--- id: CP-383 slug: anssi-qualifikationen-secnumcloud-passi-pris-pdis lang: de title: "Die ANSSI-Qualifikationen: SecNumCloud, PASSI, PRIS und PDIS" description: Wozu die ANSSI-Qualifikationen (SecNumCloud, PASSI, PRIS, PDIS) dienen und was sie für Beschäftigte und Geschäftsleitung ändern. canonical_url: https://startbrain.io/cyberpedia/de/articles/anssi-qualifikationen-secnumcloud-passi-pris-pdis/ markdown_url: https://startbrain.io/cyberpedia/de/articles/anssi-qualifikationen-secnumcloud-passi-pris-pdis.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, „Die ANSSI-Qualifikationen: SecNumCloud, PASSI, PRIS und PDIS“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/anssi-qualifikationen-secnumcloud-passi-pris-pdis/ (CC BY 4.0)" wing: 6 theme: safeguard_data reflex: cr-038 schema: G3 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/anssi-qualifikationen-secnumcloud-passi-pris-pdis/ fr: https://startbrain.io/cyberpedia/fr/articles/qualifications-anssi-secnumcloud-passi-pris-pdis/ en: https://startbrain.io/cyberpedia/en/articles/anssi-qualifications-secnumcloud-passi-pris-pdis/ es: https://startbrain.io/cyberpedia/es/articles/cualificaciones-anssi-secnumcloud-passi-pris-pdis/ sources: - "n": 1 title: "Cybersécurité : comment trouver un professionnel qualifié ?" publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/cybersecurite-comment-trouver-un-professionnel-qualifie published: "2021-12-14" accessed: "2026-11-03" - "n": 2 title: "Avis n° 149 (2018-2019), tome IX : Direction de l'action du gouvernement, coordination du travail gouvernemental" publisher: Sénat url: https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf published: "2018-11-22" accessed: "2026-11-03" - "n": 3 title: Trust service providers in France publisher: ENISA url: https://www.enisa.europa.eu/sites/default/files/all_files/Cyberdefence%20trusted%20service%20providers%20in%20France.pdf published: "2015-03-31" accessed: "2026-11-03" - "n": 4 title: "L'urgence d'agir pour éviter la sortie de route : Piloter la commande publique au service de la souveraineté économique - Rapport - Sénat" publisher: Sénat url: https://www.senat.fr/rap/r24-830-1/r24-830-115.html accessed: "2026-11-03" - "n": 5 title: Question écrite n° 10401 publisher: Assemblée nationale url: https://www.assemblee-nationale.fr/dyn/17/questions/QANR5L17QE10401 published: "2025-12-30" accessed: "2026-11-03" --- # Die ANSSI-Qualifikationen: SecNumCloud, PASSI, PRIS und PDIS Wenn ein Unternehmen sein Sicherheitsaudit, die Überwachung seines Netzwerks oder das Hosting seiner Daten an einen Dienstleister vergibt, kann es sich auf das Wort des Anbieters oder auf ein offizielles Gütesiegel verlassen. Die ANSSI, die französische nationale Behörde für die Sicherheit von Informationssystemen, vergibt dafür Qualifikationen. Sie kennzeichnen Dienste, die nach einem Bewertungsverfahren als zuverlässig gelten [1]. Für Beschäftigte begegnen diese Kürzel vor allem in Entscheidungen der Geschäftsleitung, des Einkaufs oder der IT-Abteilung (DSI). Wer weiß, was sie bedeuten, versteht besser, warum manche Daten nur bei bestimmten Hosting-Anbietern liegen. ## In 30 Sekunden - Wo es vorkommt: bei der Wahl eines Dienstleisters für Audit, Erkennung, Reaktion auf Vorfälle oder Cloud-Hosting, vor allem für Behörden, OIV und OSE [1]. - Was es garantiert: einen Dienstleister, der nach einem Referenzrahmen der ANSSI bewertet wurde. Die Qualifikation hat die Tragweite einer Empfehlung [2]. - Der Reflex: Bevor Sie sensible Daten einem Cloud-Dienst anvertrauen, fragen Sie die IT-Abteilung, ob er nach SecNumCloud qualifiziert ist, und prüfen Sie den von der ANSSI veröffentlichten Katalog [1]. - Wenn es schon passiert ist: Melden Sie der IT-Abteilung oder dem Einkauf ein nicht freigegebenes Werkzeug, das für sensible Daten genutzt wird, ohne es selbst zu verschieben. ## Direkte Fragen ### Was