Faut-il un prestataire qualifié PASSI pour votre test d’intrusion ?

C’est la question qui revient dans presque chaque premier échange avec un acheteur français, et c’est aussi celle à laquelle le marché répond le plus mal. Les pages commerciales parlent de qualification « quasi-obligatoire ». Les acheteurs comprennent « obligatoire ». Et la page de l’ANSSI qui décrit le dispositif, elle, n’emploie aucun vocabulaire d’obligation.

Voici la réponse en une phrase : la qualification n’est pas requise pour un test d’intrusion commandé par une entreprise privée, mais elle est déterminante dans un petit nombre de situations qu’il faut savoir reconnaître. Le reste de cet article dit lesquelles, pourquoi la confusion existe, et quoi demander à un prestataire lorsque la qualification n’est pas en jeu.

Nous écrivons cet article en connaissant notre propre intérêt : nous ne sommes pas qualifiés. Nous avons donc pris le parti de citer les textes plutôt que de les résumer, et de dire aussi nettement les cas où il faut s’adresser à quelqu’un d’autre que les cas où ce n’est pas nécessaire.

Ce qu’est la qualification PASSI

PASSI désigne le prestataire d’audit de la sécurité des systèmes d’information. La qualification PASSI est une démarche volontaire délivrée par l’ANSSI au titre du décret n° 2015-350 du 27 mars 2015. Elle n’est pas requise pour un test d’intrusion commandé par une entreprise privée.

Trois précisions utiles avant d’aller plus loin.

Elle porte sur des activités, pas sur une entreprise en bloc. Le dispositif couvre cinq activités : l’audit d’architecture, l’audit de configuration, l’audit de code source, les tests d’intrusion, et l’audit organisationnel et physique. Un prestataire est qualifié pour une ou plusieurs d’entre elles. La question utile n’est donc jamais « êtes-vous qualifié ? » mais « pour quelles activités ? » — et cette question vaut aussi à l’intérieur du marché qualifié.

Elle s’adresse au prestataire, pas à vous. Faire appel à un prestataire qualifié ne qualifie ni ne certifie votre entreprise. Aucun dispositif ne transforme un rapport d’audit en attestation de conformité de l’audité.

Le référentiel lui-même prévoit un usage hors contrainte. Il indique qu’il peut également être utilisé à titre de bonnes pratiques en dehors de toutes exigences légales, réglementaires ou contractuelles. Autrement dit : le document décrit un niveau d’exigence dont chacun peut s’inspirer, sans que son existence crée une obligation générale de recourir à un prestataire qualifié.

Où la qualification est réellement exigée

Quatre situations, et elles sont identifiables sans avocat.

Les contrôles des systèmes d’information d’importance vitale

C’est le seul cas où la source de l’exigence est législative, et il mérite d’être cité mot pour mot plutôt que résumé.

Les contrôles des systèmes d’information d’importance vitale ordonnés au titre de l’article L. 1332-6-3 du code de la défense sont réalisés par l’ANSSI, par des services de l’État désignés par le Premier ministre, ou par des prestataires de service qualifiés.

Retenez la structure de la phrase : elle décrit qui réalise un contrôle ordonné par l’État, sur un périmètre désigné. Elle ne dit pas que tout test d’intrusion mené chez un opérateur relève du même régime, et elle ne transforme pas chaque audit interne d’une grande entreprise en contrôle réglementé. Les raccourcis qui circulent sur ce point induisent en erreur dans les deux sens : ils élargissent le champ du contrôle, et ils effacent les deux autres acteurs que le texte nomme.

Nous ne soumissionnons pas sur ces prestations.

Les homologations conduites par une autorité administrative

Une autorité administrative qui met en service un téléservice l’homologue avant ouverture. Certains textes d’application, propres à un téléservice ou à une famille de téléservices, renvoient pour l’audit préalable à des prestataires qualifiés.

Le point à vérifier n’est donc pas « le référentiel général de sécurité » pris globalement, mais l’arrêté ou le cahier des charges propre au téléservice concerné. Si vous êtes une collectivité, un établissement public ou un éditeur qui fournit une telle plateforme, ouvrez ce texte-là avant de lancer une consultation : c’est lui qui décide, et il décide parfois différemment d’un dispositif à l’autre.

Les qualifications de services délivrées par l’ANSSI

Si votre propre entreprise fait qualifier un service qu’elle commercialise, le référentiel applicable à cette qualification organise l’audit qui la précède et peut imposer qu’il soit conduit par un prestataire qualifié.

Là encore, l’exigence ne vient pas d’une règle générale : elle vient du référentiel de la qualification que vous visez. Lisez-le d’abord, puis choisissez le prestataire — pas l’inverse.

