--- id: CP-383 slug: qualificacoes-anssi-secnumcloud-passi-pris-pdis lang: pt title: "As qualificações da ANSSI: SecNumCloud, PASSI, PRIS e PDIS" description: Para que servem as qualificações da ANSSI (SecNumCloud, PASSI, PRIS, PDIS) e o que mudam para um colaborador e para a direção. canonical_url: https://startbrain.io/cyberpedia/pt/articles/qualificacoes-anssi-secnumcloud-passi-pris-pdis/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/qualificacoes-anssi-secnumcloud-passi-pris-pdis.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, «As qualificações da ANSSI: SecNumCloud, PASSI, PRIS e PDIS», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/qualificacoes-anssi-secnumcloud-passi-pris-pdis/ (CC BY 4.0)" wing: 6 theme: safeguard_data reflex: cr-038 schema: G3 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/qualificacoes-anssi-secnumcloud-passi-pris-pdis/ fr: https://startbrain.io/cyberpedia/fr/articles/qualifications-anssi-secnumcloud-passi-pris-pdis/ en: https://startbrain.io/cyberpedia/en/articles/anssi-qualifications-secnumcloud-passi-pris-pdis/ de: https://startbrain.io/cyberpedia/de/articles/anssi-qualifikationen-secnumcloud-passi-pris-pdis/ es: https://startbrain.io/cyberpedia/es/articles/cualificaciones-anssi-secnumcloud-passi-pris-pdis/ it: https://startbrain.io/cyberpedia/it/articles/qualificazioni-anssi-secnumcloud-passi-pris-pdis/ nl: https://startbrain.io/cyberpedia/nl/articles/anssi-kwalificaties-secnumcloud-passi-pris-pdis/ sources: - "n": 1 title: "Cybersécurité : comment trouver un professionnel qualifié ?" publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/cybersecurite-comment-trouver-un-professionnel-qualifie published: "2021-12-14" accessed: "2026-11-03" - "n": 2 title: "Avis n° 149 (2018-2019), tome IX : Direction de l'action du gouvernement, coordination du travail gouvernemental" publisher: Sénat url: https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf published: "2018-11-22" accessed: "2026-11-03" - "n": 3 title: Trust service providers in France publisher: ENISA url: https://www.enisa.europa.eu/sites/default/files/all_files/Cyberdefence%20trusted%20service%20providers%20in%20France.pdf published: "2015-03-31" accessed: "2026-11-03" - "n": 4 title: "L'urgence d'agir pour éviter la sortie de route : Piloter la commande publique au service de la souveraineté économique - Rapport - Sénat" publisher: Sénat url: https://www.senat.fr/rap/r24-830-1/r24-830-115.html accessed: "2026-11-03" - "n": 5 title: Question écrite n° 10401 publisher: Assemblée nationale url: https://www.assemblee-nationale.fr/dyn/17/questions/QANR5L17QE10401 published: "2025-12-30" accessed: "2026-11-03" --- # As qualificações da ANSSI: SecNumCloud, PASSI, PRIS e PDIS Quando uma empresa confia a um prestador de serviços a auditoria de segurança, a vigilância da rede ou o alojamento dos seus dados, pode fiar-se na palavra do vendedor ou num selo oficial. A ANSSI, a autoridade nacional em matéria de segurança dos sistemas de informação, atribui para isso qualificações que identificam os serviços considerados fiáveis após um processo de avaliação [1]. Para um colaborador, estas siglas surgem sobretudo nas escolhas feitas pela direção, pelas compras ou pelo departamento de informática. Saber o que designam ajuda a perceber por que razão certos dados só vão para determinados fornecedores de alojamento. ## Em 30 segundos - Onde acontece: na escolha de um prestador de auditoria, de deteção, de resposta a incidentes ou de alojamento em nuvem, sobretudo para as administrações públicas, os OIV e os OSE [1]. - O que garante: um prestador avaliado segundo um referencial da ANSSI. A qualificação tem o alcance de uma recomendação [2]. - O reflexo: antes de confiar dados sensíveis a um serviço de nuvem, perguntar ao departamento de informática