L'ANSSI, Agence nationale de la sécurité des systèmes d'information, est l'autorité nationale française en matière de cybersécurité. On la croise dans les avis de vulnérabilités, les guides de bonnes pratiques, les qualifications de prestataires ou les obligations des opérateurs critiques. On la confond souvent avec la CNIL, qui protège les données personnelles, alors que les deux institutions n'ont ni le même objet ni les mêmes pouvoirs. Cet article présente l'ANSSI, ses missions et ses services, puis explique ce qui la distingue de la CNIL, présentée dans notre article sur la CNIL.
L'ANSSI en bref
L'ANSSI a été créée le 7 juillet 2009. C'est un service de l'État rattaché au Secrétariat général de la défense et de la sécurité nationale (SGDSN), qui assiste le Premier ministre dans ses responsabilités de défense et de sécurité nationale (voir la page de l'ANSSI sur le site du SGDSN). Son site de référence est cyber.gouv.fr.
À la différence de la CNIL, ce n'est pas une autorité administrative indépendante : elle agit au sein de l'appareil d'État, avec une forte dimension de défense.
À retenir : l'ANSSI est l'autorité nationale de la sécurité des systèmes d'information. Son sujet, c'est la résilience des systèmes face aux attaques.
Ses missions principales
Prévenir et réglementer
L'ANSSI élabore des règles, référentiels et guides. Elle pilote le dispositif de protection des opérateurs d'importance vitale issu de la loi de programmation militaire, dont les notions sont expliquées dans notre glossaire OIV, LPM, SIIV, PASSI, PDIS. Elle intervient aussi dans les cadres européens comme la directive NIS 2. Ses guides de bonnes pratiques, comme le guide d'hygiène informatique, sont publiés gratuitement.
Détecter et réagir
Au sein de l'agence, le CERT-FR est le centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques. Il publie des avis de sécurité et des alertes sur les vulnérabilités (à mettre en regard de la base de vulnérabilités CVE), et apporte un appui aux victimes d'incidents majeurs, en priorité pour les administrations et les opérateurs critiques.
Certifier et qualifier
L'ANSSI délivre des certifications et qualifications qui servent de repères de confiance :
- la certification de sécurité de premier niveau (CSPN) pour des produits ;
- la qualification SecNumCloud pour les offres de cloud ;
- la qualification de prestataires de services : audit (PASSI), détection (PDIS), réponse aux incidents (PRIS) ;
- le visa de sécurité et le label France Cybersecurity.
Le catalogue des produits et services certifiés ou qualifiés est publié par l'agence.
Accompagner et sensibiliser
Elle publie des recommandations, des formations et des ressources pour les administrations, les entreprises et les particuliers. L'assistance de proximité aux victimes de cybermalveillance pour le grand public et les petites structures relève surtout d'un dispositif national distinct, Cybermalveillance.gouv.fr.
Qui est concerné par l'ANSSI ?
| Public | Relation avec l'ANSSI |
|---|---|
| Opérateurs d'importance vitale | Obligations réglementaires, déclaration des systèmes critiques, incidents |
| Entités soumises à NIS 2 | Exigences de gestion des risques et de notification, selon la transposition applicable |
| Administrations | Référentiels, appui technique, réponse aux incidents |
| Industriels et éditeurs | Certification et qualification de produits et services |
| Entreprises et particuliers | Guides, alertes, ressources de sensibilisation |
Pour l'état exact des obligations applicables à votre organisation, notamment sur NIS 2, la source de référence reste le site de l'ANSSI.
ANSSI et CNIL : quelle différence ?
| ANSSI | CNIL | |
|---|---|---|
| Objet | Sécurité des systèmes d'information | Protection des données personnelles |
| Statut | Service de l'État rattaché au SGDSN | Autorité administrative indépendante |
| Cadre | Code de la défense (LPM), NIS 2, référentiels de sécurité | RGPD, loi Informatique et Libertés |
| Logique | Résilience, détection, réponse, qualification | Conformité, droits des personnes, sanction |
| Sanction financière type RGPD | Non, ce n'est pas son rôle | Oui, amendes pouvant aller jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial |
| En cas d'incident | Appui technique, alerte, coordination | Notification d'une violation de données, contrôle et sanction |
Les deux institutions se recoupent sur un point : le RGPD exige des mesures de sécurité adaptées pour protéger les données personnelles. Une organisation qui néglige la sécurité s'expose donc à un problème de conformité côté CNIL, même si l'ANSSI n'a pas de rôle de sanction sur ce point.
Prenons l'exemple d'un rançongiciel avec vol de données clients. L'entreprise doit gérer la partie technique (isolement, analyse, restauration, éventuel appui du CERT-FR ou d'un prestataire qualifié) et la partie données personnelles (notification à la CNIL dans les 72 heures lorsque la violation présente un risque, information des personnes concernées). Ce sont deux démarches parallèles, non substituables.
À retenir : l'ANSSI aide à résister et réagir aux attaques ; la CNIL vérifie que les données des personnes sont protégées et peut sanctionner. Une même attaque peut concerner les deux.
Que faire concrètement ?
- Identifier son statut : opérateur critique, entité NIS 2, ou organisation non régulée.
- Suivre les alertes du CERT-FR pour les technologies utilisées, et corriger rapidement.
- Appliquer les guides de l'ANSSI, notamment le guide d'hygiène informatique, comme socle minimal.
- Recourir à des prestataires qualifiés lorsque la réglementation ou la criticité l'exigent.
- Préparer un plan de réponse aux incidents qui prévoit aussi la notification à la CNIL en cas de violation de données.
- Consulter cyber.gouv.fr avant de s'en remettre à des synthèses tierces, qui vieillissent vite.
En résumé
L'ANSSI est l'autorité de la sécurité des systèmes d'information : elle édicte des règles, veille, alerte, qualifie et accompagne. La CNIL est l'autorité de la donnée personnelle : elle informe, contrôle et sanctionne au titre du RGPD. Distinguer les deux permet de savoir vers qui se tourner, et surtout de comprendre qu'après une cyberattaque, il faut souvent parler aux deux.