'/%3E%3C/svg%3E){kind=small}
Processus aménagé de qualification ANSSI : ce qui change pour les prestataires
Depuis la publication de la note du 3 juin 2026, l’ANSSI peut instruire une demande de qualification selon un processus « aménagé » : l’organisme d’évaluation de la conformité (OEC) définit la stratégie d’évaluation, décide de la certification et assure le suivi (évaluations complémentaires, extensions), tandis que l’ANSSI garde l’entrée du processus et la décision finale de qualification.
Pourquoi l’ANSSI aménage son processus
L’ANSSI présente cette évolution comme une réponse à la hausse des sollicitations adressées à son bureau qualification, et comme un volet d’une stratégie plus large visant à s’appuyer davantage sur des prestataires spécialisés et des organismes d’évaluation de confiance.
Trois facteurs alimentent cette hausse :
- Les évolutions du cadre réglementaire (eIDAS) ;
- Les évolutions des référentiels d’exigences de l’ANSSI (PASSI, PRIS, PACS) ;
- Le financement par des aides d’État de projets de qualification, et la loi SREN pour SecNumCloud.
Le processus aménagé prépare aussi l’arrivée des schémas européens de certification des services cyber (EUMSS). Il reprend une approche déjà éprouvée pour les qualifications PASSI et eIDAS, en place depuis 2017 : au 24 septembre 2026, 71 PASSI et 36 prestataires eIDAS (195 services) sont qualifiés.
Les 10 étapes, une par une
Le processus aménagé garde les 10 étapes du processus de qualification et en modifie 6. L’ANSSI conserve l’entrée (dépôt, choix du processus) et la sortie (jalons J2 et J3). L’organisme d’évaluation de la conformité (OEC) prend en charge le milieu.
| Étape | Statut | Ce que prévoit le processus |
| 1. Dépôt de la demande | Inchangée | Même dossier : formulaire de demande signé par le commanditaire et le fournisseur, avec les pièces justificatives, envoyé à l’ANSSI. |
| 2. Choix du processus | Aménagée | L’ANSSI analyse le dossier et décide du processus (aménagé ou non). Elle notifie sa décision par courrier postal. |
| 3. Contractualisation avec l’OEC | Aménagée | Le commanditaire choisit un OEC compétent et validé par l’ANSSI pour réaliser le processus dans le catalogue de l’ANSSI et contractualise l’évaluation, la certification. L’OEC (BYCYB) revoit la demande de certification et en informe le commanditaire et l’ANSSI. |
| 4. Liste des services en cours de qualification | Aménagée | Inscription après la décision favorable de revue de l’OEC (BYCYB), et non plus après le jalon J0. |
| 5. Stratégie d’évaluation | Aménagée | Élaborée par l’OEC (BYCYB) selon une stratégie type de l’ANSSI. L’ANSSI ne valide ni le plan, ni les charges, ni le calendrier, mais peut observer tout ou partie de l’évaluation. |
| 6. Évaluation | Inchangée | L’OEC (BYCYB) évalue le service selon la stratégie établie. |
| 7. Certification | Aménagée | L’OEC (BYCYB) décide de la certification, hors ou sous accréditation selon la famille de services. Hors accréditation, un comité de certification, où l’ANSSI siège de plein droit, est mis en place ; son avis est facultatif et consultatif. |
| 8. Jalon J2 | Inchangée | Sur le fondement des livrables de l’évaluation envoyé à l’ANSSI à la suite de la décision de certification prise par BYCYB, Le chargé de qualification vérifie le respect de la stratégie type et peut demander des travaux complémentaires. |
| 9. Jalon J3 | Inchangée | Le chargé de qualification propose une décision (octroi, refus, etc.) au directeur général de l’ANSSI. |
| 10. Suivi | Aménagée | L’OEC (BYCYB) assure le suivi du service certifié (évaluations complémentaires, extensions). Le commanditaire l’informe sans délai de tout évènement ou changement ; l’OEC (BYCYB) en informe sans délai l’ANSSI. |
Avant et après : ce qui bouge
| Sujet | Processus non aménagé | Processus aménagé |
| Choix de l’OEC | Après le jalon J1, sur la base de la stratégie d’évaluation définie par l’ANSSI | Dès réception du courrier de l’ANSSI |
| Inscription sur la liste des services en cours de qualification | Après franchissement sans réserve du jalon J0 | Après décision favorable de revue de l’OEC |
| Stratégie d’évaluation | Définie par l’ANSSI (jalon J1) | Élaborée par l’OEC, conforme à une stratégie type de l’ANSSI |
| Plan d’évaluation | Validé par l’ANSSI, qui peut observer l’évaluation | Non validé par l’ANSSI, qui peut toujours observer |
| Décision de certification | Pas d’étape dédiée | Prise par l’OEC, hors ou sous accréditation selon les familles de services |
| Suivi du service qualifié | Assuré par l’ANSSI | Assuré par l’OEC, qui informe l’ANSSI sans délai |
| Jalons J2 et J3, décision de qualification | ANSSI | Inchangés : ANSSI |
Qui fait quoi
| Acteur | Rôle dans le processus aménagé |
| Prestataire (commanditaire et fournisseur du service) | Dépose le dossier de demande. Choisit l’OEC et contractualise. Transmet le même dossier à l’OEC. Élabore le plan de correction des non-conformités. Déclare sans délai les évènements et changements. |
| ANSSI | Choisit le processus pour chaque demande. Inscrit le service sur la liste en cours de qualification. Fournit un modèle de stratégie d’évaluation type. Peut observer l’évaluation et siège au comité de certification (avis consultatif). Vérifie les livrables au jalon J2. Prononce la qualification au jalon J3. |
| OEC | Revoit la demande de certification. Élabore la stratégie d’évaluation. Évalue le service. Décide de la certification et transmet les livrables à l’ANSSI. Assure le suivi du service certifié. |
Une question ? Nos équipes sont à votre disposition pour vous renseigner.
