PDIS ANSSI : qualification du SOC, exigences et choix en 2026

Le sigle PDIS désigne le prestataire de détection des incidents de sécurité et, par extension, la qualification délivrée par l'ANSSI (Agence nationale de la sécurité des systèmes d'information) aux centres opérationnels de sécurité, ou SOC, qui supervisent un système d'information pour le compte d'un commanditaire. Concrètement, un SOC PDIS a été évalué sur pièces et sur place par un centre agréé, au regard d'un référentiel d'exigences public qui couvre l'organisation du prestataire, la compétence de son personnel, la sécurité de sa propre infrastructure et le déroulement de la prestation. En 2026, la version applicable reste le référentiel v2.0 du 21 décembre 2017, amendé de façon transitoire par un addendum publié en janvier 2025. Cette qualification est attendue pour les systèmes d'importance vitale des opérateurs régulés par la loi de programmation militaire, et sert ailleurs de grille d'achat exigeante. Elle appartient à la même famille que la qualification PASSI des prestataires d'audit de sécurité, avec laquelle elle partage le cadre du décret n° 2015-350. Ce guide détaille le cadre juridique, les exigences techniques, le processus d'évaluation et les critères de choix d'un prestataire.

Qu'est-ce que la qualification PDIS de l'ANSSI ?

La qualification PDIS est un « visa de sécurité » délivré par l'ANSSI à une entité qui exploite un service de détection d'incidents. Elle repose sur le décret n° 2015-350 du 27 mars 2015, qui institue une procédure commune de qualification pour les produits de sécurité et les prestataires de service de confiance. Le prestataire ne s'auto-déclare pas conforme : un centre d'évaluation agréé vérifie le respect des exigences, puis l'agence prend la décision.

Ce que couvre réellement la qualification

Selon l'ANSSI, le référentiel porte sur trois volets : le prestataire lui-même, son personnel et le déroulement des prestations de détection. La qualification vise l'ensemble de l'activité de détection et non une brique logicielle isolée. Un SIEM (Security Information and Event Management, outil de collecte et de corrélation de journaux) ne peut donc pas être « qualifié PDIS » : seul le service qui l'exploite peut l'être. Cette nuance évite une confusion fréquente dans les appels d'offres.

Service de détection interne ou externe

Le référentiel distingue deux typologies. Un service est dit interne lorsqu'il est offert exclusivement à des commanditaires liés à une même personne morale, au sens des articles L. 233-1 et suivants du Code de commerce, et opéré par un prestataire lié à cette même entité, ou lorsqu'il reste au sein d'une même autorité administrative. Dans tous les autres cas, il est externe. Cette distinction détermine le bénéficiaire de la qualification : le prestataire, la personne morale du groupe, ou le commanditaire lorsqu'il fournit lui-même une partie des moyens exigés.

Cadre juridique : Code de la défense, OIV et décret 2015-350

Le socle législatif figure à l'article L1332-6-1 du Code de la défense. Il autorise le Premier ministre à fixer des règles de sécurité pour les systèmes d'information des opérateurs d'importance vitale (OIV) et précise que ces règles peuvent imposer des systèmes qualifiés de détection. Ces systèmes doivent être exploités sur le territoire national par des prestataires qualifiés, par l'ANSSI ou par d'autres services de l'État désignés par le Premier ministre.

Les règles prises pour les systèmes d'information d'importance vitale (SIIV) déclinent cette exigence secteur par secteur. Pour un OIV, un SOC qualifié n'est donc pas un argument commercial mais l'une des voies prévues par les textes pour superviser ses SIIV. Le référentiel rappelle d'ailleurs qu'il vise d'abord les prestataires appelés à intervenir au profit des secteurs d'importance vitale, tout en pouvant servir de recueil de bonnes pratiques hors de tout contexte réglementaire.

Le rôle du décret n° 2015-350

Le décret n° 2015-350 du 27 mars 2015 organise la procédure. Son article 10 prévoit que les services sont évalués, sur pièces et sur place, par un centre d'évaluation agréé, au regard de référentiels élaborés par l'ANSSI et approuvés par le Premier ministre. L'article 14 confie la décision au directeur général de l'agence, qui peut l'assortir de conditions et de réserves. L'article 15 permet de suspendre ou d'abroger la qualification en cas de manquement.

Le référentiel ajoute une nuance importante. Une prestation conforme à toutes ses exigences est « qualifiée au sens du référentiel ». La qualification au titre du décret suppose en plus de respecter des exigences complémentaires propres au contexte de la loi de programmation militaire, regroupées dans un document dédié. En pratique, demandez toujours au prestataire de préciser dans quel cadre sa qualification a été délivrée et pour quels services exactement.

