TL;DR
L’ANSSI, Agence nationale de la sécurité des systèmes d’information, a traité 4 386 événements de sécurité en 2024, soit une hausse de 15 % par rapport à 2023, dont 1 361 incidents confirmés impliquant des acteurs malveillants (Panorama de la cybermenace 2024, ANSSI, mars 2025).
Créée en 2009, l’agence est à la fois régulateur, opérateur de cyberdéfense, certificateur de produits et de prestataires, et productrice des référentiels techniques qui structurent la cybersécurité française. Comprendre ce qu’elle fait, et surtout à qui elle s’adresse réellement, est utile à toute organisation qui cherche à situer ses propres obligations dans ce paysage.
Le sigle ANSSI apparaît régulièrement dans les discussions sur la cybersécurité des entreprises françaises, souvent invoqué comme une référence, parfois comme une autorité lointaine dont les guides s’accumulent sans qu’on sache exactement quoi en faire. La réalité est plus nuancée et plus utile que les deux caricatures.
L’ANSSI est un acteur concret, dont les publications, les qualifications et les alertes ont des effets directs sur les pratiques des prestataires de cybersécurité, des éditeurs de logiciels et, de plus en plus depuis la transposition de NIS 2, sur un ensemble élargi d’organisations. Comprendre comment elle fonctionne, ce qu’elle produit et à qui elle s’adresse permet de naviguer plus efficacement dans l’écosystème de la cybersécurité française, que l’on soit DSI d’une ETI, responsable informatique d’une collectivité ou dirigeant d’une PME.
Qui est l’ANSSI, exactement ?
L’Agence nationale de la sécurité des systèmes d’information a été créée par le décret n° 2009-834 du 7 juillet 2009. Elle constitue un service du Premier ministre et est placée sous l’autorité du secrétaire général de la défense et de la sécurité nationale (SGDSN). Elle succède à la DCSSI, Direction centrale de la sécurité des systèmes d’information, avec un mandat sensiblement élargi.
L’agence intervient à la fois comme régulateur, comme opérateur (détection, réponse à incident via le CERT-FR), comme certificateur (produits et prestataires) et comme animateur de l’écosystème national. À ce titre, elle constitue l’une des briques majeures du dispositif français de gestion de crise cyber et joue un rôle équivalent à celui du BSI allemand ou du NCSC britannique. Elle est dirigée par Vincent Strubel depuis janvier 2023 et dispose d’un budget annuel d’environ 150 millions d’euros en 2025, en croissance continue depuis les 80 millions d’euros de 2014.
Les quatre missions concrètes de l’ANSSI
La défense des systèmes d’information les plus sensibles. C’est la mission historique de l’agence : protéger les systèmes d’information de l’État, accompagner les administrations dans leur sécurisation et coordonner la réponse aux incidents les plus graves touchant l’infrastructure nationale. En 2024, plus de la moitié des opérations de cyberdéfense de l’ANSSI à son plus haut niveau d’engagement ont eu pour origine l’exploitation de vulnérabilités sur des équipements en bordure de système d’information (source : Panorama de la cybermenace 2024, ANSSI).
La réponse à incident via le CERT-FR. Le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques est la cellule opérationnelle de l’ANSSI. Il publie des alertes et des avis de sécurité sur les vulnérabilités et les menaces en cours, coordonne la réponse aux incidents touchant les opérateurs essentiels, et anime le réseau des CERT sectoriels français. Ses bulletins sont en accès libre et constituent une source de veille utilisée quotidiennement par les équipes de sécurité, y compris dans les entreprises privées qui n’ont aucun rapport direct avec l’ANSSI.
La régulation et la certification. C’est l’axe qui a le plus d’impact indirect sur les organisations privées, via les schémas de qualification et de certification que l’ANSSI gère. Le schéma PASSI (Prestataire d’audit de sécurité des systèmes d’information) qualifie les sociétés autorisées à réaliser des audits pour les entités régulées. Le schéma SecNumCloud définit les exigences de sécurité pour les offres cloud destinées aux données sensibles. La qualification HDS et les certifications de produits (Common Criteria, CSPN) complètent ce dispositif.
La production de référentiels et de guides. C’est l’axe le plus accessible pour une organisation de taille moyenne, parce que les publications de l’ANSSI sont en accès libre sur cyber.gouv.fr. Le guide ANSSI-BP-028 sur la configuration sécurisée des systèmes d’information, les recommandations sur la gestion des mots de passe, la méthodologie EBIOS Risk Manager pour l’analyse de risques constituent une base documentaire de référence que beaucoup d’organisations ne lisent pas, alors qu’elles devraient.
