CSPN et Visa ANSSI : certification de sécurité française

Hugues Orgitello mis à jour le 7 oct. 2026 18 min de lecture

La CSPN (Certification de Sécurité de Premier Niveau) est l'évaluation de produit en temps contraint opérée par l'ANSSI, l'agence nationale de la sécurité des systèmes d'information, depuis une phase expérimentale ouverte le 25 avril 2008. Ses règles ne relèvent pas de l'usage : elles figurent dans quelques procédures ANSSI courtes, dont la principale, ANSSI-CSPN-CER-P-01, est passée en version 7.0 le 12 mai 2026. Ce guide lit ces procédures directement : la charge de 25 hommes.jours et ses bornes, la validité de trois ans, les fonctions évaluables ou non, les dix centres d'évaluation agréés, la reconnaissance BSZ en Allemagne, le lien avec la qualification ANSSI, et ce que le schéma européen EUCC, le Cyber Resilience Act et l'article 3, paragraphe 3, de la RED changent, ou ne changent pas, pour une CSPN.

L'ANSSI et le schéma français de certification

L'ANSSI a été créée par le décret n° 2009-834 du 7 juillet 2009 et relève du Secrétariat général de la défense et de la sécurité nationale (SGDSN). La certification de produits repose sur un texte plus ancien, le décret n° 2002-535 du 18 avril 2002 relatif à l'évaluation et à la certification de la sécurité offerte par les produits et les systèmes des technologies de l'information, qui définit le schéma français d'évaluation et de certification. Au sein de l'ANSSI, le Centre de certification national (CCN) gère à la fois la CSPN et la certification Critères Communs.

L'ANSSI ne teste pas elle-même les produits. Les évaluations sont menées par des laboratoires agréés, les CESTI (Centres d'Évaluation de la Sécurité des Technologies de l'Information), et l'ANSSI valide leur rapport technique d'évaluation, rédige le rapport de certification et délivre le certificat. Selon la FAQ de l'ANSSI, les services du centre de certification relèvent du service public et sont gratuits ; le coût d'un projet est celui du contrat avec le CESTI, qui varie d'un projet à l'autre selon l'ANSSI.

Le Visa de sécurité est une marque, pas un schéma

L'ANSSI présente le Visa de sécurité comme la marque délivrée aux solutions ayant obtenu une certification ou une qualification de sa part. Il coiffe deux processus qui répondent à des questions différentes :

Processus	Ce qu'il atteste	Base habituelle
Certification (CSPN ou Critères Communs)	Robustesse d'une version précise d'un produit face aux attaques, à un instant donné	Évaluation par un CESTI, certificat par le CCN
Qualification	Adéquation d'un produit ou d'un service aux besoins des administrations et des opérateurs régulés, et confiance dans le fournisseur dans la durée	En général une certification, plus des engagements pris auprès de l'ANSSI

L'ANSSI indique que c'est la qualification qui répond aux exigences réglementaires de la Loi de programmation militaire (LPM), du Référentiel général de sécurité (RGS) et d'eIDAS. La certification seule ne présume rien des aspects non évalués ni de l'entreprise. La FAQ de l'ANSSI précise que le Visa valorise la certification, la qualification et l'agrément des centres d'évaluation, tandis que des labels comme le label EBIOS et SecNumEdu sont distincts.

La CSPN en chiffres, d'après les procédures

Le tableau ci-dessous rassemble les règles chiffrées du schéma. Chaque ligne renvoie à la procédure qui la fixe.