Qualification PDIS ou « PDIS certification » ?

Beaucoup de recherches portent sur une « PDIS certification ». Le terme exact est qualification : l'État, par l'intermédiaire de l'ANSSI, atteste qu'un prestataire est apte à respecter un référentiel, après l'évaluation d'un centre lui-même accrédité puis agréé. Une certification ISO/IEC 27001 atteste, elle, d'un système de management de la sécurité de l'information. Les deux démarches sont complémentaires, mais elles ne mesurent pas la même chose et aucune ne remplace l'autre dans un cahier des charges d'OIV.

Le référentiel PDIS v2.0 et l'addendum de janvier 2025

Le texte de référence s'intitule « Prestataires de détection des incidents de sécurité – Référentiel d'exigences ». Il s'agit de la version 2.0 du 21 décembre 2017, toujours applicable en 2026, qui a succédé à une version 1.0 d'octobre 2015 et compte 59 pages. L'ANSSI publie sur sa page des référentiels de qualification la version française, une version anglaise, la trame d'évaluation v1.1 et un addendum.

Cet addendum prend la forme d'une note de l'ANSSI datée du 27 janvier 2025. Elle indique que les travaux de mise à jour du référentiel, lancés en 2022, sont toujours en cours, et amende certaines exigences dans l'attente de la nouvelle version. Pour chaque amendement, le prestataire choisit, après une appréciation des risques, entre l'exigence d'origine (option A) et l'exigence amendée (option B). Ces mesures deviendront caduques dès la publication du nouveau référentiel.

Cinq points du référentiel PDIS sont concernés par cette note :

• Notifications (exigence IV.2.3.g) : la notification peut contenir le numéro de ticket et le niveau de criticité, puis, avec l'accord du commanditaire, la date, le périmètre et le type d'incident, sans jamais détailler les événements collectés ni les règles de détection.
• Audit annuel PASSI (exigence IV.3.4.f) : l'audit qualifié annuel reste obligatoire, mais l'option B supprime la condition d'indépendance juridique du prestataire d'audit mandaté.
• Service de détection du service (chapitre IV.3.7) : le SOC doit se superviser lui-même, avec ses propres stratégies de collecte, d'analyse et de notification, et un processus de gestion de ses incidents.
• Enclave de consultation (chapitre IV.3.14) : homologation au minimum au niveau standard du guide d'hygiène de l'ANSSI et flux unidirectionnels, initiés depuis l'enclave vers le système interne du commanditaire.
• Qualité du service (chapitre IV.5.1) : refonte des indicateurs opérationnels et stratégiques, avec un processus de mesure documenté.

Les trois activités d'un SOC PDIS

Le référentiel découpe le service de détection en trois activités distinctes. La gestion des incidents regroupe les moyens qui identifient et qualifient un incident à partir des événements collectés, ainsi que leur capitalisation. La gestion des événements assure le recueil et le stockage des événements de sécurité. La gestion des notifications informe le commanditaire et conserve la trace de ces échanges. La réaction et la remédiation restent hors périmètre : elles relèvent d'un prestataire de réponse aux incidents de sécurité (PRIS).

Gestion des incidents : partir des incidents redoutés

Tout commence par une liste d'incidents redoutés, établie avec le commanditaire à partir de sa propre appréciation des risques. Le prestataire doit recommander de mettre cette appréciation à jour à chaque évolution de l'infrastructure. Le SOC doit au minimum savoir traiter les catégories suivantes :

1. exploitation d'une vulnérabilité ;
2. élévation de privilèges ;
3. exfiltration de données ;
4. propagation virale ;
5. utilisation d'un mécanisme de persistance ;
6. déni de service ;
7. accès non autorisé à une ressource ;
8. usurpation d'identité ;
9. actions non conformes à la politique de sécurité du commanditaire.

Une stratégie d'analyse décrit ensuite les règles qui couvrent chaque incident redouté ; elle est revue avec le commanditaire en comité opérationnel. Les cas d'usage modernes s'y rattachent naturellement : la détection du mouvement latéral, l'abus d'identités traité par l'ITDR, la détection des menaces identitaires, ou encore l'usage détourné des binaires système présenté dans notre guide sur les LOLBins et techniques Living Off the Land.

