De ANSSI-kwalificaties: SecNumCloud, PASSI, PRIS en PDIS

De medewerker kiest de dienstverleners niet, maar ziet de gevolgen in de tools die hij of zij moet gebruiken. Cybermalveillance.gouv.fr wijst erop dat sommige doelgroepen verplichtingen moeten naleven bij de keuze van hun dienstverleners, diensten en oplossingen voor cybersecurity, met name wanneer ze gevoelige informatie verwerken¹.

In het dagelijks werk komt dit neer op drie handelingen. Gebruik de tools die de IT-afdeling heeft goedgekeurd. Vraag het eerst voordat u gevoelige gegevens naar een niet-goedgekeurde onlinedienst overdraagt. Waarschuw de IT-afdeling meteen als zich een incident voordoet.

De directie kiest de dienstverleners, en de kwalificatie geeft haar een houvast. Cybermalveillance.gouv.fr geeft aan dat men, om een gekwalificeerde of gecertificeerde dienst te krijgen, rechtstreeks contact kan opnemen met de dienstverlener van eigen keuze uit de lijsten die de ANSSI publiceert¹. De catalogus van gekwalificeerde producten en diensten wordt online gepubliceerd¹.

De keuze heeft een prijs en een tijdpad. Volgens een rapport van de Senaat zouden SecNumCloud-gekwalificeerde aanbiedingen 15 % tot 25 % duurder zijn dan andere, volgens een verantwoordelijke die door de commissie is gehoord⁴. Voor de dienstverleners zelf raamt de ANSSI de minimale kosten van de verplichte externe audits en van de evaluatie op ongeveer 200 000 euro over de drie jaar van de kwalificatie⁴. Hetzelfde rapport noemt een gemiddelde behandeltijd van 18 tot 24 maanden en een slagingspercentage van 65 %⁴.

Hetzelfde rapport stelt dat het gekwalificeerde aanbod beperkt blijft. Een jurist die is gehoord, spreekt daarin van een "panel d'offres très limité d'hébergements SecNumCloud"⁴.

De kwalificaties berusten op referentiekaders van de ANSSI. Decreet nr. 2015-350 bepaalt de voorwaarden voor het verlenen van de kwalificatie van beveiligingsproducten en van dienstverleners voor vertrouwensdiensten ten behoeve van de nationale veiligheid².

Het SecNumCloud-referentiekader richt zich op cloudoperators die PaaS-, IaaS- of SaaS-diensten leveren. Het bevat technische, operationele en juridische regels⁴. De evaluatie controleert de technische veerkracht (scheiding van informatiesystemen), de organisatorische veerkracht (de gekwalificeerde dienstverlener moet de enige zijn die kan ingrijpen op de middelen die de dienst ondersteunen) en de juridische veerkracht (bescherming tegen buitenlands recht)⁴. Versie 3.2 bevat eisen voor immuniteit tegen niet-Europees recht⁴.

Voor auditdiensten noemt het ENISA-document uit 2015 de reikwijdten van de evaluatie: audit van architectuur, van configuratie en van broncode, penetratietest, en fysieke en organisatorische audit³. Voor detectie noemt het het beheer van gebeurtenissen, incidenten en waarschuwingen³. Voor incidentrespons noemt het vier profielen: verantwoordelijke voor de respons, systeemanalist, netwerkanalist en analist van kwaadaardige code³.

De data van inwerkingtreding verschillen per dienst. Een advies van de Senaat van november 2018 stelt dat de kwalificatie bestaat voor auditaanbieders (PASSI) sinds 2013, voor de cloud (SecNumCloud) sinds 2016, en voor incidentrespons (PRIS) en detectie (PDIS) sinds 2017². In de loop van 2017 heeft de ANSSI 25 kwalificaties van producten en 78 kwalificaties van dienstverleners afgegeven². In 2015 waren de referentiekaders PDIS, PRIS en cloud nog slechts versies die voor commentaar waren gepubliceerd³.

Wat de cloud betreft voorziet de interministeriële circulaire van 5 juli 2021 in het gebruik van SecNumCloud-aanbiedingen, overgenomen in de wet SREN van 21 mei 2024, volgens het ministeriële antwoord van 30 december 2025⁵. Hetzelfde antwoord stelt dat het essentieel is dat overheidsdiensten en operators van de Staat voor hun bijzonder gevoelige gegevens op een commerciële cloud op deze aanbiedingen steunen⁵. Het rapport van de Senaat vermeldt van zijn kant dat ongeveer vijftien aanbiedingen gekwalificeerd zijn en ongeveer twaalf in kwalificatie zijn, gedragen door 19 bedrijven⁴. Het merkt ook op dat hybride aanbiedingen zoals Bleu en S3NS het kwalificatieproces zijn ingegaan zonder gekwalificeerd te zijn op de datum van het antwoord van de ANSSI⁴.

Op Europees niveau geeft hetzelfde ministeriële antwoord aan dat verschillende ontwerpverordeningen, waaronder de herziening van de Cybersecurity Act en de Cloud and AI Act, "devraient permettre d'avancer sur la mise en place d'un schéma européen harmonisé" tegenover niet-Europese extraterritoriale wetgeving⁵. Deze teksten worden beschreven als in voorbereiding: volgens deze bron zijn ze nog niet van toepassing.