En France, la Diffusion Restreinte (DR) est une mention de protection apposée sur des informations sensibles qui ne relèvent pas du secret de la défense nationale. Elle impose à ceux qui la rencontrent une discrétion stricte, ainsi que des règles précises de marquage, d’accès, de stockage et de transmission. Ces normes tiennent dans trois textes : l’IGI 1300, qui définit la mention, l’II 901, qui encadre les systèmes d’information traitant des informations DR, et l’IM 900, applicable au ministère des Armées et aux entreprises qui lui sont liées par contrat. L’II 901 impose notamment l’homologation de tout système d’information DR, prononcée par une autorité de l’organisation.
Mais deux confusions persistent : la première range la DR parmi les niveaux de classification, alors qu’elle se situe hors du secret de la défense nationale. La seconde se lit dans de nombreux appels d’offres qui cherchent un outil « qualifié DR ». Une expression qui ne correspond à aucun statut réglementaire puisqu’un produit peut être certifié ou qualifié par l’ANSSI, mais seul le système d’information est homologué. Voici une analyse complète des normes de la Diffusion Restreinte, complétée par un guide pratique en fin d’article.
Définition de la Diffusion Restreinte (DR)
En France
En France, la Diffusion Restreinte est une mention de protection qui s’applique à des informations sensibles non classifiées au titre du secret de la défense nationale. Elle relève de l’instruction générale interministérielle n° 1300 (IGI 1300), approuvée par l’arrêté du 9 août 2021. Sans autorisation, l’accès à ces informations, leur diffusion ou leur détournement peut porter atteinte à la sécurité publique, au potentiel scientifique et technique de la nation ou à l’équilibre politique et économique de l’État.
Toute personne qui aperçoit la mention sur un document doit donc respecter une totale discrétion sur son contenu.
En Europe
Dans l’Union européenne comme à l’OTAN, le plus bas niveau de classification porte le nom d’« EU Restricted » (RESTREINT UE) et de « NATO Restricted ». Leur niveau de protection correspond à celui de la DR, et l’II 901 applique ses règles aux informations portant la mention DR « ou ses équivalentes européennes ou internationales ». Ces informations touchent à des intérêts politiques, militaires ou économiques. Le niveau « EU Restricted » est défini par la décision 2013/488/UE du Conseil.
Quel cadre réglementaire encadre la Diffusion Restreinte ?
Trois textes se complètent. Le premier définit la mention, le deuxième encadre les systèmes d’information qui la traitent, le troisième s’adresse au ministère des Armées et à ses cocontractants.
L’IGI 1300 : la mention de protection
L’IGI 1300 (arrêté du 9 août 2021) traite d’abord de la protection du secret de la défense nationale. Son annexe 1 fixe la mention Diffusion Restreinte, son timbre et ses règles de manipulation.
L’II 901 : les systèmes d’information
L’II 901 (instruction interministérielle n° 901/SGDSN/ANSSI du 28 janvier 2015) fixe les règles applicables aux systèmes d’information sensibles, dont ceux qui traitent des informations DR. Trois articles intéressent directement les organisations qui collaborent à distance :
- l’article 13 impose l’homologation de tout système d’information DR ;
- l’article 14 impose de chiffrer les informations DR à l’aide de moyens agréés à ce niveau par l’ANSSI dès qu’elles transitent ou sont stockées hors d’une zone physiquement protégée, et réserve leur traitement en clair aux réseaux de classe 1 ou 2, la classe 2 (réseau isolé d’Internet) étant fortement recommandée ;
- l’article 18 impose, avant de diffuser des informations DR sur un support audiovisuel, de vérifier que les participants ont besoin d’en connaître et que les systèmes utilisés sont homologués, les captations photographiques, vidéo ou audio étant le cas échéant interdites.
L’IM 900 : le ministère des Armées et les entreprises sous contrat
L’IM 900 (instruction ministérielle n° 900/ARM/CAB) a été approuvée par l’arrêté du 27 août 2025 et s’applique depuis le 1er novembre 2025. Elle remplace la version de 2021 et s’adresse aux services du ministère des Armées, aux établissements placés sous sa tutelle et aux personnes morales liées au ministère par un contrat ou une convention, dont les entreprises de la base industrielle et technologique de défense (BITD).
Sa fiche 7.2 reprend les règles de la mention DR (marquage, conservation, transmission) et son titre 6 traite de la sécurité numérique des personnes morales de droit privé sous contrat. Ce que l’instruction implique pour ces dernières est détaillé dans l’article consacré à l’IM 900 et à la BITD.
