--- id: CP-383 slug: anssi-kwalificaties-secnumcloud-passi-pris-pdis lang: nl title: "De ANSSI-kwalificaties: SecNumCloud, PASSI, PRIS en PDIS" description: Waar de kwalificaties van de ANSSI (SecNumCloud, PASSI, PRIS, PDIS) voor dienen en wat ze veranderen voor medewerkers en directie. canonical_url: https://startbrain.io/cyberpedia/nl/articles/anssi-kwalificaties-secnumcloud-passi-pris-pdis/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/anssi-kwalificaties-secnumcloud-passi-pris-pdis.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, “De ANSSI-kwalificaties: SecNumCloud, PASSI, PRIS en PDIS”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/anssi-kwalificaties-secnumcloud-passi-pris-pdis/ (CC BY 4.0)" wing: 6 theme: safeguard_data reflex: cr-038 schema: G3 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/anssi-kwalificaties-secnumcloud-passi-pris-pdis/ fr: https://startbrain.io/cyberpedia/fr/articles/qualifications-anssi-secnumcloud-passi-pris-pdis/ en: https://startbrain.io/cyberpedia/en/articles/anssi-qualifications-secnumcloud-passi-pris-pdis/ de: https://startbrain.io/cyberpedia/de/articles/anssi-qualifikationen-secnumcloud-passi-pris-pdis/ es: https://startbrain.io/cyberpedia/es/articles/cualificaciones-anssi-secnumcloud-passi-pris-pdis/ it: https://startbrain.io/cyberpedia/it/articles/qualificazioni-anssi-secnumcloud-passi-pris-pdis/ sources: - "n": 1 title: "Cybersécurité : comment trouver un professionnel qualifié ?" publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/cybersecurite-comment-trouver-un-professionnel-qualifie published: "2021-12-14" accessed: "2026-11-03" - "n": 2 title: "Avis n° 149 (2018-2019), tome IX : Direction de l'action du gouvernement, coordination du travail gouvernemental" publisher: Sénat url: https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf published: "2018-11-22" accessed: "2026-11-03" - "n": 3 title: Trust service providers in France publisher: ENISA url: https://www.enisa.europa.eu/sites/default/files/all_files/Cyberdefence%20trusted%20service%20providers%20in%20France.pdf published: "2015-03-31" accessed: "2026-11-03" - "n": 4 title: "L'urgence d'agir pour éviter la sortie de route : Piloter la commande publique au service de la souveraineté économique - Rapport - Sénat" publisher: Sénat url: https://www.senat.fr/rap/r24-830-1/r24-830-115.html accessed: "2026-11-03" - "n": 5 title: Question écrite n° 10401 publisher: Assemblée nationale url: https://www.assemblee-nationale.fr/dyn/17/questions/QANR5L17QE10401 published: "2025-12-30" accessed: "2026-11-03" --- # De ANSSI-kwalificaties: SecNumCloud, PASSI, PRIS en PDIS Wanneer een bedrijf zijn beveiligingsaudit, netwerkbewaking of gegevenshosting uitbesteedt aan een dienstverlener, kan het afgaan op de woorden van de verkoper of op een officieel keurmerk. De ANSSI, de Franse nationale autoriteit voor de beveiliging van informatiesystemen, geeft daarvoor kwalificaties af. Die wijzen diensten aan die na een evaluatieprocedure betrouwbaar worden geacht [1]. Voor een medewerker komen deze afkortingen vooral voor in keuzes van de directie, de inkoop of de IT-afdeling. Wie weet wat ze betekenen, begrijpt beter waarom bepaalde gegevens alleen bij bepaalde hostingpartijen terechtkomen. ## In 30 seconden - Waar het voorkomt: bij de keuze van een dienstverlener voor audit, detectie, incidentrespons of cloudhosting, vooral bij overheidsdiensten, OIV's en OSE's [1]. - Wat het garandeert: een dienstverlener die is beoordeeld volgens een referentiekader van de ANSSI. De kwalificatie heeft de strekking van een aanbeveling [2]. - De reflex: vraag voordat u gevoelige gegevens aan een clouddienst toevertrouwt aan de IT-afdeling of die SecNumCloud-gekwalificeerd is, en raadpleeg de catalogus die de ANSSI publiceert [1]. - Als het al gebeurd is: meld een niet-goedgekeurde tool die voor gevoelige gegevens wordt gebruikt bij