--- id: CP-383 slug: qualificazioni-anssi-secnumcloud-passi-pris-pdis lang: it title: "Le qualificazioni ANSSI: SecNumCloud, PASSI, PRIS e PDIS" description: A cosa servono le qualificazioni dell'ANSSI (SecNumCloud, PASSI, PRIS, PDIS) e cosa cambiano per un dipendente e per la direzione. canonical_url: https://startbrain.io/cyberpedia/it/articles/qualificazioni-anssi-secnumcloud-passi-pris-pdis/ markdown_url: https://startbrain.io/cyberpedia/it/articles/qualificazioni-anssi-secnumcloud-passi-pris-pdis.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, «Le qualificazioni ANSSI: SecNumCloud, PASSI, PRIS e PDIS», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/qualificazioni-anssi-secnumcloud-passi-pris-pdis/ (CC BY 4.0)" wing: 6 theme: safeguard_data reflex: cr-038 schema: G3 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/qualificazioni-anssi-secnumcloud-passi-pris-pdis/ fr: https://startbrain.io/cyberpedia/fr/articles/qualifications-anssi-secnumcloud-passi-pris-pdis/ en: https://startbrain.io/cyberpedia/en/articles/anssi-qualifications-secnumcloud-passi-pris-pdis/ de: https://startbrain.io/cyberpedia/de/articles/anssi-qualifikationen-secnumcloud-passi-pris-pdis/ es: https://startbrain.io/cyberpedia/es/articles/cualificaciones-anssi-secnumcloud-passi-pris-pdis/ nl: https://startbrain.io/cyberpedia/nl/articles/anssi-kwalificaties-secnumcloud-passi-pris-pdis/ sources: - "n": 1 title: "Cybersécurité : comment trouver un professionnel qualifié ?" publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/cybersecurite-comment-trouver-un-professionnel-qualifie published: "2021-12-14" accessed: "2026-11-03" - "n": 2 title: "Avis n° 149 (2018-2019), tome IX : Direction de l'action du gouvernement, coordination du travail gouvernemental" publisher: Sénat url: https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf published: "2018-11-22" accessed: "2026-11-03" - "n": 3 title: Trust service providers in France publisher: ENISA url: https://www.enisa.europa.eu/sites/default/files/all_files/Cyberdefence%20trusted%20service%20providers%20in%20France.pdf published: "2015-03-31" accessed: "2026-11-03" - "n": 4 title: "L'urgence d'agir pour éviter la sortie de route : Piloter la commande publique au service de la souveraineté économique - Rapport - Sénat" publisher: Sénat url: https://www.senat.fr/rap/r24-830-1/r24-830-115.html accessed: "2026-11-03" - "n": 5 title: Question écrite n° 10401 publisher: Assemblée nationale url: https://www.assemblee-nationale.fr/dyn/17/questions/QANR5L17QE10401 published: "2025-12-30" accessed: "2026-11-03" --- # Le qualificazioni ANSSI: SecNumCloud, PASSI, PRIS e PDIS Quando un'azienda affida a un fornitore l'audit di sicurezza, il monitoraggio della rete o l'hosting dei propri dati, può fidarsi della parola del venditore oppure di un marchio ufficiale. L'ANSSI, l'autorità nazionale francese per la sicurezza dei sistemi informativi, rilascia a questo scopo qualificazioni che individuano i servizi ritenuti affidabili al termine di un processo di valutazione [1]. Per un dipendente, queste sigle emergono soprattutto nelle scelte della direzione, degli acquisti o dell'IT. Sapere cosa indicano aiuta a capire perché alcuni dati vengano affidati solo a determinati fornitori di hosting. ## In 30 secondi - Dove succede: nella scelta di un fornitore di audit, rilevamento, risposta agli incidenti o hosting cloud, soprattutto per le pubbliche amministrazioni, gli OIV e gli OSE [1]. - Cosa garantisce: un fornitore valutato secondo un referenziale dell'ANSSI. La qualificazione ha il valore di una raccomandazione [2]. - Il riflesso: prima di affidare dati sensibili a un servizio cloud, chiedere all'IT se è qualificato SecNumCloud e consultare il catalogo pubblicato dall'ANSSI [1]. - Se è già