ANSSI (Agence nationale de la sécurité des systèmes d'information)
L'essentiel
L'ANSSI est le « pompier et le normalisateur » de la cybersécurité française. Elle écrit les règles de sécurité que doivent suivre l'État, les opérateurs critiques et, avec NIS2, des milliers d'entreprises. Elle labellise les prestataires et les hébergeurs de confiance, publie les alertes de vulnérabilité via le CERT-FR, et intervient quand une infrastructure vitale est attaquée. Elle ne fait que de la défense : ni espionnage, ni attaque.
Détails Techniques
Service à compétence nationale créé par le décret n° 2009-834 du 7 juillet 2009, rattaché au Secrétariat général de la défense et de la sécurité nationale (SGDSN) et placé sous l'autorité du Premier ministre. L'ANSSI est l'autorité nationale en matière de sécurité et de défense des systèmes d'information : elle élabore les référentiels de sécurité (RGS, PSSIE, SecNumCloud), délivre les visas de sécurité et qualifications de prestataires (CSPN, Critères communs, PASSI, PDIS, PRIS), opère le CERT-FR, assiste les administrations et opérateurs critiques en réponse à incident, et exerce depuis la transposition de la directive NIS2 une mission de supervision assortie de pouvoirs de contrôle et de sanction.
#Définition : ANSSI (Agence nationale de la sécurité des systèmes d'information)
L'ANSSI est l'autorité nationale française en matière de sécurité et de défense des systèmes d'information. Créée par le décret n° 2009-834 du 7 juillet 2009, c'est un service à compétence nationale rattaché au Secrétariat général de la défense et de la sécurité nationale (SGDSN), donc placé sous l'autorité du Premier ministre. Elle a succédé à la DCSSI. Point structurant, souvent mal compris : l'ANSSI n'a aucune mission offensive et n'appartient pas à la communauté du renseignement. Sa doctrine est exclusivement défensive, ce qui conditionne la confiance que lui accordent les opérateurs privés qu'elle accompagne.
#Ce que l'agence fait réellement
Quatre fonctions à ne pas confondre.
Prévenir. L'ANSSI produit les référentiels et guides qui font autorité en France : guide d'hygiène informatique, recommandations d'architecture et de durcissement, RGS (Référentiel général de sécurité) pour les téléservices administratifs, PSSIE pour les systèmes de l'État.
Détecter et réagir. Le CERT-FR, hébergé par l'agence, publie alertes, avis et bulletins de vulnérabilité. En cas de compromission majeure d'une infrastructure critique, les équipes de l'ANSSI interviennent directement en investigation et en remédiation.
Qualifier. C'est le levier le plus concret pour une DSI. L'agence délivre les visas de sécurité : certification Critères communs et CSPN pour les produits, qualifications de prestataires PASSI (audit), PDIS (détection), PRIS (réponse à incident), et la qualification SecNumCloud pour les fournisseurs de cloud. Ces labels ne sont pas cosmétiques : ils conditionnent l'éligibilité à des marchés entiers.
Superviser. Historiquement, l'ANSSI n'était pas un régulateur à pouvoir de sanction — contrairement à la CNIL. La transposition de la directive NIS2 change la donne : l'agence devient l'autorité de contrôle des entités essentielles et importantes, avec pouvoirs d'inspection, d'injonction et de sanction.
#Qui est dans le périmètre
Trois cercles concentriques se sont empilés depuis 2013.
Les OIV (opérateurs d'importance vitale), désignés au titre de l'article 22 de la loi de programmation militaire de 2013, relèvent du régime le plus contraignant : règles de sécurité imposées par arrêtés sectoriels, déclaration obligatoire des systèmes d'information d'importance vitale, contrôles. La liste des OIV n'est pas publique.
Les OSE (opérateurs de services essentiels) ont été créés par la loi n° 2018-133 du 26 février 2018, transposition de la première directive NIS.
NIS2 élargit massivement le périmètre : dix-huit secteurs, des milliers d'entités concernées en France, incluant des ETI et des PME qui n'avaient jamais eu affaire à l'agence. C'est le changement d'échelle majeur de la décennie côté cybersécurité réglementaire.
S'y ajoute le volet cloud : la doctrine « Cloud au centre » impose aux administrations d'héberger leurs données sensibles chez un fournisseur qualifié SecNumCloud, référentiel élaboré et délivré par l'ANSSI.
#ANSSI et intelligence artificielle
L'agence a publié en 2024 ses recommandations de sécurité pour les systèmes d'IA générative. La ligne directrice est claire et mérite d'être retenue par toute équipe qui déploie un LLM : un modèle de langage doit être traité comme un composant non fiable. Cloisonnement strict des environnements d'entraînement, d'inférence et de production, contrôle de la chaîne d'approvisionnement des modèles et des jeux de données, journalisation des interactions, prise en compte explicite de l'injection de prompt et de l'empoisonnement de données. L'ANSSI est par ailleurs l'autorité nationale de certification de cybersécurité au titre du règlement européen sur la cybersécurité (Cybersecurity Act), et porte la position française dans les schémas de certification cloud européens.
