--- id: CP-383 slug: cualificaciones-anssi-secnumcloud-passi-pris-pdis lang: es title: "Las cualificaciones de la ANSSI: SecNumCloud, PASSI, PRIS y PDIS" description: Para qué sirven las cualificaciones de la ANSSI (SecNumCloud, PASSI, PRIS, PDIS) y qué cambian para un empleado y para la dirección. canonical_url: https://startbrain.io/cyberpedia/es/articles/cualificaciones-anssi-secnumcloud-passi-pris-pdis/ markdown_url: https://startbrain.io/cyberpedia/es/articles/cualificaciones-anssi-secnumcloud-passi-pris-pdis.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, «Las cualificaciones de la ANSSI: SecNumCloud, PASSI, PRIS y PDIS», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/cualificaciones-anssi-secnumcloud-passi-pris-pdis/ (CC BY 4.0)" wing: 6 theme: safeguard_data reflex: cr-038 schema: G3 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/cualificaciones-anssi-secnumcloud-passi-pris-pdis/ fr: https://startbrain.io/cyberpedia/fr/articles/qualifications-anssi-secnumcloud-passi-pris-pdis/ en: https://startbrain.io/cyberpedia/en/articles/anssi-qualifications-secnumcloud-passi-pris-pdis/ de: https://startbrain.io/cyberpedia/de/articles/anssi-qualifikationen-secnumcloud-passi-pris-pdis/ it: https://startbrain.io/cyberpedia/it/articles/qualificazioni-anssi-secnumcloud-passi-pris-pdis/ sources: - "n": 1 title: "Cybersécurité : comment trouver un professionnel qualifié ?" publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/cybersecurite-comment-trouver-un-professionnel-qualifie published: "2021-12-14" accessed: "2026-11-03" - "n": 2 title: "Avis n° 149 (2018-2019), tome IX : Direction de l'action du gouvernement, coordination du travail gouvernemental" publisher: Sénat url: https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf published: "2018-11-22" accessed: "2026-11-03" - "n": 3 title: Trust service providers in France publisher: ENISA url: https://www.enisa.europa.eu/sites/default/files/all_files/Cyberdefence%20trusted%20service%20providers%20in%20France.pdf published: "2015-03-31" accessed: "2026-11-03" - "n": 4 title: "L'urgence d'agir pour éviter la sortie de route : Piloter la commande publique au service de la souveraineté économique - Rapport - Sénat" publisher: Sénat url: https://www.senat.fr/rap/r24-830-1/r24-830-115.html accessed: "2026-11-03" - "n": 5 title: Question écrite n° 10401 publisher: Assemblée nationale url: https://www.assemblee-nationale.fr/dyn/17/questions/QANR5L17QE10401 published: "2025-12-30" accessed: "2026-11-03" --- # Las cualificaciones de la ANSSI: SecNumCloud, PASSI, PRIS y PDIS Cuando una empresa encarga su auditoría de seguridad, la vigilancia de su red o el alojamiento de sus datos a un proveedor, puede fiarse de la palabra del vendedor o de una etiqueta oficial. Para ello, la ANSSI, la autoridad nacional en materia de seguridad de los sistemas de información, otorga cualificaciones que identifican los servicios considerados fiables tras un proceso de evaluación [1]. Para un empleado, estas siglas aparecen sobre todo en las decisiones de la dirección, de compras o del departamento de TI (la DSI). Saber qué designan ayuda a entender por qué ciertos datos solo van a determinados proveedores de alojamiento. ## En 30 segundos - Dónde ocurre: al elegir un proveedor de auditoría, de detección, de respuesta a incidentes o de alojamiento en la nube, sobre todo en las administraciones, los OIV y los OSE [1]. - Qué garantiza: un proveedor evaluado según un marco de referencia de la ANSSI. La cualificación tiene el alcance de una recomendación [2]. - El reflejo: antes de confiar datos sensibles a un servicio en la nube, preguntar al departamento de TI si está cualificado SecNumCloud y consultar el catálogo publicado por la ANSSI [1]. - Si ya está hecho: avisar al departamento de TI o a compras de que se usa una herramienta no validada para datos sensibles, sin