PASSI ANSSI : la qualification des prestataires
d'audit, expliquée

PASSI, ce sont cinq lettres qui, dans un cahier des charges public, éliminent d'un trait la moitié des cabinets d'audit. Le sigle PASSI ANSSI désigne un prestataire d'audit qualifié par l'État, et sa présence dans un appel d'offres n'est jamais anodine : elle fait passer la qualification du rang d'argument commercial à celui de critère éliminatoire. D'où la question que se posent beaucoup de RSSI en tombant dessus : est-ce obligatoire dans mon cas, ou un test d'intrusion sérieux aurait-il suffi ?

La confusion est compréhensible. On mélange volontiers « prestataire qualifié », « certifié », « labellisé » et « compétent », alors que ces mots ne recouvrent pas la même chose. Voici donc ce qu'est un audit PASSI, ce que couvre la qualification, qui doit l'exiger par la loi, et quand un pentest privé rigoureux fait le même travail sans le tampon officiel.

PASSI, ça veut dire quoi au juste ?

PASSI est l'acronyme de Prestataire d'Audit de la Sécurité des Systèmes d'Information. C'est un label de qualification délivré par l'ANSSI (l'Agence nationale de la sécurité des systèmes d'information, le bras armé cyber de l'État français) à des sociétés d'audit qui démontrent, dossier à l'appui, qu'elles savent conduire un audit de sécurité selon des règles précises. Le mot important est qualification : on ne parle pas d'un diplôme individuel, mais d'un agrément donné à une entreprise, avec des auditeurs nommés et évalués.

Concrètement, la qualification ANSSI repose sur un référentiel public d'exigences. Le prestataire candidat est audité par un organisme évaluateur, doit prouver l'indépendance et l'éthique de ses auditeurs, la traçabilité de ses missions, la protection des données collectées, et la compétence technique de son équipe sur chacune des portées qu'il vise. La qualification n'est pas éternelle : elle est accordée pour une durée limitée, portée par portée, puis renouvelée sur réévaluation. C'est ce qui fait sa valeur, et son coût.

Les 5 portées d'un audit PASSI

Un prestataire n'est jamais « PASSI » dans l'absolu. Il est qualifié sur une ou plusieurs portées, c'est-à-dire des familles d'audit bien délimitées. Le référentiel en définit cinq, et un cabinet peut n'en détenir qu'une seule. Vérifiez toujours laquelle figure sur son attestation, parce qu'un prestataire qualifié en audit de configuration ne l'est pas forcément en tests d'intrusion.

Ces portées se combinent souvent au sein d'une même mission. Un audit complet d'une application sensible peut mêler une revue d'architecture, une lecture de code source et une phase de tests d'intrusion. Un pentest privé se concentre généralement sur l'intrusion ; l'audit PASSI, lui, a vocation à couvrir plusieurs angles selon ce que la réglementation impose au commanditaire.

Qui doit vraiment exiger un prestataire PASSI

C'est le vrai sujet, celui qui décide si le label est une obligation ou un simple argument marketing dans votre contexte. La qualification PASSI devient obligatoire quand un texte réglementaire l'impose. En dehors de ces cas, elle reste un plus, pas une exigence légale.

• Les OIV (Opérateurs d'Importance Vitale) : énergie, transport, santé, télécoms, finance… Encadrés par la Loi de Programmation Militaire, ils doivent faire auditer leurs systèmes d'information d'importance vitale par un prestataire qualifié.
• Les OSE (Opérateurs de Services Essentiels), issus de la directive NIS puis de la directive NIS2 : le périmètre des entités régulées s'élargit fortement, et avec lui les exigences d'audits menés par des prestataires reconnus.
• Le secteur public et certaines administrations : de nombreux marchés publics d'audit de sécurité conditionnent la candidature à la qualification PASSI, tout simplement parce que le donneur d'ordre s'aligne sur le référentiel de l'État.
• Les contextes réglementés spécifiques : hébergeurs de données de santé, opérateurs soumis à des exigences sectorielles, projets traitant des informations classifiées. Le texte applicable dicte alors le recours à un prestataire qualifié.

Si vous n'êtes dans aucune de ces cases, et c'est le cas de l'immense majorité des PME, éditeurs SaaS et sites e-commerce, la qualification PASSI n'est pas une obligation. Elle peut rassurer un client grand compte, mais elle ne vous est pas imposée par la loi. Ce qui compte alors, c'est la qualité réelle du test, pas le tampon.

Quand un pentest privé rigoureux suffit

Un test d'intrusion mené par un prestataire non qualifié PASSI n'est pas un test au rabais. La qualification atteste d'un cadre ; elle ne garantit pas, à elle seule, qu'on trouvera plus de failles. Ce qui fait la profondeur d'un pentest, c'est la compétence de l'auditeur, le temps passé, et la volonté d'exploiter vraiment plutôt que de scanner. Sur ce terrain, une certification technique comme l'OSWE (Offensive Security Web Expert) dit quelque chose de très concret : la capacité à écrire des exploits sur du code applicatif réel.

