Cyberpediapar Brain
FRDEEN

Les qualifications ANSSI : SecNumCloud, PASSI, PRIS et PDIS

À quoi servent les qualifications de l'ANSSI (SecNumCloud, PASSI, PRIS, PDIS), ce qu'elles changent pour un salarié et pour la direction.

En 30 secondes

Où ça arrive
Dans le choix d'un prestataire d'audit, de détection, de réponse à incident ou d'hébergement cloud, surtout pour les administrations, les OIV et les OSE1.
Ce que ça garantit
Un prestataire évalué selon un référentiel de l'ANSSI. La qualification a la portée d'une recommandation2.
Le réflexe
Avant de confier des données sensibles à un service cloud, demander à la DSI s'il est qualifié SecNumCloud et vérifier le catalogue publié par l'ANSSI1.
Si c'est déjà fait
Signaler à la DSI ou aux achats un outil non validé utilisé pour des données sensibles, sans le déplacer soi-même.

De quoi parle-t-on

Quand une entreprise confie son audit de sécurité, la surveillance de son réseau ou l'hébergement de ses données à un prestataire, elle peut se fier à la parole du vendeur ou à un label officiel. L'ANSSI, l'autorité nationale en matière de sécurité des systèmes d'information, délivre pour cela des qualifications qui identifient les services jugés fiables à l'issue d'un processus d'évaluation1.

Pour un salarié, ces sigles se rencontrent surtout dans les choix faits par la direction, les achats ou la DSI. Savoir ce qu'ils désignent aide à comprendre pourquoi certaines données ne vont que chez certains hébergeurs.

Questions directes

Que veulent dire SecNumCloud, PASSI, PRIS et PDIS ?

Ce sont des qualifications de prestataires. PASSI désigne les prestataires d'audit de la sécurité des systèmes d'information, PRIS ceux de réponse aux incidents de sécurité, PDIS ceux de détection d'incidents de sécurité. SecNumCloud concerne les prestataires d'informatique en nuage1.

Qui délivre ces qualifications ?

L'ANSSI, à l'issue d'un processus d'évaluation. Un document de l'ENISA de 2015 décrit des organismes d'évaluation accrédités par le COFRAC et agréés par l'ANSSI3.

Une qualification est-elle la même chose qu'un label ExpertCyber ?

Non. Le label ExpertCyber a été développé par Cybermalveillance.gouv.fr avec des syndicats professionnels, France Assureurs et le soutien de l'AFNOR. Il s'adresse à toute entité professionnelle, hors OIV et OSE, couverts par d'autres dispositifs de l'État1. Les qualifications de l'ANSSI visent les OIV, les OSE, les entreprises relevant du règlement eIDAS et les administrations1.

Que change SecNumCloud pour mes données ?

Le référentiel vise à garantir la sécurité des données les plus sensibles hébergées en nuage face aux menaces informatiques et aux lois extraterritoriales4. Pour l'État, le recours à une offre qualifiée SecNumCloud est présenté comme assurant la confidentialité, l'intégrité et la disponibilité des données5.

Tous les outils cloud de l'entreprise doivent-ils être qualifiés ?

Les sources citées ici ne le disent pas pour les entreprises en général. La doctrine « cloud au centre » vise l'hébergement de données d'une sensibilité particulière par l'État4.

1Ce que ça change pour un salarié1 min

Le salarié ne choisit pas les prestataires, mais il en voit les effets dans les outils qu'on lui demande d'utiliser. Cybermalveillance.gouv.fr rappelle que certains publics doivent respecter des obligations dans le choix de leurs prestataires, services et solutions de cybersécurité, notamment quand ils manipulent des informations sensibles1.

Au quotidien, cela revient à trois gestes. Utiliser les outils validés par la DSI. Demander avant de transférer des données sensibles vers un service en ligne non validé. Prévenir sans attendre la DSI si un incident survient.

2Ce que ça change pour la directionDirection1 min

La direction choisit les prestataires, et la qualification lui donne un repère. Cybermalveillance.gouv.fr indique que, pour obtenir une prestation qualifiée ou certifiée, on peut contacter directement le prestataire de son choix dans les listes publiées par l'ANSSI1. Le catalogue des produits et services qualifiés est publié en ligne1.

Le choix a un prix et un calendrier. Selon un rapport du Sénat, les offres qualifiées SecNumCloud coûteraient 15 % à 25 % de plus que les autres, d'après un responsable entendu par la commission4. Pour les prestataires eux-mêmes, l'ANSSI chiffre les coûts minimaux des audits externes obligatoires et de l'évaluation à l'ordre de 200 000 euros pour les trois ans de la qualification4. Le même rapport donne un délai d'instruction de 18 à 24 mois en moyenne et un taux de réussite de 65 %4.

Le même rapport relève que l'offre qualifiée reste limitée. Un juriste auditionné y parle d'un « panel d'offres très limité d'hébergements SecNumCloud »4.

