Publication du référentiel d’exigences PACS

Le référentiel PACS a pour objectif d’assister les responsables de la sécurité des systèmes d’information et leurs équipes dans leurs missions de protection des systèmes d’information, et notamment d’homologation de sécurité, de gestion des risques, de conception d’architectures sécurisées, et de préparation à la gestion de crises d’origine cyber.

Compte tenu de la complexité et de la sensibilité croissante des systèmes d’information dans leurs dimensions techniques, organisationnelles ou encore réglementaires, l’ANSSI a élaboré un référentiel visant à apporter aux commanditaires de telles prestations les garanties nécessaires sur les compétences des prestataires, le processus d’accompagnement et de conseil ainsi que la sécurité du système d’information lié aux prestations.

Ce référentiel a été élaboré en concertation avec les acteurs du marché. L’Anssi a procédé à une phase expérimentale dont l’objectif était de tester en conditions réelles la pertinence des exigences fixées dans la première version du référentiel publiée en mars 2021.

À la suite d’un appel public à candidatures en avril 2021, un panel de prestataires a été sélectionné par l’ANSSI pour participer à une phase d’expérimentation. Leurs évaluations au regard du référentiel ont été menées par un centre sous l’observation de l’ANSSI de décembre 2021 à janvier 2023. Le référentiel a été mis à jour pour prendre en compte les retours de cette phase expérimentale.

Afin de compléter les dispositions d’une première version de référentiel et de répondre aux besoins des organisations face à la montée de la menace cyber, l’ANSSI a proposé l’intégration d’une nouvelle activité dans le référentiel PACS visant les prestataires en préparation aux crises d’origine cyber lors d’un appel à commentaires du 10 octobre 2022 au 16 décembre 2022.

Ainsi la mise à jour du référentiel d’exigences applicables aux prestataires d'accompagnement et de conseil en sécurité des systèmes d’information (PACS) comprend aujourd’hui quatre activités :

1. Conseil en homologation de sécurité des systèmes d’information ;
2. Conseil en gestion des risques de sécurité des systèmes d’information ;
3. Conseil en sécurité des architectures des systèmes d’information ;
4. Conseil en préparation à la gestion de crise d’origine cyber.

La qualification par l’ANSSI permet d’attester la conformité d’un prestataire aux exigences du référentiel selon la portée sélectionnée. Sont ainsi invités à se rapprocher de l’ANSSI :

• les prestataires souhaitant obtenir la qualification de leur service ;
• les organismes souhaitant procéder à l’évaluation de la conformité des prestataires au référentiel.

La liste des prestataires en cours de qualification est disponible sur le site web de l’ANSSI.