Appel à commentaires sur l’ajout d’un volet gestion de crise au référentiel PRIS

Afin d’enrichir le référentiel d’exigences applicables aux prestataires de réponse aux incidents de sécurité (PRIS), l’ANSSI propose l’intégration d’une activité de « gestion de crise ».

Afin de compléter la labellisation de prestataires compétents sur la préparation à la gestion de crise d’origine cyber au travers des prestataires d’accompagnement et de conseil en sécurité des systèmes d’information (PACS), l’ANSSI souhaite intégrer une activité de gestion de crise au sein du référentiel d’exigences applicables aux prestataires de réponse aux incidents de sécurité (PRIS).

L’activité de gestion de crise est nécessaire dans le cas de situations graves ou complexes, notamment par l’ampleur et les impacts de l’incident vis-à-vis des activités métiers du bénéficiaire et sur besoin capacitaire ou d’expertise relative à la gestion de crise. Elle peut aussi être essentielle si le bénéficiaire n’a pas effectué de préparation à la gestion de crise.

Ainsi, elle vise à :

• apporter une assistance en situation de crise afin de limiter les impacts de l’incident.
• limiter les impacts d’une crise cyber en apportant une capacité de réponse et de soutien adéquate afin de préserver les intérêts du bénéficiaire ou du commanditaire (réputation, continuité des activités, rétablissement des capacités opérationnelles, etc.).

Sur proposition de cette version, les PRIS de gestion de crise seront capables notamment :

• de contribuer à la mise en place d’un dispositif de gestion de crise en situation d’urgence ,
• d’établir un plan d’action de gestion de crise, et d’assurer une cohérence d’ensemble de gestion de crise,
• d’apporter un premier niveau de conseil à la communication de crise, et connaissances des enjeux cyber et juridiques.

NB : les PRIS ne se substitueront pas aux différents organes du bénéficiaire (juridique, communication, etc.), ni à leurs responsabilités.

Cette nouvelle activité est mise en ligne aujourd’hui dans le cadre d’un appel public à commentaires. Les observations, les commentaires et les propositions peuvent être transmis jusqu’au 30 mai 2025, de préférence par courriel, à l’adresse commentaires-passipdispris@ssi.gouv.fr et à l’aide de la fiche de lecture ci-dessous.

La possibilité de faciliter les évaluations des prestataires candidats à la fois à la qualification PACS sur l’activité de préparation à la gestion de crise et à la qualification PRIS sur l’activité de gestion de crise sera étudiée une fois les exigences relatives à la gestion de crise dans le référentiel PRIS finalisées.

Pour faciliter la relecture, l’ANSSI fournit le référentiel avec marques de révision.

L’ANSSI remercie par avance tous ceux qui répondront à cet appel à commentaires.