de IT-afdeling of de inkoop, zonder de tool zelf te vervangen. ## Directe vragen ### Wat betekenen SecNumCloud, PASSI, PRIS en PDIS? Het zijn kwalificaties voor dienstverleners. PASSI staat voor aanbieders van audits van de beveiliging van informatiesystemen, PRIS voor aanbieders van respons op beveiligingsincidenten en PDIS voor aanbieders van detectie van beveiligingsincidenten. SecNumCloud betreft aanbieders van clouddiensten [1]. ### Wie geeft deze kwalificaties af? De ANSSI, na een evaluatieprocedure. Een document van ENISA uit 2015 beschrijft evaluatie-instanties die door COFRAC zijn geaccrediteerd en door de ANSSI zijn erkend [3]. ### Is een kwalificatie hetzelfde als het ExpertCyber-label? Nee. Het ExpertCyber-label is ontwikkeld door Cybermalveillance.gouv.fr samen met beroepsorganisaties, France Assureurs en met steun van AFNOR. Het staat open voor elke professionele entiteit, met uitzondering van OIV's en OSE's, die onder andere overheidsregelingen vallen [1]. De kwalificaties van de ANSSI richten zich op OIV's, OSE's, bedrijven die onder de eIDAS-verordening vallen en overheidsdiensten [1]. ### Wat verandert SecNumCloud voor mijn gegevens? Het referentiekader beoogt de veiligheid te garanderen van de meest gevoelige gegevens die in de cloud worden gehost, tegen cyberdreigingen en extraterritoriale wetgeving [4]. Voor de Staat wordt het gebruik van een SecNumCloud-gekwalificeerd aanbod gepresenteerd als waarborg voor de vertrouwelijkheid, integriteit en beschikbaarheid van gegevens [5]. ### Moeten alle cloudtools van het bedrijf gekwalificeerd zijn? De hier aangehaalde bronnen zeggen dat niet voor bedrijven in het algemeen. De doctrine "cloud au centre" betreft het hosten van bijzonder gevoelige gegevens door de Staat [4]. ## Wat er verandert voor medewerkers De medewerker kiest de dienstverleners niet, maar ziet de gevolgen in de tools die hij of zij moet gebruiken. Cybermalveillance.gouv.fr wijst erop dat sommige doelgroepen verplichtingen moeten naleven bij de keuze van hun dienstverleners, diensten en oplossingen voor cybersecurity, met name wanneer ze gevoelige informatie verwerken [1]. In het dagelijks werk komt dit neer op drie handelingen. Gebruik de tools die de IT-afdeling heeft goedgekeurd. Vraag het eerst voordat u gevoelige gegevens naar een niet-goedgekeurde onlinedienst overdraagt. Waarschuw de IT-afdeling meteen als zich een incident voordoet. ## Wat er verandert voor de directie De directie kiest de dienstverleners, en de kwalificatie geeft haar een houvast. Cybermalveillance.gouv.fr geeft aan dat men, om een gekwalificeerde of gecertificeerde dienst te krijgen, rechtstreeks contact kan opnemen met de dienstverlener van eigen keuze uit de lijsten die de ANSSI publiceert [1]. De catalogus van gekwalificeerde producten en diensten wordt online gepubliceerd [1]. De keuze heeft een prijs en een tijdpad. Volgens een rapport van de Senaat zouden SecNumCloud-gekwalificeerde aanbiedingen 15 % tot 25 % duurder zijn dan andere, volgens een verantwoordelijke die door de commissie is gehoord [4]. Voor de dienstverleners zelf raamt de ANSSI de minimale kosten van de verplichte externe audits en van de evaluatie op ongeveer 200 000 euro over de drie jaar van de kwalificatie [4]. Hetzelfde rapport noemt een gemiddelde behandeltijd van 18 tot 24 maanden en een slagingspercentage van 65 % [4]. Hetzelfde rapport stelt dat het gekwalificeerde aanbod beperkt blijft. Een jurist die is gehoord, spreekt daarin van een "panel d'offres très limité d'hébergements SecNumCloud" [4]. ## Wat de tekst zegt De kwalificaties berusten op referentiekaders van de ANSSI. Decreet nr. 2015-350 bepaalt de voorwaarden voor het verlenen van de kwalificatie van beveiligingsproducten en van dienstverleners voor vertrouwensdiensten ten behoeve van de nationale veiligheid [2]. Het SecNumCloud-referentiekader richt zich op cloudoperators die