SecNumCloud

01 — DéfinitionQu'est-ce que SecNumCloud ?

Source officielle : page SecNumCloud (ANSSI).

SecNumCloud est le référentiel et la procédure de qualification délivrée par l'ANSSI (Agence nationale de la sécurité des systèmes d'information) aux prestataires de services d'informatique en nuage (SaaS, PaaS, IaaS) qui offrent le plus haut niveau de confiance pour héberger les données sensibles.

Son originalité : combiner deux exigences généralement traitées séparément ailleurs dans le monde :

• Sécurité technique et organisationnelle de haut niveau, comparable aux meilleurs référentiels internationaux (ISO 27001, SOC 2).
• Immunité aux lois extraterritoriales non européennes, particulièrement au CLOUD Act américain, à l'Executive Order 12333, à FISA section 702.

Ce second volet fait de SecNumCloud un référentiel unique dans le paysage mondial. Concrètement, un prestataire qualifié SecNumCloud doit être juridiquement et opérationnellement protégé de toute contrainte d'une autorité non européenne à livrer les données de ses clients :

• Capital majoritairement détenu par des entités européennes.
• Siège social dans l'Espace économique européen.
• Personnel clé (administrateurs, dirigeants) implanté en Europe.
• Infrastructure de production localisée en France.
• Séparation opérationnelle avec toute maison-mère non européenne.
• Clauses contractuelles garantissant la protection contre les demandes extraterritoriales.

Cette exigence rend SecNumCloud inaccessible aux hyperscalers américains directement. Ni AWS, ni Microsoft Azure, ni Google Cloud Platform ne peuvent obtenir cette qualification pour leurs offres natives. Pour adresser le marché français, ils passent par des joint-ventures où le partenaire français est opérateur principal (Bleu pour Microsoft avec Orange/Capgemini, S3NS pour Google avec Thales).

SecNumCloud n'est pas qu'un référentiel de sécurité : c'est un instrument de politique industrielle française et européenne visant à construire un écosystème cloud souverain. Son efficacité commerciale dépend autant de sa rigueur technique que de la volonté politique de l'imposer dans les obligations publiques.

02 — HistoriqueDe SecNumCloud à 3.2

2014 — Premier référentiel

L'ANSSI publie la première version du référentiel « Exigences applicables aux prestataires de services d'informatique en nuage ». Objectif initial : encadrer l'usage du cloud par les administrations de l'État avec un niveau de sécurité garanti. Première approche technique, sans dimension de souveraineté prononcée.

2016 — Premières qualifications

OVH (devenu OVHcloud) et Outscale obtiennent les premières qualifications sur leurs offres dédiées. Le marché commence à s'organiser autour de cette reconnaissance.

2019 — SecNumCloud 3.1

Révision majeure. Structure modernisée, alignement partiel avec ISO 27001, périmètre clarifié (IaaS, PaaS, SaaS). Premières tensions autour de l'extraterritorialité avec l'entrée en vigueur du CLOUD Act américain en 2018.

2021 — Tournant souveraineté

Le Premier ministre Jean Castex publie le 17 mai 2021 la doctrine « cloud au centre ». L'administration doit utiliser prioritairement des services cloud, et les données sensibles doivent être hébergées sur des services qualifiés SecNumCloud, avec les exigences d'immunité aux lois extraterritoriales.

Cette doctrine marque un tournant : SecNumCloud devient une référence politique forte, pas seulement technique.

2022 — SecNumCloud 3.2

Version actuelle en 2026. Renforcement des exigences d'immunité extraterritoriale, clarification des critères, mise à jour des référentiels techniques. Les prestataires qualifiés sous 3.1 ont dû migrer vers 3.2 (échéance 2024-2025).

2023-2025 — Accélération des qualifications

Multiplication des candidats : Scaleway (qualifié 2024), NumSpot (lancé 2023), Cloud Temple, Ikoula, et les joint-ventures Bleu (Microsoft+Orange+Capgemini) et S3NS (Google+Thales) entrent en procédure avec objectif de qualification 2025-2026. Les délais sont régulièrement repoussés pour ces dernières, confrontées aux exigences strictes d'immunité.