Qui est concerné par la Diffusion Restreinte ?
L’II 901 s’applique à trois catégories d’entités :
- les administrations de l’État qui mettent en œuvre des systèmes d’information sensibles (administrations centrales, établissements publics nationaux, services déconcentrés, autorités administratives indépendantes) ;
- les entités publiques ou privées soumises à la protection du potentiel scientifique et technique de la nation (PPST) ;
- toute autre entité, publique ou privée, qui met en œuvre un système d’information DR.
Une entreprise peut donc manipuler de la Diffusion Restreinte sans être une administration, dès lors qu’un contrat l’y conduit. L’IM 900 reconnaît ainsi aux personnes morales liées au ministère par un contrat, sous-traitants compris, la possibilité d’apposer la mention DR et d’y accéder pour exécuter leurs travaux. Par ailleurs, l’II 901 vaut recommandation pour toute autre entité qui traite des informations sensibles.
Diffusion Restreinte, Secret Défense : quelle différence ?
La classification au titre du secret de la défense nationale ne compte plus que deux niveaux, Secret et Très Secret, depuis le 1er juillet 2021, d’après l’IGI 1300. L’expression « Secret Défense », restée dans le langage courant, désigne l’ensemble de ces informations classifiées. Les niveaux de confidentialité se lisent alors de haut en bas :
- les niveaux Très Secret et Secret concernent des informations classifiées. L’accès exige une habilitation et un besoin d’en connaître, et leur divulgation relève de la protection pénale du secret de la défense nationale (article 413-9 du code pénal, visé par l’arrêté du 27 août 2025) ;
- la mention Diffusion Restreinte concerne des informations non classifiées. L’accès repose sur le seul besoin d’en connaître, sans habilitation ;
- les informations « sensibles » ne portent pas de mention DR, mais leur divulgation nuirait aux objectifs de l’organisation. L’IM 900 y range notamment les mentions spécifiques comme « Confidentiel Médical » ou « Confidentiel Industrie ».
Cette frontière a des conséquences sur le système d’information. L’II 901 ne s’applique pas aux systèmes qui traitent des informations couvertes par le secret de la défense nationale, régis par l’IGI 1300, alors qu’elle s’applique à ceux qui traitent de la Diffusion Restreinte.
Comment lire une mention Diffusion Restreinte ?
Le timbre (ou tampon) et le marquage
Un document DR porte le timbre « Diffusion Restreinte » à l’encre rouge, au milieu du haut de chaque page. Sa première page indique l’organisme émetteur, la date d’émission et un numéro d’enregistrement. Pour les documents informatiques, la mention est rappelée au début de chaque page et, sur les supports numériques, elle reste définitive et visible.
Lorsqu’un passage n’est pas protégé, la mention [NP] (non protégé) le précède. Une phrase ou un paragraphe peuvent ainsi sortir du périmètre DR au sein d’un même document.
La mention « Spécial France »
La mention de manipulation « Spécial France » (SF) complète le timbre DR. Elle s’affiche en bleu, juste à droite ou au-dessous de celui-ci, et peut ne concerner que certaines parties d’un document. Elle réserve l’accès aux personnes physiques de nationalité française, double nationalité comprise, et aux personnes morales françaises. Un ressortissant étranger, même habilité, ne peut en prendre connaissance, ce qui exclut aussi de manipuler un tel document à proximité d’un tiers étranger.
Pour les systèmes d’information, ce principe implique un cloisonnement des informations, assuré par des mesures techniques ou organisationnelles qui limitent l’accès aux seules personnes de nationalité française.
Que risque-t-on en cas de divulgation ?
La DR ne bénéficie pas de la protection pénale propre au secret de la défense nationale. Sa divulgation à des personnes qui n’ont pas à en connaître constitue pourtant un manquement à la discrétion professionnelle, voire une atteinte au secret professionnel, passible d’un an d’emprisonnement et de 15 000 € d’amende (article 226-13 du code pénal, cité par la fiche 7.2 de l’IM 900). S’y ajoutent des sanctions administratives ou disciplinaires pour le personnel concerné.
L’IM 900 recommande de faire signer aux personnes qui peuvent accéder à des informations DR un engagement de non-divulgation.