3Ce que dit le texteTexte officiel1 min

Les qualifications reposent sur des référentiels de l'ANSSI. Le décret n° 2015-350 précise les conditions de délivrance de la qualification des produits de sécurité et des prestataires de services de confiance pour les besoins de la sécurité nationale2.

Le référentiel SecNumCloud s'adresse aux opérateurs cloud fournissant des services PaaS, IaaS ou SaaS. Il comprend des règles techniques, opérationnelles et juridiques4. L'évaluation vérifie la résilience technique (cloisonnement des systèmes d'information), organisationnelle (le prestataire qualifié doit être le seul à pouvoir intervenir sur les ressources supportant le service) et juridique (protection vis-à-vis du droit étranger)4. La version 3.2 inclut des exigences d'immunité au droit extra-européen4.

Pour les services d'audit, le document de l'ENISA de 2015 liste les portées de l'évaluation : audit d'architecture, de configuration, de code source, test d'intrusion, audit physique et organisationnel3. Pour la détection, il cite la gestion des événements, des incidents et des alertes3. Pour la réponse à incident, il cite quatre profils : responsable de réponse, analyste système, analyste réseau, analyste de codes malveillants3.

4Où en est l'application2 min

Les dates d'entrée en vigueur diffèrent selon les services. Un avis du Sénat daté de novembre 2018 indique que la qualification existe pour les prestataires d'audit (PASSI) depuis 2013, pour le cloud (SecNumCloud) depuis 2016, et pour la réponse à incident (PRIS) et la détection (PDIS) depuis 20172. Au cours de l'année 2017, l'ANSSI a délivré 25 qualifications de produits et 78 qualifications de prestataires de service2. En 2015, les référentiels PDIS, PRIS et cloud n'étaient encore que des versions publiées pour commentaires3.

Sur le cloud, la circulaire interministérielle du 5 juillet 2021 prévoit le recours à des offres SecNumCloud, repris dans la loi SREN du 21 mai 2024, selon la réponse ministérielle publiée le 30 décembre 20255. La même réponse affirme qu'il est essentiel que les administrations et opérateurs de l'État s'appuient sur ces offres pour leurs données particulièrement sensibles hébergées sur un cloud commercial5. Le rapport du Sénat indique de son côté qu'une quinzaine d'offres sont qualifiées et une douzaine en cours de qualification, portées par 19 sociétés4. Il note aussi que des offres hybrides comme Bleu et S3NS ont intégré le processus de qualification sans être qualifiées à la date de réponse de l'ANSSI4.

Au niveau européen, la même réponse ministérielle indique que plusieurs projets de règlements, dont la révision du Cybersecurity Act et le Cloud and AI Act, « devraient permettre d'avancer sur la mise en place d'un schéma européen harmonisé » face aux lois extraterritoriales non européennes5. Ces textes sont décrits comme en cours d'élaboration : ils ne s'appliquent pas encore selon cette source.

Fiche

Identifiant
CP-383
Aile
6. Gouvernance et GRC
Compétence Brain
Protéger les données (safeguard_data)
Réflexe Brain
cr-038
Schéma
G3 · Coupe Anatomique
Langues
de, en, fr
Sources
5 sources vérifiées le 3 novembre 2026
Sources5 sources
  1. Cybermalveillance.gouv.fr, « Cybersécurité : comment trouver un professionnel qualifié ? », 14 décembre 2021. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/cybersecurite-comment-trouver-un-professionnel-qualifie (consulté le 3 novembre 2026)
  2. Sénat, « Avis n° 149 (2018-2019), tome IX : Direction de l'action du gouvernement, coordination du travail gouvernemental », 22 novembre 2018. https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf (consulté le 3 novembre 2026)
  3. ENISA, « Trust service providers in France », 31 mars 2015. https://www.enisa.europa.eu/sites/default/files/all_files/Cyberdefence%20trusted%20service%20providers%20in%20France.pdf (consulté le 3 novembre 2026)
  4. Sénat, « L'urgence d'agir pour éviter la sortie de route : Piloter la commande publique au service de la souveraineté économique - Rapport - Sénat ». https://www.senat.fr/rap/r24-830-1/r24-830-115.html (consulté le 3 novembre 2026)
  5. Assemblée nationale, « Question écrite n° 10401 », 30 décembre 2025. https://www.assemblee-nationale.fr/dyn/17/questions/QANR5L17QE10401 (consulté le 3 novembre 2026)

Citer cet article

Brain, « Les qualifications ANSSI : SecNumCloud, PASSI, PRIS et PDIS », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/qualifications-anssi-secnumcloud-passi-pris-pdis/

BibTeX 
@misc{brain_cp383_fr_2026,
  author = {Brain},
  title = {Les qualifications ANSSI : SecNumCloud, PASSI, PRIS et PDIS},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/fr/articles/qualifications-anssi-secnumcloud-passi-pris-pdis/},
  note = {CC BY 4.0}
}
Licence CC BY 4.0