2026 — SecNumCloud 4.0 en préparation

Nouvelle version en cours de rédaction, attendue pour adoption fin 2026 ou 2027. Objectifs : alignement avec EUCS européen si finalisé, intégration des évolutions récentes (conteneurisation, edge computing, IA). Pas de rupture majeure attendue sur les fondamentaux de souveraineté.

03 — ExigencesQue contient le référentiel

Structure du référentiel

SecNumCloud 3.2 s'articule en plusieurs chapitres reprenant la logique d'ISO 27001 avec des exigences additionnelles :

1. Politique de sécurité

• Politique formalisée, approuvée par la direction.
• Revue périodique.
• Communication à tout le personnel.

2. Organisation de la sécurité

• Responsables sécurité identifiés.
• Séparation des tâches critiques.
• Relations avec les autorités (ANSSI, CNIL, CERT-FR).

3. Sécurité des ressources humaines

• Contrôle de fond des personnels ayant accès aux données (enquêtes administratives).
• Habilitations spécifiques pour les administrateurs.
• Sensibilisation et formation continue.
• Personnel résidant et travaillant en France pour les postes sensibles.

4. Sécurité physique et environnementale

• Infrastructure hébergée dans des datacenters en France.
• Contrôle d'accès physique strict (badges, sas, vidéo).
• Protection contre les risques physiques (incendie, inondation, coupure électrique).
• Redondance et plans de continuité.

5. Sécurité des opérations

• Procédures d'exploitation documentées.
• Gestion des vulnérabilités et patch management.
• Sauvegardes régulières et tests de restauration.
• Surveillance continue (SOC).
• Journalisation exhaustive et conservation des logs.

6. Sécurité des communications

• Chiffrement des flux réseau.
• Séparation des réseaux client/administration.
• Protection contre les attaques DDoS.
• Filtrage et détection d'intrusion.

7. Acquisition, développement et maintenance des systèmes

• Cycle de développement sécurisé (secure SDLC).
• Tests de sécurité (audits, tests d'intrusion).
• Gestion des changements.

8. Gestion des relations avec les sous-traitants

• Sélection des sous-traitants avec critères de sécurité.
• Clauses contractuelles obligatoires.
• Audits périodiques des sous-traitants critiques.
• Limitation des sous-traitants à des entités européennes pour les activités sensibles.

9. Gestion des incidents

• Procédures documentées et testées.
• Notification au client sous 24h.
• Coordination avec l'ANSSI et CERT-FR pour les incidents graves.
• Retour d'expérience systématique.

10. Continuité d'activité

• Plan de continuité documenté.
• Plan de reprise (PRA) testé.
• Engagements de disponibilité contractuels.

11. Conformité

• Respect des obligations légales et réglementaires françaises et européennes.
• Audits internes et externes réguliers.
• Traçabilité des évolutions réglementaires.

12. Chiffrement et gestion des clés

• Chiffrement obligatoire des données au repos et en transit.
• Algorithmes conformes aux recommandations ANSSI (RGS — Référentiel Général de Sécurité).
• Gestion des clés maîtrisée par le client quand possible (BYOK, HYOK).

Exigences spécifiques de souveraineté

C'est ici que SecNumCloud se distingue nettement des autres référentiels internationaux :

• Capital social : majoritairement détenu par des actionnaires européens. Pas de prise de contrôle possible depuis un pays tiers.
• Gouvernance : dirigeants et mandataires sociaux implantés en Europe.
• Personnel administrateur : résidant et travaillant en France, avec habilitations.
• Infrastructure : datacenters, serveurs, réseaux localisés en France.
• Support client : équipes basées en France.
• Sous-traitance critique : limitée à des entités européennes.
• Indépendance juridique : protection contractuelle contre les injonctions non européennes.
• Audits : possibilité pour l'ANSSI d'auditer les infrastructures et personnels sur place.