Les marchés publics qui l’inscrivent au cahier des charges

C’est le cas le plus fréquent en pratique, et le plus mal compris. De nombreux marchés publics — État, collectivités territoriales, établissements et opérateurs publics — inscrivent la qualification dans le document de consultation.

L’exigence est alors contractuelle : elle découle du marché, non d’un texte qui s’appliquerait à toutes les entreprises. Un candidat non qualifié est écarté, et c’est parfaitement légitime. La conséquence utile, en sens inverse, est celle que personne n’écrit : une exigence contractuelle ne se transporte pas hors du contrat. Qu’un marché public la pose ne la rend pas applicable à l’application web de votre filiale commerciale.

Où elle ne l’est pas

Un éditeur de logiciel ou de service SaaS

Vous testez votre produit parce qu’un client vous demande un rapport avant de signer, ou parce que vous préférez découvrir vos failles avant lui. Aucun texte français ne vous impose de prestataire. Ce que votre client regardera, c’est la couverture du périmètre, la preuve d’exploitation derrière chaque constat et la date du test d’intrusion — rarement le statut administratif de son auteur.

Une PME ou une ETI

Une application web, un Active Directory, un tenant Microsoft 365, une flotte exposée : rien de tout cela ne relève d’un régime de contrôle étatique. L’audit de sécurité informatique y est une décision de gestion du risque, et le choix du prestataire vous appartient entièrement.

Un programme ISO/IEC 27001

La norme ne renvoie à aucun dispositif national de qualification. L’organisme certificateur examine votre système de management de la sécurité de l’information : comment vous identifiez vos vulnérabilités techniques, comment vous testez avant mise en production, comment vous traitez les constats et vérifiez les correctifs. C’est la traçabilité du processus qui est évaluée. Un test d’intrusion mené dans un programme ISO 27001 se juge donc sur le rapport et sur le suivi de remédiation, pas sur un badge.

Une préparation à la directive NIS 2 dans le secteur privé

C’est ici que la confusion est la plus coûteuse, et l’ANSSI a elle-même écrit la phrase qui la dissipe. Dans sa FAQ consacrée à la directive NIS 2, à propos du choix d’un prestataire :

« Il peut être pertinent de recourir si besoin aux prestataires ou solutions qualifiés par l’ANSSI mais cela n’est pas une obligation. »

Il faut y ajouter l’état du droit. Au 11 septembre 2026, la directive (UE) 2022/2555 (NIS 2) n’est pas transposée en droit français. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat le 12 mars 2025 et poursuit son examen à l’Assemblée nationale. Aucune obligation française de moyens, de délai ou de choix de prestataire ne peut donc être opposée à ce titre aujourd’hui ; les exigences que l’on cite sont celles de la directive elle-même, et elles s’adresseront aux entités désignées par la loi de transposition lorsqu’elle existera. Nous détaillons cet état des lieux dans notre page consacrée à la préparation à NIS 2.

Le RGPD

Le RGPD, dont l’article 32 évoque une procédure visant à tester et à évaluer régulièrement l’efficacité des mesures de sécurité, ne dit rien du prestataire qui conduit ce test. Il impose en revanche un cadre contractuel de sous-traitance et une maîtrise des données traitées — ce qui est une exigence sur la façon dont le prestataire travaille, non sur son statut.

Pourquoi « quasi-obligatoire » circule

Il faut être juste : la qualification n’est pas un autocollant. Elle suppose un processus documenté, des exigences sur les personnes et sur les méthodes, et un contrôle périodique. C’est un signal d’investissement réel, et une partie du marché français l’a obtenue de bonne foi.

Mais « quasi-obligatoire » n’est pas une catégorie juridique. C’est une formule commerciale, et elle profite mécaniquement à ceux qui la publient. Trois glissements l’alimentent :

1. Le champ d’un dispositif de contrôle est étendu à tout le marché.

Une règle écrite pour les contrôles ordonnés sur des systèmes d’importance vitale est présentée comme la norme applicable à toute entreprise française.

2. Une exigence contractuelle est présentée comme une exigence légale.

Un cahier des charges public devient « la réglementation », puis « la loi », au fil des reformulations.

3. Une directive non transposée est citée comme du droit français en vigueur.

Les obligations de la directive (UE) 2022/2555 sont énoncées comme si elles produisaient déjà des effets en France, et l’on y ajoute une exigence de prestataire que le texte ne contient pas.

Le test à appliquer est simple. Demandez : quel texte, et quel article ? Une exigence réelle se désigne. Une exigence commerciale se reformule.

Ce qu’il faut demander à un prestataire non qualifié

Lorsque la qualification n’est pas en jeu, l’évaluation du prestataire vous revient. Sept éléments suffisent, et ils sont tous vérifiables avant signature.