se está qualificado SecNumCloud e consultar o catálogo publicado pela ANSSI [1]. - Se já o fez: avisar o departamento de informática ou as compras de que uma ferramenta não validada é usada para dados sensíveis, sem a mudar por sua conta. ## Perguntas diretas ### O que significam SecNumCloud, PASSI, PRIS e PDIS? São qualificações de prestadores. PASSI designa os prestadores de auditoria da segurança dos sistemas de informação, PRIS os de resposta a incidentes de segurança e PDIS os de deteção de incidentes de segurança. SecNumCloud diz respeito aos prestadores de computação em nuvem [1]. ### Quem atribui estas qualificações? A ANSSI, após um processo de avaliação. Um documento da ENISA de 2015 descreve organismos de avaliação acreditados pelo COFRAC e aprovados pela ANSSI [3]. ### Uma qualificação é o mesmo que um selo ExpertCyber? Não. O selo ExpertCyber foi desenvolvido pela Cybermalveillance.gouv.fr com sindicatos profissionais, a France Assureurs e o apoio da AFNOR. Destina-se a qualquer entidade profissional, exceto OIV e OSE, abrangidos por outros dispositivos do Estado [1]. As qualificações da ANSSI visam os OIV, os OSE, as empresas abrangidas pelo regulamento eIDAS e as administrações públicas [1]. ### O que muda o SecNumCloud para os meus dados? O referencial visa garantir a segurança dos dados mais sensíveis alojados na nuvem face às ameaças informáticas e às leis extraterritoriais [4]. Para o Estado, o recurso a uma oferta qualificada SecNumCloud é apresentado como forma de assegurar a confidencialidade, a integridade e a disponibilidade dos dados [5]. ### Todas as ferramentas de nuvem da empresa têm de ser qualificadas? As fontes aqui citadas não o dizem para as empresas em geral. A doutrina «cloud au centre» visa o alojamento, pelo Estado, de dados de sensibilidade particular [4]. ## O que muda para os colaboradores O colaborador não escolhe os prestadores, mas vê os efeitos nas ferramentas que lhe pedem para utilizar. A Cybermalveillance.gouv.fr recorda que certos públicos devem respeitar obrigações na escolha dos seus prestadores, serviços e soluções de cibersegurança, nomeadamente quando tratam informações sensíveis [1]. No dia a dia, isto resume-se a três gestos. Utilizar as ferramentas validadas pelo departamento de informática. Perguntar antes de transferir dados sensíveis para um serviço em linha não validado. Avisar sem demora o departamento de informática se ocorrer um incidente. ## O que muda para a direção A direção escolhe os prestadores, e a qualificação dá-lhe um ponto de referência. A Cybermalveillance.gouv.fr indica que, para obter um serviço qualificado ou certificado, se pode contactar diretamente o prestador da sua escolha nas listas publicadas pela ANSSI [1]. O catálogo dos produtos e serviços qualificados está publicado em linha [1]. A escolha tem um preço e um calendário. Segundo um relatório do Senado, as ofertas qualificadas SecNumCloud custariam entre 15 % e 25 % mais do que as restantes, de acordo com um responsável ouvido pela comissão [4]. Quanto aos próprios prestadores, a ANSSI estima os custos mínimos das auditorias externas obrigatórias e da avaliação em cerca de 200 000 euros para os três anos da qualificação [4]. O mesmo relatório indica um prazo de instrução de 18 a 24 meses em média e uma taxa de sucesso de 65 % [4]. O mesmo relatório observa que a oferta qualificada continua limitada. Um jurista ouvido refere um «panel d'offres très limité d'hébergements SecNumCloud» [4]. ## O que diz o texto As qualificações assentam em referenciais da ANSSI. O decreto n.