Procédure de qualification

La qualification suit un processus rigoureux :

1. Demande auprès de l'ANSSI.
2. Analyse de recevabilité : vérification initiale du candidat.
3. Audit documentaire des politiques et procédures.
4. Audit terrain dans les datacenters et locaux.
5. Test d'intrusion réalisé par un prestataire qualifié PASSI.
6. Évaluation par l'ANSSI.
7. Décision de qualification par le directeur général de l'ANSSI.
8. Publication au Journal officiel.

Durée totale : 12 à 24 mois pour une première qualification. Coût estimé : plusieurs millions d'euros d'investissement technique et organisationnel.

04 — QualifiésLes prestataires qualifiés en 2026

Environ dix prestataires sont qualifiés SecNumCloud en avril 2026. La liste officielle à jour est publiée sur le site de l'ANSSI (cyber.gouv.fr).

Prestataires historiques

• OVHcloud : pionnier, qualifié depuis 2016 sur son offre Hosted Private Cloud. Acteur majeur français du cloud, largement utilisé par l'administration et le secteur public.
• Outscale : filiale cloud de Dassault Systèmes, qualifiée depuis 2018. Offre IaaS dédiée aux entreprises et administrations avec exigences de souveraineté.
• Oodrive : spécialiste SaaS français (partage de fichiers, signature électronique, Board). Qualification SaaS.
• Worldline : via son offre de cloud dédié aux services financiers.

Nouveaux entrants 2023-2025

• NumSpot : consortium lancé en 2023 regroupant Docaposte (La Poste), Dassault Systèmes, Bouygues Telecom et la Banque des Territoires. Positionnement grandes entreprises et secteur public.
• Scaleway (Iliad) : qualifié en 2024 sur son offre Scaleway Private Cloud. Extension progressive à d'autres services.
• Cloud Temple : acteur français spécialisé, qualification obtenue récemment.
• Ikoula : hébergeur français historique, en qualification progressive.
• Orange Business : offre Flexible Engine et services managés, qualifications progressives sur différents périmètres.

Joint-ventures des hyperscalers américains

Les grands acteurs américains ne peuvent pas obtenir SecNumCloud directement. Ils participent à des joint-ventures où un opérateur français majoritaire exploite l'offre :

• Bleu : joint-venture annoncée en 2021, exploitant Microsoft Azure sous contrôle d'Orange et Capgemini. Infrastructure française, personnel français, gouvernance française. Qualification SecNumCloud visée pour 2025-2026 mais délais régulièrement repoussés.
• S3NS : joint-venture Google Cloud + Thales annoncée en 2022. Même logique, délais similaires.

En avril 2026, ces offres ne sont pas encore pleinement qualifiées SecNumCloud. Les clients intéressés par les technologies Microsoft ou Google tout en ayant un impératif de souveraineté attendent ces qualifications ou se tournent vers des alternatives 100% françaises.

Offres non qualifiées mais revendiquant la souveraineté

Attention : plusieurs acteurs revendiquent l'appellation « cloud souverain » ou « cloud de confiance » sans détenir la qualification SecNumCloud. La qualification est le seul critère officiel et audité ; les autres communications relèvent du marketing et doivent être vérifiées cas par cas.

Périmètre des qualifications

Important : un prestataire qualifié SecNumCloud ne signifie pas que toute son offre est qualifiée. Seuls les services dans le périmètre explicite de la qualification sont concernés. Un même éditeur peut proposer une offre qualifiée et d'autres offres non qualifiées. Lors d'une sélection, toujours vérifier le périmètre exact sur l'attestation ANSSI.

