Qualification PRIS

Le programme PRIS s’adresse aux prestataires de réponse aux incidents de sécurité, dont les activités portent sur la recherche d’indicateurs de compromission, l’investigation numérique, l’analyse de codes malveillants, le pilotage et la coordination des investigations, ainsi que la gestion de crise d’origine cyber.

Pour obtenir la qualification de ses services, un prestataire doit démontrer sa conformité au référentiel d’exigences PRIS, publié sur le site internet de l’ANSSI. Ce référentiel réglementaire définit les règles précises auxquelles le prestataire de réponse aux incidents, ses équipes et le déroulement de ses prestations doivent se conformer.

La qualification PRIS constitue un gage de confiance pour les commanditaires. Se conformer au référentiel PRIS et obtenir la qualification de ses services apporte la preuve que ses méthodes répondent aux standards de sécurité les plus exigeants. La qualification PRIS tend également à devenir un critère de sélection et prérequis pour accéder à certains marchés.

Dans le cadre de la Loi de Programmation Militaire – LPM, les Opérateurs d’Importance Vitale – OIV sont par exemple dans l’obligation de faire appel à un prestataire dont le service est qualifié PRIS pour la réponse aux incidents de sécurité.

Le référentiel d’exigences applicable aux prestataires de réponse aux incidents de sécurité (PRIS) est publié par l’ANSSI. La version en vigueur est la version 3.2 du 7 octobre 2025, annoncée par l’ANSSI le 28 octobre 2025. Elle remplace la version 3.0, désormais obsolète, et couvre cinq activités :

• la recherche d’indicateurs de compromission (REC), qui consiste à rechercher les traces d’une compromission dans un système d’information ;
• l’investigation numérique (INV) ;
• l’analyse de codes malveillants (CODE), pour comprendre leur comportement, leur fonctionnement et leurs impacts ;
• le pilotage et la coordination des investigations (PCI), pour les incidents graves ou complexes qui mobilisent plusieurs activités en même temps ;
• la gestion de crise d’origine cyber (CRISE), ajoutée par la version 3.2.

La portée de qualification associe une ou plusieurs de ces activités à un niveau, substantiel ou élevé. La recherche d’indicateurs de compromission et l’investigation numérique sont indissociables, et le pilotage des investigations ne peut être demandé qu’avec ces deux activités. Les prestations réalisées pour les besoins de la sécurité nationale, par exemple sur les systèmes d’information d’importance vitale des OIV, relèvent en plus d’un référentiel complémentaire qui s’ajoute au niveau élevé.

Ce que recouvre l’investigation numérique. Le référentiel la définit comme la collecte et l’analyse d’informations et de supports issus d’un système d’information, afin de confirmer ou d’infirmer une compromission puis, le cas échéant, d’en établir le périmètre et la chronologie, le mode opératoire de l’attaquant et ses objectifs. Elle peut reposer sur des analyses système et réseau. Menée avec l’activité de pilotage, elle est dite « pilotée ». La qualification PRIS ne vaut pas inscription sur une liste d’experts judiciaires auprès d’une cour d’appel.

La place des outils d’investigation. La qualification PRIS porte sur le service d’un prestataire : le référentiel ne qualifie aucun logiciel ni outil d’investigation. Il rend le prestataire responsable des méthodes et des outils utilisés par son équipe, et de leur bonne utilisation. Il impose des mesures de sécurité lorsqu’un outil doit être installé sur le système cible. La maîtrise des outils d’analyse (mémoire, disques, journaux, analyse statique et dynamique de programmes) fait partie des compétences attendues des analystes. Une activité réalisée de façon entièrement automatisée ne constitue pas une activité au sens du référentiel. L’évaluation vérifie ces exigences, pas les outils en tant que produits.

Qu’est-ce que la qualification PRIS ?
C’est une décision de l’ANSSI qui atteste qu’un service de réponse aux incidents de sécurité est conforme au référentiel PRIS pour une portée donnée : une ou plusieurs activités et un niveau, substantiel ou élevé. Un organisme peut aussi faire qualifier un service interne, utilisé pour ses propres besoins, selon les mêmes exigences. Le catalogue publié par l’ANSSI indique, pour chaque prestataire qualifié, ses activités, son niveau, la période de validité de sa qualification et son niveau de recommandation.

Qui délivre la qualification PRIS ?
L’ANSSI. Un centre d’évaluation agréé par l’ANSSI, comme Certi-Trust, évalue le service au regard du référentiel et de la trame d’évaluation publiée par l’agence (version 1.4), puis transmet son rapport d’évaluation. L’ANSSI décide sur la base de ce rapport et fixe dans sa décision la portée, la durée de validité et le niveau de recommandation du service. Le centre d’évaluation ne conseille pas le prestataire et ne prend pas la décision de qualification.

Combien de temps la qualification PRIS est-elle valable ?
La durée est fixée par l’ANSSI dans la décision de qualification et ne peut pas dépasser trois ans. Pendant cette période, la qualification fait l’objet d’un suivi : l’ANSSI peut la maintenir, réduire sa portée ou la retirer. Au niveau élevé, les analystes, pilotes d’investigation et gestionnaires de crise doivent aussi détenir une attestation individuelle de compétence en vigueur, délivrée après des examens écrits et oraux.

Quelle différence entre PRIS, PDIS et PASSI ?
Le PDIS assure la détection des incidents de sécurité. Le PRIS intervient lorsqu’un incident est suspecté ou avéré, ou en situation de crise d’origine cyber, pour rechercher les traces, investiguer, analyser les codes malveillants et soutenir la gestion de crise. Le PASSI audite la sécurité d’un système d’information. Ce sont trois référentiels et trois qualifications distincts. Certi-Trust dispose de l’agrément de l’ANSSI pour les évaluations PASSI, PRIS et PDIS.