Accès aux informations
Présenter un besoin légitime
Pour accéder aux informations « Diffusion Restreinte », les personnes doivent justifier de leur besoin de les connaître. Ce besoin légitime peut être lié à l’exercice de leur mission professionnelle ou à la réalisation d’une tâche précise. Par exemple, dans le cadre de la conception des composants d’un système de radar, un ingénieur en électronique pourrait consulter les informations techniques du projet, identifiées comme « Diffusion Restreinte ». Ce besoin devra néanmoins être clairement justifié et documenté.
Former les salariés
Les individus pouvant accéder aux informations DR doivent être aptes à les manipuler sans risque. Stockage, transmission et utilisation des informations font partie des sujets à aborder en formation afin d’éviter toute fuite de données sensibles. C’est pourquoi, la tenue de sensibilisations régulières permet de maintenir la vigilance des équipes au plus haut niveau.
Stockage des informations Diffusion Restreinte
Assurer la sécurité physique
Bien entendu, les documents confidentiels doivent être stockés dans des lieux verrouillés et dont l’accès est contrôlé. Des systèmes de badges ou de codes d’accès sont généralement utilisés. À cela s’ajoute la mise en place d’une gestion stricte de l’accueil des visiteurs dans les entreprises. Par exemple, avec la tenue d’un registre. Enfin, l’utilisation de déchiqueteuses est toujours d’actualité pour détruire des documents sensibles qui n’ont plus d’utilité.
Veiller à la sécurité numérique
De nombreuses informations « diffusion restreinte » sont stockées en ligne. Il peut s’agir de rapports financiers ou de communications officielles internes. Leur stockage doit se faire de façon hautement sécurisée. Des technologies de chiffrement des données ou des systèmes d’authentification multi-facteurs peuvent être mis en place.
Pour les informations DR stockées dans le cloud, l’article 16 de l’II 901 recommande de choisir des prestataires de confiance qualifiés par l’ANSSI, ce que permet la qualification SecNumCloud pour l’hébergement. Elle atteste du respect de critères techniques et organisationnels sur le service d’hébergement, sans valoir homologation du système d’information qui l’utilise. Cette articulation est détaillée dans l’article consacré à SecNumCloud et à la Diffusion Restreinte.
Par ailleurs, les organisations doivent assurer la sauvegarde de toutes ces informations DR stockées. La planification d’une stratégie de sauvegarde et de récupération est essentielle.
Pour aller plus loin : consultez les Recommandations pour les architectures des systèmes d’information sensibles ou Diffusion Restreinte de l’ANSSI
La transmission des informations Diffusion Restreinte
Quand plusieurs personnes habilitées se transmettent des informations « Diffusion Restreinte », cela doit se faire dans le respect de mesures de sécurité strictes.
Sécuriser le partage de fichiers
Pour échanger des documents DR en dehors d’une zone physiquement protégée, l’article 14 de l’II 901 exige un chiffrement à l’aide de moyens agréés à ce niveau par l’ANSSI. Sur un réseau de transmission homologué DR, l’échange peut se faire en clair, avec un chiffrement complémentaire selon le besoin d’en connaître et les accès au réseau. Dans les autres cas, l’IM 900 demande un dispositif ayant fait l’objet d’une qualification ou d’un agrément de l’ANSSI.
Le chiffrement de bout en bout chiffre les flux de client à client, à toutes les étapes, de l’émetteur au destinataire en passant par le serveur, et quel que soit le nombre de participants à la visioconférence. Il réduit l’exposition des échanges pendant leur transit. Il ne dispense pas de vérifier que la solution retenue relève des moyens agréés ou qualifiés, ni que le système d’information qui l’intègre est homologué.
La plateforme collaborative Tixeo applique un chiffrement de bout en bout aux flux audio, vidéo et data. Elle a été certifiée CSPN (Certification de Sécurité de Premier Niveau) par l’ANSSI à quatre reprises depuis 2017.
Une évaluation indépendante du produit que l’organisation peut verser à son dossier d’homologation.
Collaborer à distance de façon discrète
Dans une même équipe, certains collaborateurs peuvent avoir accès à des informations « Diffusion Restreinte » et d’autres non. Lors d’une réunion en ligne, l’un d’eux peut avoir besoin de transmettre une information sensible à un autre collègue habilité de façon discrète. La fonction « Sécurité augmentée » de Tixeo permet à deux interlocuteurs ou plus d’échanger de façon secrète, sans quitter une réunion en cours. Pour se faire, un simple code, défini par les participants, est à renseigner dans la solution, afin de basculer temporairement dans un véritable tunnel de communication secret.