Ce que le Panorama de la cybermenace dit des risques réels en 2024
Chaque année, l’ANSSI publie son Panorama de la cybermenace, le document de référence pour comprendre l’évolution des menaces qui pèsent sur les organisations françaises. L’édition 2024, publiée en mars 2025, dresse un bilan sans embellissement. En 2024, 4 386 événements de sécurité ont été traités, soit une hausse de 15 % par rapport à 2023, dont 1 361 incidents confirmés impliquant des acteurs malveillants.
Quatre secteurs concentrent 76 % des incidents : l’éducation et la recherche (34 %), les ministères et collectivités territoriales (24 %), la santé (10 %) et les télécommunications (9 %). Ces chiffres concernent les incidents que l’ANSSI traite directement, c’est-à-dire les plus graves. Ils ne reflètent pas l’ensemble des incidents qui touchent l’économie française.
Le panorama 2024 met aussi en avant les mauvaises pratiques Active Directory qui tardent à être corrigées : le positionnement de l’attribut SPN, trop de mots de passe administrateurs inchangés depuis plus de trois ans, des permissions dangereuses sur des comptes non privilégiés. Ce constat est frappant pour qui travaille sur des environnements Active Directory : les vulnérabilités documentées depuis des années persistent dans la très grande majorité des parcs informatiques, pas faute d’information, mais faute de priorisation et de ressources pour y remédier.
L’ANSSI, NIS 2 et les nouvelles obligations qui s’élargissent
La transposition de la directive NIS 2 en France par l’ordonnance du 30 avril 2024 a élargi significativement le périmètre d’organisations soumises à des obligations de cybersécurité formelles, dans dix-huit secteurs d’activité. L’ANSSI est l’autorité nationale compétente chargée d’identifier les entités concernées, de définir les exigences applicables et de superviser leur mise en conformité.
Ce mouvement change le rapport que de nombreuses organisations ont avec l’ANSSI. Des entreprises qui n’avaient aucun lien direct avec l’agence se retrouvent potentiellement dans son périmètre de régulation, avec des obligations de déclaration d’incidents, de gestion des risques documentée et de sécurisation de leur chaîne d’approvisionnement logicielle. L’ANSSI publie régulièrement des guides d’accompagnement à la conformité NIS 2 sur cyber.gouv.fr, en accès libre.
Ce que ça change concrètement pour votre organisation
Là où l’ANSSI produit de la valeur pour une organisation de taille moyenne, c’est moins dans ses interventions directes que dans les standards qu’elle impose à l’écosystème des prestataires. Quand une entreprise engage un prestataire de test d’intrusion qualifié PASSI, elle bénéficie d’une méthodologie, d’un niveau de compétence et d’une déontologie vérifiés par l’ANSSI. Ces certifications ne sont pas des gadgets marketing : elles traduisent des exigences techniques réelles.
Chez PIIRATES, cabinet de cybersécurité offensive basé à Saint-Péray, nous structurons nos interventions en cohérence avec les référentiels ANSSI, que ce soit sur les tests d’intrusion de systèmes d’information, les audits de sécurité Active Directory en lien direct avec les constats documentés dans le Panorama annuel, ou les interventions en environnement industriel pour les organisations avec des systèmes OT dans leur périmètre.
Les mauvaises pratiques Active Directory que l’ANSSI documente d’année en année, mots de passe administrateurs inchangés, permissions dangereuses sur des comptes non privilégiés, configurations SPN incorrectes, sont exactement ce que nos missions de surveillance et d’audit Active Directory cherchent à identifier et à corriger sur le terrain. Le Panorama de la cybermenace alerte aussi sur le facteur humain, les campagnes de phishing ciblées, les collaborateurs comme vecteur d’entrée. Notre formation de sensibilisation utilisateurs en présentiel, certifiée Qualiopi, répond directement à cet enjeu en transformant les collaborateurs d’un vecteur de risque en premier rempart de détection.
Comment lire et utiliser concrètement les guides ANSSI
La production documentaire de l’ANSSI est dense, parfois technique, et souvent sous-utilisée. Quelques repères pour s’y retrouver sans y passer des heures.
Pour débuter sans équipe sécurité dédiée. Le guide "La cybersécurité pour les TPE/PME en 12 questions", disponible gratuitement sur cyber.gouv.fr, est rédigé pour être applicable immédiatement, pas pour être rangé. C’est le point de départ le plus adapté pour une organisation qui n’a pas encore structuré sa démarche.
Pour une veille opérationnelle sur les vulnérabilités. Les alertes et avis du CERT-FR sont publiés en continu sur cert.ssi.gouv.fr. S’y abonner via flux RSS ou email prend cinq minutes et permet d’être informé des vulnérabilités critiques affectant les logiciels et équipements utilisés. C’est un signal d’alerte précoce gratuit que beaucoup d’organisations n’ont pas activé.