Gestion des événements : la stratégie de collecte

La gestion des événements s'appuie sur des sources de collecte, comme les journaux système, les équipements réseau ou les sondes, et sur des collecteurs locaux placés dans l'enclave de collecte du commanditaire. Ces collecteurs centralisent les événements avant leur transfert vers les collecteurs centraux du prestataire. La stratégie de collecte doit découler des incidents redoutés : tout collecter sans finalité sature le stockage et ralentit la qualification. Les flux DNS illustrent bien cet arbitrage, comme le montre notre guide de détection du DNS tunneling.

Gestion des notifications : le ticket comme pivot

Dans la version de 2017, une notification ne contient que le numéro du ticket d'incident ; le détail se consulte sur le portail de la zone d'échange commanditaire, depuis l'enclave de consultation. L'objectif est d'éviter qu'un courriel intercepté révèle la compromission ou les capacités de détection du SOC. L'addendum de 2025 assouplit cette règle en autorisant le niveau de criticité et, sur accord, quelques métadonnées, si l'appréciation des risques du système supervisé le permet.

Architecture du système d'information de détection : zones et enclaves

Le référentiel n'impose aucune architecture précise, mais il exige que le système d'information du service de détection soit organisé en zones de confiance, cloisonnées par des mécanismes de filtrage, d'authentification et de contrôle d'accès. La justification est explicite : la concentration et la mutualisation des moyens de détection font d'un SOC une cible de choix pour des attaquants, et la compromission d'un prestataire mutualisé peut exposer l'ensemble de ses clients.

Les zones attendues dans le système d'information d'un SOC qualifié sont les suivantes :

• zones de collecte, avec les collecteurs centraux et le stockage des événements ;
• zones d'analyse, avec les outils techniques d'analyse des incidents ;
• zones de notification, avec la messagerie et les systèmes d'envoi ;
• zone d'échange commanditaire, avec le portail web de consultation des tickets ;
• zones d'administration et d'exploitation, qui séparent administrateurs et opérateurs ;
• zone de mise à jour et zones d'échange de fichiers distinctes selon le rôle.

À l'extérieur du système d'information du service, une zone internet donne aux analystes un accès au web pour la veille, sans pont direct vers l'analyse. Chez le commanditaire, deux enclaves sont obligatoires : l'enclave de collecte, qui héberge les collecteurs locaux, et l'enclave de consultation, qui héberge les postes accédant au portail. Le commanditaire conserve la responsabilité de l'administration du filtrage entre l'enclave de consultation et son système interne.

Règles de détection : marquage, historique et recherche a posteriori

Le référentiel encadre finement le cycle de vie des règles de détection, définies comme des éléments techniques permettant d'identifier un incident à partir d'un ou plusieurs événements : marqueurs, signatures ou règles comportementales. Le prestataire doit les bâtir à partir des incidents redoutés, de bases de connaissance d'éditeurs, de sa veille sur les vulnérabilités et les modes opératoires, du contexte du commanditaire et des incidents observés chez d'autres clients.

Chaque règle porte un marquage normalisé : identifiant unique, version, propriétaire, auteur, source, dates de création et de modification, niveau de sensibilité, modalités de diffusion, par exemple selon le TLP (Traffic Light Protocol), possibilité de recherche en sources ouvertes, menace visée, phases d'attaque couvertes et consignes de qualification pour l'opérateur. Une liste historisée par commanditaire indique quelles règles étaient actives à une date donnée.

regle:
  id: SOC-WIN-0042
  version: 3
  proprietaire: prestataire
  auteur: equipe-ingenierie-detection
  source: veille interne sur les modes opératoires
  creation: 2026-03-02
  derniere_modification: 2026-09-14
  sensibilite: diffusion restreinte
  diffusion: TLP:AMBER
  recherche_sources_ouvertes: non
  menace: installation de service sur un contrôleur de domaine
  phases: [persistance, mouvement latéral]
  mitre_attack: T1543.003
implementation:
  journal: Windows System
  evenement: 7045
  filtre: hôte membre du groupe Domain Controllers
  limites: services légitimes déployés par l'outil d'administration
consignes_operateur:
  - vérifier le compte à l'origine et la fenêtre de changement
  - corréler avec les ouvertures de session 4624 de type 3 sur l'hôte
  - ouvrir un ticket de criticité haute si l'installation n'est pas planifiée

Ce format n'est pas imposé tel quel ; il illustre la traçabilité attendue par l'ANSSI. Il facilite aussi l'analyse a posteriori : lorsqu'un nouvel indicateur de compromission est publié, le SOC rejoue la recherche sur l'historique stocké. Les approches fondées sur l'apprentissage automatique, présentées dans notre article sur l'IA appliquée au threat hunting en SOC, s'intègrent dans ce cadre à condition d'être documentées comme n'importe quelle règle.

