- SecNumCloud est avant tout une qualification TECHNIQUE de l'ANSSI : elle impose à un service cloud des règles de sécurité élevées (chiffrement, cloisonnement des tenants, exploitation maîtrisée, journalisation, audit par un PASSI).
- La version 3.2 (2022) ajoute des exigences juridiques (contrôle capitalistique européen, immunité contractuelle aux lois extraterritoriales) - mais ce sont des clauses contractuelles, pas une neutralisation du droit américain lui-même.
- Elle est exigée pour les données sensibles de l'État et des Opérateurs d'Importance Vitale, et devient un standard de référence pour le secteur public et plusieurs filières régulées.
- Attention : une qualification technique n'a aucun pouvoir sur le volet légal. Elle ne neutralise pas FISA 702 ni le CLOUD Act dès qu'une offre repose sur une stack logicielle américaine (cas potentiel de Bleu et S3NS). SecNumCloud ne doit donc pas être présentée comme un gage de souveraineté juridique.
Qu’est-ce que SecNumCloud ?
SecNumCloud est une qualification délivrée par l'Agence nationale de la sécurité des systèmes d'information (ANSSI) à des prestataires de services d'informatique en nuage. Elle est issue d'un référentiel publié pour la première fois en 2016 et révisé en 2022 (version 3.2).
La qualification combine trois dimensions : sécurité technique de haut niveau, conformité aux exigences nationales sur la protection des informations sensibles, et garanties juridiques pour limiter l'exposition aux lois extraterritoriales. La version 3.2 a marqué un tournant en formalisant explicitement ces dernières exigences, par contraste avec une approche purement technique.
SecNumCloud cible les services IaaS, PaaS et SaaS qui hébergent des données sensibles, sans toutefois avoir vocation à couvrir des données classifiées Défense, qui relèvent d'autres dispositifs.
Sept familles d’exigences
Exigences techniques
Chiffrement des données au repos et en transit, gestion des clés, séparation forte des tenants, journaux de sécurité auditables, plan de continuité et de reprise testé.
Exigences organisationnelles
Politique de sécurité, gestion des habilitations, processus d'incident, audits internes et externes, contrôle des sous-traitants. Le périmètre concerne tout le cycle de vie.
Exigences opérationnelles
Exploitation, supervision et infogérance du service assurées depuis l'Union européenne, en continu (24/7). Supervision de sécurité (SOC), gestion des incidents, plan de continuité et de reprise d'activité testé régulièrement. Aucune opération d'administration courante depuis un pays tiers.
Exigences juridiques
Le prestataire et ses sociétés mères doivent être établis dans un État membre de l'UE. L'immunité aux lois extraterritoriales doit être documentée et contractualisée.
Localisation des données
Les données, métadonnées, journaux et clés résident sur le territoire de l'Union européenne. Aucune administration ni opération courante ne peut se faire depuis un pays tiers.
Personnel
Les administrateurs disposant d'accès privilégiés doivent être ressortissants UE et soumis à un contrôle d'aptitude documenté.
Audit indépendant
La qualification est délivrée après un audit conduit par un Prestataire d'Audit de la Sécurité des Systèmes d'Information (PASSI) certifié, sur dossier puis sur site.
De 2016 à aujourd’hui
- 2016L'ANSSI publie le premier référentiel SecNumCloud, dérivé du référentiel SecNumCloud SaaS et inspiré du Cloud Computing Security Reference Architecture du NIST.
- 2018Version 3.1 du référentiel, étendue à de nouveaux modèles de service.
- Mai 2021Annonce de la doctrine « cloud au centre » par la Direction interministérielle du numérique (DINUM) qui rend SecNumCloud obligatoire pour les données les plus sensibles de l'État.
- Mars 2022Publication de la version 3.2 du référentiel, qui ajoute des exigences explicites d'immunité aux lois extraterritoriales et de contrôle capitalistique européen.
- 2023-2025Premières qualifications délivrées sur le périmètre IaaS-PaaS étendu. Partenariats Bleu (Capgemini + Orange avec Microsoft) et S3NS (Thales avec Google) annoncés sur cette base.
Effets sur le marché et les organisations
Cinq dynamiques observées dans les politiques d'achat public et les choix d'architecture depuis 2022.
Doctrine cloud au centre
Les administrations centrales et opérateurs publics doivent justifier le choix d'un service non qualifié SecNumCloud pour héberger des données sensibles. La qualification devient un critère de fait dans les marchés publics.
Filières réglementées
Santé, défense, énergie, finance : plusieurs secteurs incluent désormais SecNumCloud dans leurs cahiers des charges, en complément des qualifications sectorielles existantes (HDS, PCI DSS).
Standard européen en construction
Le futur European Cybersecurity Certification Scheme for Cloud Services (EUCS) en cours de discussion à l'ENISA devrait s'inspirer en partie de l'approche SecNumCloud sur le niveau High.
Effet de marché
Trois prestataires qualifiés en mai 2026, plusieurs en cours. L'offre reste limitée mais s'élargit, notamment via les partenariats franco-américains qui visent à concilier richesse technologique et exigences souveraines.
Coût et complexité
L'obtention de la qualification mobilise des moyens importants. Pour le client final, choisir une offre SecNumCloud peut représenter un surcoût de 10 à 30 pour cent par rapport à un service public équivalent non qualifié.
