PASSI ANSSI : 74 prestataires qualifiés, et l'audit de code reste la portée la
plus rare

PASSI, ce sont cinq lettres qui, dans un cahier des charges public, éliminent d'un trait la moitié des cabinets d'audit. Le sigle PASSI ANSSI désigne un prestataire d'audit qualifié par l'État, et sa présence dans un appel d'offres n'est jamais anodine : elle fait passer la qualification du rang d'argument commercial à celui de critère éliminatoire. D'où la question que se posent beaucoup de RSSI en tombant dessus : est-ce obligatoire dans mon cas, ou un test d'intrusion sérieux aurait-il suffi ?

La confusion est compréhensible. On mélange volontiers "prestataire qualifié", "certifié", "labellisé" et "compétent", alors que ces mots ne recouvrent pas la même chose. Voici donc ce qu'est un audit PASSI, ce que couvre la qualification, qui doit l'exiger par la loi, et quand un pentest privé rigoureux fait le même travail sans le tampon officiel.

Et combien ils sont, parce que c'est la question que personne ne chiffre. J'ai compté les prestataires du catalogue officiel de l'ANSSI et de toutes les listes archivées depuis 2015 : 74 PASSI au catalogue du 15 septembre 2026, contre 6 à la mi-2015. Et sur ces 74, seuls 50 sont qualifiés en audit de code source, la portée la plus rare depuis des années.

PASSI, ça veut dire quoi au juste ?

PASSI est l'acronyme de Prestataire d'Audit de la Sécurité des Systèmes d'Information. C'est un label de qualification délivré par l'ANSSI (l'Agence nationale de la sécurité des systèmes d'information) à des sociétés d'audit qui démontrent, dossier à l'appui, qu'elles savent conduire un audit de sécurité selon des règles précises. Le mot important est qualification : on ne parle pas d'un diplôme individuel, mais d'un agrément donné à une entreprise, avec des auditeurs nommés et évalués.

Concrètement, la qualification ANSSI repose sur un référentiel public d'exigences. Le prestataire candidat est audité par un organisme évaluateur, doit prouver l'indépendance et l'éthique de ses auditeurs, la traçabilité de ses missions, la protection des données collectées, et la compétence technique de son équipe sur chacune des portées qu'il vise. La qualification n'est pas éternelle : elle est accordée pour une durée limitée, portée par portée, puis renouvelée sur réévaluation.

Les 5 portées d'un audit PASSI

Un prestataire n'est jamais "PASSI" dans l'absolu. Il est qualifié sur une ou plusieurs portées, c'est-à-dire des familles d'audit de sécurité informatique bien délimitées. Le référentiel en définit cinq, et un cabinet peut n'en détenir qu'une seule. Vérifiez toujours laquelle figure sur son attestation, parce qu'un prestataire qualifié en audit de configuration ne l'est pas forcément en tests d'intrusion.

Ces portées se combinent souvent au sein d'une même mission. Un audit complet d'une application sensible peut mêler une revue d'architecture, une lecture de code source et une phase de tests d'intrusion. Un pentest privé se concentre généralement sur l'intrusion ; l'audit PASSI, lui, a vocation à couvrir plusieurs angles selon ce que la réglementation impose au commanditaire.

Audit de code source : 50 PASSI sur 74, la portée la plus rare

Le catalogue de l'ANSSI coche, pour chaque prestataire, les portées sur lesquelles il est qualifié. En les comptant, la répartition est nette : les quatre premières portées sont tenues par 63 à 66 prestataires sur 74, l'audit de code source par 50. Autrement dit, 24 PASSI, près d'un sur trois, ne peuvent pas livrer un audit de code qualifié, alors que 66 peuvent livrer un test d'intrusion qualifié.

Ce n'est pas un accident de calendrier. Dans chaque liste archivée depuis 2016, l'audit de code source est la portée qui compte le moins de qualifiés : 16 sur 18 en 2016, 31 sur 43 en 2019, 46 sur 67 en 2023. L'explication la plus probable tient au métier. Lire du code pour y trouver une injection ou un contrôle d'accès manquant, sur des langages et des frameworks qui changent d'une mission à l'autre, demande des profils de développeur offensif, plus rares que ceux qui conduisent un test d'intrusion réseau. Pour un acheteur, la conséquence est pratique : un marché qui exige un audit de code qualifié PASSI ne s'adresse pas à 74 prestataires mais à 50.

Les 28 prestataires habilités pour la sécurité nationale (l'ancienne mention "PASSI LPM") sont ceux qu'un opérateur d'importance vitale peut mandater sur ses systèmes d'importance vitale. Ils étaient 10 en 2017. Entre les prestataires à une seule portée et ceux qui les ont toutes, la répartition est la suivante : 2 avec une portée, 10 avec deux, 8 avec trois, 8 avec quatre et 46 avec les cinq.

