Aramco CCC & CCC+ · SACS-210
Votre certificat Aramco CCC ou CCC+, préparé contrôle par contrôle
Aramco exige de ses fournisseurs un Cybersecurity Compliance Certificate. Nous vous y préparons de bout en bout : nous identifions avec vous le certificat qui s’applique, comblons chaque écart avec la norme SACS-210, mettons réellement les contrôles en place et constituons les preuves que le cabinet d’audit vérifiera.
Outils gratuits · 1 minute
CCC ou CCC+ ?
Répondez à six questions pour connaître votre classification SACS-210 probable et le certificat exigé (outil en anglais).
Trouver ma classification →Vérifiez les enregistrements publics de sécurité e-mail de votre domaine
SPF, DKIM, DMARC et domaine privé (TPC1.20, TPC1.23). Outil en anglais.
Vérification indicative : elle ne vaut pas conformité CCC.
L’essentiel
Ce qu’il faut savoir avant de commencer
- Obligatoire
- Aramco demande à tous ses fournisseurs d’obtenir le CCC pour s’enregistrer et continuer à travailler avec elle.
- Conformité complète
- Tous les contrôles applicables doivent être respectés. Tout écart doit être corrigé ou traité via la procédure formelle de dérogation prévue.
- 2 ans
- Le certificat est valable deux ans et reconnu dans tout le groupe Aramco, SABIC comprise. Le renouvellement est une nouvelle évaluation.
- SACS-210
- L’édition de février 2026 de la norme de cybersécurité des tiers d’Aramco, qui remplace la SACS-002.
Périmètre
Qui est concerné
La SACS-210 s’applique à un tiers dans l’une de ces situations. Une seule suffit.
- Vous traitez, transmettez ou stockez des informations ou des données personnelles d’Aramco.
- Vous avez accès à un poste ou un serveur d’Aramco.
- Vous fournissez des logiciels ou produits techniques, standard ou sur mesure, à Aramco.
- Vos systèmes sont connectés au réseau d’Aramco.
- Vous réalisez du conseil sur des projets nationaux très sensibles.
En pratique, tout fournisseur doit au minimum obtenir le CCC pour les exigences générales lors de son enregistrement.
CCC ou CCC+
Deux certificats, selon votre classification
Le certificat exigé dépend de votre relation avec Aramco, par exemple si vous vous connectez à son réseau ou traitez ses données critiques. Si les deux s’appliquent à vous, seul le CCC+ est accepté.
ImportantLes « Critical Data Processors » doivent obtenir le CCC+. Pour « Network Connectivity », faites confirmer le certificat exigé par votre interlocuteur Aramco (le « proponent ») et par le cabinet agréé choisi : les informations publiques d’Aramco sont actuellement contradictoires.
-
CCC
Votre entreprise réalise une auto-évaluation selon la SACS-210, puis le cabinet agréé la vérifie à distance.
Vérification à distance
-
CCC+
Le cabinet agréé évalue votre conformité sur site, selon la même norme. Exigé pour les « Critical Data Processors ».
Évaluation sur site
Classifications
Sept classifications dans la SACS-210
Les exigences générales s’appliquent à tous. Chaque classification ajoute des contrôles spécifiques, qui se cumulent si plusieurs s’appliquent. Votre classification se confirme avec le département d’Aramco qui gère votre contrat.
-
Exigences générales
Le socle de tout fournisseur : 33 contrôles.
-
Network Connectivity
Votre infrastructure se connecte au réseau d’Aramco (VPN, ligne louée).
CCC ou CCC+ : à confirmer
-
Outsourced & Managed Services
Vous exploitez ou maintenez de l’infrastructure ou des services managés pour Aramco.
ex-Outsourced Infrastructure
-
Critical Data Processor
Vous développez, consultez ou traitez des données confidentielles d’Aramco.
CCC+
-
Software Services
Vous développez ou hébergez un logiciel, une application ou un site sur mesure.
ex-Customized Software
-
Cloud Computing
Vous fournissez du IaaS, PaaS ou SaaS.
-
Operational Technology
Vous fournissez, intégrez ou maintenez des systèmes industriels (DCS, SCADA, automates…).
nouveau dans la SACS-210
- Trouver votre classification en 1 minute
Guide SACS-210 · Exigences générales
Les 33 contrôles que tout fournisseur d’Aramco doit respecter
Quelle que soit votre classification, ces exigences générales s’appliquent. Chacune est expliquée : ce que demande la norme, comment la mettre en œuvre sous Microsoft 365 ou Google Workspace, et les preuves à préparer (pages en anglais).
