Kwalifikacje ANSSI: SecNumCloud, PASSI, PRIS i PDIS
Do czego służą kwalifikacje ANSSI (SecNumCloud, PASSI, PRIS, PDIS) i co zmieniają dla pracowników oraz dla kierownictwa.
W 30 sekund
- Gdzie to występuje
- Przy wyborze dostawcy audytu, wykrywania incydentów, reagowania na incydenty lub hostingu w chmurze, zwłaszcza w administracji, u OIV i OSE1.
- Co to gwarantuje
- Dostawcę ocenionego według wzorca ANSSI. Kwalifikacja ma wagę rekomendacji2.
- Odruch
- Zanim wrażliwe dane trafią do usługi chmurowej, warto zapytać dział IT, czy ma kwalifikację SecNumCloud, i sprawdzić katalog publikowany przez ANSSI1.
- Jeśli to już się stało
- Należy zgłosić działowi IT lub zakupom narzędzie bez zatwierdzenia, używane do wrażliwych danych, nie przenosząc danych samodzielnie.
O co chodzi
Gdy firma powierza zewnętrznemu dostawcy audyt bezpieczeństwa, monitorowanie sieci lub hosting danych, może zaufać słowu sprzedawcy albo oficjalnemu oznaczeniu. ANSSI, francuski krajowy organ do spraw bezpieczeństwa systemów informatycznych, przyznaje w tym celu kwalifikacje, które wskazują usługi uznane za wiarygodne po przejściu procesu oceny1.
Pracownik spotyka te skróty głównie przy wyborach dokonywanych przez kierownictwo, dział zakupów lub dział IT. Wiedza o tym, co oznaczają, pomaga zrozumieć, dlaczego niektóre dane trafiają tylko do wybranych dostawców hostingu.
Pytania wprost
Co oznaczają SecNumCloud, PASSI, PRIS i PDIS?
To kwalifikacje dostawców. PASSI dotyczy dostawców audytu bezpieczeństwa systemów informatycznych, PRIS dostawców reagowania na incydenty bezpieczeństwa, a PDIS dostawców wykrywania incydentów bezpieczeństwa. SecNumCloud odnosi się do dostawców usług chmurowych1.
Kto przyznaje te kwalifikacje?
ANSSI, po przejściu procesu oceny. Dokument ENISA z 2015 roku opisuje jednostki oceniające akredytowane przez COFRAC i zatwierdzone przez ANSSI3.
Czy kwalifikacja to to samo co oznaczenie ExpertCyber?
Nie. Oznaczenie ExpertCyber opracował serwis Cybermalveillance.gouv.fr wraz z organizacjami zawodowymi, France Assureurs i przy wsparciu AFNOR. Jest skierowane do każdego podmiotu zawodowego, z wyjątkiem OIV i OSE, objętych innymi mechanizmami państwa1. Kwalifikacje ANSSI są przeznaczone dla OIV, OSE, przedsiębiorstw objętych rozporządzeniem eIDAS i administracji1.
Co SecNumCloud zmienia dla moich danych?
Wzorzec ma zapewniać bezpieczeństwo najbardziej wrażliwych danych przechowywanych w chmurze wobec zagrożeń informatycznych i przepisów eksterytorialnych4. W przypadku państwa korzystanie z oferty z kwalifikacją SecNumCloud przedstawia się jako sposób na zapewnienie poufności, integralności i dostępności danych5.
Czy wszystkie narzędzia chmurowe w firmie muszą mieć kwalifikację?
Cytowane tu źródła nie mówią tego o przedsiębiorstwach w ogóle. Doktryna „chmura na pierwszym miejscu” (cloud au centre) dotyczy hostingu przez państwo danych o szczególnej wrażliwości4.
1Co się zmienia dla pracowników1 min
Pracownik nie wybiera dostawców, ale widzi skutki w narzędziach, których ma używać. Cybermalveillance.gouv.fr przypomina, że niektóre grupy muszą przestrzegać obowiązków przy wyborze dostawców, usług i rozwiązań z zakresu cyberbezpieczeństwa, zwłaszcza gdy przetwarzają informacje wrażliwe1.
W codziennej pracy sprowadza się to do trzech czynności. Używać narzędzi zatwierdzonych przez dział IT. Zapytać, zanim wrażliwe dane trafią do niezatwierdzonej usługi online. Niezwłocznie powiadomić dział IT, gdy dojdzie do incydentu.
2Co się zmienia dla zarząduZarząd1 min
Kierownictwo wybiera dostawców, a kwalifikacja daje mu punkt odniesienia. Cybermalveillance.gouv.fr wskazuje, że aby uzyskać usługę z kwalifikacją lub certyfikatem, można skontaktować się bezpośrednio z wybranym dostawcą z list publikowanych przez ANSSI1. Katalog produktów i usług z kwalifikacją jest publikowany w internecie1.
Wybór ma swoją cenę i swój harmonogram. Według raportu Senatu oferty z kwalifikacją SecNumCloud miałyby kosztować o 15% do 25% więcej niż pozostałe, zdaniem przedstawiciela wysłuchanego przez komisję4. Dla samych dostawców ANSSI szacuje minimalne koszty obowiązkowych audytów zewnętrznych i oceny na około 200 000 euro za trzy lata obowiązywania kwalifikacji4. Ten sam raport podaje średni czas rozpatrzenia wniosku od 18 do 24 miesięcy i wskaźnik powodzenia 65%4.