Paramètre	Valeur	Où elle est fixée
Charge de référence	25 hommes.jours sur 8 semaines calendaires	CER-P-01 v7.0, chapitre 9.3
Supplément cryptographie	+10 hommes.jours lorsque des fonctions de sécurité essentielles reposent sur la cryptographie	CER-P-01, chapitre 9.3
Bornes de charge	Pas moins de 15 ni plus de 60 hommes.jours, sauf certains cas de réévaluation	CER-P-01, chapitre 9.3 (plafond de 60 hommes.jours depuis la v5.0 du 12 janvier 2023)
Motifs d'adaptation de charge	Installation lourde, nombreuses fonctions de sécurité, protocoles propriétaires, réévaluation, accès au code source	CER-P-01, note du chapitre 9.3
Validité du certificat	Trois ans, puis archivage	CER-P-01, chapitre 11
Surveillance	Aucune (supprimée par la v3.0 du 12 avril 2021)	CER-P-01, suivi des modifications
Demande de maintenance	Uniquement dans les 24 mois suivant la certification	CER-P-01 chapitre 13 et MAI-P-01 v1.1
Réévaluation après un FAIL	Dossier dans les quatre mois suivant la lettre de clôture, démarrage dans les deux mois, au plus la moitié de la charge initiale	CER-P-01, chapitre 10.3 (ajouté en v7.0)
Mesures correctives après une non-conformité	Trente jours calendaires avant suspension ou retrait	CER-P-01, chapitre 13.1
Réduction de portée d'un certificat	Impossible en CSPN	CER-P-01, chapitre 13
Agrément d'un CESTI	Deux ans, renouvellement demandé au plus tard quatre mois avant l'échéance	AGR-P-01 v2.0, chapitres 3.6 et 3.9
Frais de certification ANSSI	Aucun (service public)	FAQ ANSSI

La charge a une histoire : la phase expérimentale retenait 20 hommes.jours pour l'évaluation de base, portés à 25 hommes.jours quand la version 1.0 a clos l'expérimentation le 30 mai 2011.

Le déroulement d'une évaluation

CER-P-01 décrit les acteurs (commanditaire, centre d'évaluation, centre de certification de l'ANSSI, éventuellement le développeur et des observateurs) et une séquence fixe :

Étape	Qui	Livrable
Prérequis	Commanditaire	Cible de sécurité conforme à ANSSI-CSPN-NOTE-09, documentation cryptographique selon CRY-P-01, produit éligible, accès au produit et à la documentation utilisateur
Contrat avec un CESTI	Commanditaire	CESTI agréé pour la portée technique du produit
Demande	Commanditaire	Dossier de demande (formulaire CER-F-01), cible de sécurité, documentation cryptographique
Analyse de la demande	ANSSI	Courrier d'enregistrement, ou refus (dossier incomplet, CESTI non agréé pour la portée, produit non éligible)
Évaluation en « mode tunnel »	CESTI	Rapport technique d'évaluation (RTE)
Validation et présentation	ANSSI, CESTI	RTE validé, présentation des résultats à l'ANSSI
Décision	ANSSI	Certificat et rapport de certification, signés électroniquement par le directeur général de l'ANSSI par délégation du Premier ministre

Le mode tunnel signifie que le commanditaire n'interagit pas avec les évaluateurs pendant les travaux sauf à leur demande, que les résultats ne lui sont pas transmis avant validation par l'ANSSI, et que ni le produit ni les fournitures ne peuvent changer pendant l'évaluation. La version 7.0 a assoupli deux points : une nouvelle version du produit peut être fournie avant le démarrage des travaux, à condition que les objectifs de sécurité et le planning ne changent pas ; et le CESTI peut informer le commanditaire (et simultanément l'ANSSI) d'une vulnérabilité critique découverte pendant l'évaluation, sans l'arrêter ni permettre une version corrigée.

CER-P-02 v5.0, applicable depuis le 1er septembre 2024, organise les tâches de l'évaluateur en cinq phases : analyse de la cible de sécurité et des spécifications cryptographiques, installation, analyse de la documentation et des processus de développement, analyse de la conformité, et analyse de la résistance (tests de pénétration, y compris les vulnérabilités induites par le produit sur son système hôte). Elle a remplacé le référentiel cryptographique RGS_B par ANSSI-PG-083 et ajouté une annexe justifiant la conformité à la norme EN 17640:2022, la méthodologie européenne d'évaluation de cybersécurité en temps contraint pour les produits TIC.

