IM 900 2021.pdf — page 161

30 avril 2021 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 18 sur 212 
TITRE 6 : SECURITE DES SYSTEMES D’INFORMATION POUR LES ENTITES DE
DROIT PRIVE
6.3 

155 
L’élaboration de l’avis d’aptitude informatique est réalisée à partir d’une évaluation in 
situ préparée à partir de documents prévus dans le dossier d’homologation (notamment 
le document de description du système d’information et des informations du DSSI147).  
2. Évaluation de l’aptitude technique informatique
La DRSD réalise in situ et en tant que de besoin des contrôles sur les conformités 
réglementaires et la bonne application de l’état de l’art en matière de sécurité 
informatique. Elle apprécie l’efficacité et la complétude des mesures de sécurité 
déployées par l’entité visant à amener les risques identifiés à un niveau acceptable. La 
DRSD notifie l’avis qu’elle a élaboré à l’entité et à l’autorité contractante. 
a. Avis favorable
Le niveau de sécurité est jugé satisfaisant et les risques cyber semblent maitrisés. Un avis 
favorable peut également être émis si le plan d’actions de l’entité contractante apporte 
un niveau de confiance suffisant dans l’atteinte d’un niveau satisfaisant et dans la 
maitrise des risques cyber. 
b. Avis avec réserves
Lorsque le niveau de sécurité n’est pas jugé satisfaisant ou que la maitrise des risques 
cyber doit être améliorée, un avis avec réserves est émis. Il définit un plan d’action 
supplémentaire en vue de diminuer ou d’annuler les risques identifiés et jalonne la mise 
en conformité des SI concernés en complément des actions élaborées dans le cadre de 
l’homologation. 
Des réserves peuvent être formulées en cas de: 
-
absence de fourniture par l’entité d’un ou plusieurs documents nécessaire à
l’évaluation du système d’information par la DRSD dans des délais compatibles avec
l’exécution du contrat classifié ;
-
non-conformité réglementaire;
-
identification de lacunes techniques ou organisationnelles faisant peser sur les
informations classifiées de défense un risque non négligeable.
Un délai compatible avec l’exécution du contrat est défini par la DRSD afin que les 
mesures soient prises par l’entité, permettant de lever les réserves avant l’homologation 
du système d’information. 
Au terme du délai imparti, la DRSD procède aux contrôles visant à lever les réserves. Un 
avis favorable peut alors être émis si les contrôles sont positifs. Dans le cas contraire, les 
réserves existantes sont notifiées à l’autorité contractante. 

147 Le DSSI est un dossier d’identité et de description d’un SI. Il n’a pas besoin d’être tenu à jour, mais les 
informations qui le constituent doivent être tenues à jour par ailleurs. Une version à jour doit pouvoir être 
fournie à la demande de l’autorité contractante, de l’autorité d’habilitation ou du service enquêteur. Le 
DSSI contient les informations nécessaires pour connaître le système d’information et en évaluer la sécurité 
dans le cadre d’une inspection, d’un contrôle, d’un audit, d’un ATAI : informations sur la société, 
l’établissement concerné, et sur le SI ou réseau concerné (en particulier sa description et l’ensemble des 
procédures de sécurité applicables, qu’elles soient particulières au SI ou relevant de l’établissement ou de 
la société concernés). Le format du DSSI est précisé dans les contrats et le modèle par défaut et disponible 
sur le site IXARM. Afin de ne pas dupliquer des informations qui seraient déjà demandées au titre du dossier 
d’homologation, le DSSI peut référencer des pièces du dossiers d’homologation sans les reproduire.