De 6 à 74 prestataires PASSI en onze ans, et un plateau depuis 2022

La qualification PASSI a démarré lentement. La page de l'ANSSI archivée en mai 2015 listait 6 prestataires qualifiés et 11 candidats en cours d'évaluation. Le vivier a ensuite grossi d'environ dix prestataires par an jusqu'en 2020, puis la courbe s'aplatit : entre 65 et 74 d'une année à l'autre depuis 2022.

Le petit recul entre 2025 et mai 2026 (de 70 à 68), puis le rebond à 74 en septembre, rappellent qu'une qualification a une date de fin et qu'elle se renouvelle sur réévaluation : le nombre bouge à chaque mise à jour du catalogue. Entre la mise à jour du 15 septembre et ma collecte du 7 octobre, quatre lignes avaient d'ailleurs atteint leur date de fin de qualification sans que leur renouvellement soit visible. Ce n'est pas la preuve d'un retrait, seulement la raison pour laquelle j'écris "74 au catalogue du 15 septembre", jamais "74 aujourd'hui", et pour laquelle la date de fin est la première colonne à lire avant de signer.

La mesure

Le catalogue courant est le PDF des produits et services qualifiés publié par l'ANSSI, mis à jour le 15 septembre 2026 et téléchargé le 7 octobre. L'historique vient de la Wayback Machine : pour chaque année, la capture la plus proche du 1er juillet, règle fixée avant tout dépouillement. Un prestataire compte une fois, quel que soit son nombre de lignes, et une portée ne lui est créditée que si la source l'affiche comme acquise à la date de la liste. Les candidats "en cours" ne comptent jamais. Le total de 74 a été recompté par une lecture indépendante du PDF, puis par une contre-expertise qui a re-téléchargé le catalogue et relu les portées sans reprendre mon code.

Qui doit vraiment exiger un prestataire PASSI

La qualification PASSI devient obligatoire quand un texte réglementaire l'impose. En dehors de ces cas, elle reste un plus, pas une exigence légale, et la frontière se lit texte par texte : pour l'homologation RGS d'un téléservice public, c'est l'autorité d'homologation qui tranche, et le diagnostic imposé par la loi cyberscore passe lui aussi par un prestataire qualifié.

• Les OIV (Opérateurs d'Importance Vitale) : énergie, transport, santé, télécoms, finance… Encadrés par la Loi de Programmation Militaire, ils doivent faire auditer leurs systèmes d'information d'importance vitale par un prestataire qualifié.
• Les OSE (Opérateurs de Services Essentiels), issus de la directive NIS de 2016 : l'ANSSI pouvait leur imposer un contrôle mené par ses agents ou par un prestataire qualifié. La directive NIS2 élargit fortement le périmètre des entités régulées, mais n'impose pas PASSI par elle-même : les modalités d'audit relèvent de la transposition et de l'autorité de contrôle.
• Le secteur public et certaines administrations : de nombreux marchés publics d'audit de sécurité conditionnent la candidature à la qualification PASSI, parce que le donneur d'ordre s'aligne sur le référentiel de l'État.
• Les contextes réglementés spécifiques : opérateurs soumis à des exigences sectorielles, projets traitant des informations classifiées. Le texte applicable dicte alors le recours à un prestataire qualifié. Une certification comme HDS, elle, est délivrée par un organisme de certification accrédité et n'exige pas de qualification PASSI.

Si vous n'êtes dans aucune de ces cases, et c'est le cas de l'immense majorité des PME, éditeurs SaaS et sites e-commerce, la qualification PASSI n'est pas une obligation. Elle peut rassurer un client grand compte, mais elle ne vous est pas imposée par la loi. Ce qui compte alors, c'est la qualité réelle du test.

Quand un pentest privé rigoureux suffit

Un test d'intrusion mené par un prestataire non qualifié PASSI n'est pas un test au rabais. La qualification atteste d'un cadre ; elle ne garantit pas, à elle seule, qu'on trouvera plus de failles. Ce qui fait la profondeur d'un pentest, c'est la compétence de l'auditeur, le temps passé, et la volonté d'exploiter vraiment plutôt que de scanner. Sur ce terrain, une certification technique comme l'OSWE (Offensive Security Web Expert) dit quelque chose de très concret : la capacité à écrire des exploits sur du code applicatif réel.

Dans les faits, un pentest privé sérieux est le bon choix quand vous voulez savoir si votre application tient, sans contrainte réglementaire qui impose le label. Le vrai risque, ce n'est pas l'absence de qualification PASSI : c'est le "pentest" qui n'en est pas un, un scan automatisé revendu comme un test manuel. On a détaillé ce que coûte, et ce que vaut, un vrai test dans notre article de référence sur le prix d'un test d'intrusion web, avec les critères pour ne pas se faire vendre du vent. Et pour décider en amont si votre contexte impose vraiment un prestataire qualifié ou s'il relève d'un pentest en entreprise classique, on a posé les critères de décision côté commanditaire.