Quels produits et quelles fonctions sont éligibles

C'est là que la plupart des supports commerciaux se trompent. L'annexe B de CER-P-01 indique que l'ANSSI refuse la certification lorsqu'elle ne dispose pas d'un état de l'art, et que seules ces fonctionnalités peuvent être des fonctions de sécurité dans une cible CSPN :

• communication sécurisée ;
• identification, authentification et contrôle d'accès des utilisateurs ;
• protection de données, en stockage ou en transit, incluant l'effacement sécurisé ;
• autoprotection : démarrage sécurisé, autotests, protection physique, cloisonnement ;
• journalisation.

Les fonctions d'analyse ou de détection (pare-feu applicatif, filtrage de fichiers, détection d'intrusion, scan de vulnérabilités, EDR, sonde réseau, antivirus) ne peuvent pas être évaluées ; elles ne sont considérées que comme surface d'attaque. Une note précise que l'authentification biométrique et les systèmes d'enrôlement (de type KYC) ne peuvent pas non plus être évalués. L'annexe B refuse aussi, entre autres : les produits présentant trop de fonctions de sécurité ou de composants pour la charge (la solution est une séquence d'évaluations), les produits dont la configuration n'est maîtrisée que par le développeur, les SDK, middlewares et bibliothèques, les produits sous l'état de l'art grand public ou ne respectant pas les guides ANSSI obligatoires (authentification multifacteur et mots de passe, TLS, configuration GNU/Linux), les produits reposant sur des composants tiers non maintenus, la cryptographie propriétaire, et les cibles qui ne reflètent pas l'usage réel. La FAQ de l'ANSSI confirme qu'une bibliothèque logicielle n'est pas éligible à la CSPN, et qu'une station de travail multiniveau complète ne peut passer qu'en Critères Communs.

Un prérequis de plus : aucune certification Critères Communs dans le cadre de CCRA, SOG-IS ou EUCC ne doit être en cours ou avoir eu lieu sur une version similaire du produit, sauf besoin particulier justifié par le commanditaire et accepté par l'ANSSI.

Les dix centres d'évaluation agréés CSPN

L'ANSSI publie la liste des centres d'évaluation CSPN sur son site, et sa FAQ en compte dix. Au 7 octobre 2026, la liste cite ACCEIS, ALMOND (AMOSSYS), CEA-LETI, EDSI, LEXFO, OPPIDA, QUARKSLAB, SERMA SAFETY & SECURITY, SYNACKTIV et THALES/CNES.

Chaque centre est agréé pour des portées données, et la liste signale aussi les portées en cours d'acquisition : vérifiez la page à jour avant de choisir. Depuis la version 2.0 d'AGR-P-01 (24 février 2026), les portées sont définies par technologie et non plus par type de produit : trois portées principales (Logiciel, Matériel, Cryptographie) et des portées additionnelles (plateformes mobiles, systèmes de contrôle industriels, Web, circuit intégré, cryptographie post-quantique). L'agrément est décidé par le Premier ministre après un audit préliminaire et une évaluation pilote, et vaut deux ans. Un CESTI déjà agréé Critères Communs peut demander l'agrément CSPN pour les mêmes types de produits sans évaluation pilote. Pour les Critères Communs, le CESTI doit en outre être accrédité par le COFRAC selon l'ISO/IEC 17025 ; AGR-P-01 ne pose pas d'exigence d'accréditation équivalente pour la CSPN.

Reconnaissance : l'Allemagne oui, le reste du monde non

Un accord de reconnaissance mutuelle entre l'ANSSI et le BSI allemand couvre la CSPN et le schéma allemand BSZ (certification de sécurité accélérée). Signé initialement en 2022, il a été renouvelé en version 3 le 15 mai 2024 et s'appuie sur la norme EN 17640 (FiTCEM). Les certificats émis à partir du 1er août 2024 portent un logo commun ; les certificats antérieurs restent reconnus mais sans logo. La note 001 de l'accord liste les types de produits exclus de la reconnaissance. L'ANSSI précise qu'aucun accord semblable n'existe avec un autre partenaire.

