--- id: CP-383 slug: kwalifikacje-anssi-secnumcloud-passi-pris-pdis lang: pl title: "Kwalifikacje ANSSI: SecNumCloud, PASSI, PRIS i PDIS" description: Do czego służą kwalifikacje ANSSI (SecNumCloud, PASSI, PRIS, PDIS) i co zmieniają dla pracowników oraz dla kierownictwa. canonical_url: https://startbrain.io/cyberpedia/pl/articles/kwalifikacje-anssi-secnumcloud-passi-pris-pdis/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/kwalifikacje-anssi-secnumcloud-passi-pris-pdis.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, „Kwalifikacje ANSSI: SecNumCloud, PASSI, PRIS i PDIS”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/kwalifikacje-anssi-secnumcloud-passi-pris-pdis/ (CC BY 4.0)" wing: 6 theme: safeguard_data reflex: cr-038 schema: G3 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/kwalifikacje-anssi-secnumcloud-passi-pris-pdis/ fr: https://startbrain.io/cyberpedia/fr/articles/qualifications-anssi-secnumcloud-passi-pris-pdis/ en: https://startbrain.io/cyberpedia/en/articles/anssi-qualifications-secnumcloud-passi-pris-pdis/ de: https://startbrain.io/cyberpedia/de/articles/anssi-qualifikationen-secnumcloud-passi-pris-pdis/ es: https://startbrain.io/cyberpedia/es/articles/cualificaciones-anssi-secnumcloud-passi-pris-pdis/ it: https://startbrain.io/cyberpedia/it/articles/qualificazioni-anssi-secnumcloud-passi-pris-pdis/ nl: https://startbrain.io/cyberpedia/nl/articles/anssi-kwalificaties-secnumcloud-passi-pris-pdis/ pt: https://startbrain.io/cyberpedia/pt/articles/qualificacoes-anssi-secnumcloud-passi-pris-pdis/ sources: - "n": 1 title: "Cybersécurité : comment trouver un professionnel qualifié ?" publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/cybersecurite-comment-trouver-un-professionnel-qualifie published: "2021-12-14" accessed: "2026-11-03" - "n": 2 title: "Avis n° 149 (2018-2019), tome IX : Direction de l'action du gouvernement, coordination du travail gouvernemental" publisher: Sénat url: https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf published: "2018-11-22" accessed: "2026-11-03" - "n": 3 title: Trust service providers in France publisher: ENISA url: https://www.enisa.europa.eu/sites/default/files/all_files/Cyberdefence%20trusted%20service%20providers%20in%20France.pdf published: "2015-03-31" accessed: "2026-11-03" - "n": 4 title: "L'urgence d'agir pour éviter la sortie de route : Piloter la commande publique au service de la souveraineté économique - Rapport - Sénat" publisher: Sénat url: https://www.senat.fr/rap/r24-830-1/r24-830-115.html accessed: "2026-11-03" - "n": 5 title: Question écrite n° 10401 publisher: Assemblée nationale url: https://www.assemblee-nationale.fr/dyn/17/questions/QANR5L17QE10401 published: "2025-12-30" accessed: "2026-11-03" --- # Kwalifikacje ANSSI: SecNumCloud, PASSI, PRIS i PDIS Gdy firma powierza zewnętrznemu dostawcy audyt bezpieczeństwa, monitorowanie sieci lub hosting danych, może zaufać słowu sprzedawcy albo oficjalnemu oznaczeniu. ANSSI, francuski krajowy organ do spraw bezpieczeństwa systemów informatycznych, przyznaje w tym celu kwalifikacje, które wskazują usługi uznane za wiarygodne po przejściu procesu oceny [1]. Pracownik spotyka te skróty głównie przy wyborach dokonywanych przez kierownictwo, dział zakupów lub dział IT. Wiedza o tym, co oznaczają, pomaga zrozumieć, dlaczego niektóre dane trafiają tylko do wybranych dostawców hostingu. ## W 30 sekund - Gdzie to występuje: przy wyborze dostawcy audytu, wykrywania incydentów, reagowania na incydenty lub hostingu w chmurze, zwłaszcza w administracji, u OIV i OSE [1]. - Co to gwarantuje: dostawcę ocenionego według wzorca ANSSI. Kwalifikacja ma wagę rekomendacji [2]. - Odruch: zanim wrażliwe dane trafią do usługi chmurowej, warto zapytać