SecNumCloud: Was die französische Cloud-Qualifizierung der ANSSI garantiert

SecNumCloud ist die Qualifizierung, die die ANSSI, Frankreichs nationale Behörde für die Sicherheit von Informationssystemen, an Cloud-Angebote vergibt, die ihren Anforderungskatalog erfüllen. Sie garantiert ein hohes Sicherheitsniveau und Schutz vor außereuropäischem Recht: Sitz in der Europäischen Union, mehrheitlich europäisches Kapital, Speicherung und Verarbeitung der Daten in der EU. Sie ist ein französischer Standard, gilt für ein bestimmtes Angebot und eine begrenzte Dauer, und maßgeblich ist allein die Liste der ANSSI. Die ANSSI ist in Frankreich ungefähr das, was in Deutschland das BSI ist.

Alles Folgende wurde am 23.10.2026 auf cyber.gouv.fr, der Website der ANSSI (Katalog der Qualifizierungen mit Stand 16.10.2026, Liste der laufenden Qualifizierungen, Anforderungskatalog), und auf Légifrance, der amtlichen französischen Rechtsdatenbank, geprüft. Diese Quellen sind auf Französisch; Zitate sind übersetzt.

Was ist SecNumCloud?

Ein Anforderungskatalog, herausgegeben von der ANSSI, den ein Cloud-Anbieter erfüllen muss, damit sein Angebot qualifiziert wird. Die geltende Version ist 3.2 vom 8. März 2022 (Anforderungskatalog auf cyber.gouv.fr, auf Französisch). Sie hat vor allem Kriterien zum Schutz vor außereuropäischem Recht hinzugefügt, etwa vor dem US-amerikanischen CLOUD Act.

So liest du eine Ankündigung richtig:

• Die Qualifizierung gilt für einen Dienst, nicht für ein Unternehmen: Ein Hoster kann ein qualifiziertes Angebot haben und zehn, die es nicht sind.
• Sie betrifft vier Arten von Diensten: Infrastruktur (IaaS: Server, Speicher), Plattform (PaaS), Container (CaaS) und Software aus der Cloud (SaaS).
• Sie wird von einer zugelassenen Prüfstelle bewertet und dann von der ANSSI erteilt. Der Katalog nennt für SecNumCloud vier: AFNOR Certification, BYCYB, Certi-Trust France und LSTI.
• Sie hat ein Ablaufdatum. Im Katalog laufen die meisten Qualifizierungen drei Jahre.

Was der Anforderungskatalog verlangt

Der Großteil des Katalogs betrifft klassische Sicherheit: Verschlüsselung, physische Sicherheit, Zugriffs- und Vorfallmanagement, Betriebskontinuität. Was ihn auszeichnet, ist sein Kapitel 19.

Wo die Daten liegen (19.2). Der Anbieter muss die Daten seiner Kunden in der Europäischen Union speichern und verarbeiten und den Dienst aus der Union heraus verwalten. Das gilt auch für technische Daten (Protokolle, Verzeichnisdienst, Zertifikate). Nur der Support darf aus einem Drittland tätig werden, für dokumentierte Vorgänge, die aus der Union kontrolliert werden.

Wer den Anbieter kontrolliert (19.6). Das ist der Teil „Schutz gegenüber außereuropäischem Recht“:

• Satzungssitz, Hauptverwaltung und Hauptniederlassung liegen in einem Mitgliedstaat der Union;
• Unternehmen mit Sitz außerhalb der Union dürfen direkt oder indirekt jeweils nicht mehr als 24 % des Kapitals oder der Stimmrechte halten, zusammen nicht mehr als 39 %, und weder ein Vetorecht haben noch die Mehrheit der Geschäftsführung bestimmen;
• ein außereuropäischer Unterauftragnehmer darf keine technische Möglichkeit haben, auf die Daten zuzugreifen;
• der Anbieter muss den Dienst weiterbetreiben können, auch wenn ein Zulieferer ausfällt (die „Betriebsautonomie“);
• er muss seine Kunden binnen eines Monats über jede Änderung informieren, die diese Anforderungen berührt.

Wer ist nach SecNumCloud qualifiziert?

Im Katalog der ANSSI mit Stand 16.10.2026 haben dreizehn Anbieter mindestens ein qualifiziertes Angebot, insgesamt dreißig Dienste.

Quelle: Katalog der qualifizierten Produkte und Dienste der ANSSI, Abschnitt 3.3, abgerufen am 23.10.2026, auf Französisch.

Zwei Daten im Blick behalten: Die Qualifizierung von Outscale (Tochter von Dassault Systèmes, auf der unter anderem Albert, die KI des französischen Staates läuft) endet am 30.11.2026, die des VMware-Angebots von OVH am 29.12.2026. Eine Verlängerung stand im Katalog vom 16.10.2026 noch nicht: Prüf die aktuelle Fassung, bevor du dich darauf verlässt.

