Le qualificazioni ANSSI: SecNumCloud, PASSI, PRIS e PDIS
A cosa servono le qualificazioni dell'ANSSI (SecNumCloud, PASSI, PRIS, PDIS) e cosa cambiano per un dipendente e per la direzione.
In 30 secondi
- Dove succede
- Nella scelta di un fornitore di audit, rilevamento, risposta agli incidenti o hosting cloud, soprattutto per le pubbliche amministrazioni, gli OIV e gli OSE1.
- Cosa garantisce
- Un fornitore valutato secondo un referenziale dell'ANSSI. La qualificazione ha il valore di una raccomandazione2.
- Il riflesso
- Prima di affidare dati sensibili a un servizio cloud, chiedere all'IT se è qualificato SecNumCloud e consultare il catalogo pubblicato dall'ANSSI1.
- Se è già successo
- Segnalare all'IT o agli acquisti uno strumento non approvato usato per dati sensibili, senza spostare i dati di propria iniziativa.
Di cosa si tratta
Quando un'azienda affida a un fornitore l'audit di sicurezza, il monitoraggio della rete o l'hosting dei propri dati, può fidarsi della parola del venditore oppure di un marchio ufficiale. L'ANSSI, l'autorità nazionale francese per la sicurezza dei sistemi informativi, rilascia a questo scopo qualificazioni che individuano i servizi ritenuti affidabili al termine di un processo di valutazione1.
Per un dipendente, queste sigle emergono soprattutto nelle scelte della direzione, degli acquisti o dell'IT. Sapere cosa indicano aiuta a capire perché alcuni dati vengano affidati solo a determinati fornitori di hosting.
Domande dirette
Cosa significano SecNumCloud, PASSI, PRIS e PDIS?
Sono qualificazioni di fornitori. PASSI indica i fornitori di audit della sicurezza dei sistemi informativi, PRIS quelli di risposta agli incidenti di sicurezza, PDIS quelli di rilevamento degli incidenti di sicurezza. SecNumCloud riguarda i fornitori di servizi di cloud computing1.
Chi rilascia queste qualificazioni?
L'ANSSI, al termine di un processo di valutazione. Un documento dell'ENISA del 2015 descrive organismi di valutazione accreditati dal COFRAC e approvati dall'ANSSI3.
Una qualificazione equivale al marchio ExpertCyber?
No. Il marchio ExpertCyber è stato sviluppato da Cybermalveillance.gouv.fr insieme ad associazioni di categoria, France Assureurs e con il sostegno dell'AFNOR. È rivolto a qualsiasi entità professionale, esclusi gli OIV e gli OSE, coperti da altri strumenti dello Stato1. Le qualificazioni dell'ANSSI riguardano gli OIV, gli OSE, le imprese soggette al regolamento eIDAS e le pubbliche amministrazioni1.
Cosa cambia SecNumCloud per i miei dati?
Il referenziale mira a garantire la sicurezza dei dati più sensibili ospitati nel cloud di fronte alle minacce informatiche e alle leggi extraterritoriali4. Per lo Stato, il ricorso a un'offerta qualificata SecNumCloud è presentato come una garanzia di riservatezza, integrità e disponibilità dei dati5.
Tutti gli strumenti cloud dell'azienda devono essere qualificati?
Le fonti citate qui non lo affermano per le aziende in generale. La dottrina «cloud al centro» riguarda l'hosting da parte dello Stato di dati di particolare sensibilità4.
1Cosa cambia per i dipendenti1 min
Il dipendente non sceglie i fornitori, ma ne vede gli effetti negli strumenti che gli viene chiesto di usare. Cybermalveillance.gouv.fr ricorda che alcuni soggetti devono rispettare obblighi nella scelta dei fornitori, dei servizi e delle soluzioni di cybersicurezza, in particolare quando trattano informazioni sensibili1.
Nella pratica quotidiana si riduce a tre gesti. Usare gli strumenti approvati dall'IT. Chiedere prima di trasferire dati sensibili a un servizio online non approvato. Avvisare subito l'IT se si verifica un incidente.
2Cosa cambia per la direzioneDirezione1 min
La direzione sceglie i fornitori, e la qualificazione le offre un punto di riferimento. Cybermalveillance.gouv.fr indica che, per ottenere una prestazione qualificata o certificata, si può contattare direttamente il fornitore prescelto tra quelli degli elenchi pubblicati dall'ANSSI1. Il catalogo dei prodotti e dei servizi qualificati è pubblicato online1.
La scelta ha un costo e dei tempi. Secondo un rapporto del Senato, le offerte qualificate SecNumCloud costerebbero dal 15% al 25% in più delle altre, secondo un responsabile ascoltato dalla commissione4. Per i fornitori stessi, l'ANSSI stima i costi minimi degli audit esterni obbligatori e della valutazione nell'ordine di 200 000 euro per i tre anni della qualificazione4. Lo stesso rapporto indica un tempo di istruttoria di 18-24 mesi in media e un tasso di successo del 65%4.
