Qu'est-ce qu'un prestataire de réponse aux incidents qualifié (PRIS) ?

Un PRIS est un prestataire de réponse aux incidents de sécurité qualifié par l’ANSSI. Pour l’obtenir, il est évalué selon un référentiel d’exigences public qui encadre ses méthodes, ses équipes et la conduite des interventions. La version 3.2 du référentiel, publiée en octobre 2025, couvre cinq activités, de la recherche d’indices de compromission jusqu’à la gestion de crise d’origine cyber.

Cet article fait partie de notre série sur la réponse à incident. Pour la vue d’ensemble, voir Qu’est-ce que la réponse à incident en cybersécurité ?.

Ce que veut dire « qualifié »

En France, la qualification est un visa de sécurité délivré par l’ANSSI. Elle atteste qu’un produit ou un service respecte un référentiel d’exigences, après une évaluation menée par un centre d’évaluation agréé. Pour les services, l’ANSSI a défini plusieurs familles de prestataires :

Qualification	Domaine
PASSI	Audit de la sécurité des systèmes d’information
PDIS	Détection des incidents de sécurité
PRIS	Réponse aux incidents de sécurité

Le référentiel PRIS fixe des exigences sur trois plans : le prestataire lui-même (organisation, confidentialité, protection des données du client), son personnel (compétences, expérience) et le déroulement de la prestation (convention avec le client, collecte et conservation des preuves, rapport).

Les cinq activités couvertes

Selon l’ANSSI, la version 3.2 du référentiel couvre les activités suivantes :

Activité	En pratique
Recherche d’indicateurs de compromission	Chercher dans le système d’information les traces d’une attaque connue ou suspectée
Investigation numérique	Analyser les systèmes touchés pour reconstituer ce qu’a fait l’attaquant
Analyse de code malveillant	Comprendre le fonctionnement d’un logiciel malveillant retrouvé
Pilotage et coordination des investigations	Organiser les équipes, prioriser, faire la synthèse
Gestion de crise d’origine cyber	Accompagner la direction dans le pilotage de la crise

La gestion de crise est la nouveauté de la version 3.2, publiée le 28 octobre 2025 : elle devient une activité à part entière, et l’ANSSI indique que les exigences des quatre autres activités sont inchangées. Un prestataire peut être qualifié pour une partie seulement de ces activités. Pour la différence entre réponse technique et gestion de crise, voir Quelle différence entre réponse à incident et gestion de crise ?.

Deux niveaux de qualification

Depuis la version 3.0 du référentiel, annoncée par l’ANSSI le 29 novembre 2024, il existe deux niveaux de qualification : substantiel et élevé. Cette évolution vise notamment la cohérence avec les travaux menés au niveau européen dans le cadre du Cybersecurity Act, et une meilleure prise en compte des contraintes opérationnelles des prestations de réponse. Le niveau à rechercher dépend de la sensibilité du système d’information concerné.

Est-il obligatoire de faire appel à un PRIS ?

Non, en règle générale. La qualification est une démarche volontaire du prestataire, et aucune obligation générale n’impose à une entreprise de choisir un PRIS. NIS2 prévoit la gestion des incidents parmi les mesures de l’article 21 et la notification des incidents importants à l’article 23, mais le texte ne précise pas par qui la réponse doit être menée. Au 15 septembre 2026, la loi française de transposition de NIS2 n’est pas adoptée.

Certaines organisations, notamment publiques ou très sensibles, peuvent être incitées ou tenues par leur cadre propre à recourir à des prestataires qualifiés : c’est à vérifier au cas par cas avec les textes qui les concernent. Pour le cadre général, voir La réponse à incident est-elle obligatoire ?.

Quand demander un PRIS

La qualification est un bon critère quand :

• le système d’information est critique ou traite des données sensibles ;
• l’incident risque d’aboutir à une procédure judiciaire, où la qualité de la collecte des preuves comptera ;
• l’organisation doit pouvoir démontrer à une autorité ou à un assureur qu’elle a fait appel à un tiers reconnu ;
• un client ou un donneur d’ordre l’exige contractuellement.

Pour une PME, l’essentiel est surtout d’avoir identifié, avant l’attaque, un intervenant joignable à toute heure, avec un contrat clair. Voir Qu’est-ce qu’un contrat de réponse à incident (retainer) ?.

Les questions à poser à tout prestataire, qualifié ou non

• Pour quelles activités êtes-vous qualifié, à quel niveau, et jusqu’à quand ?
• En combien de temps pouvez-vous intervenir, à distance et sur site ?
• Comment collectez-vous et conservez-vous les preuves ?
• Qui rédige le rapport, et que contient-il ?
• Comment travaillez-vous avec l’infogérant du client ?

Le référentiel PRIS lui-même est une bonne grille de lecture, même pour comparer des prestataires qui ne sont pas qualifiés. Pour le périmètre d’une intervention, voir Que couvre une prestation de réponse à incident ?.

Faire le point avec un expert

Vous voulez savoir quel niveau d’exigence retenir pour vous ou pour vos clients ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous. Les certifications et documents de sécurité de Cyna sont consultables sur son Trust Center.

Vous êtes attaqué ? Déclarez un incident : l’astreinte Cyna est joignable 24h/24 et 7j/7.

Questions fréquentes

Comment vérifier qu'un prestataire est réellement qualifié PRIS ?

L'ANSSI publie sur cyber.gouv.fr le catalogue des produits et services qualifiés. Vérifiez que le prestataire y figure, pour quelles activités et à quel niveau, et que la qualification est en cours de validité.

Un prestataire non qualifié est-il forcément moins compétent ?

Non. La qualification est longue et coûteuse, et des équipes compétentes ne l'ont pas. Mais sans elle, c'est à vous de vérifier les points que l'évaluation contrôle : méthodes, confidentialité, compétences, gestion des preuves. Voir Comment évaluer la capacité de réponse à incident d'un prestataire SOC ?.

Quelle différence entre PRIS et PDIS ?

Le PDIS est qualifié pour la détection des incidents (surveillance continue, type SOC), le PRIS pour la réponse une fois l'incident survenu. Les deux sont complémentaires. Voir Faut-il exiger un prestataire de détection qualifié PDIS ?.

Une petite entreprise doit-elle chercher un PRIS ?

Ce n'est pas indispensable. Pour une TPE ou une PME, cybermalveillance.gouv.fr oriente vers des prestataires de proximité, notamment ceux labellisés ExpertCyber. L'important est de savoir à l'avance qui appeler.