Les certificats Critères Communs suivent d'autres règles, exposées sur la page de reconnaissance de l'ANSSI :

• CCRA (depuis l'accord du 8 septembre 2014) : reconnaissance jusqu'à EAL2 plus ALC_FLR pour les évaluations génériques, et jusqu'au niveau fixé par un profil de protection collaboratif (cPP) pour les évaluations conformes à un cPP.
• MRA SOG-IS (version de janvier 2010) : jusqu'à EAL7 dans les deux domaines techniques « microcontrôleurs sécurisés et produits similaires » et « équipements matériels avec boîtiers sécurisés », jusqu'à EAL4 sinon.
• EUCC : reconnaissance dans toute l'Union européenne, voir ci-dessous.

EUCC et ses effets sur les schémas nationaux

Le règlement d'exécution (UE) 2024/482 établit le schéma européen fondé sur les Critères Communs (EUCC) au titre du Cybersecurity Act, le règlement (UE) 2019/881. Il est entré en vigueur le 27 février 2024 et s'applique depuis le 27 février 2025. Son article 49 prévoit que les schémas nationaux couvrant les produits TIC couverts par EUCC cessent de produire leurs effets 12 mois après l'entrée en vigueur, avec une dérogation pour les processus de certification lancés dans ces 12 mois et achevés dans les 24 mois.

À l'ANSSI, cela s'est traduit par le calendrier suivant pour les Critères Communs sous SOG-IS :

Date	Événement (page de reconnaissance et actualités ANSSI)
27 février 2024	Entrée en vigueur d'EUCC ; enregistrements EUCC possibles
27 février 2025	Application d'EUCC ; plus aucune nouvelle évaluation SOG-IS ne peut être enregistrée
31 mars 2025	L'ANSSI émet ses deux premiers certificats EUCC, après l'accréditation COFRAC du CCN le 28 mars 2025
27 août 2025	Date limite de réception d'un RTE SOG-IS par le CCN
27 février 2026	Date limite d'émission d'un certificat SOG-IS
27 février 2031	Horizon maximal des maintenances SOG-IS (dernier certificat plus cinq ans)

Les certifications relatives à la sécurité publique, à la défense et à la sécurité nationale sont hors EUCC et restent nationales, sans la marque EUCC.

EUCC compte deux niveaux d'assurance calés sur la famille d'analyse de vulnérabilités des Critères Communs, et non sur les EAL (article 4) : substantiel couvre AVA_VAN 1 ou 2, élevé couvre AVA_VAN 3, 4 ou 5. Les certificats EUCC durent au plus cinq ans, sauf approbation d'une durée plus longue par l'autorité nationale (article 12), et EUCC impose des obligations de suivi à l'organisme de certification et au titulaire du certificat. L'ANSSI certifie au niveau « élevé » et a été autorisée pour trois domaines : cartes à puce et dispositifs similaires, dispositifs matériels avec boîtiers de sécurité, et produits réseaux ou logiciels génériques.

La CSPN n'est pas un schéma Critères Communs, et la FAQ de l'ANSSI répond directement : EUCC ne remplacera pas la CSPN. L'ANSSI décrit la CSPN comme centrée sur les tests d'intrusion, tandis qu'EUCC comporte des activités de conformité. La FAQ donne aussi AVA_VAN 3 comme repère du niveau visé par une CSPN.

	CSPN	EUCC
Base juridique	Décret 2002-535, procédures ANSSI	Règlement (UE) 2024/482 pris au titre du (UE) 2019/881
Méthode	Critères ANSSI CER-P-02, alignés sur EN 17640	ISO/IEC 15408 et ISO/IEC 18045
Niveau	Un seul niveau, en temps contraint	Substantiel (AVA_VAN 1-2) ou élevé (AVA_VAN 3-5)
Validité	Trois ans	Au plus cinq ans, sauf approbation contraire
Reconnaissance	France, et Allemagne via BSZ	Tous les États membres, CCRA si le pays en est membre
Présomption de conformité CRA	Non	Possible selon l'article 27, paragraphes 8 et 9, du CRA

La qualification : niveaux et évaluation associée

Le processus de qualification d'un produit de l'ANSSI (QUAL-PROD-PROCESS, version 1.0 de janvier 2017, appliqué au titre du décret n° 2015-350 du 27 mars 2015 et du décret n° 2010-112 du 2 février 2010 pour le RGS) définit une portée de qualification comme un niveau plus le cadre réglementaire visé. Les trois niveaux sont définis par la menace, et le processus indique l'évaluation retenue à titre indicatif lorsqu'elle est menée dans le cadre d'une certification :

