Qui a autorité pour autoriser — ou ne pas autoriser — un système d'information dans une académie ?
Cet article a été rédigé dans son contexte réglementaire d'origine. Il a été actualisé pour intégrer les principales évolutions intervenues depuis, notamment la création des services de défense et de sécurité académiques (SDSA) en 2025 et le nouveau cadre issu de NIS2 et du Référentiel Cyber France (ReCyF) publié par l'ANSSI en 2026.
Derrière chaque système d'information déployé dans une académie se cache une question de fond. Qui décide ? Qui engage sa responsabilité ? Et surtout, qui répond de ses conséquences ? En effet, la réponse tient en un empilement d'autorités précises, dont la maîtrise conditionne à la fois la sécurité des données et la protection juridique des agents.
L'AQSSI, autorité juridique du périmètre
Tout d'abord, le recteur est l'autorité qualifiée de sécurité des systèmes d'information (AQSSI), au sens du référentiel général de sécurité. Concrètement, il s'appuie sur un responsable de la sécurité des systèmes d'information (RSSI). Ce dernier est désigné au sein des services académiques pour appliquer les dispositions ministérielles ou interministérielles.
Ainsi, les AQSSI sont les responsables juridiques du périmètre concerné. C'est donc à leur niveau que s'exerce :
- la maîtrise d'ouvrage, c'est-à-dire la définition des enjeux de sécurité liés aux systèmes d'information ;
- la responsabilité de passer des actes contractuels (marchés publics) ;
- la responsabilité de mettre en place des organisations, comme le comité de pilotage de la SSI ou la logistique de crise ;
- les arbitrages budgétaires ;
- la possibilité, le cas échéant, d'intenter une action en justice ;
- la désignation d'un RSSI pour l'assister.
- de définir des objectifs de sécurité. Pour les systèmes traitant d'informations classifiées, ces objectifs découlent de l'instruction interministérielle n°1300, portée par l'arrêté du 30 novembre 2011 ;
- de s'assurer que les dispositions réglementaires et contractuelles sur la sécurité des systèmes d'information sont bien appliquées ;
- de faire appliquer les consignes et les directives internes ;
- de s'assurer que des contrôles internes de sécurité sont régulièrement effectués ;
- d'organiser la sensibilisation et la formation du personnel, en particulier sur les systèmes d'information ;
- de veiller à la mise en œuvre des procédures d'homologation des systèmes, d'agrément des dispositifs de sécurité, et de gestion des articles contrôlés de la sécurité des systèmes d'information (ACSSI) ;
- de désigner les autorités d'homologation des systèmes relevant de sa responsabilité.
Le RSSI, responsable opérationnel mandaté
Ensuite, le RSSI est nommé et mandaté par l'AQSSI. Sa mission : mettre en place la politique générale de sécurité des systèmes d'information. Lors de sa désignation, l'AQSSI précise le périmètre de ses attributions ainsi que sa dépendance hiérarchique.
La distinction est donc nette et structurante : les AQSSI sont les responsables juridiques du périmètre concerné. Les RSSI, eux, en sont les responsables opérationnels.
Concrètement, le RSSI peut notamment être chargé :
- d'être le contact privilégié des utilisateurs du système pour les questions de sécurité ;
- d'assurer la formation et la sensibilisation des responsables, des informaticiens et des usagers ;
- de tenir à jour la liste des personnels ayant accès aux systèmes d'information ;
- de faire surveiller en permanence les activités des personnes extérieures intervenant sur les systèmes d'information ;
- de s'assurer que les personnels d'exploitation et les utilisateurs appliquent bien les règles de sécurité prescrites ;
- d'assurer leur sensibilisation aux mesures de sécurité et de les informer de tout changement ;
- de veiller à la mise en œuvre des mesures de protection, d'établir des consignes particulières et d'en contrôler l'application ;
- d'assurer la gestion, la comptabilité et le suivi des ACSSI, et d'en réaliser périodiquement l'inventaire ;
- d'établir les consignes de sécurité relatives à la conservation, au stockage et à la destruction des ACSSI ;
- de vérifier périodiquement l'installation et le bon fonctionnement des dispositifs de sécurité ;
- de veiller au respect des procédures opérationnelles de sécurité propres au système ;
- de surveiller les opérations de maintenance ;
- et de rendre compte de toute anomalie ou de tout incident de sécurité.