Une qualification technique, pas un bouclier juridique
SecNumCloud impose des règles de sécurité élevées et c'est sa vraie valeur. Mais c'est une qualification technique et organisationnelle : elle n'a aucun pouvoir sur le volet légal. FISA 702 et le CLOUD Act relèvent du droit américain ; aucune qualification de l'ANSSI ne peut les abroger.
Or FISA 702 s'applique dès qu'un fournisseur dépend d'une stack d'orchestration américaine - hyperviseur, plan de contrôle, services managés, télémétrie ou chaîne de mises à jour fournis par Google, AWS ou Microsoft. Localiser les données en France et obtenir la qualification ne supprime pas cette dépendance logicielle.
Le cœur de ces plateformes est fermé : l'ANSSI ne peut pas auditer le code source de Google, AWS ou Microsoft, qui n'est pas communiqué. Une qualification porte sur une architecture et des processus observables, pas sur le binaire réellement exécuté ni sur ce qu'une mise à jour distante pourrait y introduire.
C'est pourquoi Bleu (Microsoft + Orange + Capgemini) et S3NS (Google + Thales) ne sont pas à l'abri : tant qu'elles embarquent du code non auditable de l'éditeur américain, rien ne garantit l'absence d'un composant dormant ou d'un canal de mise à jour par lequel les autorités américaines pourraient contraindre l'éditeur à imposer une porte dérobée - chez n'importe quel opérateur, quelle que soit la coentreprise française. SecNumCloud reste un excellent socle de sécurité, mais ne doit pas être présentée comme un gage de souveraineté juridique.
Schéma : qualification technique (couverte) vs droit américain (hors de portée)
Couvert - technique & opérationnel
- Sécurité technique : chiffrement au repos et en transit, gestion des clés, cloisonnement fort des tenants.
- Exploitation & supervision depuis l'UE, en continu (SOC, gestion des incidents, PCA/PRA testé).
- Personnel d'administration ressortissant UE et habilité ; aucune opération depuis un pays tiers.
- Audit indépendant (PASSI) de l'architecture, des processus et des configurations.
Hors de portée - juridique
- Abroger ou neutraliser FISA 702 / le CLOUD Act : ce sont des lois américaines.
- Auditer le code source fermé de Google, AWS ou Microsoft - il n'est pas communiqué.
- Détecter un composant dormant caché dans ce code non auditable.
- Empêcher une porte dérobée imposée à l'éditeur, propagée par une mise à jour.
Schéma : le chemin qui déclenche FISA 702 (au-delà de la localisation)
- Données hébergées en France. La géolocalisation seule semble rassurante.
- Mais une stack d'orchestration US. Hyperviseur, plan de contrôle, services managés, mises à jour : Google, AWS ou Microsoft.
- Éditeur soumis au droit américain. Le fournisseur de la pile logicielle a un rattachement aux États-Unis.
- FISA 702 & CLOUD Act s'appliquent. La loi américaine prime sur le contrat et la localisation des serveurs.
- Code fermé, non auditable par l'ANSSI. L'ANSSI audite une architecture et des processus, pas le binaire de l'éditeur.
- Porte dérobée imposable. Rien ne garantit l'absence d'un composant dormant ou d'un canal de mise à jour activable à distance.
Six questions pour décider
Qu'est-ce que la qualification SecNumCloud ?
C'est une qualification délivrée par l'ANSSI à des prestataires de services cloud. Elle atteste qu'un service répond à des exigences renforcées de sécurité, de localisation des données et d'immunité aux lois extraterritoriales. La version actuelle du référentiel est la 3.2 (mars 2022).
Quels prestataires sont qualifiés SecNumCloud ?
Trois prestataires sont qualifiés sur le périmètre IaaS-PaaS à date : 3DS OUTSCALE, OVHcloud (offre dédiée) et Worldline. D'autres acteurs préparent leur dossier, notamment Bleu (Capgemini-Orange) et S3NS (Thales-Google).
SecNumCloud est-il obligatoire ?
Pour l'État français, oui : la doctrine cloud au centre rend la qualification obligatoire pour héberger les données sensibles. Pour le secteur privé, elle n'est pas obligatoire mais devient de facto requise dans plusieurs filières régulées (défense, santé, finance).
Combien de temps prend une qualification ?
Compter généralement 12 à 24 mois entre l'engagement et la délivrance, en fonction de la maturité initiale du prestataire et du périmètre visé. La phase d'audit par un PASSI dure plusieurs mois et comprend des tests sur dossier puis sur site.
Quelle différence avec EUCS ?
SecNumCloud est française (ANSSI). EUCS est européenne (ENISA), en cours de finalisation. Les deux schémas ont en commun une architecture en niveaux et une approche par exigences. Le niveau High d'EUCS devrait s'inspirer de SecNumCloud sur les exigences souveraines.
Combien coûte une offre SecNumCloud pour le client final ?
L'effort de qualification représente un coût significatif pour le prestataire, répercuté sur les tarifs. Surcoût typique de 10 à 30 pour cent par rapport à un service public équivalent non qualifié, variable selon le périmètre et la durée d'engagement.
Pour aller plus loin
- Référentiel SecNumCloud v3.2, ANSSI (cyber.gouv.fr)
- Liste officielle des prestataires qualifiés SecNumCloud (cyber.gouv.fr)
- Doctrine cloud au centre, DINUM (numerique.gouv.fr)
- Circulaire du 5 juillet 2021 relative à la doctrine d'utilisation de l'informatique en nuage par l'État
- ENISA, European Cybersecurity Certification Scheme for Cloud Services (EUCS) draft