Niveau de qualification	Menace à laquelle le produit résiste	Évaluation indicative
Élémentaire	Basique	CSPN
Standard	Avancée	Critères Communs EAL3 + ALC_FLR.3 + AVA_VAN.3
Renforcé	Élevée	Critères Communs EAL4 + ADV_IMP.2 + ALC_DVS.2 + ALC_FLR.3 + AVA_VAN.5

La durée d'une qualification de produit est fixée par l'ANSSI et ne peut excéder trois ans, avec des conditions et restrictions d'utilisation que l'acheteur doit respecter pour être en conformité. L'ANSSI attribue aussi un niveau de recommandation matérialisé par une coche verte, orange ou rouge ; par défaut, rouge signifie une échéance de qualification à moins de deux mois et orange à moins de six mois. La protection d'informations Diffusion Restreinte ou classifiées relève d'un autre instrument, l'agrément de produit, que l'ANSSI décrit comme une décision discrétionnaire.

Articulation avec la LPM et les OIV

L'article 22 de la Loi de programmation militaire de 2013 a ajouté des obligations de cybersécurité pour les Opérateurs d'Importance Vitale (OIV) sur leurs systèmes d'information d'importance vitale (SIIV), aujourd'hui aux articles L. 1332-6-1 et suivants du Code de la défense. L'ANSSI définit 20 règles de sécurité, fixées par des arrêtés sectoriels applicables à partir de 2016 et 2017, qui couvrent la gouvernance, la maîtrise des risques, la maîtrise des systèmes d'information, la gestion des incidents et la protection. L'ANSSI cite le décret n° 2015-350 sur la qualification parmi les références de ce dispositif, et ses contrôles de sécurité des OIV peuvent être conduits par un prestataire d'audit qualifié PASSI LPM.

Les qualifications de services

L'ANSSI qualifie aussi des services, avec des référentiels d'exigences publiés sur son site :

Référentiel	Périmètre	Version en vigueur
PACS	Conseil : homologation de sécurité, gestion des risques, sécurité des architectures, préparation à la gestion de crise cyber	v2.0
PASSI	Audit : architecture, configuration, code source, tests d'intrusion, audit organisationnel et physique	v2.2
PRIS	Réponse aux incidents : indicateurs de compromission, investigation numérique, analyse de codes malveillants, pilotage des investigations, gestion de crise cyber	v3.2
PDIS	Détection des incidents de sécurité	v2.0
PVID	Vérification d'identité à distance, niveaux de garantie « substantiel » et « élevé »	v1.1
SecNumCloud	Services cloud (IaaS, PaaS, SaaS)	v3.2

Les offres qualifiées SecNumCloud obtiennent un Visa de sécurité. L'ANSSI les présente comme des offres cloud visant à protéger les données et traitements sensibles face à la menace cybercriminelle et à l'application de lois extraterritoriales.

La CSPN face au marquage CE, au CRA et à la RED

CSPN et marquage CE sont indépendants. Le marquage CE manifeste la conformité à la législation européenne applicable (pour l'électronique, typiquement LVD, CEM, RED, RoHS, et le CRA à partir de ses dates d'application). Une CSPN montre que l'ANSSI a certifié une version de produit après une évaluation en temps contraint.

• Cyber Resilience Act (UE) 2024/2847 : obligations de signalement à partir du 11 septembre 2026, application complète à partir du 11 décembre 2027. Selon l'article 27, la présomption de conformité découle des normes harmonisées, des spécifications communes, ou d'un certificat ou d'une déclaration UE de conformité émis dans un schéma européen adopté au titre du Cybersecurity Act. L'article 27, paragraphe 9, permet à la Commission de désigner ces schémas par acte délégué, et un certificat d'au moins niveau « substantiel » dispense alors de l'évaluation par tiers pour les exigences couvertes. Une CSPN nationale n'entre dans aucune de ces catégories.
• RED, article 3, paragraphe 3, points d, e et f : s'applique aux équipements radio concernés depuis le 1er août 2025, avec les normes EN 18031-1/-2/-3 citées avec restrictions (décision (UE) 2025/138). Voir le guide EN 303 645 et EN 18031.