Une réforme structurelle en 2025 : la création des SDSA
Depuis la rédaction initiale de cet article, l'architecture organisationnelle qui porte l'AQSSI et le RSSI a en effet évolué. Concrètement, le décret n° 2025-75 du 29 janvier 2025 crée, dans chaque rectorat, un service de défense et de sécurité académique (SDSA), placé sous l'autorité du recteur et dirigé par son directeur de cabinet. Ce service devient ainsi la structure unique regroupant l'ensemble des missions de défense et de sécurité — y compris la sécurité des systèmes d'information, qui reste toutefois sous la responsabilité du RSSI, désormais intégré à cette chaîne.
Par ailleurs, au niveau ministériel, l'instruction du 19 mars 2025 (BOEN n° 13 du 27 mars 2025) formalise la gouvernance correspondante et abroge la circulaire n° 2012-046 du 12 mars 2012, jusque-là texte de référence sur l'organisation de la mission de sécurité et de défense en académie. Enfin, le haut fonctionnaire de défense et de sécurité (HFDS) — aujourd'hui la secrétaire générale des ministères de l'Éducation nationale, de l'Enseignement supérieur et de la Recherche — anime et coordonne l'action de ces SDSA au niveau national, via le service de défense et de sécurité (SDS) placé sous l'autorité d'un haut fonctionnaire adjoint.
Sur le fond, cependant, la répartition des rôles décrite ci-dessus entre AQSSI et RSSI n'est pas remise en cause. Ce qui change, c'est plutôt le cadre organisationnel qui les porte au niveau académique : la SSI n'est plus pilotée par une mission dédiée mais intégrée dans un service unique, aux côtés de la sûreté des établissements, de la lutte contre les atteintes à la laïcité et de la gestion de crise. Pour un RSSI ou un DSI d'académie, cela implique donc de vérifier où se situe désormais le pilotage effectif de la SSI dans l'organigramme du SDSA de son académie, celui-ci variant d'une académie à l'autre selon l'arrêté recteur local.
Aussi, cette évolution renforce-t-elle le besoin de coordination permanente entre le directeur du SDSA, le RSSI, le DSI et le DPD, afin de garantir une gouvernance cohérente de la sécurité numérique.
Menaces et vulnérabilités des systèmes d'information
Qu'ils soient utilisés en local ou via les réseaux de télécommunications, les systèmes d'information présentent des fragilités. Ces menaces peuvent être environnementales (météo, incendie…), intrinsèques (conception, technologies…), ou encore humaines — externes, internes, délibérées, par erreur ou par négligence.
Ces vulnérabilités sont d'ailleurs multipliées par plusieurs facteurs :
- la banalisation, la complexité, l'automatisme et le nombre croissant d'utilisateurs, mais aussi le volume et la diversité des informations traitées ;
- le partage d'infrastructures communes, qui complexifie le système de liaison : réseaux haut débit métropolitains ou régionaux, intranet académique très étendu, usages nomades via les environnements numériques de travail ;
- des utilisateurs très hétérogènes : élèves mineurs, élèves et étudiants majeurs, enseignants, parents d'élèves, personnels administratifs, fournisseurs, partenaires et collectivités territoriales.
Ce panorama des menaces s'inscrit désormais dans un cadre réglementaire élargi. En effet, la directive européenne NIS2 a été transposée en droit français en octobre 2024, et l'ANSSI a ensuite publié en mars 2026 le Référentiel Cyber France (ReCyF), qui fait de la PSSI un prérequis obligatoire pour les entités entrant dans le périmètre NIS2 — au premier rang desquelles les collectivités territoriales. Certes, les académies relèvent d'un régime propre (PSSIE, chaîne AQSSI/RSSI/HFDS) ; ce nouveau socle interministériel n'en change pas moins la donne pour l'ensemble de l'écosystème avec lequel elles travaillent : collectivités de rattachement, éditeurs, hébergeurs. Aussi la cohérence entre la PSSI académique et les obligations NIS2 de ses partenaires devient-elle un point de vigilance supplémentaire pour tout RSSI d'académie.
