La loi modernisant la SÜG (loi allemande sur les habilitations de sécurité) du 11 janvier 2026 est en vigueur depuis le 16 janvier 2026 (Journal officiel fédéral — BGBl. 2026 I n° 6/7) et resserre nettement l’habilitation de sécurité de l’État. Le changement le plus important pour la pratique : la recherche sur internet devient désormais obligatoire dès le niveau d’habilitation de base (Ü1) — jusqu’à présent, la profondeur de contrôle au niveau le plus bas accusait un net retard par rapport à Ü2 et Ü3. Pour les entreprises relevant de la protection officielle des informations classifiées (Geheimschutz), cela signifie que le contrôle étatique converge méthodologiquement avec ce que le screening privé professionnel fournit depuis longtemps.
Les trois niveaux d’habilitation en un coup d’œil
Dans les §§ 7 à 10 SÜG, la loi prévoit trois types d’habilitation, gradués selon la sensibilité de l’activité :
- Ü1 — habilitation de sécurité de base (§ 8 SÜG) : le niveau d’entrée pour les activités avec accès à des informations classifiées de classification inférieure.
- Ü2 — habilitation de sécurité étendue (§ 9 SÜG) : le niveau intermédiaire avec une plus grande profondeur de contrôle, incluant notamment l’environnement personnel.
- Ü3 — habilitation de sécurité étendue avec enquêtes de sécurité (§ 10 SÜG) : le niveau le plus intensif pour les activités particulièrement sensibles du point de vue de la sécurité.
Le niveau applicable dépend de l’activité sensible du point de vue de la sécurité — et non du niveau hiérarchique. Vous trouverez également une classification des termes dans notre glossaire.
Ce que la modification change concrètement
Le cœur de la modernisation est l’adaptation de la méthodologie de contrôle à la réalité numérique. Les informations accessibles au public sur internet — des résultats de moteurs de recherche aux reportages médiatiques en passant par les profils visiblement publics — sont désormais obligatoirement incluses dans l’habilitation dès le niveau Ü1. Jusqu’à présent, cette profondeur de recherche était réservée aux niveaux supérieurs ; désormais : quiconque est habilité en matière de sécurité l’est aussi en ligne.
Le législateur rattrape ainsi ce qui fait consensus depuis longtemps dans la pratique de la sécurité : la réputation en ligne d’une personne est un objet de contrôle distinct et pertinent. Les déclarations extrémistes, les connexions problématiques ou les contradictions avec la présentation de soi d’une personne apparaissent souvent d’abord en ligne — pas dans les registres.
Ce que cela signifie pour les habilitations en cours et futures
Pour les agents de sécurité (Sicherheitsbevollmächtigte) et les responsables conformité des entreprises relevant de la protection des informations classifiées, trois conséquences pratiques s’ensuivent :
- Les nouvelles demandes seront évaluées selon le standard resserré. Les candidats doivent s’attendre à ce que leur présence en ligne visible publiquement fasse partie de l’habilitation.
- La présélection gagne en importance : quiconque propose une personne pour une activité sensible du point de vue de la sécurité alors que sa réputation en ligne comporte des risques reconnaissables s’expose à des retards dans la procédure. Un contrôle d’intégrité structuré avant la demande réduit ce risque — plus de détails dans l’article sur la protection des informations classifiées dans l’industrie.
- Les attentes de contrôle augmentent globalement : lorsque l’État fait de la recherche OSINT un standard obligatoire de ses propres contrôles, il devient plus difficile de justifier pourquoi le screening propre d’une entreprise pour des fonctions sensibles devrait se passer de cette dimension.
L’État rattrape — mais ne remplace pas votre propre screening
La direction de la modification est remarquable : avec la recherche internet obligatoire, le législateur introduit exactement la profondeur de contrôle que le screening privé professionnel — recherche OSINT, contrôles de médias négatifs, analyse de réputation en ligne — a établie comme standard depuis des années. Cela valide l’approche méthodologique mais ne change rien au partage fondamental des tâches : l’habilitation de sécurité de l’État sert la protection des informations classifiées et des intérêts protégés relevant de la souveraineté ; des questions comme l’intégrité du CV, les conflits d’intérêts économiques ou les changements continus entre les cycles de contrôle restent de la responsabilité de l’employeur. La démarcation précise entre les deux mondes est traitée dans l’article Habilitation de sécurité de l’État vs. screening propre.
Conduite recommandée
Passez d’abord en revue quels postes de votre entreprise sont soumis à une habilitation de sécurité au titre des §§ 7 à 10 SÜG et quelles procédures sont en cours. Signalez aux personnes proposées que leur présence en ligne est désormais un objet de contrôle à tous les niveaux. Établissez un pré-contrôle structuré et documenté avant de déposer les demandes d’habilitation — cela évite les retards et traite tous les candidats selon le même standard. Indicium soutient cela avec des rapports logiciels vérifiables qui incluent des sources datées et un examen final humain (art. 22 RGPD) — dès 79 € par rapport. Pour les secteurs sensibles du point de vue de la sécurité, nous sommes heureux de montrer la mise en œuvre lors d’une démo.
Cet article fournit des informations générales et ne constitue pas un conseil juridique.