bedeuten SecNumCloud, PASSI, PRIS und PDIS? Es sind Qualifikationen für Dienstleister. PASSI bezeichnet die Dienstleister für Audits der Sicherheit von Informationssystemen, PRIS jene für die Reaktion auf Sicherheitsvorfälle, PDIS jene für die Erkennung von Sicherheitsvorfällen. SecNumCloud betrifft Anbieter von Cloud-Computing [1]. ### Wer vergibt diese Qualifikationen? Die ANSSI, nach einem Bewertungsverfahren. Ein Dokument der ENISA von 2015 beschreibt Bewertungsstellen, die vom COFRAC akkreditiert und von der ANSSI zugelassen sind [3]. ### Ist eine Qualifikation dasselbe wie ein ExpertCyber-Label? Nein. Das Label ExpertCyber wurde von Cybermalveillance.gouv.fr gemeinsam mit Berufsverbänden, France Assureurs und mit Unterstützung der AFNOR entwickelt. Es richtet sich an jede berufliche Einrichtung, ausgenommen OIV und OSE, die von anderen staatlichen Regelungen erfasst sind [1]. Die Qualifikationen der ANSSI richten sich an OIV, OSE, Unternehmen, die unter die eIDAS-Verordnung fallen, und Behörden [1]. ### Was ändert SecNumCloud für meine Daten? Der Referenzrahmen soll die Sicherheit der sensibelsten, in der Cloud gehosteten Daten gegenüber IT-Bedrohungen und extraterritorialen Gesetzen gewährleisten [4]. Für den Staat wird die Nutzung eines nach SecNumCloud qualifizierten Angebots als Garantie für Vertraulichkeit, Integrität und Verfügbarkeit der Daten dargestellt [5]. ### Müssen alle Cloud-Werkzeuge des Unternehmens qualifiziert sein? Die hier zitierten Quellen sagen das für Unternehmen im Allgemeinen nicht. Die Doktrin „Cloud au centre“ betrifft das Hosting von Daten besonderer Sensibilität durch den Staat [4]. ## Was sich für Beschäftigte ändert Beschäftigte wählen die Dienstleister nicht aus, sehen aber die Folgen an den Werkzeugen, die sie nutzen sollen. Cybermalveillance.gouv.fr erinnert daran, dass bestimmte Gruppen bei der Wahl ihrer Dienstleister, Dienste und Cybersicherheitslösungen Pflichten einhalten müssen, vor allem wenn sie sensible Informationen verarbeiten [1]. Im Alltag läuft das auf drei Handgriffe hinaus. Die von der IT-Abteilung freigegebenen Werkzeuge nutzen. Nachfragen, bevor sensible Daten an einen nicht freigegebenen Online-Dienst übertragen werden. Die IT-Abteilung sofort informieren, wenn ein Vorfall eintritt. ## Was sich für die Geschäftsleitung ändert Die Geschäftsleitung wählt die Dienstleister aus, und die Qualifikation gibt ihr einen Anhaltspunkt. Cybermalveillance.gouv.fr gibt an, dass man für eine qualifizierte oder zertifizierte Leistung den Dienstleister seiner Wahl direkt aus den von der ANSSI veröffentlichten Listen kontaktieren kann [1]. Der Katalog der qualifizierten Produkte und Dienste ist online veröffentlicht [1]. Die Wahl hat einen Preis und einen Zeitplan. Laut einem Bericht des Senats sollen nach SecNumCloud qualifizierte Angebote 15 bis 25 % mehr kosten als andere, nach Angaben eines von der Kommission angehörten Verantwortlichen [4]. Für die Dienstleister selbst beziffert die ANSSI die Mindestkosten der verpflichtenden externen Audits und der Bewertung auf rund 200 000 Euro für die drei Jahre der Qualifikation [4]. Derselbe Bericht nennt eine durchschnittliche Bearbeitungsdauer von 18 bis 24 Monaten und eine Erfolgsquote von 65 % [4]. Derselbe Bericht stellt fest, dass das qualifizierte Angebot begrenzt bleibt. Ein angehörter Jurist spricht dort von einem „panel d'offres très limité d'hébergements SecNumCloud“ [4]. ## Was der Text sagt Die Qualifikationen beruhen auf Referenzrahmen der ANSSI. Das Dekret (décret) Nr. 2015-350 legt die Bedingungen für die Vergabe der Qualifikation von Sicherheitsprodukten und Anbietern von Vertrauensdiensten für die Zwecke der nationalen Sicherheit fest [2]. Der Referenzrahmen SecNumCloud richtet sich an Cloud-Betreiber, die PaaS-, IaaS- oder SaaS-Dienste erbringen. Er umfasst technische, betriebliche und rechtliche Regeln [4]. Die