Dans les deux cas, un rapport CSPN peut nourrir l'analyse de risques et la documentation technique, mais ce n'est pas une voie de conformité.

Affirmations que les textes contredisent

Affirmation courante (y compris dans des versions antérieures de cette page)	Ce que dit le texte
« La CSPN a une reconnaissance limitée à l'étranger ; pour les acheteurs publics allemands, il faut un certificat BSI. »	Les certificats CSPN sont reconnus en Allemagne au titre de l'accord CSPN-BSZ avec le BSI (version 3 du 15 mai 2024), hors types de produits listés dans sa note d'application.
« EDR, antivirus et sondes réseau sont des domaines typiques de la CSPN. »	Annexe B de CER-P-01 : les fonctions d'analyse et de détection (EDR, antivirus, sonde réseau, détection d'intrusion, pare-feu applicatif, scanner de vulnérabilités) ne peuvent pas être évaluées ; elles ne comptent que comme surface d'attaque.
« Le CCRA reconnaît les certificats jusqu'à EAL4 augmenté. »	Depuis l'accord de 2014 : EAL2 plus ALC_FLR pour les évaluations génériques, ou le niveau fixé par un cPP.
« EUCC substantiel correspond à EAL1 à EAL4, élevé à EAL5 à EAL7. »	L'article 4 du règlement (UE) 2024/482 cale les niveaux sur AVA_VAN : substantiel = AVA_VAN 1-2, élevé = AVA_VAN 3-5.
« EUCC met fin aux schémas nationaux, la CSPN est donc en extinction. »	L'article 49 vise les schémas nationaux couverts par EUCC. FAQ ANSSI : EUCC ne remplacera pas la CSPN.
« La qualification renforcée est destinée aux données Diffusion Restreinte. »	Les niveaux de qualification sont définis par la menace (basique, avancée, élevée). La protection d'informations Diffusion Restreinte ou classifiées relève de l'agrément de produit.
« La qualification suit la durée de validité du certificat. »	La qualification est une décision ANSSI distincte, d'au plus trois ans, avec ses propres conditions d'utilisation et son niveau de recommandation.
« Les CESTI qui font de la CSPN sont sous contrôle qualité du COFRAC. »	AGR-P-01 agrée les centres CSPN par des audits ANSSI et une évaluation pilote ; l'accréditation ISO/IEC 17025 est une exigence pour les centres Critères Communs.
« La charge CSPN est de quelques dizaines de jours, fixée au cas par cas. »	25 hommes.jours sur 8 semaines, +10 pour la cryptographie, jamais moins de 15 ni plus de 60 sauf certaines réévaluations.
« Une CSPN contribue à la présomption de conformité CRA. »	L'article 27, paragraphe 8, du CRA ne vise que les schémas européens adoptés au titre du Cybersecurity Act.
« Les exigences par niveau figurent dans le RFS, Règlement fédéral de sécurité. »	Ce texte n'existe pas en droit français. Les références sont le processus de qualification, le RGS et les décrets de 2010 et 2015.
« Une bibliothèque ou un SDK peut obtenir une CSPN. »	Non éligible (annexe B de CER-P-01 et FAQ ANSSI) ; il faut évaluer l'application qui l'utilise.

Démarche pratique pour un fabricant

1. Vérifier l'éligibilité avant tout. Confrontez votre produit à l'annexe B de CER-P-01 : fonctions de sécurité dans les cinq familles éligibles, aucun moteur de détection revendiqué comme fonction, composants tiers maintenus, cryptographie standard, respect des guides ANSSI obligatoires. Vérifiez qu'aucun certificat Critères Communs ou EUCC n'existe sur une version similaire.

2. Rédiger la cible de sécurité selon NOTE-09. La cible doit nommer la version exacte, l'usage prévu, l'environnement technique et organisationnel, les biens sensibles (toujours y compris le système hôte), les attaquants, les menaces et les composants tiers avec leurs versions.

