Faut-il exiger un prestataire de détection qualifié PDIS ?

Pas dans la plupart des cas. La qualification PDIS de l’ANSSI est attendue pour les systèmes d’information d’importance vitale des opérateurs d’importance vitale (OIV). Pour une PME ou une ETI, y compris soumise à NIS2, les textes présentés ci-dessous ne la mentionnent pas ; votre conseil juridique peut confirmer leur application à votre cas. Son référentiel reste une excellente grille pour évaluer n’importe quel prestataire de détection.

Cet article détaille un des critères de notre guide Comment choisir un prestataire SOC ?, consacré aux preuves de sérieux qu’on peut demander à un SOC.

Qu’est-ce que la qualification PDIS ?

PDIS signifie « prestataire de détection des incidents de sécurité ». C’est une qualification délivrée par l’ANSSI dans le cadre du décret n° 2015-350 du 27 mars 2015. Elle atteste qu’un prestataire respecte un référentiel d’exigences qui, selon l’ANSSI, porte sur trois volets : le prestataire lui-même, son personnel et le déroulement des prestations de détection. La qualification couvre l’ensemble de l’activité de détection d’incidents de sécurité.

Quel référentiel est en vigueur ?

Le référentiel applicable est la version 2.0, datée du 21 décembre 2017. Une note de l’ANSSI du 27 janvier 2025 l’a complété par un addendum : les travaux de mise à jour, lancés en 2022, sont en cours, et l’addendum modifie certaines exigences de façon transitoire en attendant la nouvelle version. L’ANSSI publie le référentiel, sa version anglaise, l’addendum et la trame d’évaluation sur sa page dédiée aux référentiels de qualification.

Qui doit recourir à un prestataire qualifié ?

Les OIV, pour leurs systèmes d’importance vitale

Les règles de sécurité du dispositif SAIV (sécurité des activités d’importance vitale) demandent, pour chaque système d’information d’importance vitale, un système de corrélation et d’analyse des journaux exploité en s’appuyant sur les exigences du référentiel PDIS, ainsi que des systèmes de détection qualifiés opérés par l’ANSSI, d’autres services de l’État ou des prestataires qualifiés. C’est le principal cas où PDIS est attendu.

Les autres entités : pas d’obligation générale

La directive NIS2 ne mentionne pas PDIS. Son article 24 permet aux États membres d’exiger le recours à des produits ou services certifiés selon des schémas européens de certification, ce qui est différent d’une qualification nationale. Au 13 octobre 2026, la loi française de transposition n’est pas adoptée, et on ne peut donc pas dire ce qu’elle exigera. Voir Un SOC managé aide-t-il à respecter NIS2 ?.

Un acheteur peut aussi exiger PDIS dans un appel d’offres ou un contrat. L’exigence découle alors du contrat plutôt que de la réglementation.

Quand l’exiger, quand s’en servir comme grille

Situation	Ce que disent les textes et documents
Système d’importance vitale d’un OIV	Les règles de sécurité SAIV renvoient au référentiel PDIS et à des prestataires qualifiés
Marché public ou contrat qui l’impose	Prestataire qualifié, sur le périmètre fixé par le marché ou le contrat
Entité NIS2, PME ou ETI	NIS2 ne mentionne pas PDIS : le référentiel peut servir de grille
Client d’infogérant sans contrainte réglementaire	Grille d’évaluation, avec d’autres preuves (ISO 27001, rapports, références)

Si vous exigez PDIS, vérifiez le périmètre exact de la qualification : quel service, quelles activités, quelles conditions. Une qualification ne couvre pas automatiquement toutes les offres d’un même prestataire.

Les questions inspirées du référentiel, à poser à tout SOC

Même sans qualification, vous pouvez reprendre la logique du référentiel :

1. Le prestataire : qui opère le service, depuis où, avec quelle sous-traitance éventuelle ? Voir Pourquoi choisir un SOC opéré en France ?.
2. Le personnel : les analystes sont-ils salariés, formés, joignables en continu ?
3. La prestation : comment la stratégie de détection est-elle définie avec vous, comment les journaux sont-ils protégés, comment les analyses sont-elles tracées ?
4. Les engagements : quels délais, quels rapports ? Voir Quels engagements de service (SLA) exiger d’un SOC managé ?.

Pour une liste plus complète, voir Quelles questions poser à un prestataire SOC avant de signer ?.

Côté Cyna

Cyna est certifiée ISO 27001. Son SOC managé est opéré 24/7 depuis la France par des équipes internes, et son CERT est membre de l’InterCERT France. Les certifications et documents de sécurité de Cyna sont consultables sur son Trust Center, ce qui permet aux infogérants partenaires et à leurs clients de les examiner pour évaluer le service.

Faire le point avec un expert

Vous devez répondre à une exigence de qualification ou évaluer un SOC pour un client ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Questions fréquentes

Combien de prestataires sont qualifiés PDIS ?

La liste à jour est publiée par l'ANSSI sur cyber.gouv.fr, avec les prestataires qualifiés et ceux en cours de qualification qui ont accepté d'être rendus publics. Consultez-la directement plutôt qu'un chiffre repris ailleurs, car elle évolue.

La loi française de transposition de NIS2 imposera-t-elle PDIS ?

On ne le sait pas. Au 13 octobre 2026, la loi n'est pas adoptée. La directive permet aux États membres d'exiger des produits et services certifiés selon des schémas européens (article 24), mais elle ne mentionne pas PDIS.

PDIS couvre-t-il la réponse à incident ?

Non. La réponse à incident relève d'une autre qualification de l'ANSSI, PRIS. Voir Qu'est-ce qu'un prestataire de réponse aux incidents qualifié (PRIS) ?.

Une certification ISO 27001 remplace-t-elle PDIS ?

Non, elles ne mesurent pas la même chose. ISO 27001 atteste d'un système de management de la sécurité de l'information ; PDIS évalue spécifiquement le service de détection. Les deux sont des preuves utiles, chacune dans son périmètre.