Qualification PACS

La qualification PACS s’adresse aux prestataires d’accompagnement et de conseil en sécurité des systèmes d’information souhaitant faire qualifier leurs services. Pour obtenir cette qualification, un prestataire doit démontrer sa conformité au référentiel d’exigences PACS.

L’obtention de la qualification PACS est un gage de confiance. Elle tend à devenir indispensable pour accéder à certains marchés, notamment pour les secteurs d’activité sensibles.

Le référentiel d’exigences applicable aux prestataires d’accompagnement et de conseil en sécurité des systèmes d’information (PACS) est publié par l’ANSSI. La version en vigueur est la version 2.0 du 14 février 2026, annoncée par l’ANSSI le 21 mai 2026, avec la trame d’évaluation en version 2.1. La version 1.1 est devenue obsolète, mais les évaluations engagées selon cette version peuvent être menées à leur terme. Le référentiel couvre quatre activités :

• le conseil en homologation de sécurité des systèmes d’information : aider le commanditaire à constituer le dossier d’homologation, établir un rapport d’aide à la décision, puis suivre l’homologation ;
• le conseil en gestion des risques de sécurité des systèmes d’information : aboutir à une appréciation des risques du système cible et proposer un plan de traitement ;
• le conseil en sécurité des architectures des systèmes d’information : structurer les choix techniques et organisationnels du système ;
• le conseil en préparation à la gestion de crise d’origine cyber : adapter le dispositif de crise et les plans de continuité au risque cyber.

Dans toutes ces activités, le commanditaire garde l’autonomie et la responsabilité de la sécurisation de son système d’information. La portée de qualification associe une ou plusieurs activités à un niveau. Le conseil en homologation ne peut pas être qualifié seul : il va toujours avec le conseil en gestion des risques.

Deux niveaux de qualification depuis la version 2.0. La version 2.0 crée les niveaux substantiel et élevé. Au niveau élevé, consultants et responsables de prestation doivent détenir une attestation individuelle de compétence obtenue après des examens écrits et oraux, et le prestataire doit disposer d’un système d’information homologué pour les informations Diffusion Restreinte. Au niveau substantiel, les compétences des consultants ne sont plus vérifiées par examen : l’évaluation porte sur l’organisation et les processus du prestataire pour vérifier et maintenir ces compétences. L’ANSSI recommande le niveau élevé lorsque les risques qui pèsent sur le système cible sont élevés ou que les scénarios de risque intentionnels impliquent des menaces stratégiques. Sauf obligation légale, réglementaire ou contractuelle, le choix du niveau revient au bénéficiaire. Les prestations réalisées pour les besoins de la sécurité nationale relèvent en plus d’un référentiel complémentaire qui s’ajoute au niveau élevé.

Qu’est-ce que la qualification ANSSI d’un PACS ?
La qualification est une décision de l’ANSSI, prise en application du décret n° 2015-350 du 27 mars 2015, qui atteste qu’un service est conforme au référentiel d’exigences de l’agence. Pour un PACS, elle couvre les activités de conseil demandées et un niveau, substantiel ou élevé. Un prestataire qualifié peut aussi réaliser des prestations non qualifiées, mais il ne peut pas se prévaloir de la qualification pour celles-ci : le commanditaire vérifie que la convention de service indique explicitement que la prestation est qualifiée.

Certification ou qualification PACS : qui la délivre ?
Le terme employé par l’ANSSI est « qualification », et c’est l’ANSSI qui la délivre. Un centre d’évaluation agréé par l’ANSSI, comme Certi-Trust, évalue le service au regard du référentiel et de la trame d’évaluation, puis transmet son rapport. L’ANSSI décide sur cette base et fixe la portée, la durée de validité et le niveau de recommandation. Un PACS évalué par un centre d’évaluation obtient les attestations individuelles de compétence de ses consultants auprès de ce même centre.

Combien de temps la qualification PACS est-elle valable ?
L’ANSSI fixe la durée dans la décision de qualification, dans la limite de trois ans. Pendant cette période, la qualification fait l’objet d’un suivi et peut être maintenue, modifiée ou retirée. Le catalogue de l’ANSSI indique pour chaque PACS qualifié ses activités, son niveau, la période de validité de sa qualification et son niveau de recommandation.

PACS, PASSI, pacte civil de solidarité : de quoi parle-t-on ?
Dans le vocabulaire de l’ANSSI, PACS désigne un prestataire d’accompagnement et de conseil en sécurité des systèmes d’information. Le sigle n’a aucun lien avec le pacte civil de solidarité. Le PACS conseille un commanditaire sur l’homologation, les risques, l’architecture ou la préparation aux crises. Le PASSI audite la sécurité d’un système d’information. Ce sont deux référentiels et deux qualifications distincts.