Pourquoi choisir un prestataire qualifié PASSI et labellisé ExpertCyber ?
Confier sa cybersécurité, c’est confier beaucoup : l’accès à ses systèmes, la connaissance de ses failles, et la certitude que quelqu’un répondra le jour où quelque chose se passe mal. C’est une décision qui repose largement sur la confiance en matière de sécurité.
C’est précisément la raison d’être de deux dispositifs officiels français : la qualification PASSI, délivrée sous l’autorité de l’ANSSI, et le label ExpertCyber, porté par Cybermalveillance.gouv.fr. Tous deux reposent sur un référentiel public et sur l’évaluation d’un tiers indépendant. Ils donnent au client un repère vérifiable, et au prestataire un cadre exigeant qui structure sa manière de travailler.
Voici ce que chacun recouvre concrètement, ce qu’il faut démontrer pour l’obtenir, et ce que cela change dans votre relation avec votre prestataire.
Qu’est-ce qu’être qualifié PASSI ?
PASSI signifie Prestataire d’Audit de la Sécurité des Systèmes d’Information. C’est la qualification délivrée sous l’autorité de l’ANSSI aux cabinets d’audit qui satisfont à son référentiel d’exigences : compétence des auditeurs, méthodologie, protection des informations et éthique.
Un point à retenir avant tout : la qualification porte sur le prestataire, pas sur le système audité. Ce sont ses auditeurs, ses méthodes, ses livrables et ses propres systèmes qui sont examinés — parce qu’un rapport d’audit décrit précisément par où entrer chez vous.
Elle se décline en cinq portées, et un cabinet peut être qualifié sur une seule comme sur toutes : architecture, configuration, code source, test d’intrusion, organisationnel et physique. La bonne question à poser à un prestataire n’est donc pas s’il est qualifié, mais sur quelles portées.
Créée en 2014, la qualification est délivrée pour trois ans renouvelables, et environ quarante cabinets la détiennent en France. Cette rareté n’est pas anodine : les OIV doivent faire réaliser un audit par un prestataire qualifié tous les trois ans, le recours à un PASSI est fortement recommandé pour les entités concernées par NIS2, et de nombreux marchés publics sensibles en font un critère d’éligibilité.
Qu’est-ce qu’être labellisé ExpertCyber ?
Le label répond à une autre question : non pas « qui sait auditer ? » mais « qui sécurise mon informatique au quotidien, et qui décroche le jour de l’incident ? »
Développé par Cybermalveillance.gouv.fr avec les principaux syndicats professionnels du secteur, il valorise les entreprises de services informatiques sur trois domaines : installation et sécurisation, maintien en conditions opérationnelle et de sécurité, assistance en réponse à incident. L’obtention passe par un questionnaire technique, des pièces justificatives et un audit réalisé par l’AFNOR, pour deux ans renouvelables.
Ce que le label engage vis-à-vis du client est très concret : transparence tarifaire — les prix communiqués avant toute intervention — réactivité de l’assistance, maintenance préventive et conformité réglementaire. L’évaluation s’appuie notamment sur les rapports d’intervention réels, post-incident et de sécurisation.
Chez BMB France
Nous sommes qualifiés PASSI et labellisés ExpertCyber.
Deux référentiels distincts, deux audits, deux cycles de renouvellement ; et un même principe qui guide notre façon de travailler : être évalués sur des preuves, par un tiers, à échéance régulière. C’est ce qui nous permet de vous accompagner aussi bien sur le temps du diagnostic que sur celui de la sécurisation au quotidien.