Ten sam raport zauważa, że oferta z kwalifikacją pozostaje ograniczona. Wysłuchany prawnik mówi tam o „bardzo ograniczonym wachlarzu ofert hostingu SecNumCloud” („panel d'offres très limité d'hébergements SecNumCloud”)4.
3Co mówi tekstTekst urzędowy1 min
Kwalifikacje opierają się na wzorcach ANSSI. Dekret nr 2015-350 określa warunki przyznawania kwalifikacji produktom bezpieczeństwa i dostawcom usług zaufania na potrzeby bezpieczeństwa narodowego2.
Wzorzec SecNumCloud jest skierowany do operatorów chmury świadczących usługi PaaS, IaaS lub SaaS. Obejmuje reguły techniczne, operacyjne i prawne4. Ocena sprawdza odporność techniczną (separację systemów informatycznych), organizacyjną (dostawca z kwalifikacją musi być jedynym podmiotem mogącym działać na zasobach obsługujących usługę) i prawną (ochronę wobec prawa zagranicznego)4. Wersja 3.2 zawiera wymogi odporności na prawo spoza Europy4.
W przypadku usług audytu dokument ENISA z 2015 roku wymienia zakresy oceny: audyt architektury, konfiguracji i kodu źródłowego, test penetracyjny, audyt fizyczny i organizacyjny3. W przypadku wykrywania wskazuje zarządzanie zdarzeniami, incydentami i alertami3. W przypadku reagowania na incydenty wymienia cztery profile: kierownika reagowania, analityka systemów, analityka sieci, analityka złośliwego kodu3.
4Stan wdrożenia2 min
Daty wejścia w życie różnią się w zależności od usługi. Opinia Senatu z listopada 2018 roku wskazuje, że kwalifikacja istnieje dla dostawców audytu (PASSI) od 2013 roku, dla chmury (SecNumCloud) od 2016 roku, a dla reagowania na incydenty (PRIS) i wykrywania (PDIS) od 2017 roku2. W ciągu 2017 roku ANSSI przyznała 25 kwalifikacji produktów i 78 kwalifikacji dostawców usług2. W 2015 roku wzorce PDIS, PRIS i dla chmury były jeszcze wersjami opublikowanymi do konsultacji3.
W odniesieniu do chmury okólnik międzyresortowy z 5 lipca 2021 roku przewiduje korzystanie z ofert SecNumCloud, co zostało przejęte do ustawy SREN z 21 maja 2024 roku, według odpowiedzi ministerialnej opublikowanej 30 grudnia 2025 roku5. Ta sama odpowiedź stwierdza, że administracje i operatorzy państwowi powinni koniecznie opierać się na tych ofertach w przypadku szczególnie wrażliwych danych przechowywanych w chmurze komercyjnej5. Raport Senatu wskazuje ze swojej strony, że około piętnastu ofert ma kwalifikację, a około dwunastu jest w trakcie kwalifikowania, za czym stoi 19 spółek4. Zauważa też, że oferty hybrydowe, takie jak Bleu i S3NS, weszły w proces kwalifikacji, nie mając kwalifikacji w dniu odpowiedzi ANSSI4.
Na poziomie europejskim ta sama odpowiedź ministerialna wskazuje, że kilka projektów rozporządzeń, w tym rewizja Cybersecurity Act i Cloud and AI Act, „powinno pozwolić na postęp we wdrażaniu zharmonizowanego schematu europejskiego” („devraient permettre d'avancer sur la mise en place d'un schéma européen harmonisé”) wobec eksterytorialnych przepisów spoza Europy5. Te teksty opisano jako będące w opracowaniu: według tego źródła jeszcze nie obowiązują.
Karta
- Identyfikator
- CP-383
- Skrzydło
- 6. Ład korporacyjny i GRC
- Kompetencja Brain
- Chronić dane (safeguard_data)
- Odruch Brain
- cr-038
- Schemat
- G3 · Przekrój anatomiczny
- Języki
- de, en, es, fr, it, nl, pl, pt
- Źródła
- Źródła sprawdzone 3 listopada 2026: 5
ŹródłaŹródła: 5
- Cybermalveillance.gouv.fr, „Cybersécurité : comment trouver un professionnel qualifié ?”, 14 grudnia 2021. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/cybersecurite-comment-trouver-un-professionnel-qualifie (dostęp 3 listopada 2026)
- Sénat, „Avis n° 149 (2018-2019), tome IX : Direction de l'action du gouvernement, coordination du travail gouvernemental”, 22 listopada 2018. https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf (dostęp 3 listopada 2026)
- ENISA, „Trust service providers in France”, 31 marca 2015. https://www.enisa.europa.eu/sites/default/files/all_files/Cyberdefence%20trusted%20service%20providers%20in%20France.pdf (dostęp 3 listopada 2026)
- Sénat, „L'urgence d'agir pour éviter la sortie de route : Piloter la commande publique au service de la souveraineté économique - Rapport - Sénat”. https://www.senat.fr/rap/r24-830-1/r24-830-115.html (dostęp 3 listopada 2026)
- Assemblée nationale, „Question écrite n° 10401”, 30 grudnia 2025. https://www.assemblee-nationale.fr/dyn/17/questions/QANR5L17QE10401 (dostęp 3 listopada 2026)
Zacytuj ten artykuł
Brain, „Kwalifikacje ANSSI: SecNumCloud, PASSI, PRIS i PDIS”, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp383_pl_2026,
author = {Brain},
title = {Kwalifikacje ANSSI: SecNumCloud, PASSI, PRIS i PDIS},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/pl/articles/kwalifikacje-anssi-secnumcloud-passi-pris-pdis/},
note = {CC BY 4.0}
}