Le bon réflexe : cartographier avant d'auditer

PASSI ou non, un audit ne vaut que par la justesse de son périmètre. Auditer trois applications et oublier le sous-domaine de préproduction laissé ouvert, c'est manquer la porte d'entrée. C'est là qu'une démarche d'External Attack Surface Management (EASM) est utile : connaître l'intégralité de sa surface exposée avant de décider quoi tester, PASSI ou pas.

Les autres qualifications ANSSI : PRIS, PDIS, PVID

PASSI n'est qu'une brique d'une famille plus large de qualifications délivrées par l'ANSSI, chacune pour un métier différent de la cybersécurité. On les confond souvent, alors voici les trois autres sigles que vous croiserez, et ce qu'ils recouvrent.

PASSI audite et prévient, PDIS détecte en continu, PRIS intervient quand l'incident a eu lieu, et PVID sécurise la vérification d'identité à distance. Un même groupe peut cumuler plusieurs qualifications, mais chacune s'obtient séparément, sur son propre référentiel : SecNumCloud qualifie une offre de cloud et pas un prestataire d'audit. Quand un fournisseur se présente comme "qualifié ANSSI", demandez toujours laquelle : la réponse vous dit ce qu'il sait faire.

Les autres familles sont beaucoup plus étroites que PASSI. Au même catalogue du 15 septembre 2026, on compte 8 prestataires PRIS, 7 PDIS, 9 PACS (conseil en sécurité, dont 7 qualifiés pour l'accompagnement à l'homologation) et un seul PAMS (administration et maintenance sécurisées). Rapprochés par nom, ces catalogues réunissent 79 prestataires distincts pour PASSI, PRIS, PDIS et PACS. Quatre seulement y figurent dans au moins trois de ces familles avec des qualifications toutes en cours au 7 octobre 2026 : Orange Cyberdefense, qualifié dans les quatre, puis Airbus Protect, Sopra Steria Infrastructures and Security Services et Thales Cyber Solutions.

Comment choisir un prestataire d'audit

Que la qualification PASSI soit imposée ou non, les questions à poser se ressemblent. Le label filtre une liste ; il ne dispense pas de regarder ce qu'il y a derrière.

• La bonne portée. Si vous avez besoin de tests d'intrusion, vérifiez que l'attestation couvre bien cette portée précise, et pas seulement l'audit de configuration. Le sigle PASSI seul ne dit rien du périmètre.
• Qui réalise la mission. Un auditeur nommé, avec un parcours et des certifications techniques vérifiables (OSWE, OSCP, CRTO…), vaut mieux qu'un logo d'entreprise.
• Des livrables vérifiables. Exigez des livrables clairs : rapport exécutif et technique, preuves d'exploitation, priorisation par criticité, et surtout un retest après correction. Un audit sans revérification laisse la question ouverte.
• L'adéquation au besoin réel. Un prestataire honnête vous dira si la qualification PASSI est nécessaire dans votre cas, ou si un test d'intrusion standard répond à votre besoin pour moins cher. Se faire sur-vendre un cadre inutile est un mauvais signe.

La qualification ANSSI est un excellent filtre pour les contextes réglementés, et elle rend mal service dès qu'on lui demande de remplacer le discernement. Elle dit si un prestataire est reconnu par l'État pour ce type d'audit ; elle ne dit pas s'il trouvera vos failles.

À retenir

• PASSI (Prestataire d'Audit de la Sécurité des Systèmes d'Information) est une qualification d'entreprise délivrée par l'ANSSI, pas un diplôme individuel ni une certification au sens courant.
• La qualification se décline en 5 portées : architecture, configuration, code source, tests d'intrusion, organisationnel et physique. Un prestataire est qualifié portée par portée.
• 74 prestataires PASSI au catalogue ANSSI du 15 septembre 2026, contre 6 en 2015, avec un plateau entre 65 et 74 depuis 2022. Seuls 50 sont qualifiés en audit de code source, la portée la plus rare dans chaque liste depuis 2016, et 28 sont habilités pour la sécurité nationale.
• Elle est obligatoire pour les OIV sur leurs systèmes d'importance vitale, dans une grande partie des marchés publics d'audit et dans les contextes dont le texte la cite. NIS2 ne l'impose pas par elle-même. Ailleurs, elle reste un plus, pas une exigence légale.
• Hors obligation, un pentest privé rigoureux (auditeur compétent, exploitation réelle, retest) couvre le même besoin technique. Le vrai risque, c'est le scan déguisé en test, pas l'absence de label.
• PASSI vit dans une famille de qualifications ANSSI : PRIS (réponse à incident), PDIS (détection), PVID (vérification d'identité). Toujours demander laquelle.

Pour être clair une dernière fois : own2pwn n'est pas qualifié PASSI, et on ne s'en réclame pas. Ce qu'on met sur la table, c'est un test d'intrusion web mené avec méthode et une certification OSWE, cadré et documenté, PASSI ou non. Si vous hésitez entre l'exigence réglementaire et le besoin réel, parlons-en directement : on vous dira honnêtement si votre contexte impose un prestataire qualifié, ou si un bon pentest suffit.

Questions fréquentes sur la qualification PASSI