dział IT, czy ma kwalifikację SecNumCloud, i sprawdzić katalog publikowany przez ANSSI [1]. - Jeśli to już się stało: należy zgłosić działowi IT lub zakupom narzędzie bez zatwierdzenia, używane do wrażliwych danych, nie przenosząc danych samodzielnie. ## Pytania wprost ### Co oznaczają SecNumCloud, PASSI, PRIS i PDIS? To kwalifikacje dostawców. PASSI dotyczy dostawców audytu bezpieczeństwa systemów informatycznych, PRIS dostawców reagowania na incydenty bezpieczeństwa, a PDIS dostawców wykrywania incydentów bezpieczeństwa. SecNumCloud odnosi się do dostawców usług chmurowych [1]. ### Kto przyznaje te kwalifikacje? ANSSI, po przejściu procesu oceny. Dokument ENISA z 2015 roku opisuje jednostki oceniające akredytowane przez COFRAC i zatwierdzone przez ANSSI [3]. ### Czy kwalifikacja to to samo co oznaczenie ExpertCyber? Nie. Oznaczenie ExpertCyber opracował serwis Cybermalveillance.gouv.fr wraz z organizacjami zawodowymi, France Assureurs i przy wsparciu AFNOR. Jest skierowane do każdego podmiotu zawodowego, z wyjątkiem OIV i OSE, objętych innymi mechanizmami państwa [1]. Kwalifikacje ANSSI są przeznaczone dla OIV, OSE, przedsiębiorstw objętych rozporządzeniem eIDAS i administracji [1]. ### Co SecNumCloud zmienia dla moich danych? Wzorzec ma zapewniać bezpieczeństwo najbardziej wrażliwych danych przechowywanych w chmurze wobec zagrożeń informatycznych i przepisów eksterytorialnych [4]. W przypadku państwa korzystanie z oferty z kwalifikacją SecNumCloud przedstawia się jako sposób na zapewnienie poufności, integralności i dostępności danych [5]. ### Czy wszystkie narzędzia chmurowe w firmie muszą mieć kwalifikację? Cytowane tu źródła nie mówią tego o przedsiębiorstwach w ogóle. Doktryna „chmura na pierwszym miejscu” (cloud au centre) dotyczy hostingu przez państwo danych o szczególnej wrażliwości [4]. ## Co się zmienia dla pracowników Pracownik nie wybiera dostawców, ale widzi skutki w narzędziach, których ma używać. Cybermalveillance.gouv.fr przypomina, że niektóre grupy muszą przestrzegać obowiązków przy wyborze dostawców, usług i rozwiązań z zakresu cyberbezpieczeństwa, zwłaszcza gdy przetwarzają informacje wrażliwe [1]. W codziennej pracy sprowadza się to do trzech czynności. Używać narzędzi zatwierdzonych przez dział IT. Zapytać, zanim wrażliwe dane trafią do niezatwierdzonej usługi online. Niezwłocznie powiadomić dział IT, gdy dojdzie do incydentu. ## Co się zmienia dla zarządu Kierownictwo wybiera dostawców, a kwalifikacja daje mu punkt odniesienia. Cybermalveillance.gouv.fr wskazuje, że aby uzyskać usługę z kwalifikacją lub certyfikatem, można skontaktować się bezpośrednio z wybranym dostawcą z list publikowanych przez ANSSI [1]. Katalog produktów i usług z kwalifikacją jest publikowany w internecie [1]. Wybór ma swoją cenę i swój harmonogram. Według raportu Senatu oferty z kwalifikacją SecNumCloud miałyby kosztować o 15% do 25% więcej niż pozostałe, zdaniem przedstawiciela wysłuchanego przez komisję [4]. Dla samych dostawców ANSSI szacuje minimalne koszty obowiązkowych audytów zewnętrznych i oceny na około 200 000 euro za trzy lata obowiązywania kwalifikacji [4]. Ten sam raport podaje średni czas rozpatrzenia wniosku od 18 do 24 miesięcy i wskaźnik powodzenia 65% [4]. Ten sam raport zauważa, że oferta z kwalifikacją pozostaje ograniczona. Wysłuchany prawnik mówi tam o „bardzo ograniczonym wachlarzu ofert hostingu SecNumCloud” („panel d'offres très limité d'hébergements SecNumCloud”) [4]. ## Co mówi tekst Kwalifikacje opierają się na wzorcach ANSSI. Dekret nr 2015-350 określa warunki przyznawania kwalifikacji produktom bezpieczeństwa i dostawcom usług zaufania na potrzeby bezpieczeństwa narodowego [2]. Wzorzec SecNumCloud jest skierowany do operatorów chmury