º 2015-350 especifica as condições de atribuição da qualificação dos produtos de segurança e dos prestadores de serviços de confiança para as necessidades da segurança nacional [2]. O referencial SecNumCloud dirige-se aos operadores de nuvem que fornecem serviços PaaS, IaaS ou SaaS. Inclui regras técnicas, operacionais e jurídicas [4]. A avaliação verifica a resiliência técnica (compartimentação dos sistemas de informação), organizacional (o prestador qualificado deve ser o único a poder intervir nos recursos que suportam o serviço) e jurídica (proteção face ao direito estrangeiro) [4]. A versão 3.2 inclui exigências de imunidade ao direito extraeuropeu [4]. Para os serviços de auditoria, o documento da ENISA de 2015 enumera os âmbitos da avaliação: auditoria de arquitetura, de configuração e de código-fonte, teste de intrusão, auditoria física e organizacional [3]. Para a deteção, refere a gestão de eventos, de incidentes e de alertas [3]. Para a resposta a incidentes, refere quatro perfis: responsável de resposta, analista de sistemas, analista de redes, analista de códigos maliciosos [3]. ## Em que ponto está a aplicação As datas de entrada em vigor diferem consoante os serviços. Um parecer do Senado datado de novembro de 2018 indica que a qualificação existe para os prestadores de auditoria (PASSI) desde 2013, para a nuvem (SecNumCloud) desde 2016, e para a resposta a incidentes (PRIS) e a deteção (PDIS) desde 2017 [2]. Ao longo de 2017, a ANSSI atribuiu 25 qualificações de produtos e 78 qualificações de prestadores de serviços [2]. Em 2015, os referenciais PDIS, PRIS e de nuvem eram ainda apenas versões publicadas para comentários [3]. Quanto à nuvem, a circular interministerial de 5 de julho de 2021 prevê o recurso a ofertas SecNumCloud, retomado na lei SREN de 21 de maio de 2024, segundo a resposta ministerial publicada em 30 de dezembro de 2025 [5]. A mesma resposta afirma que é essencial que as administrações e os operadores do Estado recorram a estas ofertas para os seus dados particularmente sensíveis alojados numa nuvem comercial [5]. O relatório do Senado indica, por seu lado, que cerca de quinze ofertas estão qualificadas e uma dúzia em curso de qualificação, apresentadas por 19 empresas [4]. Observa também que ofertas híbridas como Bleu e S3NS entraram no processo de qualificação sem estarem qualificadas à data da resposta da ANSSI [4]. A nível europeu, a mesma resposta ministerial indica que vários projetos de regulamento, entre os quais a revisão do Cybersecurity Act e o Cloud and AI Act, «devraient permettre d'avancer sur la mise en place d'un schéma européen harmonisé» face às leis extraterritoriais não europeias [5]. Estes textos são descritos como estando em elaboração: segundo esta fonte, ainda não se aplicam. ## Fontes 1. Cybermalveillance.gouv.fr, «Cybersécurité : comment trouver un professionnel qualifié ?», 14 de dezembro de 2021. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/cybersecurite-comment-trouver-un-professionnel-qualifie (consultado em 3 de novembro de 2026) 2. Sénat, «Avis n° 149 (2018-2019), tome IX : Direction de l'action du gouvernement, coordination du travail gouvernemental», 22 de novembro de 2018. https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf (consultado em 3 de novembro de 2026) 3. ENISA, «Trust service providers in France», 31 de março de 2015. https://www.enisa.europa.eu/sites/default/files/all_files/Cyberdefence%20trusted%20service%20providers%20in%20France.pdf (consultado em 3 de novembro de 2026) 4. Sénat, «L'urgence d'agir pour éviter la sortie de route : Piloter la commande publique au service de la souveraineté économique - Rapport - Sénat». https://www.senat.fr/rap/r24-830-1/r24-830-115.html (consultado em 3 de novembro de 2026) 5. Assemblée nationale, «Question écrite n° 10401», 30 de dezembro de 2025. https://www.assemblee-nationale.fr/dyn/17/questions/QANR5L17QE10401 (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/qualificacoes-anssi-secnumcloud-passi-pris-pdis/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.