As qualificações da ANSSI: SecNumCloud, PASSI, PRIS e PDIS
Para que servem as qualificações da ANSSI (SecNumCloud, PASSI, PRIS, PDIS) e o que mudam para um colaborador e para a direção.
Em 30 segundos
- Onde acontece
- Na escolha de um prestador de auditoria, de deteção, de resposta a incidentes ou de alojamento em nuvem, sobretudo para as administrações públicas, os OIV e os OSE1.
- O que garante
- Um prestador avaliado segundo um referencial da ANSSI. A qualificação tem o alcance de uma recomendação2.
- O reflexo
- Antes de confiar dados sensíveis a um serviço de nuvem, perguntar ao departamento de informática se está qualificado SecNumCloud e consultar o catálogo publicado pela ANSSI1.
- Se já o fez
- Avisar o departamento de informática ou as compras de que uma ferramenta não validada é usada para dados sensíveis, sem a mudar por sua conta.
Do que se trata
Quando uma empresa confia a um prestador de serviços a auditoria de segurança, a vigilância da rede ou o alojamento dos seus dados, pode fiar-se na palavra do vendedor ou num selo oficial. A ANSSI, a autoridade nacional em matéria de segurança dos sistemas de informação, atribui para isso qualificações que identificam os serviços considerados fiáveis após um processo de avaliação1.
Para um colaborador, estas siglas surgem sobretudo nas escolhas feitas pela direção, pelas compras ou pelo departamento de informática. Saber o que designam ajuda a perceber por que razão certos dados só vão para determinados fornecedores de alojamento.
Perguntas diretas
O que significam SecNumCloud, PASSI, PRIS e PDIS?
São qualificações de prestadores. PASSI designa os prestadores de auditoria da segurança dos sistemas de informação, PRIS os de resposta a incidentes de segurança e PDIS os de deteção de incidentes de segurança. SecNumCloud diz respeito aos prestadores de computação em nuvem1.
Quem atribui estas qualificações?
A ANSSI, após um processo de avaliação. Um documento da ENISA de 2015 descreve organismos de avaliação acreditados pelo COFRAC e aprovados pela ANSSI3.
Uma qualificação é o mesmo que um selo ExpertCyber?
Não. O selo ExpertCyber foi desenvolvido pela Cybermalveillance.gouv.fr com sindicatos profissionais, a France Assureurs e o apoio da AFNOR. Destina-se a qualquer entidade profissional, exceto OIV e OSE, abrangidos por outros dispositivos do Estado1. As qualificações da ANSSI visam os OIV, os OSE, as empresas abrangidas pelo regulamento eIDAS e as administrações públicas1.
O que muda o SecNumCloud para os meus dados?
O referencial visa garantir a segurança dos dados mais sensíveis alojados na nuvem face às ameaças informáticas e às leis extraterritoriais4. Para o Estado, o recurso a uma oferta qualificada SecNumCloud é apresentado como forma de assegurar a confidencialidade, a integridade e a disponibilidade dos dados5.
Todas as ferramentas de nuvem da empresa têm de ser qualificadas?
As fontes aqui citadas não o dizem para as empresas em geral. A doutrina «cloud au centre» visa o alojamento, pelo Estado, de dados de sensibilidade particular4.
1O que muda para os colaboradores1 min
O colaborador não escolhe os prestadores, mas vê os efeitos nas ferramentas que lhe pedem para utilizar. A Cybermalveillance.gouv.fr recorda que certos públicos devem respeitar obrigações na escolha dos seus prestadores, serviços e soluções de cibersegurança, nomeadamente quando tratam informações sensíveis1.
No dia a dia, isto resume-se a três gestos. Utilizar as ferramentas validadas pelo departamento de informática. Perguntar antes de transferir dados sensíveis para um serviço em linha não validado. Avisar sem demora o departamento de informática se ocorrer um incidente.
2O que muda para a direçãoDireção1 min
A direção escolhe os prestadores, e a qualificação dá-lhe um ponto de referência. A Cybermalveillance.gouv.fr indica que, para obter um serviço qualificado ou certificado, se pode contactar diretamente o prestador da sua escolha nas listas publicadas pela ANSSI1. O catálogo dos produtos e serviços qualificados está publicado em linha1.
A escolha tem um preço e um calendário. Segundo um relatório do Senado, as ofertas qualificadas SecNumCloud custariam entre 15 % e 25 % mais do que as restantes, de acordo com um responsável ouvido pela comissão4. Quanto aos próprios prestadores, a ANSSI estima os custos mínimos das auditorias externas obrigatórias e da avaliação em cerca de 200 000 euros para os três anos da qualificação4. O mesmo relatório indica um prazo de instrução de 18 a 24 meses em média e uma taxa de sucesso de 65 %4.
O mesmo relatório observa que a oferta qualificada continua limitada. Um jurista ouvido refere um «panel d'offres très limité d'hébergements SecNumCloud»4.
