquêteur émet un avis de sécurité qui n’est 
communiqué qu’à l’autorité d’habilitation.  
Les conclusions de l’avis de sécurité sont de trois types: 
– « avis sans objection », lorsque l’instruction n’a révélé aucun élément de vulnérabilité de 
nature à constituer un risque pour la sécurité des informations ou supports classifiés ni pour 
celle de la personne morale; 
– « avis restrictif », lorsque la personne morale présente certaines vulnérabilités constituant des 
risques directs ou indirects pour la sécurité des informations ou supports classifiés auxquels elle 
aurait accès, mais que des mesures de sécurité spécifiques prises par l’officier de sécurité 
permettraient de maîtriser ; 
– « avis défavorable », lorsque des informations précises font apparaître que la personne morale 
présente des vulnérabilités faisant peser des risques tels qu’aucune mesure de sécurité ne 
semble suffisante à les neutraliser. 
L’avis de sécurité est émis pour un niveau donné d’habilitation. L’avis « sans objection » est 
valable pour le niveau précisé ainsi que pour le(s) niveau(x) inférieur(s). Pour les avis restrictifs 
ou défavorables, les services enquêteurs se prononcent, au cas par cas, sur l’opportunité 
d’accorder une habilitation pour le(s) niveau(x) inférieur(s). 
Les avis restrictifs ou défavorables ne sont pas classifiés. Ils sont assortis d’une fiche 
confidentielle indiquant les motifs de l’avis. Cette fiche, classifiée en tout ou partie, explicite 
les motifs de vulnérabilité décelés lors de l’enquête. Ces motifs ne peuvent être portés qu’à la 
connaissance de la seule autorité d’habilitation. Ne pouvant être reproduite, la fiche 
confidentielle est retournée après communication et sans délai au service enquêteur qui l’a 
émise, aux fins de conservation. 
 
Toutefois, afin de permettre la reconnaissance des habilitations entre autorités d’habilitation, 
l’avis de sécurité ainsi que tous les éléments relatifs à l’habilitation de la personne morale 
concernée peuvent être transmis entre autorités d’habilitation. Sauf changement dans la 
situation de fait ou de droit de l’entreprise, la durée de validité de l’avis de sécurité émis est 
fixée conformément aux dispositions de l’article 24.
2011113_IGI 1300_Protection du secret de la defense nationale_NP.pdf — page 83

83
désigner un ou plusieurs adjoints à l’officier de sécurité qui est alors identifié comme officier 
central de l’entreprise. Ses adjoints sont appelés officiers de sécurité d’établissement.  
 
Dès lors que des systèmes d’information hébergent et traitent des informations classifiées,  le 
chef d’entreprise doit également désigner un officier de sécurité affecté à la sécurité des 
systèmes d'information afin de renforcer la structure de sécurité. Cette fonction peut être 
exercée par l’officier de sécurité ou sous son autorité. 
 
Les dispositions de la présente section sont applicables à tout adjoint d’un officier de sécurité.  
 
Le chef d’entreprise peut, le cas échéant, désigner des correspondants de sécurité au sein de 
subdivisions physiques ou opérationnelles de l’entreprise pour consolider l’action de l’officier 
de sécurité au sein de ces subdivisions. Placés, pour cette mission, sous le contrôle opérationnel 
d’un officier de sécurité, ces correspondants de sécurité ne font pas l’objet de l’agrément 
prescrit ci-dessus. 
 
Art. 106 : Rôle et obligations de l’officier de sécurité 
 
Sous l’autorité du chef de l’entreprise, l’officier de sécurité est chargé de l’organisation 
générale de la sécurité de l’établissement et notamment des relations, au titre de sa fonction, 
avec le service enquêteur, les autorités d’habilitation et les autorités contractantes.  
 
1) A ce titre, il est amené à s'assurer notamment : 
 
-  de l’application des règles de sécurité énoncées dans les différents textes au sein de 
l’établissement ; 
- 
de la gestion des dossiers d’habilitation du personnel de l’établissement en fonction du 
besoin d’en connaître ; il est également chargé des demandes d’habilitation de sous-traitants 
éventuels. Il est tenu de signaler au service enquêteur les éléments de vulnérabilité portés à 
sa connaissance apparaissant après la décision d’habilitation, et de signaler à l’autorité 
d’habilitation tout changement dans les statuts de la personne morale ; 
- 
de la tenue à jour d’un registre des membres du personnel titulaires d’une habilitation et 
auxquels l’accès est autorisé, dans le cadre du contrat et d’éventuels contrats de sous-
traitance. Ce registre indique les dates de délivrance et de fin de validité ainsi que le niveau 
de ces habilitations ;  
- 
de fournir, à la demande du service enquêteur, des renseignements sur toutes les personnes 
qui seront appelées à avoir accès à des informations classifiées ;  
- 
de la sensibilisation et de la formation du personnel ; 
- 
de signaler les compromissions du secret avérées ou supposées, dans les conditions définies 
à l’article 67 ; 
- 
de la gestion et de la mise à jour des annexes de sécurité des contrats de droit public ou de 
droit privé ; 
- 
de la mise à jour du dossier de sécurité. 
 
2) Dans le cadre des contrats impliquant la détention d’informations ou de supports 
classifiés, il est en outre chargé : 
 
- 
du contrôle permanent de la gestion et de la protection des informations ou supports 
classifiés ; 
- 
de la gestion et du suivi des ACSSI ;