Les qualifications délivrées par l’ANSSI reviennent régulièrement dans les cahiers des charges, souvent sans que l’acheteur sache exactement ce qu’elles garantissent — ni si elles sont réellement nécessaires à son besoin.
Voici ce que recouvrent les principales, et comment décider.
Le principe d’une qualification
Une qualification n’est pas une certification comme ISO 27001. La différence est structurante.
Une certification ISO atteste qu’une organisation dispose d’un système de management conforme à une norme. Elle est délivrée par un organisme accrédité, et le référentiel est international.
Une qualification ANSSI atteste qu’un produit ou un service satisfait un référentiel d’exigences défini par l’autorité nationale, vérifié par un centre d’évaluation agréé. Elle porte sur des exigences précises, y compris de nature non technique.
Conséquence pratique : une organisation peut être certifiée ISO 27001 sans être qualifiée, et réciproquement. Les deux ne se substituent pas.
SecNumCloud
C’est le référentiel de qualification des prestataires de services d’informatique en nuage. Il couvre deux dimensions que la plupart des référentiels internationaux ne traitent pas ensemble.
La sécurité technique et organisationnelle : gouvernance, gestion des risques, exploitation, cloisonnement, journalisation, gestion des incidents, réversibilité.
La protection contre les législations extraterritoriales : exigences portant sur la localisation des données et des traitements, sur l’immunité du prestataire vis-à-vis de droits étrangers, et sur la structure capitalistique.
C’est ce second volet qui distingue SecNumCloud. Il répond à une préoccupation que le RGPD n’adresse que partiellement : un service peut être parfaitement conforme au RGPD et rester soumis à des injonctions d’autorités d’un pays tiers — voir les transferts hors Union européenne.
Quand SecNumCloud est une obligation
Pour certains périmètres publics et pour des données sensibles, la doctrine française impose ou recommande fortement le recours à des offres qualifiées.
Pour le secteur privé, ce n’est en principe pas une obligation directe — sauf lorsqu’elle est répercutée contractuellement par un client qui y est soumis. C’est d’ailleurs la voie par laquelle beaucoup d’entreprises découvrent le sujet, exactement comme pour les exigences de chaîne d’approvisionnement.
Le cadre applicable évoluant, vérifiez l’état en vigueur avant d’engager une démarche : la doctrine et le périmètre des obligations font l’objet d’ajustements réguliers.
Quand c’est un critère de choix pertinent
Au-delà de toute obligation, la qualification devient un critère utile lorsque :
- Vous traitez des données dont la divulgation à un État tiers poserait un problème stratégique — recherche, industrie de défense, santé, données de production sensibles.
- Vos clients vous imposent des garanties de souveraineté qu’il vous faut répercuter.
- Vous relevez d’un secteur de l’annexe I de NIS 2 et souhaitez réduire vos dépendances critiques.
À l’inverse, exiger SecNumCloud pour héberger un site vitrine ou un outil de gestion interne sans donnée sensible est un sur-dimensionnement coûteux, qui réduit inutilement le champ des fournisseurs.
Les autres qualifications utiles à connaître
PASSI — prestataires d’audit de la sécurité des systèmes d’information. Elle couvre plusieurs portées : audit d’architecture, de configuration, de code, tests d’intrusion, audit organisationnel et physique.
C’est la qualification à regarder quand vous achetez un audit ou un test d’intrusion, en particulier si le résultat doit être opposable dans un cadre réglementaire. Attention à la portée : un prestataire qualifié pour l’audit d’architecture ne l’est pas nécessairement pour les tests d’intrusion.
PDIS — prestataires de détection d’incidents de sécurité. Pertinente pour une externalisation de la détection sur un périmètre sensible.
PRIS — prestataires de réponse aux incidents de sécurité. À identifier avant l’incident : chercher un prestataire de réponse pendant une crise est la pire des situations.
Ce que la qualification ne garantit pas
Trois précisions qui évitent des malentendus coûteux.
Elle ne garantit pas votre propre sécurité. Utiliser un hébergeur qualifié ne dit rien de vos configurations, de vos habilitations ou de vos sauvegardes. La responsabilité partagée s’applique pleinement.
Elle porte sur un périmètre défini. Un prestataire peut être qualifié pour une offre et pas pour une autre. La mention « qualifié ANSSI » sans précision de l’offre et de la portée doit être vérifiée.
Elle a une durée de validité. Une qualification expirée ou en cours de renouvellement n’a pas la même valeur. C’est un point à contrôler à chaque renouvellement de contrat.
Comment l’exprimer dans un cahier des charges
Trois formulations, par ordre de contrainte :
- Exigence stricte : « le service doit être qualifié SecNumCloud pour l’offre proposée, la qualification étant en cours de validité à la date de signature ». À réserver aux cas où c’est réellement nécessaire.
- Critère de notation : la qualification apporte des points sans être éliminatoire. C’est souvent le bon équilibre.
- Exigence de niveau équivalent : le prestataire démontre qu’il satisfait des exigences comparables. Plus ouvert, mais suppose que vous soyez capable d’évaluer la démonstration — ce qui n’est pas toujours le cas.
La troisième formulation est fréquemment utilisée par confort et rarement exploitée sérieusement. Si vous n’avez pas les moyens d’instruire l’équivalence, ne l’écrivez pas.
Sources
- ANSSI — référentiel SecNumCloud
- ANSSI — produits et services qualifiés
- ISO/IEC 27002:2022, mesures 5.19 à 5.23
- Directive (UE) 2022/2555 (NIS 2), article 21
Aller plus loin
Le choix et l’encadrement contractuel des prestataires relèvent de nos missions de gouvernance, risques et conformité. Voir aussi les clauses de sécurité à prévoir.