Bewertung prüft die technische Resilienz (Abschottung der Informationssysteme), die organisatorische Resilienz (der qualifizierte Dienstleister muss als Einziger auf die Ressourcen, die den Dienst tragen, einwirken können) und die rechtliche Resilienz (Schutz gegenüber ausländischem Recht) [4]. Die Version 3.2 enthält Anforderungen an die Immunität gegenüber außereuropäischem Recht [4]. Für Audit-Dienste listet das ENISA-Dokument von 2015 die Gegenstände der Bewertung auf: Audit von Architektur, Konfiguration und Quellcode, Penetrationstest sowie physisches und organisatorisches Audit [3]. Für die Erkennung nennt es das Management von Ereignissen, Vorfällen und Alarmen [3]. Für die Reaktion auf Vorfälle nennt es vier Profile: Verantwortlicher für die Reaktion, Systemanalyst, Netzwerkanalyst, Analyst für Schadcode [3]. ## Stand der Umsetzung Die Zeitpunkte des Inkrafttretens unterscheiden sich je nach Dienst. Eine Stellungnahme des Senats vom November 2018 gibt an, dass die Qualifikation für Audit-Dienstleister (PASSI) seit 2013 besteht, für die Cloud (SecNumCloud) seit 2016 und für die Reaktion auf Vorfälle (PRIS) und die Erkennung (PDIS) seit 2017 [2]. Im Laufe des Jahres 2017 hat die ANSSI 25 Qualifikationen für Produkte und 78 Qualifikationen für Dienstleister vergeben [2]. Im Jahr 2015 waren die Referenzrahmen PDIS, PRIS und Cloud noch Fassungen, die zur Stellungnahme veröffentlicht waren [3]. Zur Cloud sieht das interministerielle Rundschreiben vom 5. Juli 2021 die Nutzung von SecNumCloud-Angeboten vor, die im SREN-Gesetz vom 21. Mai 2024 aufgegriffen wurden, laut der am 30. Dezember 2025 veröffentlichten Antwort des Ministeriums [5]. Dieselbe Antwort hält es für wesentlich, dass sich Behörden und Betreiber des Staates für ihre besonders sensiblen, in einer kommerziellen Cloud gehosteten Daten auf diese Angebote stützen [5]. Der Bericht des Senats gibt seinerseits an, dass etwa fünfzehn Angebote qualifiziert und etwa ein Dutzend im Qualifizierungsverfahren sind, getragen von 19 Unternehmen [4]. Er stellt außerdem fest, dass hybride Angebote wie Bleu und S3NS in das Qualifizierungsverfahren eingetreten sind, ohne zum Zeitpunkt der Antwort der ANSSI qualifiziert zu sein [4]. Auf europäischer Ebene gibt dieselbe Antwort des Ministeriums an, dass mehrere Verordnungsentwürfe, darunter die Überarbeitung des Cybersecurity Act und der Cloud and AI Act, „devraient permettre d'avancer sur la mise en place d'un schéma européen harmonisé“ angesichts der außereuropäischen extraterritorialen Gesetze [5]. Diese Texte werden als in Ausarbeitung beschrieben: Nach dieser Quelle gelten sie noch nicht. ## Quellen 1. Cybermalveillance.gouv.fr, „Cybersécurité : comment trouver un professionnel qualifié ?“, 14. Dezember 2021. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/cybersecurite-comment-trouver-un-professionnel-qualifie (abgerufen am 3. November 2026) 2. Sénat, „Avis n° 149 (2018-2019), tome IX : Direction de l'action du gouvernement, coordination du travail gouvernemental“, 22. November 2018. https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf (abgerufen am 3. November 2026) 3. ENISA, „Trust service providers in France“, 31. März 2015. https://www.enisa.europa.eu/sites/default/files/all_files/Cyberdefence%20trusted%20service%20providers%20in%20France.pdf (abgerufen am 3. November 2026) 4. Sénat, „L'urgence d'agir pour éviter la sortie de route : Piloter la commande publique au service de la souveraineté économique - Rapport - Sénat“. https://www.senat.fr/rap/r24-830-1/r24-830-115.html (abgerufen am 3. November 2026) 5. Assemblée nationale, „Question écrite n° 10401“, 30. Dezember 2025. https://www.assemblee-nationale.fr/dyn/17/questions/QANR5L17QE10401 (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/anssi-qualifikationen-secnumcloud-passi-pris-pdis/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.