successo: segnalare all'IT o agli acquisti uno strumento non approvato usato per dati sensibili, senza spostare i dati di propria iniziativa. ## Domande dirette ### Cosa significano SecNumCloud, PASSI, PRIS e PDIS? Sono qualificazioni di fornitori. PASSI indica i fornitori di audit della sicurezza dei sistemi informativi, PRIS quelli di risposta agli incidenti di sicurezza, PDIS quelli di rilevamento degli incidenti di sicurezza. SecNumCloud riguarda i fornitori di servizi di cloud computing [1]. ### Chi rilascia queste qualificazioni? L'ANSSI, al termine di un processo di valutazione. Un documento dell'ENISA del 2015 descrive organismi di valutazione accreditati dal COFRAC e approvati dall'ANSSI [3]. ### Una qualificazione equivale al marchio ExpertCyber? No. Il marchio ExpertCyber è stato sviluppato da Cybermalveillance.gouv.fr insieme ad associazioni di categoria, France Assureurs e con il sostegno dell'AFNOR. È rivolto a qualsiasi entità professionale, esclusi gli OIV e gli OSE, coperti da altri strumenti dello Stato [1]. Le qualificazioni dell'ANSSI riguardano gli OIV, gli OSE, le imprese soggette al regolamento eIDAS e le pubbliche amministrazioni [1]. ### Cosa cambia SecNumCloud per i miei dati? Il referenziale mira a garantire la sicurezza dei dati più sensibili ospitati nel cloud di fronte alle minacce informatiche e alle leggi extraterritoriali [4]. Per lo Stato, il ricorso a un'offerta qualificata SecNumCloud è presentato come una garanzia di riservatezza, integrità e disponibilità dei dati [5]. ### Tutti gli strumenti cloud dell'azienda devono essere qualificati? Le fonti citate qui non lo affermano per le aziende in generale. La dottrina «cloud al centro» riguarda l'hosting da parte dello Stato di dati di particolare sensibilità [4]. ## Cosa cambia per i dipendenti Il dipendente non sceglie i fornitori, ma ne vede gli effetti negli strumenti che gli viene chiesto di usare. Cybermalveillance.gouv.fr ricorda che alcuni soggetti devono rispettare obblighi nella scelta dei fornitori, dei servizi e delle soluzioni di cybersicurezza, in particolare quando trattano informazioni sensibili [1]. Nella pratica quotidiana si riduce a tre gesti. Usare gli strumenti approvati dall'IT. Chiedere prima di trasferire dati sensibili a un servizio online non approvato. Avvisare subito l'IT se si verifica un incidente. ## Cosa cambia per la direzione La direzione sceglie i fornitori, e la qualificazione le offre un punto di riferimento. Cybermalveillance.gouv.fr indica che, per ottenere una prestazione qualificata o certificata, si può contattare direttamente il fornitore prescelto tra quelli degli elenchi pubblicati dall'ANSSI [1]. Il catalogo dei prodotti e dei servizi qualificati è pubblicato online [1]. La scelta ha un costo e dei tempi. Secondo un rapporto del Senato, le offerte qualificate SecNumCloud costerebbero dal 15% al 25% in più delle altre, secondo un responsabile ascoltato dalla commissione [4]. Per i fornitori stessi, l'ANSSI stima i costi minimi degli audit esterni obbligatori e della valutazione nell'ordine di 200 000 euro per i tre anni della qualificazione [4]. Lo stesso rapporto indica un tempo di istruttoria di 18-24 mesi in media e un tasso di successo del 65% [4]. Lo stesso rapporto osserva che l'offerta qualificata resta limitata. Un giurista sentito in audizione parla di un «panel d'offres très limité d'hébergements SecNumCloud» [4]. ## Cosa dice il testo Le qualificazioni si basano su referenziali dell'ANSSI. Il decreto n. 2015-350 precisa le condizioni di rilascio della qualificazione dei prodotti di sicurezza e dei fornitori di servizi fiduciari per le esigenze della sicurezza nazionale [2]. Il referenziale SecNumCloud si rivolge agli operatori cloud che forniscono servizi PaaS, IaaS o