Collaborer en environnement Diffusion Restreinte : cadrer son besoin
Visioconférence, appels audio, messagerie instantanée, partage de fichiers : chacun de ces usages passe par un système d’information qui doit être homologué dans son ensemble. Le choix d’un outil collaboratif commence donc par le cadrage de l’environnement dans lequel il s’insère.
Guide pratique Diffusion Restreinte
Collaborer en environnement Diffusion Restreinte : ce guide pratique gratuit décompose un environnement DR en trois strates (service, réseau, postes de travail), montre ce qu’un éditeur couvre sur chacune, propose trois situations types pour situer son besoin et fournit une checklist de questions à poser à un fournisseur.
Le système d’information avant l’outil
Un timbre rouge en haut de page suffit à signaler une information DR, mais les obligations qu’il déclenche vont du marquage au chiffrement agréé, jusqu’à l’homologation du système qui la traite. Les textes ont évolué, avec une IM 900 applicable depuis le 1er novembre 2025, et les entreprises liées par contrat à la défense y sont directement exposées. Chaque projet commence donc par la même question : quel système d’information, et quelle autorité pour l’homologuer ?
Tixeo partenaire de Cluster Défense sécurité pour protéger les informations sensibles
Le cabinet Cluster Défense Sécurité propose des accompagnements et formations sur mesure pour protéger les informations sensibles, les informations de niveau « Diffusion Restreinte » (ou DR) et le secret de la défense nationale (IGI 1300) des organisations.
La protection des informations et supports « DR » implique une action globale. Cela concerne autant le domaine de la protection physique, que la protection logique ou organisationnelle.
Tixeo et Cluster Défense Sécurité apportent chacun une expertise dédiée et parfaitement complémentaire.
En savoir plus sur le partenariat Tixeo et CDS
Lire également :
Comment Tixeo protège les informations classifiées ?
FAQ sur la diffusion restreinte :
Non. L’habilitation concerne les informations classifiées. Pour la DR, seul le besoin d’en connaître compte, et la fiche de la DRSD rappelle qu’un document DR ne doit jamais rester sans surveillance sur une table. Un engagement de non-divulgation est recommandé pour les personnes qui y accèdent.
L’article 13 de l’II 901 impose que tout système d’information DR soit homologué avant sa mise en service, dans les conditions de l’article 8. L’homologation est une décision prononcée par une autorité d’homologation choisie au sein de l’organisation, à un niveau hiérarchique suffisant pour assumer cette responsabilité et accepter les risques résiduels.
Elle porte sur le système dans son ensemble (service, réseau, postes de travail). Le guide de l’homologation de sécurité publié par l’ANSSI et la DINUM en avril 2025 la décompose en quatre étapes. Un outil collaboratif n’y figure que comme un composant parmi d’autres, et sa certification ou sa qualification alimente le dossier sans se substituer à la décision. La démarche complète est détaillée dans l’article consacré à l’homologation d’un système d’information en diffusion restreinte.
Dans certains cas, oui. La mention ne fait pas obstacle, à elle seule, à la communication d’un document administratif au titre du livre III du code des relations entre le public et l’administration. La communication reste exclue lorsqu’elle porterait atteinte à l’un des secrets protégés par les articles L. 311-5 et L. 311-6 du même code, comme la sécurité publique, la sécurité des systèmes d’information des administrations, la vie privée ou le secret des affaires (IM 900, fiche 7.2).
La reproduction par photocopieur ou scanner doit se faire sur un équipement de niveau DR. Le fichier obtenu ne peut être enregistré que sur un système d’information homologué DR. Pour l’envoyer sur Internet ou sur un réseau interne non homologué, il faut le chiffrer avec un moyen qualifié ou agréé par l’ANSSI (fiche de la DRSD).
Plusieurs documents DR réunis peuvent constituer un agrégat plus sensible que chacun d’eux et nécessiter l’apposition d’un niveau de classification. Ce risque peut se poser lorsque des documents DR sont centralisés dans un même espace de stockage ou de travail (fiche de la DRSD).
Vers l’extérieur, l’envoi se fait sous double enveloppe. L’enveloppe intérieure porte la mention Diffusion Restreinte et les références du document, l’enveloppe extérieure ne porte que les indications nécessaires à l’acheminement. L’IM 900 prévoit un envoi en recommandé avec accusé de réception.
