Le modèle français sur lequel repose l’activité de l’ANSSI distingue clairement les missions défensives des missions offensives et prend corps à travers le rôle d’autorité nationale de l’agence en matière de cyberdéfense et de cybersécurité. Cette autorité repose sur une base légale qui indique quels sont les responsabilités et le périmètre d’action de l’agence.
L’ANSSI s’est substituée à la direction centrale de la sécurité des systèmes d’information (DCSSI) du secrétariat général de la défense et de la sécurité nationale (SGDSN) tout en en renforçant les compétences, les effectifs et les moyens.
Autorité nationale en matière de sécurité et de défense des systèmes d’information, l’ANSSI constitue un réservoir de compétences qui assiste les administrations et les opérateurs d’importance vitale.
Elle est chargée de la promotion des technologies, des systèmes et des savoir-faire nationaux. Elle contribue au développement de la confiance dans le numérique.
Le centre de transmission gouvernemental, placé sous l’autorité du SGDSN, assiste l’ANSSI à travers la mise en œuvre les moyens sécurisés de commandement et de liaison nécessaires au président de la République et au Gouvernement
Conformément aux orientations du livre blanc sur la défense et la sécurité nationale 2013, l’ANSSI contribue à l’orientation de la recherche nationale et européenne en matière de sécurité des systèmes d’information.
En tant que de besoin, l’ANSSI bénéficie de l’expertise d’un comité stratégique constitué de responsables de haut niveau de l’administration. La mission de ce comité est de proposer la stratégie de l’État en la matière.
Son directeur général, Vincent Strubel, a été nommé par décret en date du 4 janvier 2023.
La Loi de programmation militaire promulguée le 19 décembre 2013 a renforcé les missions de l’ANSSI. Son article 22 prévoit l’adoption de mesures de renforcement de la sécurité des opérateurs d’importance vitale et confère à l’ANSSI de nouvelles prérogatives : au nom du Premier ministre elle pourra imposer aux OIV des mesures de sécurité et des contrôles de leurs systèmes d’information les plus critiques. De plus, l’article 22 rend obligatoire la déclaration des incidents constatés par les OIV sur ces systèmes.
L’article 34 de la loi n°2018-607, relative à la programmation militaire pour les années 2019 à 2025, vient à son tour compléter les missions de l’agence. Il précise la mise en œuvre de dispositifs de détection, lors d’événements susceptibles d’affecter la sécurité des systèmes d’information de l’Etat, des autorités publiques et d’opérateurs publics et privés, ainsi que le recueil d’informations techniques relatives à ces incidents, et l’accompagnement pour y répondre.