Agrément et Qualification ANSSI Prestataires

Qualifications ANSSI : PASSI, PRIS, PDIS, PAMS

Les 4 qualifications de prestataires ANSSI : PASSI (Audit de Sécurité) — audits de sécurité (pentest réseau, applicatif, code, architecture, organisationnel, physique) ; obligatoire pour les audits réglementaires OIV (LPM) et recommandé pour NIS2. PRIS (Réponse aux Incidents) — DFIR (forensique, analyse de compromission, réponse aux incidents majeurs, ransomware recovery) ; recommandé pour les incidents sur OIV et entités NIS2 essentielles. PDIS (Détection d'Incidents) — SOC externalisé 24/7, SIEM managé, surveillance continue, détection et qualification des incidents ; recommandé pour les entités NIS2 essentielles sans SOC interne. PAMS (Accompagnement Management Sécurité) — RSSI externalisé (vCISO), conseil stratégique, accompagnement ISO 27001, SMSI, NIS2 ; adapté aux PME/ETI sans RSSI interne.

Chaque qualification est délivrée après une instruction par l'ANSSI comprenant : revue de la documentation du prestataire (organisation, méthodes, curricula vitae des auditeurs), audits de qualification du prestataire (vérification de la mise en œuvre réelle des engagements), et contrôles périodiques. La liste des prestataires qualifiés est publiée sur le site de l'ANSSI (anssi.gouv.fr/qualification) et mise à jour régulièrement.

Obligations OIV et recommandations NIS2

Pour les OIV (Opérateurs d'Importance Vitale), la LPM (Loi de Programmation Militaire) et les arrêtés sectoriels imposent des obligations de sécurité précises, incluant l'obligation d'audits de sécurité réalisés par des prestataires PASSI qualifiés. Les OIV doivent notifier les incidents de sécurité significatifs à l'ANSSI et peuvent être contrôlés directement par l'ANSSI ou par des prestataires mandatés (contrôles LPM).

Pour les entités NIS2 essentielles (directive NIS2, transposée en France), le recours à des prestataires qualifiés ANSSI (PASSI pour les audits, PRIS pour les incidents, PDIS pour la surveillance) est une bonne pratique recommandée par l'ANSSI. La transposition française de NIS2 (décret attendu fin 2024 — début 2025) devrait préciser les exigences sur l'utilisation des prestataires qualifiés ANSSI pour les entités essentielles.

Comment choisir un prestataire qualifié ANSSI

Pour sélectionner un prestataire qualifié ANSSI adapté, vérifier : la liste des prestataires qualifiés sur anssi.gouv.fr (s'assurer que la qualification est valide et couvre bien le type de prestation souhaité), les portées de qualification précises (certains PASSI sont qualifiés uniquement pour les audits réseau, d'autres incluent le code ou l'architecture), les références sectorielles (un PASSI ayant déjà audité des environnements similaires au vôtre — industrie, santé, banque), et les disponibilités (les meilleurs prestataires PASSI ont souvent des délais d'attente de plusieurs mois).

En cas d'incident cyber majeur, le recours à un prestataire PRIS qualifié ANSSI présente plusieurs avantages : qualité et indépendance garanties par l'ANSSI, rapport d'investigation reconnu par les autorités et les assureurs, et accès potentiel à des informations sur les modes opératoires des attaquants partagées par l'ANSSI avec les PRIS qualifiés via les canaux confidentiels ANSSI. En cas de contentieux post-incident, le rapport d'un PRIS qualifié ANSSI a plus de valeur probante qu'un rapport d'un prestataire non qualifié.