Les rôles concourant à la préparation de la décision d’homologation

On distingue généralement 3 rôles dans un projet de sécurisation et d’homologation d’un système d’information.



Le succès de la démarche d’homologation dépend de la qualité et de la régularité des échanges entre les niveaux opérationnel, fonctionnel et de contrôle afin de faire progresser ensemble la sécurité du système.

Les rôles peuvent être assurés par des personnes distinctes ou par les mêmes personnes, adaptant leur positionnement selon le rôle joué.
Par exemple, une même personne peut être appelée à jouer à la fois :
Un rôle opérationnel, en mettant en oeuvre des mesures concrètes de sécurisation d’un système.
Un rôle fonctionnel, en conseillant une équipe sur les mesures de sécurité à mettre en œuvre.
Un rôle de contrôle, en vérifiant que l’ensemble des étapes et actions devant être prises dans le cadre de l’homologation l’ont bien été.
Il est néanmoins recommandé, lorsque cela est possible d’attribuer le rôle de contrôle à une ou plusieurs personnes n’assurant pas les rôles opérationnel et fonctionnel, dans un souci d’impartialité.

Cela est, en particulier, recommandé s’agissant des démarches d’homologation de systèmes aux besoins de sécurité élevés (voir « identifier
la démarche adaptée »). Pour les démarches d’homologation des systèmes d’information aux besoins de sécurité élevés, un comité d’homologation doit être constitué en vue d’assurer le rôle de contrôle de la démarche menée, avant la tenue de la commission d’homologation.
Celui-ci doit être composée des personnes disposant d’une expertise métier et cyber, capables d’examiner les pièces fournies en vue de vérifier si la démarche a été menée de manière adéquate et si les mesures mises en œuvre sont satisfaisantes pour répondre aux risques identifiés.

L'autorité d'homologation

La décision d’homologation est prise par l’autorité d’homologation prenant la responsabilité, pour l’organisation, de la mise ou le maintien en service du système d’information.

L’autorité d’homologation est la personne placée au plus haut niveau hiérarchique d’une entité responsable d’un système d’information, en capacité d’assumer la responsabilité de la mise en ligne d’un service numérique au regard des risques identifiés et des mesures de sécurité mises en œuvre.

Le rôle d’autorité d’homologation peut être délégué de manière ponctuelle ou pérenne à une ou plusieurs autres personnes au sein d’une entité. Cette délégation peut être prononcée en vue de faciliter l’industrialisation des homologations, notamment pour les systèmes aux besoins de sécurité moins élevés.

Pour cela, la délégation doit être formalisée par écrit sans contrainte de forme (ex. mail, note). Dans le cas d’un système sous la responsabilité de plusieurs entités, le rôle d’autorité d’homologation doit revenir à l’entité ayant la responsabilité principale du système (ex. conception, déploiement, hébergement, financement, etc.).

Exemples d’autorité d’homologation ou de délégation :

Au sein d’une collectivité :
Le ou la Maire pour une commune
Le ou la DGS par délégation.

Au sein d’une administration ou d’une entité privée :
Le ou la DG d’une direction publique ou d’une agence publique
Par délégation, un adjoint ou une adjointe, un chef de service ou une cheffe de service, un sous-directeur ou une sous-directrice voire pour les systèmes et services / besoins de sécurité aux besoins de sécurité les plus faibles, un ou une chef(fe) de division.

Mis à jour le : 31/03/2025