État des textes au . Nous mettons cette fiche à jour quand la réglementation évolue.
Définition
PASSI (prestataire d'audit de la sécurité des systèmes d'information) est une qualification délivrée par l'ANSSI aux prestataires d'audit qui respectent un référentiel d'exigences précis, portant sur les compétences des auditeurs, la méthodologie et la déontologie. Le référentiel en vigueur (version 2.2, publiée en 2024) prévoit deux niveaux, substantiel et élevé, et cinq portées : audit d'architecture, audit de configuration, audit de code source, tests d'intrusion, audit organisationnel et physique.
Pourquoi c'est important
Pour certains audits réglementaires, en particulier ceux des OIV au titre de la LPM, le recours à un prestataire qualifié PASSI est obligatoire. Au-delà de l'obligation, la qualification offre un cadre méthodologique éprouvé : traçabilité des travaux, protection des données collectées pendant l'audit, auditeurs dont les compétences ont été vérifiées. Elle impose notamment une convention d'audit détaillée, une gestion stricte des accès et des preuves, ainsi qu'un rapport dont les constats sont hiérarchisés et étayés. Elle encadre aussi la posture de l'auditeur, tenu à un devoir de conseil et d'indépendance vis-à-vis des solutions qu'il pourrait recommander. Pour un RSSI, s'en inspirer dans un cahier des charges protège contre les audits superficiels.
Ce que fait AOCSI
Nos audits s'inspirent de la méthodologie PASSI (convention d'audit, traçabilité, rapport hiérarchisé) ; AOCSI n'est pas qualifié PASSI à ce jour. Si votre audit exige un prestataire qualifié, nous vous le disons dès le cadrage. Voir nos audits de cybersécurité.
Textes et sources
Pôle de rattachementAudit de cybersécuritéPrestations et prix