trasladarla por cuenta propia. ## Preguntas directas ### ¿Qué significan SecNumCloud, PASSI, PRIS y PDIS? Son cualificaciones de proveedores. PASSI designa a los proveedores de auditoría de la seguridad de los sistemas de información, PRIS a los de respuesta a incidentes de seguridad y PDIS a los de detección de incidentes de seguridad. SecNumCloud se refiere a los proveedores de computación en la nube [1]. ### ¿Quién otorga estas cualificaciones? La ANSSI, tras un proceso de evaluación. Un documento de la ENISA de 2015 describe organismos de evaluación acreditados por el COFRAC y aprobados por la ANSSI [3]. ### ¿Es lo mismo una cualificación que la etiqueta ExpertCyber? No. La etiqueta ExpertCyber fue desarrollada por Cybermalveillance.gouv.fr junto con sindicatos profesionales, France Assureurs y con el apoyo de la AFNOR. Se dirige a cualquier entidad profesional, salvo los OIV y los OSE, que están cubiertos por otros dispositivos del Estado [1]. Las cualificaciones de la ANSSI se dirigen a los OIV, los OSE, las empresas sujetas al reglamento eIDAS y las administraciones [1]. ### ¿Qué cambia SecNumCloud para mis datos? El marco de referencia tiene por objeto garantizar la seguridad de los datos más sensibles alojados en la nube frente a las amenazas informáticas y a las leyes extraterritoriales [4]. Para el Estado, recurrir a una oferta cualificada SecNumCloud se presenta como una forma de asegurar la confidencialidad, la integridad y la disponibilidad de los datos [5]. ### ¿Deben estar cualificadas todas las herramientas en la nube de la empresa? Las fuentes citadas aquí no lo afirman para las empresas en general. La doctrina «cloud au centre» se refiere al alojamiento por parte del Estado de datos de una sensibilidad particular [4]. ## Qué cambia para los empleados El empleado no elige a los proveedores, pero ve sus efectos en las herramientas que se le pide usar. Cybermalveillance.gouv.fr recuerda que ciertos públicos deben cumplir obligaciones en la elección de sus proveedores, servicios y soluciones de ciberseguridad, en particular cuando manejan información sensible [1]. En el día a día, se resume en tres gestos. Usar las herramientas validadas por el departamento de TI. Preguntar antes de transferir datos sensibles a un servicio en línea no validado. Avisar sin demora al departamento de TI si ocurre un incidente. ## Qué cambia para la dirección La dirección elige a los proveedores, y la cualificación le da una referencia. Cybermalveillance.gouv.fr indica que, para obtener un servicio cualificado o certificado, se puede contactar directamente con el proveedor elegido entre los incluidos en las listas publicadas por la ANSSI [1]. El catálogo de productos y servicios cualificados se publica en línea [1]. La elección tiene un precio y un calendario. Según un informe del Senado, las ofertas cualificadas SecNumCloud costarían entre un 15 % y un 25 % más que las demás, según un responsable escuchado por la comisión [4]. Para los propios proveedores, la ANSSI calcula los costes mínimos de las auditorías externas obligatorias y de la evaluación en torno a 200 000 euros durante los tres años de la cualificación [4]. El mismo informe da un plazo de instrucción de 18 a 24 meses de media y una tasa de éxito del 65 % [4]. El mismo informe señala que la oferta cualificada sigue siendo limitada. Un jurista escuchado en él habla de un «panel d'offres très limité d'hébergements SecNumCloud» [4]. ## Qué dice el texto Las cualificaciones se basan en marcos de referencia de la ANSSI. El decreto n.