3. Choisir un CESTI agréé pour vos portées. Utilisez la liste ANSSI et vérifiez les portées, y compris la cryptographie si nécessaire. Le commanditaire contracte avec le CESTI et dépose la demande auprès de l'ANSSI.

4. Se préparer au mode tunnel. Figez la version et les fournitures avant le démarrage ; ensuite, seule une alerte de vulnérabilité critique peut sortir, et les corrections attendent la fin.

5. Planifier le cycle de vie. Le certificat dure trois ans ; la maintenance n'est possible que dans les 24 mois ; un FAIL laisse quatre mois pour déposer une réévaluation. Si le marché visé exige une qualification, planifiez-la comme une décision ANSSI distincte avec sa propre durée.

Voir aussi

• Cybersécurité produit : obligation, évaluation, label
• CMMC et UK Cyber Essentials: baselines cyber de défense
• PSA Certified: sécurité IoT pilotée par Arm
• SESIP: méthodologie d'évaluation cybersécurité IoT
• TPM 2.0 et sécurité matérielle TCG

Un cas concret de la préparation d'une évaluation CSPN ou d'une qualification ANSSI pour un produit électronique ? AESTECHNO peut auditer votre conception et votre plan de certification. Nous contacter

Évolutions récentes à surveiller

• CER-P-01 évolue vite. La version 6.0 (2 mars 2026) a introduit la signature électronique des certificats et rapports, une durée maximale pour les demandes de maintenance et le lien avec la gestion des vulnérabilités (VUL-P-01) ; la version 7.0 (12 mai 2026) a modifié le mode tunnel et créé la voie de réévaluation après un FAIL. Travaillez toujours sur la version en vigueur publiée sur la page des documents ANSSI.
• Portées des CESTI par technologie. Depuis février 2026, un centre est agréé pour des technologies comme la cryptographie post-quantique ou les circuits intégrés, et non plus pour des types de produits.
• SOG-IS est clos à l'ANSSI. Les nouveaux travaux Critères Communs passent par EUCC ; seule la maintenance des certificats SOG-IS existants demeure.
• Calendrier CRA. Les obligations de signalement s'appliquent à partir du 11 septembre 2026 ; le reste à partir du 11 décembre 2027.

Un audit de 30 minutes avec les ingénieurs AESTECHNO.

AESTECHNO est le bureau d'études qui édite spilma. Nous aidons les équipes produit à cadrer leur démarche de certification et à éviter les pièges classiques.

Réserver un audit gratuit

Pour aller plus loin

• Cyber Resilience Act : socle européen de cybersécurité produit
• ETSI EN 303 645 : cybersécurité IoT consommateur
• Critères Communs ISO/IEC 15408 : cadre normatif international
• Directive RED : équipements radio et cybersécurité article 3.3
• Glossaire : définitions des termes ANSSI, ENISA, CESTI, EUCC

