Une décision

L’homologation de sécurité prend la forme d’une décision. Celle-ci permet de s’assurer que les risques liés à l’emploi d’un sstème d’information sont clairement identifiés, traités et acceptés au plus haut niveau d’une organisation par une autorité (« l’autorité d’homologation »).
Cette décision permet la mise et le maintien en service d’un système d’information.
La décision d’homologation atteste que les mesures de sécurité mises en œuvre pour protéger un système, ainsi que les efforts additionnels planifiés, sont suffisants pour faire face aux risques cyber les plus courants et/ou les risques cyber spécifiques identifiés contre lesquels une entité choisit de se protéger.
Les risques cyber spécifiques identifiés contre lesquels une entité choisit de se protéger.
En cas d’avis défavorable de l’autorité d’homologation, l’homologation n’est pas validée mais le refus d’homologation peut être enregistré formellement.
En l’absence de décision, un système d’information est réputé ne pas pouvoir être mis ou maintenu en service.

La forme de la décision

La décision d’homologation est formalisée par un écrit sans exigence de forme particulière (ex. note administrative, document signé, etc.). Rien n’interdit qu’une décision d’homologation soit prise électroniquement.

Elle doit à minima indiquer :
Le nom de l’entité
Le nom/prénom et la fonction de l’autorité d’homologation
Le nom ou l’identifiant du système et son périmètre
La date de la décision et la durée de validité de l’homologation
Les recommandations / exigences de l’autorité d’homologation pour la suite de la sécurisation du système et les réserves éventuelles.

Mise en avant de la décision

La publication d’une décision d’homologation n’est pas obligatoire mais est fortement recommandée par l’ANSSI dans un souci de transparence et de renforcement de la confiance avec l’ensemble des personnes et parties prenantes utilisant le système d’information.

L’information publique sur une décision d’homologation devrait inclure a minima :
Le nom de l’entité
Le nom ou l’identifiant du système
La date de la décision et la durée de validité de l'homologation

La portée juridique

La portée juridique d’une décision d’homologation varie d’une réglementation à une autre, selon par exemple, la sensibilité du système (ex. les systèmes classifiés relèvent du droit pénal). Une décision d’homologation de sécurité engage juridiquement l’entité concernée représentée par l’autorité d’homologation.
Dans le cas où la personne ayant validé une décision d’homologation quitte l’entité, l’homologation ne perd pas sa validité et la responsabilité est transférée à une autre personne assurant le rôle d’autorité d’homologation.

Mis à jour le : 31/03/2025