Personnel, gouvernance et indicateurs de qualité

L'annexe 2 du référentiel décrit six profils : opérateur analyste, administrateur d'infrastructure, expert architecture, expert collecte et analyse de journaux, expert métier détection et responsable des droits d'accès. Le prestataire doit aussi disposer d'une charte d'éthique, d'un processus de recrutement maîtrisé, d'une gestion des compétences et de comités opérationnels et stratégiques associant le commanditaire. La séparation des rôles entre administrateurs et opérateurs constitue une exigence structurante, pas une simple recommandation.

Côté qualité, l'option B de l'addendum fixe un socle d'indicateurs pour le service de détection. Parmi les indicateurs d'activité figurent le nombre d'alertes par mois, le nombre d'incidents avérés, le nombre de règles implémentées et le classement des vingt règles les plus déclenchées. Les indicateurs d'efficacité incluent le délai moyen de mise à jour d'une règle demandée par le client et la durée moyenne de qualification. Le volet stratégique suit notamment l'évolution du taux de couverture de collecte.

Processus de qualification PDIS : étapes, centre d'évaluation et durée

Le parcours suit le décret n° 2015-350 et le processus de qualification des prestataires de service de confiance publié par l'ANSSI. Il se déroule en cinq grandes étapes, avant une phase de suivi de la qualification :

1. dépôt de la demande auprès de l'ANSSI, avec la description des services, l'organisation, le centre d'évaluation choisi et le programme de travail (article 8) ;
2. examen de recevabilité : pertinence du service, agrément du centre, cohérence du programme, accès aux locaux et au personnel (article 9) ;
3. évaluation sur pièces puis sur place par le centre agréé, de la politique de sécurité à l'architecture, avec entretiens et observation possible d'une prestation (articles 10 et 11) ;
4. remise d'un rapport d'évaluation confidentiel au prestataire et à l'agence (article 13) ;
5. décision du directeur général de l'ANSSI, le cas échéant après enquête administrative, précisant les services qualifiés et les réserves (article 14).

La qualification est valable trois ans au maximum et peut être renouvelée dans les mêmes conditions. Pendant cette période, l'ANSSI peut vérifier à tout moment le respect des règles et le prestataire doit signaler tout changement de circonstances. Certains centres d'évaluation, comme LSTI, annoncent un audit de surveillance intermédiaire à dix-huit mois. Enfin, le silence gardé pendant deux mois par l'agence sur une demande vaut décision de rejet.

La liste des centres d'évaluation agréés, celle des prestataires qualifiés et celle des projets en cours sont publiées sur la page PDIS de l'ANSSI. Lors de notre consultation, début novembre 2026, deux projets de qualification y étaient rendus publics. Seuls figurent les projets que les prestataires acceptent de publier, et un projet suspendu est retiré de la liste.

Retour terrain : Cas typique rencontré en mission — un projet de qualification PDIS se compte en mois, l'essentiel du délai tenant à la préparation documentaire plutôt qu'à l'évaluation. Sur place, les écarts récurrents portent sur le cloisonnement des enclaves de collecte et de consultation, des habilitations d'analystes jamais revues et des procédures de notification jamais exercées. Je recommande un audit à blanc avant de solliciter le centre d'évaluation.

PDIS, PRIS, PASSI, PACS : quelle qualification pour quel besoin ?

Les qualifications de prestataires de l'ANSSI couvrent des moments différents du cycle de sécurité. Les confondre conduit à acheter un SOC en espérant une capacité d'investigation, ou un audit en espérant une supervision continue. Le tableau suivant résume les différences utiles à un acheteur, avec les versions de référentiels affichées par l'agence en 2026.

Ces familles se combinent. Le référentiel PDIS impose lui-même un audit PASSI qualifié chaque année et recommande, dans son addendum, de confier l'étude de fichiers suspects à un PRIS dont la portée couvre l'analyse de codes malveillants. Pour une organisation qui envisage d'externaliser sa supervision, notre dossier sur le SOC as a Service et l'externalisation de la détection détaille les modèles contractuels possibles.

PDIS et NIS2 : obligation légale ou bonne pratique ?

La directive (UE) 2022/2555, dite NIS2, impose aux entités essentielles et importantes des mesures de gestion des risques, dont la gestion des incidents (article 21), et un schéma de déclaration en trois temps : alerte précoce sous 24 heures, notification sous 72 heures et rapport final sous un mois (article 23). NIS2 ne mentionne pas la qualification PDIS ; son article 24 vise des schémas de certification européens, distincts des qualifications nationales.

