Die ANSSI-Qualifikationen: SecNumCloud, PASSI, PRIS und PDIS
Wozu die ANSSI-Qualifikationen (SecNumCloud, PASSI, PRIS, PDIS) dienen und was sie für Beschäftigte und Geschäftsleitung ändern.
In 30 Sekunden
- Wo es vorkommt
- Bei der Wahl eines Dienstleisters für Audit, Erkennung, Reaktion auf Vorfälle oder Cloud-Hosting, vor allem für Behörden, OIV und OSE1.
- Was es garantiert
- Einen Dienstleister, der nach einem Referenzrahmen der ANSSI bewertet wurde. Die Qualifikation hat die Tragweite einer Empfehlung2.
- Der Reflex
- Bevor Sie sensible Daten einem Cloud-Dienst anvertrauen, fragen Sie die IT-Abteilung, ob er nach SecNumCloud qualifiziert ist, und prüfen Sie den von der ANSSI veröffentlichten Katalog1.
- Wenn es schon passiert ist
- Melden Sie der IT-Abteilung oder dem Einkauf ein nicht freigegebenes Werkzeug, das für sensible Daten genutzt wird, ohne es selbst zu verschieben.
Worum es geht
Wenn ein Unternehmen sein Sicherheitsaudit, die Überwachung seines Netzwerks oder das Hosting seiner Daten an einen Dienstleister vergibt, kann es sich auf das Wort des Anbieters oder auf ein offizielles Gütesiegel verlassen. Die ANSSI, die französische nationale Behörde für die Sicherheit von Informationssystemen, vergibt dafür Qualifikationen. Sie kennzeichnen Dienste, die nach einem Bewertungsverfahren als zuverlässig gelten1.
Für Beschäftigte begegnen diese Kürzel vor allem in Entscheidungen der Geschäftsleitung, des Einkaufs oder der IT-Abteilung (DSI). Wer weiß, was sie bedeuten, versteht besser, warum manche Daten nur bei bestimmten Hosting-Anbietern liegen.
Direkte Fragen
Was bedeuten SecNumCloud, PASSI, PRIS und PDIS?
Es sind Qualifikationen für Dienstleister. PASSI bezeichnet die Dienstleister für Audits der Sicherheit von Informationssystemen, PRIS jene für die Reaktion auf Sicherheitsvorfälle, PDIS jene für die Erkennung von Sicherheitsvorfällen. SecNumCloud betrifft Anbieter von Cloud-Computing1.
Wer vergibt diese Qualifikationen?
Die ANSSI, nach einem Bewertungsverfahren. Ein Dokument der ENISA von 2015 beschreibt Bewertungsstellen, die vom COFRAC akkreditiert und von der ANSSI zugelassen sind3.
Ist eine Qualifikation dasselbe wie ein ExpertCyber-Label?
Nein. Das Label ExpertCyber wurde von Cybermalveillance.gouv.fr gemeinsam mit Berufsverbänden, France Assureurs und mit Unterstützung der AFNOR entwickelt. Es richtet sich an jede berufliche Einrichtung, ausgenommen OIV und OSE, die von anderen staatlichen Regelungen erfasst sind1. Die Qualifikationen der ANSSI richten sich an OIV, OSE, Unternehmen, die unter die eIDAS-Verordnung fallen, und Behörden1.
Was ändert SecNumCloud für meine Daten?
Der Referenzrahmen soll die Sicherheit der sensibelsten, in der Cloud gehosteten Daten gegenüber IT-Bedrohungen und extraterritorialen Gesetzen gewährleisten4. Für den Staat wird die Nutzung eines nach SecNumCloud qualifizierten Angebots als Garantie für Vertraulichkeit, Integrität und Verfügbarkeit der Daten dargestellt5.
Müssen alle Cloud-Werkzeuge des Unternehmens qualifiziert sein?
Die hier zitierten Quellen sagen das für Unternehmen im Allgemeinen nicht. Die Doktrin „Cloud au centre“ betrifft das Hosting von Daten besonderer Sensibilität durch den Staat4.
