L’homologation de sécurité : décider en connaissance de cause

L’homologation est mal comprise parce qu’on la confond avec une certification. Une certification atteste une conformité à un référentiel. Une homologation est une décision : une autorité assume l’exploitation d’un système au regard des risques identifiés.

Ce n’est pas un tampon technique. C’est un acte de responsabilité.

Le principe

Une autorité d’homologation — une personne, pas un comité anonyme — prend une décision écrite autorisant l’exploitation d’un système d’information, pour une durée déterminée, avec ou sans réserves.

Elle le fait au vu d’un dossier qui présente le système, les risques, les mesures en place et les risques résiduels.

La logique est celle de la décision éclairée : on n’attend pas l’absence de risque, on attend que quelqu’un ayant autorité ait vu, compris et accepté ce qui reste.

Qui est concerné

La démarche est obligatoire pour les systèmes de l’État et pour certains périmètres réglementés. Elle est recommandée, et de plus en plus reprise, dans le privé pour les systèmes critiques.

Deux raisons à cette diffusion. D’abord, elle répond directement à l’exigence de l’article 20 de NIS 2 : les organes de direction doivent approuver les mesures et peuvent être tenus responsables. Une homologation est précisément la trace de cette approbation.

Ensuite, elle règle le problème du risque orphelin — celui que tout le monde connaît et que personne n’a formellement accepté.

Ce que contient le dossier

• La description du système : périmètre, fonctions, interconnexions, données traitées et leur sensibilité.
• L’analyse de risques, conduite selon la méthode retenue — EBIOS ou approche normative.
• La politique de sécurité applicable et les mesures mises en œuvre.
• Les résultats des contrôles : audits, tests d’intrusion, revues de configuration.
• Les risques résiduels, explicitement listés — c’est la partie que l’autorité assume.
• Le plan d’action pour les écarts non encore traités, avec échéances.

La qualité du dossier se juge sur la section des risques résiduels. Un dossier qui n’en présente aucun n’a pas été instruit sérieusement.

Les trois issues possibles

Homologation prononcée pour une durée donnée, généralement un à trois ans.

Homologation avec réserves : exploitation autorisée sous condition de traiter certains écarts dans un délai. C’est le cas le plus fréquent, et le plus sain.

Refus : le système ne peut pas être mis en service en l’état. Rare, mais l’éventualité doit exister — sinon la démarche n’est qu’une formalité.

Ce qui rend la démarche utile

Elle nomme un responsable. Le risque résiduel cesse d’être porté par l’équipe technique. C’est souvent ce qui débloque des budgets refusés depuis deux ans.

Elle borne dans le temps. Une homologation expire. Le réexamen est automatique, ce qui évite la dérive silencieuse d’un système qui évolue sans que sa sécurité soit réévaluée.

Elle produit une trace opposable. En cas d’incident, la question « qui savait quoi » a une réponse écrite. Cela protège l’organisation et, contrairement à une intuition répandue, cela protège aussi le décideur qui a agi en connaissance de cause.

Les erreurs classiques

La confier à un technicien. L’autorité d’homologation doit avoir le pouvoir d’assumer l’arrêt du système. Un responsable d’exploitation n’a pas ce pouvoir.

Faire un dossier de deux cents pages. Personne ne le lit, donc personne ne décide vraiment. Une homologation utile tient en un dossier synthétique et des annexes.

La traiter comme un événement unique. C’est un cycle : instruction, décision, suivi des réserves, réexamen.

Homologuer un système qu’on ne surveille pas. Une décision prise sur un état à un instant donné n’a de sens que si l’on détecte les écarts ultérieurs.

Une démarche proportionnée

L’ANSSI décrit une approche graduée : le niveau d’effort s’adapte aux enjeux. Un système peu sensible peut faire l’objet d’une instruction légère ; un système critique appelle un dossier complet et des contrôles indépendants.

Appliquer le formalisme maximal à tout est le meilleur moyen de ne rien homologuer.

Sources

• ANSSI — guides sur l’homologation de sécurité
• Directive (UE) 2022/2555 (NIS 2), article 20
• ISO/IEC 27001:2022, clauses 5 et 6.1.3 f) — acceptation des risques résiduels

Aller plus loin

Nous accompagnons ces démarches en gouvernance, risques et conformité, y compris la constitution du dossier et l’animation de l’instance de décision.