05 — Doctrine« Cloud au centre » de l'État

Circulaire du 5 juillet 2021

Publiée par le Premier ministre, la circulaire « Doctrine d'utilisation de l'informatique en nuage par l'État » marque un tournant majeur dans la politique cloud française. Trois principes structurants :

1. Cloud by default : l'administration doit utiliser prioritairement des services cloud plutôt que des infrastructures dédiées. Fin de la politique d'hébergement interne par défaut.
2. Cloud de confiance pour les données sensibles : les données sensibles doivent être hébergées sur des offres qualifiées SecNumCloud.
3. Services internes de l'État : deux clouds internes (plateformes de l'État) pour les cas les plus sensibles.

Circulaire du 10 mai 2023

Renforcement de la doctrine. Précise les catégories de données concernées et accélère la bascule. Impose à toutes les administrations de l'État d'établir un plan de migration vers les services qualifiés pour leurs données sensibles.

Catégories de données concernées

• Données sensibles : données de l'État, données d'entreprises stratégiques, données de santé volumineuses, données de recherche scientifique sensible, données d'investigation judiciaire. Hébergement SecNumCloud obligatoire.
• Données classifiées : Diffusion Restreinte, Confidentiel Défense, Secret. Non adaptées au cloud commercial même qualifié : utilisent les infrastructures classifiées spécifiques.
• Données standard : peuvent utiliser des offres cloud non qualifiées SecNumCloud si les autres critères de sécurité sont respectés (ISO 27001, HDS pour la santé, etc.).

Impact sectoriel

• Administrations centrales : application directe de la doctrine.
• Collectivités territoriales : non explicitement contraintes mais fortement encouragées.
• Opérateurs d'importance vitale : exigences renforcées via NIS2 et directives sectorielles.
• Hôpitaux et secteur santé : articulation avec la certification HDS (Hébergeur de Données de Santé). Débat sur l'opportunité d'exiger SecNumCloud pour les données de santé sensibles.
• Entreprises privées : pas d'obligation directe, mais influencées par leurs clients publics et par NIS2/DORA.

Tensions et oppositions

La doctrine est critiquée sur plusieurs fronts :

• Certaines administrations jugent l'offre qualifiée insuffisamment mature par rapport aux hyperscalers américains.
• Les utilisateurs finaux constatent parfois des fonctionnalités manquantes ou des performances inférieures.
• Les hyperscalers américains et certaines entreprises françaises militent pour un assouplissement.
• Les joint-ventures Bleu et S3NS visent à combler le gap mais tardent.

En parallèle, les partisans soulignent : la maturité croissante de l'écosystème français, l'importance stratégique de la souveraineté, les précédents d'applications des lois extraterritoriales américaines (affaire Alstom, cas Microsoft Ireland), les risques géopolitiques et réglementaires.

06 — EUCSEt le schéma européen ?

EUCS — European Cybersecurity Certification Scheme for Cloud Services

L'Union européenne prépare depuis 2020 un schéma harmonisé de certification cloud, l'EUCS, sous l'égide du Cybersecurity Act européen (2019). Objectif : éviter la fragmentation avec autant de référentiels nationaux que d'États membres, et faciliter le marché unique européen du cloud.

Structure prévue

EUCS prévoit plusieurs niveaux de certification :

• Basic : exigences de base, équivalent aux bonnes pratiques standard.
• Substantial : niveau renforcé pour données sensibles.
• High : niveau le plus élevé, équivalent SecNumCloud.

Le débat sur la souveraineté

Le débat central depuis 2022 : le niveau High doit-il inclure des exigences de souveraineté (immunité aux lois extraterritoriales, localisation en UE) similaires à SecNumCloud ?

• Position française (et initialement Italie, Espagne, Pays-Bas partiellement) : oui, le niveau High doit exiger l'immunité aux lois extraterritoriales pour être réellement souverain.
• Position allemande et néerlandaise : plus nuancée, pression des hyperscalers américains et préoccupation de ne pas exclure les technologies dominantes du marché européen.
• Position américaine : forte opposition aux critères de souveraineté excluant les hyperscalers US.

État en avril 2026

EUCS n'est toujours pas adopté sur ses niveaux les plus élevés en avril 2026. Plusieurs versions successives du projet de règlement ont été publiées : certaines incluent les critères de souveraineté au niveau High, d'autres les relèguent en options. Le consensus tarde.

