Référentiels ANSSIRGS, SecNumCloud, PASSI, PDIS, PAMS, le socle de la cybersécurité française

Le Référentiel Général de Sécurité (RGS) est le cadre réglementaire qui fixe les règles de sécurité applicables aux systèmes d’information des autorités administratives françaises. Il est issu de l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives.

Le RGS s’applique à un périmètre large d’entités publiques :

• Les administrations de l’État
• Les collectivités territoriales et leurs groupements
• Les établissements publics à caractère administratif
• Les organismes gérant des régimes de protection sociale
• Toute personne de droit public ou privé chargée d’une mission de service public

L’ANSSI est responsable de la mise à jour des exigences du RGS et accompagne les autorités administratives dans son application. Elle estime que plusieurs milliers de systèmes d’information publics sont concernés par l’obligation d’homologation.

L’homologation de sécurité, qui est l’exigence centrale du référentiel. L’homologation est une décision prise par une autorité pour autoriser la mise en service ou le maintien en ligne d’un système d’information, après avoir vérifié que les mesures de sécurité mises en œuvre sont suffisantes pour faire face aux risques identifiés. Elle est obligatoire pour toutes les entités publiques, conformément au décret n°2022-513 du 8 avril 2022 qui étend cette obligation à l’ensemble des systèmes d’information de l’État et des établissements publics.

En 2025, l’ANSSI a publié un nouveau guide d’homologation co-écrit avec la DINUM, remplaçant l’ancien guide en neuf étapes par une approche simplifiée en quatre étapes, avec trois niveaux d’homologation adaptés à la criticité du périmètre : simplifié, intermédiaire et renforcé. L’homologation est valable pour une durée maximale de cinq ans.

Les fonctions de sécurité, qui couvrent quatre domaines : l’identification électronique, la signature électronique, la confidentialité et l’horodatage électronique. Le RGS définit trois niveaux de certification pour les produits et services de confiance : RGS 1 étoile (*), RGS 2 étoiles (**) et RGS 3 étoiles (***), correspondant à des degrés de sécurité croissants.

SecNumCloud est le référentiel de qualification de l’ANSSI pour les prestataires de services d’informatique en nuage (cloud). Il définit les règles de sécurité et les bonnes pratiques garantissant un haut niveau d’exigence technique, opérationnelle et juridique pour l’hébergement de données sensibles.

SecNumCloud vise à protéger contre trois types de risques identifiés par l’ANSSI :

• Les risques techniques : cyberattaques ciblant les infrastructures cloud
• Les risques juridiques : application de lois extraterritoriales (Cloud Act américain, PIPL chinois…) permettant à des gouvernements étrangers d’accéder aux données hébergées
• Les risques organisationnels : accès illégitimes aux données par des tiers non autorisés

La qualification SecNumCloud garantit que seul un prestataire européen contrôle les données, sans lien capitalistique ou opérationnel avec des entités soumises à un droit extraterritorial. Elle exige l’hébergement des données en France métropolitaine et l’autonomie du prestataire dans l’exploitation de la technologie utilisée.

La version 3.2 du référentiel SecNumCloud, publiée en 2021, couvre 241 exigences réparties sur 18 domaines, dont la gouvernance, la gestion des risques, la sécurité physique, la cryptographie, la gestion des incidents, la continuité d’activité, et la conformité réglementaire. Elle s’applique aux services cloud de type SaaS, PaaS et IaaS.

La qualification repose sur plus de 1 200 points de contrôle vérifiés par un évaluateur indépendant accrédité par l’ANSSI. Fin décembre 2025, S3NS, consortium porté par Thales et Google Cloud, a obtenu la première qualification SecNumCloud v3.2 pour un service cloud grand public. Bleu, consortium porté par Orange et Capgemini avec Microsoft, est en phase finale d’évaluation.