1Was sich für Beschäftigte ändert1 min
Beschäftigte wählen die Dienstleister nicht aus, sehen aber die Folgen an den Werkzeugen, die sie nutzen sollen. Cybermalveillance.gouv.fr erinnert daran, dass bestimmte Gruppen bei der Wahl ihrer Dienstleister, Dienste und Cybersicherheitslösungen Pflichten einhalten müssen, vor allem wenn sie sensible Informationen verarbeiten1.
Im Alltag läuft das auf drei Handgriffe hinaus. Die von der IT-Abteilung freigegebenen Werkzeuge nutzen. Nachfragen, bevor sensible Daten an einen nicht freigegebenen Online-Dienst übertragen werden. Die IT-Abteilung sofort informieren, wenn ein Vorfall eintritt.
2Was sich für die Geschäftsleitung ändertGeschäftsleitung1 min
Die Geschäftsleitung wählt die Dienstleister aus, und die Qualifikation gibt ihr einen Anhaltspunkt. Cybermalveillance.gouv.fr gibt an, dass man für eine qualifizierte oder zertifizierte Leistung den Dienstleister seiner Wahl direkt aus den von der ANSSI veröffentlichten Listen kontaktieren kann1. Der Katalog der qualifizierten Produkte und Dienste ist online veröffentlicht1.
Die Wahl hat einen Preis und einen Zeitplan. Laut einem Bericht des Senats sollen nach SecNumCloud qualifizierte Angebote 15 bis 25 % mehr kosten als andere, nach Angaben eines von der Kommission angehörten Verantwortlichen4. Für die Dienstleister selbst beziffert die ANSSI die Mindestkosten der verpflichtenden externen Audits und der Bewertung auf rund 200 000 Euro für die drei Jahre der Qualifikation4. Derselbe Bericht nennt eine durchschnittliche Bearbeitungsdauer von 18 bis 24 Monaten und eine Erfolgsquote von 65 %4.
Derselbe Bericht stellt fest, dass das qualifizierte Angebot begrenzt bleibt. Ein angehörter Jurist spricht dort von einem „panel d'offres très limité d'hébergements SecNumCloud“4.
3Was der Text sagtAmtlicher Text1 min
Die Qualifikationen beruhen auf Referenzrahmen der ANSSI. Das Dekret (décret) Nr. 2015-350 legt die Bedingungen für die Vergabe der Qualifikation von Sicherheitsprodukten und Anbietern von Vertrauensdiensten für die Zwecke der nationalen Sicherheit fest2.
Der Referenzrahmen SecNumCloud richtet sich an Cloud-Betreiber, die PaaS-, IaaS- oder SaaS-Dienste erbringen. Er umfasst technische, betriebliche und rechtliche Regeln4. Die Bewertung prüft die technische Resilienz (Abschottung der Informationssysteme), die organisatorische Resilienz (der qualifizierte Dienstleister muss als Einziger auf die Ressourcen, die den Dienst tragen, einwirken können) und die rechtliche Resilienz (Schutz gegenüber ausländischem Recht)4. Die Version 3.2 enthält Anforderungen an die Immunität gegenüber außereuropäischem Recht4.
Für Audit-Dienste listet das ENISA-Dokument von 2015 die Gegenstände der Bewertung auf: Audit von Architektur, Konfiguration und Quellcode, Penetrationstest sowie physisches und organisatorisches Audit3. Für die Erkennung nennt es das Management von Ereignissen, Vorfällen und Alarmen3. Für die Reaktion auf Vorfälle nennt es vier Profile: Verantwortlicher für die Reaktion, Systemanalyst, Netzwerkanalyst, Analyst für Schadcode3.