Sources & références

1. ANSSI, agence nationale de la sécurité des systèmes d'information, ANSSI cyber.gouv.fr/
2. Visa de sécurité ANSSI, présentation et charte d'usage, ANSSI cyber.gouv.fr/offre-de-service/solutions-certifiees-et-qualifiees/comprendre-levaluation-de-securite/visa-de-securite/
3. Présentation de la Certification de Sécurité de Premier Niveau (CSPN), ANSSI cyber.gouv.fr/offre-de-service/solutions-certifiees-et-qualifiees/comprendre-levaluation-de-securite/certification-de-produits/presentation-certification-cspn/
4. Documents applicables à la CSPN (procédures, formulaires, méthodologies), ANSSI cyber.gouv.fr/offre-de-service/solutions-certifiees-et-qualifiees/comprendre-levaluation-de-securite/certification-de-produits/referentiel-dexigences-pour-la-certification/documents-applicables-certification-de-securite-de-premier-niveau/
5. ANSSI-CSPN-CER-P-01 v7.0, procédure de certification de sécurité de premier niveau (12 mai 2026), ANSSI cyber.gouv.fr/documents/51/ANSSI-CSPN-CER-P-01_Certification_de_securite_de_premier_niveau_v7.0.pdf
6. ANSSI-CSPN-CER-P-02 v5.0, critères pour l'évaluation en vue d'une CSPN (application le 1er septembre 2024), ANSSI cyber.gouv.fr/documents/770/ANSSI-CSPN-CER-P-02_Criteres_pour_evaluation_en_vue_dune_CSPN_v5.0.pdf
7. ANSSI-CSPN-MAI-P-01 v1.1, maintien de la confiance (23 septembre 2025), ANSSI cyber.gouv.fr/documents/59/ANSSI-CSPN-MAI-P-01_Maintien_de_la_confiance_continuit%C3%A9_de_lassurance_v1_zU1fdjB.1.pdf
8. ANSSI-CSPN-AGR-P-01 v2.0, agrément des centres d'évaluation CSPN (24 février 2026), ANSSI cyber.gouv.fr/documents/69/ANSSI-CSPN-AGR-P-01_Agrement_des_centres_evaluation_v2.0.pdf
9. Centres d'évaluation agréés pour la CSPN, ANSSI cyber.gouv.fr/offre-de-service/solutions-certifiees-et-qualifiees/evaluer-les-produits-et-services/centres-evaluation/centres-evaluation-cspn/
10. FAQ sur la certification et la qualification de produits, ANSSI cyber.gouv.fr/offre-de-service/solutions-certifiees-et-qualifiees/comprendre-levaluation-de-securite/faq-qualification-certification/
11. Accords de reconnaissance Critères Communs : calendrier EUCC, SOG-IS et CCRA, ANSSI cyber.gouv.fr/offre-de-service/solutions-certifiees-et-qualifiees/comprendre-levaluation-de-securite/certification-de-produits/accords-de-reconnaissance-criteres-communs/
12. Accord de reconnaissance mutuelle CSPN et BSZ, ANSSI cyber.gouv.fr/offre-de-service/solutions-certifiees-et-qualifiees/comprendre-levaluation-de-securite/certification-de-produits/accords-de-reconnaissance-mutuelle-certification-de-securite-de-premier-niveau-cspn/
13. Renouvellement de l'accord de reconnaissance mutuelle CSPN-BSZ (24 mai 2024), ANSSI cyber.gouv.fr/actualites/renouvellement-de-laccord-de-reconnaissance-mutuelle-cspn-bsz-entre-lanssi-et-le-bsi/
14. Le centre de certification de l'ANSSI émet ses premiers certificats EUCC (3 avril 2025), ANSSI cyber.gouv.fr/actualites/le-centre-de-certification-de-lanssi-%C3%A9met-ses-premiers-certificats-eucc/
15. Processus de qualification d'un produit QUAL-PROD-PROCESS 1.0, ANSSI cyber.gouv.fr/documents/648/qual_prod_process-processus-de-qualification-d-un-produit.pdf
16. Référentiels d'exigences pour la qualification (PACS, PASSI, PRIS, PDIS, PVID, SecNumCloud), ANSSI cyber.gouv.fr/offre-de-service/solutions-certifiees-et-qualifiees/comprendre-levaluation-de-securite/qualification-de-produit-et-services/referentiels-qualification/
17. Dispositif SAIV, Loi de programmation militaire et obligations des OIV, ANSSI cyber.gouv.fr/reglementation/cybersecurite-systemes-dinformation/directives-nis-nis2-et-dispositif-saiv/dispositif-saiv/
18. Cloud et qualification SecNumCloud, ANSSI cyber.gouv.fr/enjeux-technologiques/cloud/
19. Services de sécurité évalués par l'ANSSI, ANSSI cyber.gouv.fr/offre-de-service/solutions-certifiees-et-qualifiees/services-de-securite-evalue/
20. Règlement d'exécution (UE) 2024/482, schéma EUCC, EUR-Lex eur-lex.europa.eu/eli/reg_impl/2024/482/oj
21. Règlement (UE) 2024/2847, Cyber Resilience Act, EUR-Lex eur-lex.europa.eu/eli/reg/2024/2847/oj