Lo stesso rapporto osserva che l'offerta qualificata resta limitata. Un giurista sentito in audizione parla di un «panel d'offres très limité d'hébergements SecNumCloud»4.
3Cosa dice il testoTesto ufficiale1 min
Le qualificazioni si basano su referenziali dell'ANSSI. Il decreto n. 2015-350 precisa le condizioni di rilascio della qualificazione dei prodotti di sicurezza e dei fornitori di servizi fiduciari per le esigenze della sicurezza nazionale2.
Il referenziale SecNumCloud si rivolge agli operatori cloud che forniscono servizi PaaS, IaaS o SaaS. Comprende regole tecniche, operative e giuridiche4. La valutazione verifica la resilienza tecnica (isolamento dei sistemi informativi), organizzativa (il fornitore qualificato deve essere il solo a poter intervenire sulle risorse che supportano il servizio) e giuridica (protezione rispetto al diritto straniero)4. La versione 3.2 include requisiti di immunità dal diritto extraeuropeo4.
Per i servizi di audit, il documento dell'ENISA del 2015 elenca gli ambiti della valutazione: audit di architettura, di configurazione e di codice sorgente, test di intrusione, audit fisico e organizzativo3. Per il rilevamento, cita la gestione degli eventi, degli incidenti e degli allarmi3. Per la risposta agli incidenti, cita quattro profili: responsabile della risposta, analista di sistema, analista di rete, analista di codice malevolo3.
4A che punto è l'applicazione2 min
Le date di entrata in vigore variano a seconda dei servizi. Un parere del Senato del novembre 2018 indica che la qualificazione esiste per i fornitori di audit (PASSI) dal 2013, per il cloud (SecNumCloud) dal 2016, e per la risposta agli incidenti (PRIS) e il rilevamento (PDIS) dal 20172. Nel corso del 2017 l'ANSSI ha rilasciato 25 qualificazioni di prodotti e 78 qualificazioni di fornitori di servizi2. Nel 2015 i referenziali PDIS, PRIS e cloud erano ancora versioni pubblicate per commenti3.
Sul cloud, la circolare interministeriale del 5 luglio 2021 prevede il ricorso a offerte SecNumCloud, ripreso nella legge SREN del 21 maggio 2024, secondo la risposta ministeriale pubblicata il 30 dicembre 20255. La stessa risposta afferma che è essenziale che le amministrazioni e gli operatori dello Stato si affidino a queste offerte per i loro dati particolarmente sensibili ospitati su un cloud commerciale5. Il rapporto del Senato indica da parte sua che una quindicina di offerte sono qualificate e una dozzina in corso di qualificazione, portate da 19 società4. Rileva anche che offerte ibride come Bleu e S3NS sono entrate nel processo di qualificazione senza essere qualificate alla data della risposta dell'ANSSI4.
A livello europeo, la stessa risposta ministeriale indica che diversi progetti di regolamento, tra cui la revisione del Cybersecurity Act e il Cloud and AI Act, «devraient permettre d'avancer sur la mise en place d'un schéma européen harmonisé» di fronte alle leggi extraterritoriali non europee5. Questi testi sono descritti come in corso di elaborazione: secondo questa fonte non si applicano ancora.
Scheda
- Identificativo
- CP-383
- Ala
- 6. Governance e GRC
- Competenza Brain
- Proteggere i dati (safeguard_data)
- Riflesso Brain
- cr-038
- Schema
- G3 · Sezione anatomica
- Lingue
- de, en, es, fr, it
- Fonti
- 5 fonti verificate il 3 novembre 2026
Fonti5 fonti
- Cybermalveillance.gouv.fr, «Cybersécurité : comment trouver un professionnel qualifié ?», 14 dicembre 2021. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/cybersecurite-comment-trouver-un-professionnel-qualifie (consultato il 3 novembre 2026)
- Sénat, «Avis n° 149 (2018-2019), tome IX : Direction de l'action du gouvernement, coordination du travail gouvernemental», 22 novembre 2018. https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf (consultato il 3 novembre 2026)
- ENISA, «Trust service providers in France», 31 marzo 2015. https://www.enisa.europa.eu/sites/default/files/all_files/Cyberdefence%20trusted%20service%20providers%20in%20France.pdf (consultato il 3 novembre 2026)
- Sénat, «L'urgence d'agir pour éviter la sortie de route : Piloter la commande publique au service de la souveraineté économique - Rapport - Sénat». https://www.senat.fr/rap/r24-830-1/r24-830-115.html (consultato il 3 novembre 2026)
- Assemblée nationale, «Question écrite n° 10401», 30 dicembre 2025. https://www.assemblee-nationale.fr/dyn/17/questions/QANR5L17QE10401 (consultato il 3 novembre 2026)
Cita questo articolo
Brain, «Le qualificazioni ANSSI: SecNumCloud, PASSI, PRIS e PDIS», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp383_it_2026,
author = {Brain},
title = {Le qualificazioni ANSSI: SecNumCloud, PASSI, PRIS e PDIS},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/it/articles/qualificazioni-anssi-secnumcloud-passi-pris-pdis/},
note = {CC BY 4.0}
}