3O que diz o textoTexto oficial1 min
As qualificações assentam em referenciais da ANSSI. O decreto n.º 2015-350 especifica as condições de atribuição da qualificação dos produtos de segurança e dos prestadores de serviços de confiança para as necessidades da segurança nacional2.
O referencial SecNumCloud dirige-se aos operadores de nuvem que fornecem serviços PaaS, IaaS ou SaaS. Inclui regras técnicas, operacionais e jurídicas4. A avaliação verifica a resiliência técnica (compartimentação dos sistemas de informação), organizacional (o prestador qualificado deve ser o único a poder intervir nos recursos que suportam o serviço) e jurídica (proteção face ao direito estrangeiro)4. A versão 3.2 inclui exigências de imunidade ao direito extraeuropeu4.
Para os serviços de auditoria, o documento da ENISA de 2015 enumera os âmbitos da avaliação: auditoria de arquitetura, de configuração e de código-fonte, teste de intrusão, auditoria física e organizacional3. Para a deteção, refere a gestão de eventos, de incidentes e de alertas3. Para a resposta a incidentes, refere quatro perfis: responsável de resposta, analista de sistemas, analista de redes, analista de códigos maliciosos3.
4Em que ponto está a aplicação2 min
As datas de entrada em vigor diferem consoante os serviços. Um parecer do Senado datado de novembro de 2018 indica que a qualificação existe para os prestadores de auditoria (PASSI) desde 2013, para a nuvem (SecNumCloud) desde 2016, e para a resposta a incidentes (PRIS) e a deteção (PDIS) desde 20172. Ao longo de 2017, a ANSSI atribuiu 25 qualificações de produtos e 78 qualificações de prestadores de serviços2. Em 2015, os referenciais PDIS, PRIS e de nuvem eram ainda apenas versões publicadas para comentários3.
Quanto à nuvem, a circular interministerial de 5 de julho de 2021 prevê o recurso a ofertas SecNumCloud, retomado na lei SREN de 21 de maio de 2024, segundo a resposta ministerial publicada em 30 de dezembro de 20255. A mesma resposta afirma que é essencial que as administrações e os operadores do Estado recorram a estas ofertas para os seus dados particularmente sensíveis alojados numa nuvem comercial5. O relatório do Senado indica, por seu lado, que cerca de quinze ofertas estão qualificadas e uma dúzia em curso de qualificação, apresentadas por 19 empresas4. Observa também que ofertas híbridas como Bleu e S3NS entraram no processo de qualificação sem estarem qualificadas à data da resposta da ANSSI4.
A nível europeu, a mesma resposta ministerial indica que vários projetos de regulamento, entre os quais a revisão do Cybersecurity Act e o Cloud and AI Act, «devraient permettre d'avancer sur la mise en place d'un schéma européen harmonisé» face às leis extraterritoriais não europeias5. Estes textos são descritos como estando em elaboração: segundo esta fonte, ainda não se aplicam.
Ficha
- Identificador
- CP-383
- Ala
- 6. Governação e GRC
- Competência Brain
- Proteger os dados (safeguard_data)
- Reflexo Brain
- cr-038
- Esquema
- G3 · Corte anatómico
- Idiomas
- de, en, es, fr, it, nl, pt
- Fontes
- 5 fontes verificadas em 3 de novembro de 2026
Fontes5 fontes
- Cybermalveillance.gouv.fr, «Cybersécurité : comment trouver un professionnel qualifié ?», 14 de dezembro de 2021. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/cybersecurite-comment-trouver-un-professionnel-qualifie (consultado em 3 de novembro de 2026)
- Sénat, «Avis n° 149 (2018-2019), tome IX : Direction de l'action du gouvernement, coordination du travail gouvernemental», 22 de novembro de 2018. https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf (consultado em 3 de novembro de 2026)
- ENISA, «Trust service providers in France», 31 de março de 2015. https://www.enisa.europa.eu/sites/default/files/all_files/Cyberdefence%20trusted%20service%20providers%20in%20France.pdf (consultado em 3 de novembro de 2026)
- Sénat, «L'urgence d'agir pour éviter la sortie de route : Piloter la commande publique au service de la souveraineté économique - Rapport - Sénat». https://www.senat.fr/rap/r24-830-1/r24-830-115.html (consultado em 3 de novembro de 2026)
- Assemblée nationale, «Question écrite n° 10401», 30 de dezembro de 2025. https://www.assemblee-nationale.fr/dyn/17/questions/QANR5L17QE10401 (consultado em 3 de novembro de 2026)
Citar este artigo
Brain, «As qualificações da ANSSI: SecNumCloud, PASSI, PRIS e PDIS», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp383_pt_2026,
author = {Brain},
title = {As qualificações da ANSSI: SecNumCloud, PASSI, PRIS e PDIS},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/pt/articles/qualificacoes-anssi-secnumcloud-passi-pris-pdis/},
note = {CC BY 4.0}
}