Dans les faits, un pentest privé sérieux est le bon choix quand vous voulez savoir si votre application tient, sans contrainte réglementaire qui impose le label. Le vrai risque, ce n'est pas l'absence de qualification PASSI : c'est le « pentest » qui n'en est pas un, un scan automatisé revendu comme un test manuel. On a détaillé ce que coûte, et ce que vaut, un vrai test dans notre article de référence sur le prix d'un test d'intrusion web, avec les critères pour ne pas se faire vendre du vent.

Le bon réflexe : cartographier avant d'auditer

PASSI ou non, un audit ne vaut que par la justesse de son périmètre. Auditer trois applications et oublier le sous-domaine de préproduction laissé ouvert, c'est manquer la porte d'entrée. C'est là qu'une démarche d'External Attack Surface Management (EASM) prend tout son sens : connaître l'intégralité de sa surface exposée avant de décider quoi tester, PASSI ou pas. Le label encadre la mission ; la cartographie décide de ce qu'on regarde.

Le mini-écosystème des qualifications ANSSI

PASSI n'est qu'une brique d'une famille plus large de qualifications délivrées par l'ANSSI, chacune pour un métier différent de la cybersécurité. On les confond souvent, alors voici les trois autres sigles que vous croiserez, et ce qu'ils recouvrent réellement.

La logique d'ensemble est simple : PASSI audite et prévient, PDIS détecte en continu, PRIS intervient quand l'incident a eu lieu, et PVID sécurise la vérification d'identité à distance. Un même groupe peut cumuler plusieurs qualifications, mais chacune s'obtient séparément, sur son propre référentiel. Quand un fournisseur se présente comme « qualifié ANSSI », demandez toujours laquelle : la réponse vous dit ce qu'il sait faire.

Comment choisir un prestataire d'audit

Que la qualification PASSI soit imposée ou non, les questions à poser se ressemblent. Le label filtre une liste ; il ne dispense pas de regarder ce qu'il y a derrière.

• La bonne portée, pas juste le sigle. Si vous avez besoin de tests d'intrusion, vérifiez que l'attestation couvre bien cette portée précise, et pas seulement l'audit de configuration. Le sigle PASSI seul ne dit rien du périmètre.
• Qui réalise la mission. Un auditeur nommé, avec un parcours et des certifications techniques vérifiables (OSWE, OSCP, CRTO…), vaut mieux qu'un logo d'entreprise. L'audit, c'est de l'humain.
• La preuve, pas la promesse. Exigez des livrables clairs : rapport exécutif et technique, preuves d'exploitation, priorisation par criticité, et surtout un retest après correction. Un audit sans revérification laisse la question ouverte.
• L'adéquation au besoin réel. Un prestataire honnête vous dira si la qualification PASSI est nécessaire dans votre cas, ou si un test d'intrusion standard répond à votre besoin pour moins cher. Se faire sur-vendre un cadre inutile est un mauvais signe.

En clair, la qualification ANSSI est un excellent filtre pour les contextes réglementés, et elle rend mal service dès qu'on lui demande de remplacer le discernement. Elle dit si un prestataire est reconnu par l'État pour ce type d'audit ; elle ne dit pas s'il trouvera vos failles. Ce sont deux questions distinctes, l'une et l'autre légitimes.

À retenir

• PASSI (Prestataire d'Audit de la Sécurité des Systèmes d'Information) est une qualification d'entreprise délivrée par l'ANSSI, pas un diplôme individuel ni une certification au sens courant.
• La qualification se décline en 5 portées : architecture, configuration, code source, tests d'intrusion, organisationnel et physique. Un prestataire est qualifié portée par portée.
• Elle est obligatoire pour les OIV, les OSE (NIS2), une grande partie du secteur public et certains contextes réglementés. Ailleurs, elle reste un plus, pas une exigence légale.
• Hors obligation, un pentest privé rigoureux (auditeur compétent, exploitation réelle, retest) couvre le même besoin technique. Le vrai risque, c'est le scan déguisé en test, pas l'absence de label.
• PASSI vit dans une famille de qualifications ANSSI : PRIS (réponse à incident), PDIS (détection), PVID (vérification d'identité). Toujours demander laquelle.

Pour être clair une dernière fois : own2pwn n'est pas qualifié PASSI, et on ne s'en réclame pas. Ce qu'on met sur la table, c'est un test d'intrusion web mené avec méthode et une certification OSWE, cadré et documenté, PASSI ou non. Si vous hésitez entre l'exigence réglementaire et le besoin réel, parlons-en directement : on vous dira honnêtement si votre contexte impose un prestataire qualifié, ou si un bon pentest suffit.