świadczących usługi PaaS, IaaS lub SaaS. Obejmuje reguły techniczne, operacyjne i prawne [4]. Ocena sprawdza odporność techniczną (separację systemów informatycznych), organizacyjną (dostawca z kwalifikacją musi być jedynym podmiotem mogącym działać na zasobach obsługujących usługę) i prawną (ochronę wobec prawa zagranicznego) [4]. Wersja 3.2 zawiera wymogi odporności na prawo spoza Europy [4]. W przypadku usług audytu dokument ENISA z 2015 roku wymienia zakresy oceny: audyt architektury, konfiguracji i kodu źródłowego, test penetracyjny, audyt fizyczny i organizacyjny [3]. W przypadku wykrywania wskazuje zarządzanie zdarzeniami, incydentami i alertami [3]. W przypadku reagowania na incydenty wymienia cztery profile: kierownika reagowania, analityka systemów, analityka sieci, analityka złośliwego kodu [3]. ## Stan wdrożenia Daty wejścia w życie różnią się w zależności od usługi. Opinia Senatu z listopada 2018 roku wskazuje, że kwalifikacja istnieje dla dostawców audytu (PASSI) od 2013 roku, dla chmury (SecNumCloud) od 2016 roku, a dla reagowania na incydenty (PRIS) i wykrywania (PDIS) od 2017 roku [2]. W ciągu 2017 roku ANSSI przyznała 25 kwalifikacji produktów i 78 kwalifikacji dostawców usług [2]. W 2015 roku wzorce PDIS, PRIS i dla chmury były jeszcze wersjami opublikowanymi do konsultacji [3]. W odniesieniu do chmury okólnik międzyresortowy z 5 lipca 2021 roku przewiduje korzystanie z ofert SecNumCloud, co zostało przejęte do ustawy SREN z 21 maja 2024 roku, według odpowiedzi ministerialnej opublikowanej 30 grudnia 2025 roku [5]. Ta sama odpowiedź stwierdza, że administracje i operatorzy państwowi powinni koniecznie opierać się na tych ofertach w przypadku szczególnie wrażliwych danych przechowywanych w chmurze komercyjnej [5]. Raport Senatu wskazuje ze swojej strony, że około piętnastu ofert ma kwalifikację, a około dwunastu jest w trakcie kwalifikowania, za czym stoi 19 spółek [4]. Zauważa też, że oferty hybrydowe, takie jak Bleu i S3NS, weszły w proces kwalifikacji, nie mając kwalifikacji w dniu odpowiedzi ANSSI [4]. Na poziomie europejskim ta sama odpowiedź ministerialna wskazuje, że kilka projektów rozporządzeń, w tym rewizja Cybersecurity Act i Cloud and AI Act, „powinno pozwolić na postęp we wdrażaniu zharmonizowanego schematu europejskiego” („devraient permettre d'avancer sur la mise en place d'un schéma européen harmonisé”) wobec eksterytorialnych przepisów spoza Europy [5]. Te teksty opisano jako będące w opracowaniu: według tego źródła jeszcze nie obowiązują. ## Źródła 1. Cybermalveillance.gouv.fr, „Cybersécurité : comment trouver un professionnel qualifié ?”, 14 grudnia 2021. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/cybersecurite-comment-trouver-un-professionnel-qualifie (dostęp 3 listopada 2026) 2. Sénat, „Avis n° 149 (2018-2019), tome IX : Direction de l'action du gouvernement, coordination du travail gouvernemental”, 22 listopada 2018. https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf (dostęp 3 listopada 2026) 3. ENISA, „Trust service providers in France”, 31 marca 2015. https://www.enisa.europa.eu/sites/default/files/all_files/Cyberdefence%20trusted%20service%20providers%20in%20France.pdf (dostęp 3 listopada 2026) 4. Sénat, „L'urgence d'agir pour éviter la sortie de route : Piloter la commande publique au service de la souveraineté économique - Rapport - Sénat”. https://www.senat.fr/rap/r24-830-1/r24-830-115.html (dostęp 3 listopada 2026) 5. Assemblée nationale, „Question écrite n° 10401”, 30 grudnia 2025. https://www.assemblee-nationale.fr/dyn/17/questions/QANR5L17QE10401 (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/kwalifikacje-anssi-secnumcloud-passi-pris-pdis/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.