RGPD : sécurité des données et protection des données
Le Règlement Général sur la Protection des Données (RGPD) est entré en application le 25 mai 2018. Depuis, le délégué à la protection des données (DPO) est la personne chargée, au sein d'une organisation, de veiller à la conformité au règlement européen sur la protection des données personnelles.
Or, l'obligation de tenir un registre des traitements concerne tous les organismes, publics comme privés, quelle que soit leur taille, dès lors qu'ils traitent des données personnelles. L'inscription au registre des traitements relève du responsable de traitement, c'est-à-dire du recteur. Cette décision s'inscrit naturellement dans le cadre de la gouvernance de la sécurité portée par l'AQSSI. En pratique, cette autorisation prend la forme d'une décision administrative du recteur, prise dans l'exercice de ses compétences de responsable de traitement et d'autorité académique.
Protection des données et sécurité des données : quelle différence ?
La protection des données à caractère personnel repose sur plusieurs piliers : la transparence et la licéité, les droits des personnes concernées, la sécurité des données, la limitation des finalités, la minimisation des données, ainsi que la pertinence et la durée de conservation. Ainsi, la sécurité des données constitue l'un des piliers essentiels de cette protection.
Par ailleurs, le règlement impose de garantir un niveau de sécurité adapté au risque numérique. Il souligne aussi l'importance d'apprécier et de traiter les risques sur les personnes. Concrètement, il exige la mise en œuvre de « mesures techniques ou organisationnelles appropriées ». Cela peut inclure le chiffrement des données, ou encore des moyens garantissant leur confidentialité, leur intégrité, leur disponibilité et leur résilience.
Quelle protection pour les agents publics ?
Concrètement, l'autorisation de l'AQSSI conduit le DPO à inscrire le traitement du système d'information dans le registre des traitements. Grâce à cela, les fonctionnaires sont protégés contre d'éventuelles mises en cause civiles et pénales, dans l'exercice de leurs fonctions liées à l'usage des données personnelles.
En effet, les agents de la fonction publique sont soumis à des règles précises. L'essentiel a été fixé par la loi du 13 juillet 1983, relative au statut général des fonctionnaires. Ainsi, tout agent public — fonctionnaire ou contractuel, quel que soit son rang — doit se conformer aux instructions de son supérieur hiérarchique. Ce devoir d'obéissance impose de respecter les lois et les règlements de toute nature.
Références réglementaires et sources
- Décret n° 2025-75 du 29 janvier 2025 portant création des services de défense et de sécurité académiques (SDSA) — Légifrance
- Instruction du 19 mars 2025 relative à la gouvernance des questions de défense et de sécurité au sein du MENESR et du MSJVA (BOEN n° 13 du 27 mars 2025), abrogeant la circulaire n° 2012-046 — education.gouv.fr
- Décret n° 2012-383 du 20 mars 2012 relatif aux attributions du haut fonctionnaire de défense et de sécurité auprès du Premier ministre — Légifrance
- Sécurité des systèmes d'information (rôles AQSSI/RSSI) — enseignementsup-recherche.gouv.fr
- Instruction interministérielle n° 1300, relative à la protection des informations relevant du secret de la défense nationale — circulaire.legifrance.gouv.fr
- ANSSI — Référentiel Cyber France (ReCyF), mars 2026, et transposition de la directive NIS2 (octobre 2024) — cyber.gouv.fr
- RGPD — Renforcer la sécurité des données à caractère personnel — ssi.gouv.fr
- Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 — cnil.fr
- Règlement européen sur la protection des données : ce qui change pour les professionnels — cnil.fr
- Loi n° 83-634 du 13 juillet 1983 portant droits et obligations des fonctionnaires (loi Le Pors) — Légifrance
- Obligation d'obéissance hiérarchique — fonction-publique.gouv.fr
- Rapport d'activité 2017 de la Commission nationale de l'informatique et des libertés (CNIL) — cnil.fr
- Dépêche AEF n° 583814, Cyril Duchamp, 10 avril 2018 — « La CNIL veut un socle commun de principes généraux protecteurs des données personnelles pour l'Éducation nationale » (avec l'autorisation de l'AEF) — slideshare.net
- Données numériques à caractère personnel au sein de l'Éducation nationale — Rapport conjoint IGEN / IGAENR, février 2018 — education.gouv.fr
- Convention triennale sur la protection des données personnelles dans les usages numériques de l'Éducation — cnil.fr