2021 IM 1300 revue suite loi PATR JO 11aout21.pdf — page 42

11 août 2021 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 1 sur 86 
 
 
 
39 
-
UpDOLVHURXIDLUHUpDOLVHUGHVFRQWU{OHVLQWHUQHV HWGHVDXGLWVGHVpFXULWpSRUWDQWVXUODJHVWLRQGHV
LQIRUPDWLRQV HW VXSSRUWV FODVVLILpV OD VpFXULWp GHV V\VWqPHV G¶LQIRUPDWLRQ FODVVLILpV HW O¶DSWLWXGH
SK\VLTXHGHVOLHX[DEULWDQWGHVpOpPHQWVFRXYHUWVSDUOHVHFUHWGHODGpIHQVHQDWLRQDOH 
-
DVVXUHUXQVXLYLGHO¶DFWLYLWpOLpHDX[KDELOLWDWLRQVDX[OLHX[DEULWDQWGHVpOpPHQWVFRXYHUWVSDUOHVHFUHW
GHODGpIHQVHQDWLRQDOHDX[LQIRUPDWLRQVHWVXSSRUWVFODVVLILpVHWDX[V\VWqPHVG¶LQIRUPDWLRQFODVVLILpV
HWHQUHQGUHFRPSWHDXIRQFWLRQQDLUHGHVpFXULWpGHGpIHQVH 
-
UHQGUHFRPSWHOHFDVpFKpDQWDYHFO¶RIILFLHUGHVpFXULWpGHVV\VWqPHVG¶LQIRUPDWLRQYLDOHXUFKDvQH
IRQFWLRQQHOOHUHVSHFWLYHFISDUWLHGHVFRPSURPLVVLRQVGXVHFUHWDYpUpHVRXVXSSRVpHV 
-
GLULJHUORUVTXHOHUHVSRQVDEOHGHO¶RUJDQLVPHOHGpFLGHOHEXUHDXGHSURWHFWLRQGXVHFUHW
Pour les questions relatives à la sécurité des systèmes d’information, l’officier de sécurité est assisté de 
l’officier de sécurité des systèmes d’information. 
Lorsque l’officier de sécurité dispose d’un adjoint ou d’un suppléant, la répartition des missions entre le 
titulaire et son adjoint ou suppléant est approuvée par le responsable d’organisme. 
c) Officier de sécurité de groupe ou de holding, officier central de sécurité, officier de sécurité 
d’établissement, de correspondants de sécurité 
i.
Officier de sécurité de groupe ou de holding
Un officier de sécurité de groupe ou de holding peut être désigné respectivement au sein d’un groupe de 
sociétés lorsqu’au moins une société a accès au secret de la défense nationale ou d’une société holding si une 
de ses filiales a accès au secret de la défense nationale afin d’assurer une cohérence entre la gouvernance du 
groupe ou de la société holding et les enjeux de la protection du secret. 
ii.
Officier central de sécurité, officier de sécurité d’établissement, correspondants de sécurité 
Lorsque l’organisme dispose d’un ou plusieurs établissements abritant des informations et supports classifiés, 
le responsable d’organisme peut désigner un officier de sécurité par établissement abritant. Ces derniers sont 
placés sous la supervision de l’officier de sécurité placé directement aux côtés du responsable d’organisme, 
alors désigné « officier central de sécurité ». 
L’officier de sécurité d’établissement est habilité au niveau requis par sa fonction. Il dispose d’un 
positionnement hiérarchique suffisant pour conseiller et entretenir une relation étroite avec le directeur 
d’établissement et les dirigeants de la personne morale. Il dispose de tous les moyens nécessaires pour 
accomplir ses missions. Cette fonction ne peut en aucun cas être externalisée. 
Le responsable d’organisme peut, en outre, en dehors des établissements abritant des informations ou supports 
classifiés, désigner des correspondants de sécurité placés sous le contrôle opérationnel de l’officier de sécurité 
ou de l’officier central de sécurité au sein de chaque subdivision physique ou opérationnelle de la personne 
morale. 
Chaîne fonctionnelle de sécurité des systèmes d’information  
La chaîne fonctionnelle de sécurité des systèmes d’information est organisée de manière à veiller à la sécurité 
de l’ensemble des systèmes d’information détenus par l’organisme, tout au long de leur cycle de vie. Le rôle 
de cette chaîne fonctionnelle, qui n’est pas spécifique aux systèmes d’information classifiés, est renforcé dès 
lors qu’un organisme dispose d’un ou plusieurs systèmes classifiés. Elle contrôle alors l’application de la 
réglementation en matière de protection du secret sur ces systèmes. 
Elle s’appuie sur les autorités qualifiées en sécurité des systèmes d’information, les personnes exerçant la 
fonction d’officier de sécurité des systèmes d’information (OSSI), les responsables de la sécurité des systèmes 
d’information (RSSI), les autorités d’homologation et les autorités responsables de l’exploitation des systèmes 
conformément aux modalités arrêtées par le ministre dont elles relèvent. 
Sous la responsabilité du responsable d’organisme, la chaîne de sécurité des systèmes d’information contribue 
au déploiement et à la traçabilité des articles contrôlés de la sécurité des systèmes d’information (ACSSI).