En France, la transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat le 12 mars 2025 puis par la commission spéciale de l'Assemblée nationale en septembre 2025. Début novembre 2026, le texte n'était toujours pas définitivement adopté : son examen en séance, prévu le 7 octobre 2026, avait été retiré de l'ordre du jour. Vérifiez l'état du dossier législatif avant toute décision.

Pour une entité NIS2 qui n'est pas OIV, recourir à un SOC qualifié reste un choix, sauf si un marché public ou un contrat l'exige. Ce choix se défend : un prestataire qualifié produit des preuves auditables de détection et de notification, utiles pour tenir les délais de 24 et 72 heures. Un SOC non qualifié peut aussi convenir, à condition d'exiger la liste des exigences du référentiel qu'il ne couvre pas, comme le recommande l'ANSSI.

Ces chiffres ne reflètent que les signalements reçus par l'agence. Toutefois, la stabilité du nombre d'incidents confirmés à un niveau élevé, combinée à la hausse des exfiltrations de données relevée dans le même panorama, rappelle que la détection précoce reste le maillon qui sépare une intrusion contenue d'une crise majeure.

Choisir un prestataire PDIS : la grille du commanditaire

L'annexe 3 du référentiel formule des recommandations aux commanditaires, avant et pendant la prestation. En les croisant avec les exigences du chapitre IV, on obtient une grille de vérification directement exploitable lors d'une consultation :

• Décision de qualification : services qualifiés, réserves éventuelles, date de fin de validité et cadre de délivrance.
• Sous-traitance : liste des sous-traitants qui mettent en œuvre des moyens exigés, eux aussi évalués.
• Territorialité : localisation des données collectées, des équipes d'analyse et de l'administration.
• Convention de service : approuvée par écrit avant le démarrage, avec partage des responsabilités, assurance et réversibilité.
• Stratégies : incidents redoutés, collecte, analyse et notification formalisées puis revues en comité.
• Enclaves : responsabilités d'administration, d'homologation et de filtrage clairement attribuées.
• Options de l'addendum : choix A ou B pour chacun des cinq amendements, justifié par l'appréciation des risques.

Pour un prestataire non qualifié, l'ANSSI recommande d'exiger un document listant les exigences du référentiel non couvertes. Ce document transforme une promesse commerciale en écart mesurable. Le référentiel cite lui-même les risques d'une prestation non qualifiée : fuite d'informations confidentielles, compromission depuis un autre client du prestataire, perte ou indisponibilité du service.

Valider sa chaîne de détection en laboratoire

Qu'il s'agisse de préparer un SOC interne à la qualification ou de tester un prestataire, un environnement de validation reproductible permet de vérifier que chaque incident redouté produit bien un événement collecté, une alerte et un ticket. L'objectif n'est pas de « réussir » l'évaluation, mais de démontrer que la chaîne collecte, analyse et notification fonctionne de bout en bout, avec des preuves conservées.

Pour chaque incident redouté, consignez l'événement source attendu, la règle censée le détecter, le délai entre la génération de l'événement et sa disponibilité dans l'outil d'analyse, puis le contenu de la notification produite. Ce cahier de tests alimente directement les indicateurs du référentiel, comme le taux d'événements non reconnus par les outils d'analyse ou la durée moyenne de qualification d'un incident.

Retour terrain : Cas typique rencontré en mission — en revue de stratégie de collecte, une règle fondée sur les lignes de commande ne s'est jamais déclenchée : l'audit de création de processus était actif, mais sans inclusion de la ligne de commande, laissant vide le champ analysé. Le tableau de bord la disait pourtant opérationnelle. Correctif : paramètre de stratégie de groupe, scénario d'émulation documenté et contrôle automatique des champs exploités par les règles.

À lire aussi : la certification de premier niveau CSPN.

Questions fréquentes

Conclusion

La qualification PDIS demeure en 2026 la référence française pour juger un service de détection : elle couvre l'organisation, les compétences, l'architecture cloisonnée du SOC et la qualité des notifications. Le référentiel v2.0, complété par l'addendum de janvier 2025, attend sa refonte, mais ses exigences sur les incidents redoutés, les enclaves, le marquage des règles et les indicateurs restent des repères solides. Exigée pour les SIIV des OIV, elle sert ailleurs de grille d'achat. Pour situer PDIS parmi les autres qualifications de l'agence, consultez notre guide de la qualification PASSI et des prestataires d'audit ANSSI.