º 2015-350 precisa las condiciones de concesión de la cualificación de los productos de seguridad y de los proveedores de servicios de confianza para las necesidades de la seguridad nacional [2]. El marco de referencia SecNumCloud se dirige a los operadores de nube que prestan servicios PaaS, IaaS o SaaS. Incluye reglas técnicas, operativas y jurídicas [4]. La evaluación comprueba la resiliencia técnica (separación de los sistemas de información), organizativa (el proveedor cualificado debe ser el único que pueda intervenir en los recursos que sustentan el servicio) y jurídica (protección frente al derecho extranjero) [4]. La versión 3.2 incluye requisitos de inmunidad frente al derecho extraeuropeo [4]. Para los servicios de auditoría, el documento de la ENISA de 2015 enumera los ámbitos de la evaluación: auditoría de arquitectura, de configuración y de código fuente, prueba de intrusión, y auditoría física y organizativa [3]. Para la detección, menciona la gestión de eventos, incidentes y alertas [3]. Para la respuesta a incidentes, menciona cuatro perfiles: responsable de respuesta, analista de sistemas, analista de redes y analista de código malicioso [3]. ## En qué punto está la aplicación Las fechas de entrada en vigor difieren según los servicios. Un dictamen del Senado fechado en noviembre de 2018 indica que la cualificación existe para los proveedores de auditoría (PASSI) desde 2013, para la nube (SecNumCloud) desde 2016, y para la respuesta a incidentes (PRIS) y la detección (PDIS) desde 2017 [2]. Durante 2017, la ANSSI otorgó 25 cualificaciones de productos y 78 cualificaciones de proveedores de servicios [2]. En 2015, los marcos de referencia PDIS, PRIS y de nube eran todavía versiones publicadas para comentarios [3]. Sobre la nube, la circular interministerial del 5 de julio de 2021 prevé el recurso a ofertas SecNumCloud, recogido en la ley SREN del 21 de mayo de 2024, según la respuesta ministerial publicada el 30 de diciembre de 2025 [5]. La misma respuesta afirma que es esencial que las administraciones y los operadores del Estado se apoyen en estas ofertas para sus datos particularmente sensibles alojados en una nube comercial [5]. El informe del Senado indica por su parte que una quincena de ofertas están cualificadas y una docena en proceso de cualificación, presentadas por 19 empresas [4]. Señala también que ofertas híbridas como Bleu y S3NS han entrado en el proceso de cualificación sin estar cualificadas en la fecha de la respuesta de la ANSSI [4]. A escala europea, la misma respuesta ministerial indica que varios proyectos de reglamento, entre ellos la revisión del Cybersecurity Act y el Cloud and AI Act, «devraient permettre d'avancer sur la mise en place d'un schéma européen harmonisé» frente a las leyes extraterritoriales no europeas [5]. Estos textos se describen como en elaboración: según esta fuente, todavía no se aplican. ## Fuentes 1. Cybermalveillance.gouv.fr, «Cybersécurité : comment trouver un professionnel qualifié ?», 14 de diciembre de 2021. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/cybersecurite-comment-trouver-un-professionnel-qualifie (consultado el 3 de noviembre de 2026) 2. Sénat, «Avis n° 149 (2018-2019), tome IX : Direction de l'action du gouvernement, coordination du travail gouvernemental», 22 de noviembre de 2018. https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf (consultado el 3 de noviembre de 2026) 3. ENISA, «Trust service providers in France», 31 de marzo de 2015. https://www.enisa.europa.eu/sites/default/files/all_files/Cyberdefence%20trusted%20service%20providers%20in%20France.pdf (consultado el 3 de noviembre de 2026) 4. Sénat, «L'urgence d'agir pour éviter la sortie de route : Piloter la commande publique au service de la souveraineté économique - Rapport - Sénat». https://www.senat.fr/rap/r24-830-1/r24-830-115.html (consultado el 3 de noviembre de 2026) 5. Assemblée nationale, «Question écrite n° 10401», 30 de diciembre de 2025. https://www.assemblee-nationale.fr/dyn/17/questions/QANR5L17QE10401 (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/cualificaciones-anssi-secnumcloud-passi-pris-pdis/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.