Conséquence : SecNumCloud reste la référence française et joue un rôle de référentiel pilote qui inspire une partie des discussions EUCS. Si EUCS High inclut finalement des critères de souveraineté proches de SecNumCloud, une convergence sera possible.

Autres initiatives européennes

• Gaia-X : initiative européenne lancée en 2019 pour créer un écosystème de services cloud interopérables avec des exigences de transparence et de souveraineté. Non une certification mais un framework de confiance.
• IPCEI-CIS (Important Project of Common European Interest on Cloud Infrastructure and Services) : projet d'investissement massif coordonné entre États membres pour développer les capacités cloud européennes. Plusieurs milliards d'euros de financement public.
• EuroStack : initiative récente visant à coordonner les efforts de souveraineté numérique au-delà du seul cloud.

07 — DémarcheChoisir et utiliser un prestataire SecNumCloud

08 — FAQQuestions fréquentes

Le RGPD n'est-il pas suffisant pour la souveraineté ?

Non, le RGPD protège les données personnelles mais n'empêche pas un hyperscaler américain d'être contraint par les autorités US de livrer des données hébergées en Europe, via le CLOUD Act. L'arrêt Schrems II de la CJUE (juillet 2020) a invalidé le Privacy Shield justement pour cette raison. Les clauses contractuelles types (CCT) apportent une protection limitée. Pour une immunité effective aux lois extraterritoriales, la souveraineté opérationnelle et capitalistique (SecNumCloud) est nécessaire.

SecNumCloud équivaut-il à ISO 27001 ?

Partiellement. SecNumCloud intègre la majorité des exigences ISO 27001 plus des exigences spécifiques de souveraineté. Un prestataire qualifié SecNumCloud est généralement aussi certifié ISO 27001 (les deux démarches se recoupent). L'inverse n'est pas vrai : ISO 27001 ne couvre ni la souveraineté, ni les exigences de personnel habilité, ni la localisation en France.

Qu'est-ce que HDS et son rapport avec SecNumCloud ?

HDS (Hébergeur de Données de Santé) est une certification française obligatoire pour héberger des données de santé à caractère personnel. Créée par le Code de la santé publique, administrée par des organismes certificateurs accrédités COFRAC. HDS et SecNumCloud sont complémentaires mais distincts : HDS couvre spécifiquement la santé sans exigence de souveraineté aussi forte, SecNumCloud couvre la sécurité générale avec souveraineté. Les grands hyperscalers sont certifiés HDS (AWS, Azure, GCP) mais pas SecNumCloud. Un hôpital peut donc utiliser un hyperscaler certifié HDS, sauf pour les données considérées « sensibles » au sens de la doctrine cloud de l'État — débat en cours.

SecNumCloud empêche-t-il complètement les demandes extraterritoriales ?

Significativement mais pas absolument. Aucun dispositif juridique ne peut garantir 100% l'absence de toute contrainte externe. SecNumCloud réduit drastiquement les vecteurs : pas de maison-mère non européenne pouvant être contrainte, infrastructure et personnel en France sous droit français, clauses de protection contractuelle. Mais si un pays tiers souhaite obtenir des données, il pourrait théoriquement exercer d'autres pressions (sanctions, pression diplomatique sur des fournisseurs tiers). La souveraineté est une réduction substantielle du risque, pas son élimination totale.

Le prix de SecNumCloud est-il justifié ?

Selon l'usage. Pour des charges de travail génériques sans enjeu de souveraineté, les hyperscalers restent plus économiques et fonctionnellement plus riches. Pour les cas où la souveraineté est un impératif (obligations légales, données stratégiques, exposition extraterritoriale réelle), le surcoût se justifie par la réduction de risque et la conformité. L'écart de prix se réduit avec la maturité de l'écosystème, notamment pour Scaleway et OVHcloud qui proposent des tarifs compétitifs.