Pour une démarche de gestion des risques structurée. EBIOS Risk Manager est la méthode d’analyse de risques publiée par l’ANSSI et recommandée pour structurer une démarche de management de la sécurité. Elle est utilisée dans les démarches ISO 27001 et NIS 2 comme outil de documentation de l’évaluation des risques. Sa maison d’édition est l’ANSSI elle-même, la méthode est gratuite et en accès libre.
À qui l’ANSSI s’adresse-t-elle vraiment ?
C’est la question que beaucoup de responsables informatiques de PME ou d’ETI n’osent pas poser clairement. La réponse honnête est la suivante : l’ANSSI n’intervient pas directement pour la grande majorité des organisations françaises en cas d’incident. Ses ressources opérationnelles sont concentrées sur les administrations et les opérateurs jugés les plus critiques : OIV (Opérateurs d’Importance Vitale), Entités Essentielles NIS 2 et Entités Importantes. Pour une PME ou une ETI non incluse dans ces périmètres, l’interlocuteur public en cas d’incident cyber est plutôt Cybermalveillance.gouv.fr, la plateforme gouvernementale d’assistance aux victimes.
En revanche, les recommandations, référentiels et guides que l’ANSSI produit s’adressent explicitement à toutes les organisations, sans distinction de taille. Le guide des bonnes pratiques pour les TPE et PME, les recommandations sur la configuration des postes de travail, ou les alertes CERT-FR sur les vulnérabilités critiques sont autant de ressources applicables par n’importe quelle organisation qui souhaite s’en saisir.
Les vulnérabilités que l’ANSSI documente chaque année sont-elles présentes dans votre système d’information ?
Ce que nous ne faisons pas
(Liste non exhaustive)
Piratage de boite mail
Piratage comptes réseaux sociaux
Espionnage
Exfiltration de sms
Récupération de Cryptomonnaies
Prise en main à distance de véhicules
Suivi GPS de véhicule
Envoyez nous un ping
Pas directement pour la majorité des organisations. L’ANSSI concentre ses ressources opérationnelles sur les administrations et les entités critiques (OIV, entités essentielles NIS 2). Pour une PME ou une ETI, le premier interlocuteur public en cas d’incident est Cybermalveillance.gouv.fr, qui propose une mise en relation avec des prestataires spécialisés. Contacter directement l’ANSSI pour un incident touchant une PME sans lien avec une infrastructure critique ne débouchera pas sur une intervention directe.
La qualification PASSI (Prestataire d’audit de sécurité des systèmes d’information) est délivrée par l’ANSSI aux cabinets qui ont démontré leur compétence selon un référentiel technique strict. Pour les entités régulées (administrations, OIV, entités NIS 2), faire appel à un PASSI peut être une obligation contractuelle ou réglementaire. Pour les autres organisations, c’est un critère de confiance sur le sérieux du prestataire choisi pour un test d’intrusion.
Non. L’ANSSI est l’autorité nationale, chargée de la défense des systèmes d’information critiques, de la régulation et de la production des référentiels. Cybermalveillance.gouv.fr est un dispositif national d’assistance aux victimes de cybermalveillance, créé avec le concours de l’ANSSI mais distinct dans ses missions : il s’adresse aux particuliers, aux associations, aux collectivités locales et aux entreprises de toute taille pour les aider à trouver des prestataires locaux en cas d’incident.
Les obligations réglementaires ne s’imposent qu’aux organisations dans le périmètre légal concerné (OIV, entités NIS 2). Mais les guides et recommandations techniques de l’ANSSI sont des bonnes pratiques applicables à toute organisation, indépendamment de leur statut réglementaire. Les utiliser ne crée pas d’obligation, mais constitue un point de référence reconnu que les auditeurs et partenaires peuvent utiliser pour évaluer la maturité d’une organisation.
L’ANSSI publie des guides sectoriels précisant les critères d’éligibilité sur cyber.gouv.fr. Pour les cas limites, une analyse des activités au regard des dix-huit secteurs listés dans l’ordonnance du 30 avril 2024 est nécessaire. Un test d’intrusion associé à une évaluation de conformité NIS 2 permet à la fois de mesurer son niveau de maturité réel et d’identifier les écarts de conformité à traiter en priorité.
Votre fournisseur SaaS est certifié et votre contrat signé. Mais qui a vérifié que votre configuration, vos accès et vos intégrations sont réellement sécurisés ? Ce que les certifications ne couvrent pas, et ce que les scanners automatiques ratent.