4Stand der Umsetzung2 min
Die Zeitpunkte des Inkrafttretens unterscheiden sich je nach Dienst. Eine Stellungnahme des Senats vom November 2018 gibt an, dass die Qualifikation für Audit-Dienstleister (PASSI) seit 2013 besteht, für die Cloud (SecNumCloud) seit 2016 und für die Reaktion auf Vorfälle (PRIS) und die Erkennung (PDIS) seit 20172. Im Laufe des Jahres 2017 hat die ANSSI 25 Qualifikationen für Produkte und 78 Qualifikationen für Dienstleister vergeben2. Im Jahr 2015 waren die Referenzrahmen PDIS, PRIS und Cloud noch Fassungen, die zur Stellungnahme veröffentlicht waren3.
Zur Cloud sieht das interministerielle Rundschreiben vom 5. Juli 2021 die Nutzung von SecNumCloud-Angeboten vor, die im SREN-Gesetz vom 21. Mai 2024 aufgegriffen wurden, laut der am 30. Dezember 2025 veröffentlichten Antwort des Ministeriums5. Dieselbe Antwort hält es für wesentlich, dass sich Behörden und Betreiber des Staates für ihre besonders sensiblen, in einer kommerziellen Cloud gehosteten Daten auf diese Angebote stützen5. Der Bericht des Senats gibt seinerseits an, dass etwa fünfzehn Angebote qualifiziert und etwa ein Dutzend im Qualifizierungsverfahren sind, getragen von 19 Unternehmen4. Er stellt außerdem fest, dass hybride Angebote wie Bleu und S3NS in das Qualifizierungsverfahren eingetreten sind, ohne zum Zeitpunkt der Antwort der ANSSI qualifiziert zu sein4.
Auf europäischer Ebene gibt dieselbe Antwort des Ministeriums an, dass mehrere Verordnungsentwürfe, darunter die Überarbeitung des Cybersecurity Act und der Cloud and AI Act, „devraient permettre d'avancer sur la mise en place d'un schéma européen harmonisé“ angesichts der außereuropäischen extraterritorialen Gesetze5. Diese Texte werden als in Ausarbeitung beschrieben: Nach dieser Quelle gelten sie noch nicht.
Merkblatt
- Kennung
- CP-383
- Flügel
- 6. Governance und GRC
- Brain-Kompetenz
- Daten schützen (safeguard_data)
- Brain-Reflex
- cr-038
- Schema
- G3 · Anatomischer Schnitt
- Sprachen
- de, en, fr
- Quellen
- 5 Quellen geprüft am 3. November 2026
Quellen5 Quellen
- Cybermalveillance.gouv.fr, „Cybersécurité : comment trouver un professionnel qualifié ?“, 14. Dezember 2021. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/cybersecurite-comment-trouver-un-professionnel-qualifie (abgerufen am 3. November 2026)
- Sénat, „Avis n° 149 (2018-2019), tome IX : Direction de l'action du gouvernement, coordination du travail gouvernemental“, 22. November 2018. https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf (abgerufen am 3. November 2026)
- ENISA, „Trust service providers in France“, 31. März 2015. https://www.enisa.europa.eu/sites/default/files/all_files/Cyberdefence%20trusted%20service%20providers%20in%20France.pdf (abgerufen am 3. November 2026)
- Sénat, „L'urgence d'agir pour éviter la sortie de route : Piloter la commande publique au service de la souveraineté économique - Rapport - Sénat“. https://www.senat.fr/rap/r24-830-1/r24-830-115.html (abgerufen am 3. November 2026)
- Assemblée nationale, „Question écrite n° 10401“, 30. Dezember 2025. https://www.assemblee-nationale.fr/dyn/17/questions/QANR5L17QE10401 (abgerufen am 3. November 2026)
Diesen Artikel zitieren
Brain, „Die ANSSI-Qualifikationen: SecNumCloud, PASSI, PRIS und PDIS“, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp383_de_2026,
author = {Brain},
title = {Die ANSSI-Qualifikationen: SecNumCloud, PASSI, PRIS und PDIS},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/de/articles/anssi-qualifikationen-secnumcloud-passi-pris-pdis/},
note = {CC BY 4.0}
}