SaaS. Comprende regole tecniche, operative e giuridiche [4]. La valutazione verifica la resilienza tecnica (isolamento dei sistemi informativi), organizzativa (il fornitore qualificato deve essere il solo a poter intervenire sulle risorse che supportano il servizio) e giuridica (protezione rispetto al diritto straniero) [4]. La versione 3.2 include requisiti di immunità dal diritto extraeuropeo [4]. Per i servizi di audit, il documento dell'ENISA del 2015 elenca gli ambiti della valutazione: audit di architettura, di configurazione e di codice sorgente, test di intrusione, audit fisico e organizzativo [3]. Per il rilevamento, cita la gestione degli eventi, degli incidenti e degli allarmi [3]. Per la risposta agli incidenti, cita quattro profili: responsabile della risposta, analista di sistema, analista di rete, analista di codice malevolo [3]. ## A che punto è l'applicazione Le date di entrata in vigore variano a seconda dei servizi. Un parere del Senato del novembre 2018 indica che la qualificazione esiste per i fornitori di audit (PASSI) dal 2013, per il cloud (SecNumCloud) dal 2016, e per la risposta agli incidenti (PRIS) e il rilevamento (PDIS) dal 2017 [2]. Nel corso del 2017 l'ANSSI ha rilasciato 25 qualificazioni di prodotti e 78 qualificazioni di fornitori di servizi [2]. Nel 2015 i referenziali PDIS, PRIS e cloud erano ancora versioni pubblicate per commenti [3]. Sul cloud, la circolare interministeriale del 5 luglio 2021 prevede il ricorso a offerte SecNumCloud, ripreso nella legge SREN del 21 maggio 2024, secondo la risposta ministeriale pubblicata il 30 dicembre 2025 [5]. La stessa risposta afferma che è essenziale che le amministrazioni e gli operatori dello Stato si affidino a queste offerte per i loro dati particolarmente sensibili ospitati su un cloud commerciale [5]. Il rapporto del Senato indica da parte sua che una quindicina di offerte sono qualificate e una dozzina in corso di qualificazione, portate da 19 società [4]. Rileva anche che offerte ibride come Bleu e S3NS sono entrate nel processo di qualificazione senza essere qualificate alla data della risposta dell'ANSSI [4]. A livello europeo, la stessa risposta ministeriale indica che diversi progetti di regolamento, tra cui la revisione del Cybersecurity Act e il Cloud and AI Act, «devraient permettre d'avancer sur la mise en place d'un schéma européen harmonisé» di fronte alle leggi extraterritoriali non europee [5]. Questi testi sono descritti come in corso di elaborazione: secondo questa fonte non si applicano ancora. ## Fonti 1. Cybermalveillance.gouv.fr, «Cybersécurité : comment trouver un professionnel qualifié ?», 14 dicembre 2021. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/cybersecurite-comment-trouver-un-professionnel-qualifie (consultato il 3 novembre 2026) 2. Sénat, «Avis n° 149 (2018-2019), tome IX : Direction de l'action du gouvernement, coordination du travail gouvernemental», 22 novembre 2018. https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf (consultato il 3 novembre 2026) 3. ENISA, «Trust service providers in France», 31 marzo 2015. https://www.enisa.europa.eu/sites/default/files/all_files/Cyberdefence%20trusted%20service%20providers%20in%20France.pdf (consultato il 3 novembre 2026) 4. Sénat, «L'urgence d'agir pour éviter la sortie de route : Piloter la commande publique au service de la souveraineté économique - Rapport - Sénat». https://www.senat.fr/rap/r24-830-1/r24-830-115.html (consultato il 3 novembre 2026) 5. Assemblée nationale, «Question écrite n° 10401», 30 dicembre 2025. https://www.assemblee-nationale.fr/dyn/17/questions/QANR5L17QE10401 (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/qualificazioni-anssi-secnumcloud-passi-pris-pdis/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.