IM 900 2021.pdf — page 155

30 avril 2021 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 18 sur 212 
TITRE 6 : SECURITE DES SYSTEMES D’INFORMATION POUR LES ENTITES DE 
DROIT PRIVE 
6.2 

149 
contractante sur avis de la DRSD. La validation de la stratégie d’homologation doit 
intervenir au plus tôt du cycle de vie du système, idéalement dès la phase de conception. 
La démarche d’homologation s’appuie sur une analyse de risque qui décrit et caractérise 
particulièrement: 
-
la menace cyber contextualisée pesant sur le SI, notamment les sources de risque 
intentionnel (profils d’attaquant, objectifs visé, etc.) 
-
le niveau de dangerosité des parties prenantes de l’écosystème du fait des interactions 
métiers et IT qu’elles entretiennent avec le SI dans ses différentes phases de vie; 
-
les scénarios de risques intentionnels décrivant les chemins d’attaque et les modes 
opératoires susceptibles d’être orchestrés par les sources de risque, y compris via les 
parties prenantes de l’écosystème (attaques par rebond, supply chain attacks, etc.). 
Il est recommandé de réaliser l’analyse de risque selon la méthode EBIOS Risk Manager 
de l’ANSSI. 
 
2. L’autorité d’homologation 
Pour les systèmes d’information appartenant ou mis en œuvre par un opérateur privé, 
l’autorité d’homologation est désignée dans les conditions suivantes : 
-
dans le cas où le système d’information traite d’informations classifiées au niveau Très 
Secret classification spéciale, le SGDSN est l’autorité d’homologation ; 
-
dans le cas où le système d’information est amené à traiter des informations classifiées 
de l’UE, y compris au niveau R-UE/EU-R, ou de l’OTAN, l’autorité d’homologation est 
désignée par le SGDSN; 
-
dans le cas d’une interconnexion entre un système d’information Secret ou Très Secret 
et un système d’information d’un niveau de classification différent ou non classifié, si 
l’utilisation de dispositifs agréés est impossible, l’autorité d’homologation est l’ANSSI 
ou toute autorité qu’elle désigne; 
-
dans le cas d’une passerelle entre un système d’information Secret ou Très Secret et 
un système d’information qui n’est pas sous maitrise nationale, si l’utilisation de 
dispositifs agréés est impossible, l’autorité d’homologation est l’ANSSI ou toute 
autorité qu’elle désigne; 
-
dans les autres cas, notamment lorsque le système d’information traite d’informations 
non classifiées ou classifiées au niveau Secret ou Très Secret, la désignation de 
l’autorité d’homologation relève de la responsabilité de l’autorité qualifiée de 
l’opérateur privé. 
L’autorité d’homologation est responsable de prendre la décision d’accepter les risques 
résiduels; à ce titre, lorsque cela est possible, elle doit en principe être l’autorité chargée 
de l’emploi du système ou dans la chaine d’emploi du système. 
Il est possible de distinguer l’autorité d’homologation qui prononcera l’homologation de 
référence d’un système et l’autorité (ou les autorités) d’homologation qui prononcera les 
homologations de déploiement. 
 
3. Réglementation applicable 
Certaines procédures et mesures de sécurité sont imposées, a priori, sur le système par 
la loi ou la réglementation afin d’instaurer un socle jugé minimal de sécurité pour les 
systèmes d’information :