--- id: CP-383 slug: qualifications-anssi-secnumcloud-passi-pris-pdis lang: fr title: "Les qualifications ANSSI : SecNumCloud, PASSI, PRIS et PDIS" description: À quoi servent les qualifications de l'ANSSI (SecNumCloud, PASSI, PRIS, PDIS), ce qu'elles changent pour un salarié et pour la direction. canonical_url: https://startbrain.io/cyberpedia/fr/articles/qualifications-anssi-secnumcloud-passi-pris-pdis/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/qualifications-anssi-secnumcloud-passi-pris-pdis.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, « Les qualifications ANSSI : SecNumCloud, PASSI, PRIS et PDIS », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/qualifications-anssi-secnumcloud-passi-pris-pdis/ (CC BY 4.0)" wing: 6 theme: safeguard_data reflex: cr-038 schema: G3 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/qualifications-anssi-secnumcloud-passi-pris-pdis/ en: https://startbrain.io/cyberpedia/en/articles/anssi-qualifications-secnumcloud-passi-pris-pdis/ de: https://startbrain.io/cyberpedia/de/articles/anssi-qualifikationen-secnumcloud-passi-pris-pdis/ es: https://startbrain.io/cyberpedia/es/articles/cualificaciones-anssi-secnumcloud-passi-pris-pdis/ sources: - "n": 1 title: "Cybersécurité : comment trouver un professionnel qualifié ?" publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/cybersecurite-comment-trouver-un-professionnel-qualifie published: "2021-12-14" accessed: "2026-11-03" - "n": 2 title: "Avis n° 149 (2018-2019), tome IX : Direction de l'action du gouvernement, coordination du travail gouvernemental" publisher: Sénat url: https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf published: "2018-11-22" accessed: "2026-11-03" - "n": 3 title: Trust service providers in France publisher: ENISA url: https://www.enisa.europa.eu/sites/default/files/all_files/Cyberdefence%20trusted%20service%20providers%20in%20France.pdf published: "2015-03-31" accessed: "2026-11-03" - "n": 4 title: "L'urgence d'agir pour éviter la sortie de route : Piloter la commande publique au service de la souveraineté économique - Rapport - Sénat" publisher: Sénat url: https://www.senat.fr/rap/r24-830-1/r24-830-115.html accessed: "2026-11-03" - "n": 5 title: Question écrite n° 10401 publisher: Assemblée nationale url: https://www.assemblee-nationale.fr/dyn/17/questions/QANR5L17QE10401 published: "2025-12-30" accessed: "2026-11-03" --- # Les qualifications ANSSI : SecNumCloud, PASSI, PRIS et PDIS Quand une entreprise confie son audit de sécurité, la surveillance de son réseau ou l'hébergement de ses données à un prestataire, elle peut se fier à la parole du vendeur ou à un label officiel. L'ANSSI, l'autorité nationale en matière de sécurité des systèmes d'information, délivre pour cela des qualifications qui identifient les services jugés fiables à l'issue d'un processus d'évaluation [1]. Pour un salarié, ces sigles se rencontrent surtout dans les choix faits par la direction, les achats ou la DSI. Savoir ce qu'ils désignent aide à comprendre pourquoi certaines données ne vont que chez certains hébergeurs. ## En 30 secondes - Où ça arrive : dans le choix d'un prestataire d'audit, de détection, de réponse à incident ou d'hébergement cloud, surtout pour les administrations, les OIV et les OSE [1]. - Ce que ça garantit : un prestataire évalué selon un référentiel de l'ANSSI. La qualification a la portée d'une recommandation [2]. - Le réflexe : avant de confier des données sensibles à un service cloud, demander à la DSI s'il est qualifié SecNumCloud et vérifier le catalogue publié par l'ANSSI [1]. - Si c'est déjà fait : signaler à la DSI ou aux achats un outil non validé utilisé pour des données sensibles, sans le déplacer soi-même. ## Questions directes ### Que veulent dire SecNumCloud, PASSI, PRIS et PDIS ? Ce sont des qualifications de prestataires. PASSI désigne les prestataires d'audit de la sécurité des systèmes d'information, PRIS ceux de réponse aux incidents de sécurité, PDIS ceux de détection d'incidents de sécurité. SecNumCloud concerne les prestataires d'informatique en nuage [1]. ### Qui délivre ces qualifications ? L'ANSSI, à l'issue d'un processus d'évaluation. Un document de l'ENISA de 2015 décrit des organismes d'évaluation accrédités par le COFRAC et agréés par l'ANSSI [3]. ### Une qualification est-elle la même chose qu'un label ExpertCyber ? Non. Le label ExpertCyber a été développé par Cybermalveillance.gouv.fr avec des syndicats professionnels, France Assureurs et le soutien de l'AFNOR. Il s'adresse à toute entité professionnelle, hors OIV et OSE, couverts par d'autres dispositifs de l'État [1]. Les qualifications de l'ANSSI visent les OIV, les OSE, les entreprises relevant du règlement eIDAS et les administrations [1]. ### Que change SecNumCloud pour mes données ? Le référentiel vise à garantir la sécurité des données les plus sensibles hébergées en nuage face aux menaces informatiques et aux lois extraterritoriales [4]. Pour l'État, le recours à une offre qualifiée SecNumCloud est présenté comme assurant la confidentialité, l'intégrité et la disponibilité des données [5]. ### Tous les outils cloud de l'entreprise doivent-ils être qualifiés ? Les sources citées ici ne le disent pas pour les entreprises en général. La doctrine « cloud au centre » vise l'hébergement de données d'une sensibilité particulière par l'État [4]. ## Ce que ça change pour un salarié Le salarié ne choisit pas les prestataires, mais il en voit les effets dans les outils qu'on lui demande d'utiliser. Cybermalveillance.gouv.fr rappelle que certains publics doivent respecter des