Quels services et quelles demandes sont éligibles
Trois critères déterminent l’éligibilité : la famille de service et ses activités, le type de demande, et la complexité du système d’information et de l’organisation du fournisseur.
| Famille de service | Types de demande éligibles |
| PACS (accompagnement et conseil en sécurité) | Initiale, renouvellement, extension, réduction |
| PRIS (réponse aux incidents de sécurité) | Initiale, renouvellement, extension, réduction |
| PDIS (détection des incidents de sécurité) | Initiale, renouvellement, extension, réduction |
| PAMS (administration et maintenance sécurisées) | Initiale, renouvellement, extension, réduction |
| SecNumCloud : SaaS reposant sur des services IaaS, PaaS ou CaaS qualifiés | Initiale, renouvellement, extension, réduction |
| SecNumCloud : autres services | Renouvellement, extension, réduction (pas de demande initiale) |
- Demandes complexes : non éligibles pour les demandes initiales et les extensions.
- Toujours hors processus aménagé : PASSI, PVID, services de confiance du règlement européen eIDAS, moyens d’identification électronique (MIE).
- Demande non éligible : elle est instruite selon le processus non aménagé.
Et si ma demande est déjà déposée ?
- Pas encore déposée : la note relative au processus aménagé de qualification d’un service s’applique.
- Déposée, jalon J0 non franchi : la note s’applique. L’ANSSI contacte par voie électronique le responsable du projet pour l’informer de sa décision.
- Jalon J0 franchi, jalon J1 non franchi : la note s’applique. Le chargé de qualification prend contact pour l’informer de la décision.
- Jalon J1 franchi : la note ne s’applique pas.
Calendrier de déploiement
Selon le calendrier présenté par l’ANSSI, les premières évaluations en processus aménagé démarrent en octobre 2026.
| Date | Jalon |
| 3 juin 2026 | Publication du processus aménagé de qualification d’un service |
| Juin 2026 | Démarrage des travaux d’adaptation des OEC |
| Juin 2026 | Formalisation de la stratégie d’évaluation type |
| Juillet 2026 | Premières demandes redirigées en processus aménagé |
| Octobre 2026 | Démarrage des premières évaluations en processus aménagé |
Ce que cela change pour un prestataire
Le changement le plus concret se joue à l’étape 3 : le choix de l’OEC intervient dès le courrier de l’ANSSI.
- Choisir son OEC plus tôt : dès réception du courrier, avant même l’inscription sur la liste des services en cours de qualification.
- Un seul contrat couvre l’évaluation, la certification.
- Un dossier inchangé : le même dossier de demande est transmis à l’ANSSI puis à l’OEC.
- Un cadre commun : l’ANSSI fixe dans la stratégie type un modèle de J1, que chaque OEC doit respecter.
- Une obligation de déclaration : informer sans délai l’OEC de tout incident ou changement susceptible d’affecter la certification.
- Une décision finale inchangée : la qualification reste prononcée par l’ANSSI.
Parcours type en 6 actions
Ce parcours reprend les étapes de la note. Ce n’est pas un guide officiel de l’ANSSI.
- Vérifier l’éligibilité : famille de service, type de demande, complexité.
- Constituer le dossier : formulaire de demande de qualification signé par le commanditaire et le fournisseur, avec les pièces justificatives.
- Déposer la demande à l’ANSSI et attendre le courrier postal qui indique le processus retenu.
- Choisir un OEC dans le catalogue de l’ANSSI, compétent et validé par l’ANSSI pour le processus aménagé. Lui transmettre le dossier et le courrier, puis contractualiser l’évaluation, la certification.
- Réalisation de l’évaluation selon la stratégie de l’OEC et répondre le cas échéant au plan des non-conformités
- Après la certification, l’ANSSI statue. Informer ensuite l’OEC sans délai de tout évènement ou changement susceptible d’affecter la certification.
Faire évaluer son service avec BYCYB
L’ANSSI a autorisé BYCYB à intervenir en tant qu’organisme d’évaluation de la conformité (OEC) dans le cadre du processus aménagé de qualification, sur les périmètres PDIS, PAMS et SecNumCloud.
Vous préparez une demande de qualification sur l’un de ces périmètres ?
Une question ? Nos équipes sont à votre disposition pour vous renseigner.
FAQ : Questions fréquentes
Glossaire
OEC : organisme d’évaluation de la conformité des services, choisi par le prestataire dans le catalogue de l’ANSSI.
Commanditaire et fournisseur du service : la note 2905/ANSSI/SDE/PSS/BQA du processus aménagé distingue celui qui demande la qualification de celui qui fournit le service.
Portée de qualification : périmètre du service pour lequel la qualification est demandée.
Jalon J0 : acceptation du dossier par l’ANSSI.
Jalon J1 : définition de la stratégie d’évaluation par l’ANSSI.
Jalon J2 : acceptation des résultats des travaux d’évaluation.
Jalon J3 : décision de qualification.
Stratégie d’évaluation type : cadre élaboré par l’ANSSI, qui fixe notamment les exigences sur les livrables de l’évaluation.
Comité de certification : instance mise en place par l’OEC lorsque le processus aménagé est décidé par l’ANSSI. L’ANSSI en est membre de plein droit.
Chargé de qualification : interlocuteur de l’ANSSI qui vérifie les livrables et propose la décision de qualification.
Une question ? Nos équipes sont à votre disposition pour vous renseigner.