La qualification SecNumCloud a franchi un cap décisif en 2026. Un arrêté du Premier ministre, publié au Journal officiel le 14 août 2026 et en vigueur depuis le 22 août, rend SecNumCloud 3.2 obligatoire pour tout prestataire privé hébergeant les données les plus sensibles de l’État, de ses opérateurs et des groupements d’intérêt public. Ce texte s’appuie sur la loi SREN de 2024 et sur un décret du 14 avril 2026 qui en a précisé les modalités. Ce qui n’était jusqu’alors qu’une recommandation devient une obligation légale pleinement opposable : les données dont la compromission menacerait l’ordre public, la sécurité publique, la santé ou la vie des personnes doivent désormais obligatoirement être hébergées chez un prestataire qualifié SecNumCloud, ou disposant d’une certification européenne équivalente.

Ce basculement va accélérer la course à la qualification, jusqu’ici obtenue par une grosse dizaine d’acteurs seulement (S3NS, OVHcloud, Orange Business, Wimi, Cloud Temple, Oodrive, Outscale…). L’ANSSI accompagne les prestataires vers la qualification et soutient des dispositifs de financement dans le cadre de la stratégie cloud France 2030.

Une version 4 de SecNumCloud est attendue pour prendre en compte les évolutions réglementaires récentes, notamment NIS 2, le CRA et l’AI Act, ainsi que les nouvelles architectures cloud et les enjeux liés à l’intelligence artificielle. L’ANSSI mène une concertation avec les acteurs du marché pour définir les nouvelles exigences.

La qualification PASSI atteste de la compétence d’un prestataire à réaliser des audits de sécurité des systèmes d’information. Elle couvre cinq domaines d’audit :

• L’audit d’architecture
• L’audit de configuration
• L’audit de code source
• Les tests d’intrusion
• L’audit organisationnel et physique

La version 2.2 du référentiel PASSI, en vigueur depuis le 1er août 2024, introduit deux niveaux d’assurance : Substantiel et Élevé. Le niveau Élevé est requis pour les audits des SIIV des OIV dans le cadre de la LPM. La qualification est délivrée pour trois ans par l’ANSSI et la liste des prestataires qualifiés PASSI est publiée sur cyber.gouv.fr.

La qualification PDIS atteste de la compétence d’un prestataire à assurer la surveillance et la détection des incidents de sécurité sur les systèmes d’information de ses clients. Un PDIS qualifié assure une surveillance continue 24h/24, 7j/7, 365 jours par an, avec des données hébergées en France ou en Europe. Neuf prestataires sont actuellement qualifiés PDIS par l’ANSSI.

Le recours à un PDIS qualifié est obligatoire pour les OIV souhaitant externaliser leur capacité de détection sur leurs SIIV dans le cadre de la LPM.

La qualification PAMS atteste de la compétence d’un prestataire à assurer l’administration et la maintenance de systèmes d’information de façon sécurisée. Elle couvre les activités d’administration des systèmes, des réseaux et des équipements de sécurité, avec des exigences strictes sur la traçabilité des opérations et la protection des accès.

La qualification PACS atteste de la compétence d’un prestataire à accompagner les organisations dans leurs démarches de sécurité des systèmes d’information. Elle couvre quatre activités : le conseil en sécurité des architectures, la gestion des risques, l’homologation de sécurité, et la préparation à la gestion de crise d’origine cyber.

L’ANSSI a publié le 21 mai 2026 la version 2.0 du référentiel PACS, qui introduit deux niveaux de qualification distincts. Le niveau substantiel est adapté aux situations où les risques sont modérés et ne mettent pas en jeu des menaces stratégiques intentionnelles. Il supprime les examens individuels des consultants au profit d’une évaluation organisationnelle du prestataire, ce qui permet d’élargir le panel de consultants qualifiés et de réduire les délais d’accès aux prestations. Le niveau élevé est recommandé lorsque les risques sont élevés ou que des menaces stratégiques sont en jeu : les examens écrits et oraux des consultants restent obligatoires, et leur réussite conditionne l’émission d’une attestation individuelle de compétences. Sauf obligation légale, réglementaire ou contractuelle, le choix du niveau revient au bénéficiaire. La version 1.1 du référentiel est désormais considérée comme obsolète. La liste des prestataires qualifiés PACS est publiée sur cyber.gouv.fr.