#Ce que ça change pour votre DSI
Trois réflexes opérationnels. Vérifiez si votre entité entre dans le périmètre NIS2 avant d'attendre une notification — l'autoclassification est de votre ressort. Exigez la qualification PASSI pour vos audits si vous visez le secteur public ou régulé. Intégrez les flux CERT-FR à votre gestion de vulnérabilités : c'est gratuit, et c'est la source que l'agence vous opposera en cas de contrôle. Notre accompagnement conformité part systématiquement de cette cartographie de périmètre.
#Termes associés
Applications Concrètes
« Une ETI industrielle doit s'autoclassifier en entité essentielle ou importante, s'enregistrer auprès de l'ANSSI, mettre en œuvre les mesures de gestion des risques et notifier les incidents significatifs dans les délais fixés par la directive. »
« Un opérateur public qui héberge des données sensibles doit retenir un fournisseur qualifié SecNumCloud, référentiel élaboré et délivré par l'ANSSI, et non un simple hébergeur disposant de datacenters en France. »
« Le cahier des charges impose fréquemment un audit réalisé par un prestataire qualifié PASSI. La qualification ANSSI du prestataire devient un critère d'éligibilité, pas un argument commercial. »
« Les recommandations de sécurité de l'ANSSI pour les systèmes d'IA générative servent de trame : cloisonnement des environnements, maîtrise de la chaîne d'approvisionnement des modèles, journalisation, traitement de l'injection de prompt. »
Questions fréquentes sur l'ANSSI
Historiquement, non : l'ANSSI était une autorité de prévention, de qualification et d'assistance, sans pouvoir de sanction comparable à celui de la CNIL. La transposition de la directive NIS2 modifie cet équilibre en faisant de l'agence l'autorité de contrôle des entités essentielles et importantes, avec des pouvoirs d'inspection, de mise en demeure et de sanction administrative. Sur le périmètre OIV, des obligations contraignantes existaient déjà depuis la loi de programmation militaire de 2013, avec des sanctions pénales prévues au code de la défense.
Les deux ne protègent pas la même chose. La CNIL protège les personnes et leurs données à caractère personnel : elle veille au respect du RGPD et de la loi Informatique et Libertés, et sanctionne les responsables de traitement. L'ANSSI protège les systèmes d'information eux-mêmes, dans une logique de sécurité nationale et de continuité d'activité. Une fuite de données déclenche les deux réflexes : notification à la CNIL au titre de l'article 33 du RGPD, et notification à l'ANSSI si l'entité relève de NIS2 ou du régime OIV. Les deux autorités coopèrent mais leurs fondements juridiques sont distincts.
Une qualification est une attestation, délivrée par l'agence à l'issue d'une évaluation par un centre agréé, de la robustesse d'un produit ou de la compétence d'un prestataire. Côté produits, on parle de visas de sécurité : CSPN pour une évaluation ciblée, certification Critères communs pour une évaluation approfondie. Côté services, les qualifications PASSI (audit), PDIS (détection) et PRIS (réponse à incident) encadrent les prestataires. SecNumCloud qualifie les fournisseurs de cloud. L'usage réel est double : réduire le risque technique, et satisfaire des exigences d'éligibilité dans les marchés publics et les secteurs régulés.
La question se tranche par le périmètre NIS2 : dix-huit secteurs d'activité, des seuils de taille, et une distinction entre entités essentielles et entités importantes qui détermine l'intensité du contrôle. Beaucoup d'ETI et de PME de la sous-traitance industrielle, du numérique, de la santé ou des transports découvrent qu'elles entrent dans le champ alors qu'elles n'avaient jamais eu de relation avec l'agence. L'autoclassification vous incombe : n'attendez pas une notification pour lancer l'analyse, elle ne viendra pas nécessairement.
Non, et c'est la confusion la plus fréquente dans les appels d'offres. La localisation des serveurs est une condition parmi d'autres. Le référentiel SecNumCloud ajoute des exigences de souveraineté juridique — immunité aux lois extraterritoriales — et d'exploitation par des équipes européennes. Un datacenter situé en France mais opéré par une entité soumise à une législation extraterritoriale ne coche pas ces cases. Sur le volet NIS2, la géographie ne dit rien du niveau réel de maîtrise des risques attendu.
Le principe directeur de ses recommandations publiées en 2024 est de considérer un modèle de langage comme un composant non fiable, dont les sorties ne doivent jamais être exécutées ou consommées sans contrôle. En pratique : cloisonner les environnements d'entraînement, d'inférence et de production, maîtriser la provenance des modèles et des jeux de données, journaliser les interactions, et intégrer explicitement l'injection de prompt et l'empoisonnement de données à l'analyse de risque. Ces recommandations n'ont pas force réglementaire mais sont devenues la référence de fait dans les appels d'offres publics.