1. La méthodologie, nommée.

Pas « une approche éprouvée », mais des référentiels identifiables : OWASP WSTG pour le web, MASTG pour le mobile, PTES pour la conduite de la mission. Nos méthodologies de test sont publiées page par page, précisément pour que vous puissiez les comparer.

2. Les certifications individuelles des consultants, avec leurs numéros.

OSCP, OSEP, OSWE, CRTO : ces certifications sont nominatives et vérifiables auprès de l’organisme qui les délivre. Une « équipe d’experts certifiés » sans un seul nom n’est pas une référence.

3. Un exemple de rapport caviardé.

C’est le livrable que vous achetez. Regardez la synthèse managériale, la cotation des constats, la preuve permettant de reproduire chaque exploitation, et la précision des recommandations de remédiation.

4. Le mandat écrit et le périmètre contractuel.

Tous nos tests d’intrusion sont réalisés sur mandat écrit, dans un périmètre défini contractuellement (articles 323-1 et suivants du code pénal). Un prestataire qui traite ce point comme une formalité vous expose autant qu’il s’expose.

5. L’assurance responsabilité civile professionnelle.

Demandez l’attestation, ses montants et sa couverture géographique. Un test touche des systèmes en production.

6. Le traitement des données collectées durant l’audit.

Où sont conservées les preuves, combien de temps, selon quelle procédure de suppression, avec quels sous-traitants nommés, et sous quel contrat de sous-traitance au sens du RGPD. Pour un prestataire européen, la question du transfert hors Union européenne ne se pose pas — encore faut-il le démontrer plutôt que l’affirmer.

7. La place du contre-audit dans le devis.

Inclus, ou facturé ? Sans vérification des correctifs, vous détenez un problème documenté et non une correction documentée — et c’est la seconde que votre client ou votre auditeur demandera. Chez nous, le contre-audit est inclus, sans surcoût, dans les 90 jours suivant la remise du rapport.

Nous avons développé cette grille, question par question, dans comment choisir un prestataire de test d’intrusion.

Et si votre cahier des charges l’exige quand même ?

Posez-vous une seule question : d’où vient cette ligne ?

Si elle vient d’un marché public, d’un contrôle ordonné au titre de l’article L. 1332-6-3 du code de la défense, ou du référentiel d’une qualification que vous demandez pour votre propre service, elle est réelle. Adressez-vous à un prestataire qualifié : c’est ce que nous vous dirons nous-mêmes, et nous vous le dirons au premier échange plutôt qu’après trois réunions de cadrage.

Si elle a été reprise d’un modèle de cahier des charges — ce qui arrive souvent dans le privé, où les trames circulent d’un service achats à l’autre — alors la vraie question n’est pas le statut du prestataire, mais la preuve dont vous avez besoin : un rapport qu’un auditeur comprendra, des constats reproductibles, et une trace de remédiation. Ces trois éléments se contractualisent, et ils se vérifient.

La position de Haxoris

Nous la formulons sans détour, parce que la seule chose qui coûterait plus cher que de ne pas être qualifié serait de laisser planer le doute.

• Haxoris n’est pas un prestataire qualifié PASSI. Nous ne détenons aucune qualification délivrée par l’ANSSI, et nous n’en revendiquons aucune.
• Les contrôles des systèmes d’information d’importance vitale ordonnés au titre de l’article L. 1332-6-3 du code de la défense sont réalisés par l’ANSSI, par des services de l’État désignés par le Premier ministre, ou par des prestataires de service qualifiés. Nous ne soumissionnons pas sur ces prestations.
• Nous sommes un prestataire européen : vos données et vos rapports restent dans l’Union européenne, le RGPD s’applique directement, et nos sous-traitants sont nommés au contrat.
• Ce que nous mettons en face, ce sont trois engagements vérifiables plutôt qu’un badge : nos tarifs sont publics, le contre-audit est inclus sans surcoût, et vous savez qui teste — les consultants sont nommés, leurs certifications sont vérifiables, et vous leur parlez directement.

Questions fréquentes

Vous hésitez encore sur le régime qui s’applique à votre projet ? Décrivez-nous le périmètre et l’origine de l’exigence : nous vous répondons par écrit sous 24 heures, y compris lorsque la réponse est qu’il faut vous adresser ailleurs. Demandez un devis, ou commencez par notre page test d’intrusion (pentest).

Nos services associés : tests d’intrusion sur vos applications et vos infrastructures · audit de sécurité informatique de votre environnement · tests d’intrusion pour préparer la directive (UE) 2022/2555 (NIS 2) · tests d’intrusion pour préparer la certification ISO 27001