obligations dans le choix de leurs prestataires, services et solutions de cybersécurité, notamment quand ils manipulent des informations sensibles [1]. Au quotidien, cela revient à trois gestes. Utiliser les outils validés par la DSI. Demander avant de transférer des données sensibles vers un service en ligne non validé. Prévenir sans attendre la DSI si un incident survient. ## Ce que ça change pour la direction La direction choisit les prestataires, et la qualification lui donne un repère. Cybermalveillance.gouv.fr indique que, pour obtenir une prestation qualifiée ou certifiée, on peut contacter directement le prestataire de son choix dans les listes publiées par l'ANSSI [1]. Le catalogue des produits et services qualifiés est publié en ligne [1]. Le choix a un prix et un calendrier. Selon un rapport du Sénat, les offres qualifiées SecNumCloud coûteraient 15 % à 25 % de plus que les autres, d'après un responsable entendu par la commission [4]. Pour les prestataires eux-mêmes, l'ANSSI chiffre les coûts minimaux des audits externes obligatoires et de l'évaluation à l'ordre de 200 000 euros pour les trois ans de la qualification [4]. Le même rapport donne un délai d'instruction de 18 à 24 mois en moyenne et un taux de réussite de 65 % [4]. Le même rapport relève que l'offre qualifiée reste limitée. Un juriste auditionné y parle d'un « panel d'offres très limité d'hébergements SecNumCloud » [4]. ## Ce que dit le texte Les qualifications reposent sur des référentiels de l'ANSSI. Le décret n° 2015-350 précise les conditions de délivrance de la qualification des produits de sécurité et des prestataires de services de confiance pour les besoins de la sécurité nationale [2]. Le référentiel SecNumCloud s'adresse aux opérateurs cloud fournissant des services PaaS, IaaS ou SaaS. Il comprend des règles techniques, opérationnelles et juridiques [4]. L'évaluation vérifie la résilience technique (cloisonnement des systèmes d'information), organisationnelle (le prestataire qualifié doit être le seul à pouvoir intervenir sur les ressources supportant le service) et juridique (protection vis-à-vis du droit étranger) [4]. La version 3.2 inclut des exigences d'immunité au droit extra-européen [4]. Pour les services d'audit, le document de l'ENISA de 2015 liste les portées de l'évaluation : audit d'architecture, de configuration, de code source, test d'intrusion, audit physique et organisationnel [3]. Pour la détection, il cite la gestion des événements, des incidents et des alertes [3]. Pour la réponse à incident, il cite quatre profils : responsable de réponse, analyste système, analyste réseau, analyste de codes malveillants [3]. ## Où en est l'application Les dates d'entrée en vigueur diffèrent selon les services. Un avis du Sénat daté de novembre 2018 indique que la qualification existe pour les prestataires d'audit (PASSI) depuis 2013, pour le cloud (SecNumCloud) depuis 2016, et pour la réponse à incident (PRIS) et la détection (PDIS) depuis 2017 [2]. Au cours de l'année 2017, l'ANSSI a délivré 25 qualifications de produits et 78 qualifications de prestataires de service [2]. En 2015, les référentiels PDIS, PRIS et cloud n'étaient encore que des versions publiées pour commentaires [3]. Sur le cloud, la circulaire interministérielle du 5 juillet 2021 prévoit le recours à des offres SecNumCloud, repris dans la loi SREN du 21 mai 2024, selon la réponse ministérielle publiée le 30 décembre 2025 [5]. La même réponse affirme qu'il est essentiel que les administrations et opérateurs de l'État s'appuient sur ces offres pour leurs données particulièrement sensibles hébergées sur un cloud commercial [5]. Le rapport du Sénat indique de son côté qu'une quinzaine d'offres sont qualifiées et une douzaine en cours de qualification, portées par 19 sociétés [4]. Il note aussi que des offres hybrides comme Bleu et S3NS ont intégré le processus de qualification sans être qualifiées à la date de réponse de l'ANSSI [4]. Au niveau européen, la même réponse ministérielle indique que plusieurs projets de règlements, dont la révision du Cybersecurity Act et le Cloud and AI Act, « devraient permettre d'avancer sur la mise en place d'un schéma européen harmonisé » face aux lois extraterritoriales non européennes [5]. Ces textes sont décrits comme en cours d'élaboration : ils ne s'appliquent pas encore selon cette source. ## Sources 1. Cybermalveillance.gouv.fr, « Cybersécurité : comment trouver un professionnel qualifié ? », 14 décembre 2021. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/cybersecurite-comment-trouver-un-professionnel-qualifie (consulté le 3 novembre 2026) 2. Sénat, « Avis n° 149 (2018-2019), tome IX : Direction de l'action du gouvernement, coordination du travail gouvernemental », 22 novembre 2018. https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf (consulté le 3 novembre 2026) 3. ENISA, « Trust service providers in France », 31 mars 2015. https://www.enisa.europa.eu/sites/default/files/all_files/Cyberdefence%20trusted%20service%20providers%20in%20France.pdf (consulté le 3 novembre 2026) 4. Sénat, « L'urgence d'agir pour éviter la sortie de route : Piloter la commande publique au service de la souveraineté économique - Rapport - Sénat ». https://www.senat.fr/rap/r24-830-1/r24-830-115.html (consulté le 3 novembre 2026) 5. Assemblée nationale, « Question écrite n° 10401 », 30 décembre 2025. https://www.assemblee-nationale.fr/dyn/17/questions/QANR5L17QE10401 (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/qualifications-anssi-secnumcloud-passi-pris-pdis/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.