PaaS-, IaaS- of SaaS-diensten leveren. Het bevat technische, operationele en juridische regels [4]. De evaluatie controleert de technische veerkracht (scheiding van informatiesystemen), de organisatorische veerkracht (de gekwalificeerde dienstverlener moet de enige zijn die kan ingrijpen op de middelen die de dienst ondersteunen) en de juridische veerkracht (bescherming tegen buitenlands recht) [4]. Versie 3.2 bevat eisen voor immuniteit tegen niet-Europees recht [4]. Voor auditdiensten noemt het ENISA-document uit 2015 de reikwijdten van de evaluatie: audit van architectuur, van configuratie en van broncode, penetratietest, en fysieke en organisatorische audit [3]. Voor detectie noemt het het beheer van gebeurtenissen, incidenten en waarschuwingen [3]. Voor incidentrespons noemt het vier profielen: verantwoordelijke voor de respons, systeemanalist, netwerkanalist en analist van kwaadaardige code [3]. ## Hoe ver de toepassing staat De data van inwerkingtreding verschillen per dienst. Een advies van de Senaat van november 2018 stelt dat de kwalificatie bestaat voor auditaanbieders (PASSI) sinds 2013, voor de cloud (SecNumCloud) sinds 2016, en voor incidentrespons (PRIS) en detectie (PDIS) sinds 2017 [2]. In de loop van 2017 heeft de ANSSI 25 kwalificaties van producten en 78 kwalificaties van dienstverleners afgegeven [2]. In 2015 waren de referentiekaders PDIS, PRIS en cloud nog slechts versies die voor commentaar waren gepubliceerd [3]. Wat de cloud betreft voorziet de interministeriële circulaire van 5 juli 2021 in het gebruik van SecNumCloud-aanbiedingen, overgenomen in de wet SREN van 21 mei 2024, volgens het ministeriële antwoord van 30 december 2025 [5]. Hetzelfde antwoord stelt dat het essentieel is dat overheidsdiensten en operators van de Staat voor hun bijzonder gevoelige gegevens op een commerciële cloud op deze aanbiedingen steunen [5]. Het rapport van de Senaat vermeldt van zijn kant dat ongeveer vijftien aanbiedingen gekwalificeerd zijn en ongeveer twaalf in kwalificatie zijn, gedragen door 19 bedrijven [4]. Het merkt ook op dat hybride aanbiedingen zoals Bleu en S3NS het kwalificatieproces zijn ingegaan zonder gekwalificeerd te zijn op de datum van het antwoord van de ANSSI [4]. Op Europees niveau geeft hetzelfde ministeriële antwoord aan dat verschillende ontwerpverordeningen, waaronder de herziening van de Cybersecurity Act en de Cloud and AI Act, "devraient permettre d'avancer sur la mise en place d'un schéma européen harmonisé" tegenover niet-Europese extraterritoriale wetgeving [5]. Deze teksten worden beschreven als in voorbereiding: volgens deze bron zijn ze nog niet van toepassing. ## Bronnen 1. Cybermalveillance.gouv.fr, “Cybersécurité : comment trouver un professionnel qualifié ?”, 14 december 2021. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/cybersecurite-comment-trouver-un-professionnel-qualifie (geraadpleegd op 3 november 2026) 2. Sénat, “Avis n° 149 (2018-2019), tome IX : Direction de l'action du gouvernement, coordination du travail gouvernemental”, 22 november 2018. https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf (geraadpleegd op 3 november 2026) 3. ENISA, “Trust service providers in France”, 31 maart 2015. https://www.enisa.europa.eu/sites/default/files/all_files/Cyberdefence%20trusted%20service%20providers%20in%20France.pdf (geraadpleegd op 3 november 2026) 4. Sénat, “L'urgence d'agir pour éviter la sortie de route : Piloter la commande publique au service de la souveraineté économique - Rapport - Sénat”. https://www.senat.fr/rap/r24-830-1/r24-830-115.html (geraadpleegd op 3 november 2026) 5. Assemblée nationale, “Question écrite n° 10401”, 30 december 2025. https://www.assemblee-nationale.fr/dyn/17/questions/QANR5L17QE10401 (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/anssi-kwalificaties-secnumcloud-passi-pris-pdis/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.