S3NS verdient eine eigene Zeile: laut eigener Website eine „einzigartige Allianz zwischen Thales und Google Cloud“, deren Angebot auf der Technologie von Google Cloud beruht. Sie ist seit dem 17.12.2025 qualifiziert, und solche hybriden Angebote waren umstritten, so sehr, dass die ANSSI die Belastbarkeit ihrer Qualifizierung öffentlich verteidigt hat (Banque des Territoires, 13.01.2026, auf Französisch): Die Qualifizierung besagt, dass der Betreiber den Katalog einhält, Kapitel 19.6 eingeschlossen, nicht, dass die Technologie europäisch ist.

Wer befindet sich in der Qualifizierung?

Die Liste der laufenden Qualifizierungen (auf Französisch) umfasste am 23.10.2026 vierzehn Anbieter: Adista, Aqua Ray, Bleu (Cloud de Confiance Bleu), Blue, Cegedim.cloud (eine Weiterentwicklung seines Angebots), Free Pro, GIP Mipih, Interstis, ITS Integra, Keyes (Belgien), Numspot (sein PaaS-Teil), Prolival, Scaleway (Scaleway SecNumCloud, IaaS und PaaS) und Scalingo.

Aufgeführt sind nur Vorhaben, die die Anbieter öffentlich machen wollten, so die ANSSI. Vor allem gilt: „In Qualifizierung“ heißt nicht qualifiziert. Ein Dienst bei einem Anbieter in Qualifizierung darf sich heute nicht SecNumCloud nennen, und ein Enddatum der Bewertung wird nicht veröffentlicht.

Wer muss SecNumCloud nutzen?

Seit dem Erlass vom 12. August 2026, veröffentlicht im Journal officiel vom 14. August und am Folgetag in Kraft getreten, gilt der Katalog 3.2 für kommerzielle Clouds, die die französischen Staatsverwaltungen, die ihnen unterstellten Einrichtungen und die öffentlichen Zweckverbände (groupements d’intérêt public) bedienen, und zwar für Daten „von besonderer Sensibilität“: Daten, deren Verletzung die öffentliche Ordnung, die öffentliche Sicherheit, die Gesundheit oder das Leben von Menschen oder das geistige Eigentum beeinträchtigen würde (Erlass auf Légifrance, auf Französisch). Er setzt Artikel 31 des französischen Gesetzes vom 21. Mai 2024 zur Sicherung und Regulierung des digitalen Raums um, des sogenannten SREN-Gesetzes.

Derselbe Erlass lässt anstelle einer Qualifizierung der ANSSI auch eine europäische Zertifizierung oder eine aus einem anderen Staat des Europäischen Wirtschaftsraums zu, wenn die ANSSI sie als gleichwertig anerkennt.

Ein privates Unternehmen erfasst dieser Text nicht, und in Deutschland ist SecNumCloud keine gesetzliche Vorgabe. Begegnen kann es dir trotzdem in einem Vertrag: Eine öffentliche Ausschreibung in Frankreich oder ein französischer Kunde aus Gesundheit, Verteidigung oder Energie kann es von seinen Lieferanten verlangen. In Deutschland stößt du in Ausschreibungen eher auf den C5-Kriterienkatalog des BSI, der ein anderes Instrument ist: ein Prüfkatalog für Cloud-Sicherheit, ohne die Kapitalregeln von SecNumCloud. Was für dein Unternehmen gilt, klärst du mit deinem Datenschutzbeauftragten oder deiner Rechtsabteilung.

Wie prüfst du, ob ein Angebot wirklich qualifiziert ist?

1. Notiere den genauen Namen des Dienstes, der dir angeboten wird, nicht nur den des Hosters.
2. Such ihn im Katalog der ANSSI, Abschnitt „Services d’informatique en nuage (SecNumCloud)“, und achte auf das Aktualisierungsdatum des Dokuments.
3. Lies das Ende der Qualifizierung. Fällt es in deine Vertragslaufzeit, frag schriftlich nach, was vorgesehen ist.
4. Achte auf den Diensttyp. Eine Software (SaaS) auf einer qualifizierten Infrastruktur ist selbst nicht qualifiziert: Qualifiziert ist nur die Infrastruktur. Im Katalog vom 16.10.2026 steht kein einziger KI-Dienst: KI-Dienste, die sich SecNumCloud nennen, laufen auf einer qualifizierten Infrastruktur.
5. Sei misstrauisch bei „in Qualifizierung“ und „SecNumCloud-konform“: Es zählt nur der Eintrag im Katalog.

Was SecNumCloud nicht garantiert

• Dass deine eigene Verarbeitung DSGVO-konform ist. Der Katalog regelt den Hoster; was du mit den Daten machst, bleibt deine Verantwortung (siehe KI und DSGVO).
• Die französische Zertifizierung für Gesundheitsdaten (HDS). Das ist eine andere Zertifizierung mit eigenen Regeln.
• Die Software, die darauf läuft. Eine KI auf einer qualifizierten Infrastruktur ist keine qualifizierte KI.
• Die Zukunft. Eine Qualifizierung läuft ab, und die Eigentümer eines Anbieters können wechseln.

Wie SecNumCloud zu den anderen Fragen passt (wer die KI herausgibt, wo sie läuft, unter welchem Recht), zeigt der Überblick über französische KI; der CLOUD Act wird in ChatGPT im Unternehmen erklärt, und den Rest findest du im Ratgeber Souveränität.