- Remplace la SACS-002 (février 2026)
- Contrôles renumérotés TPC1.x / TPC2.x
- Nouvelles fonctions GOVERN et RECOVER
- L’OT devient une classification
Govern · 7
- TPC1.1 Comply with Saudi cybersecurity and data privacy laws
- TPC1.2 Acceptable Use Policy (AUP)
- TPC1.3 Core cybersecurity policies and standards
- TPC1.4 Employee onboarding and offboarding process
- TPC1.5 Hold a valid CCC (or approved certificate)
- TPC1.6 Renew the CCC before it expires
- TPC1.7 Share client data only with contract personnel
Protect · 22
- TPC1.9 Centralised identity and access management
- TPC1.10 Unique credentials for every user
- TPC1.11 Password and passphrase rules
- TPC1.12 Multi-factor authentication (MFA)
- TPC1.13 Single sign-on only with MFA at first login
- TPC1.14 Annual review of accounts and access rights
- TPC1.15 Secure authentication for all technology assets
- TPC1.16 Return, then delete, client data at end of lifecycle
- TPC1.17 Secure disposal of end-of-life assets
- TPC1.18 Encryption at rest and in transit
- TPC1.19 Restrict external storage media
- TPC1.20 SPF, DKIM and DMARC on your mail domain
- TPC1.21 Anti-spam inspection of inbound e-mail
- TPC1.22 Signature analysis of e-mail attachments
- TPC1.23 Private e-mail domain only
- TPC1.24 Block Office macros from external files
- TPC1.25 Time synchronisation with an authorised source
- TPC1.26 Protect event logs
- TPC1.27 Firewalls enabled on all endpoints
- TPC1.28 Web Application Firewall for internet-facing apps
- TPC1.29 Up-to-date antivirus and anti-malware
- TPC1.30 Test patches before production, or be able to roll back
Detect · 1
Notre accompagnement
Cinq étapes, de la classification au certificat
- 1
Classification
Nous vous aidons à déterminer votre classification probable et préparons les documents à faire confirmer par votre interlocuteur Aramco (le « proponent ») : le Third Party Classification Template et la Classification Confirmation Letter.
- 2
Analyse d’écart
Chaque contrôle applicable de la SACS-210 est confronté à votre situation réelle et aux preuves dont vous disposez déjà.
- 3
Remédiation
Politiques, procédures et mesures techniques (authentification, gestion des accès, journalisation, sauvegardes…) : nos ingénieurs les mettent en place, pas seulement sur le papier.
- 4
Dossier de preuves
Auto-évaluation complétée et preuves classées contrôle par contrôle, prêtes pour le cabinet d’audit.
- 5
Audit & renouvellement
Nous vous accompagnons pendant la vérification, puis vous aidons à maintenir votre conformité et à préparer le renouvellement.
Livrables
Ce que vous recevez
- Le Classification Template et la Classification Confirmation Letter préparés pour confirmation avec votre interlocuteur Aramco
- Un rapport d’écart contrôle par contrôle, avec responsables et échéances
- Les politiques exigées par la SACS-210, adaptées à votre entreprise
- Les contrôles techniques configurés (MFA, e-mail, postes, journalisation…)
- Le rapport d’auto-évaluation et le dossier de preuves horodatées
- Un calendrier de renouvellement et un suivi jusqu’au prochain certificat
Pourquoi Vaurely
Des ingénieurs qui construisent les contrôles, pas seulement le classeur
Vaurely n’est pas un cabinet d’audit agréé par Aramco et ne délivre pas le certificat. Nous préparons votre entreprise et vous accompagnons jusqu’à l’évaluation réalisée par le cabinet agréé de votre choix.
Voir tous nos services-
Des contrôles qui fonctionnent
Beaucoup d’écarts sont techniques. Notre équipe les configure et les documente : vos preuves reflètent la réalité.
-
Un interlocuteur unique
Une seule personne suit votre dossier, de la classification au rapport du cabinet d’audit.
-
Après le certificat
La même équipe peut vous accompagner plus loin : NIS2, Cyber Resilience Act, RGPD, outils internes.
+Qui délivre le CCC d’Aramco ?
Uniquement les cabinets d’audit agréés par Aramco, listés sur la page officielle du programme CCC. La demande passe par le portail CCC, puis le certificat et le rapport sont déposés sur l’e-Marketplace d’Aramco.
+Comment savoir si j’ai besoin du CCC ou du CCC+ ?
Cela dépend de votre classification, confirmée avec le département d’Aramco qui gère votre contrat via le « Third Party Classification Template ». Les « Critical Data Processors » doivent obtenir le CCC+. Pour « Network Connectivity », les informations publiques d’Aramco se contredisent : faites confirmer le certificat par votre interlocuteur Aramco et votre cabinet agréé. Notre outil gratuit vous donne une première réponse en une minute.
+Combien de temps le certificat est-il valable ?
Deux ans à compter de sa délivrance. Il faut le renouveler avant expiration, et un nouveau contrat relevant d’une classification non couverte exige un nouveau certificat.
+Nous étions certifiés selon la SACS-002. Qu’est-ce qui change ?
Votre prochaine évaluation se fera selon la SACS-210, la norme de février 2026. Les contrôles sont renumérotés, certaines exigences sont nouvelles (par exemple SPF, DKIM et DMARC, ou la gestion centralisée des identités) et l’OT devient une classification. Faites le point sur vos écarts bien avant le renouvellement.
+Nous sommes une entreprise européenne. Sommes-nous concernés ?
Oui, si vous êtes fournisseur d’Aramco ou d’une société du groupe comme SABIC. La norme s’applique à tous les tiers, où qu’ils soient établis. Nous travaillons en français et en anglais.
+Vaurely peut-elle délivrer le certificat ?
Non. Nous ne sommes pas un cabinet d’audit agréé. Nous préparons votre entreprise et vos preuves, puis vous accompagnons pendant l’évaluation par le cabinet agréé de votre choix.
Parlons de
votre projet.
Décrivez votre besoin en quelques lignes, nous vous répondons sous 2 jours ouvrés.
contact@vaurely.com- Appel découverte gratuit de 30 min
- Réponse sous 2 jours ouvrés
- Devis ferme, fixé à l’avance
- Maintenance mensuelle en option