SecNumCloud: qué garantiza la cualificación francesa de la ANSSI

SecNumCloud es la cualificación que la ANSSI, la agencia francesa de ciberseguridad, concede a las ofertas de nube que cumplen su referencial de requisitos. Garantiza un alto nivel de seguridad y una protección frente a las leyes no europeas: sede en la Unión Europea, capital mayoritariamente europeo, datos almacenados y procesados en la Unión. Se refiere a una oferta concreta, por un tiempo limitado, y la única lista que da fe es la de la ANSSI.

Es un sello francés: en España, el marco de seguridad de referencia para el sector público es otro, el Esquema Nacional de Seguridad (ENS, Real Decreto 311/2022), con sus propias reglas. Pero muchos proveedores europeos con clientes en España lo anuncian, y conviene saber leerlo.

Todo lo que sigue se comprobó el 23 de octubre de 2026 en cyber.gouv.fr (catálogo de cualificaciones actualizado el 16 de octubre de 2026, lista de cualificaciones en curso, referencial) y en Légifrance, todo en francés.

¿Qué es SecNumCloud?

Es un referencial de requisitos, publicado por la ANSSI, que un proveedor de nube debe cumplir para que su oferta obtenga la cualificación. La versión en vigor es la 3.2, del 8 de marzo de 2022 (referencial en cyber.gouv.fr). Añadió sobre todo criterios de protección frente al derecho no europeo, como la CLOUD Act estadounidense.

Para leer un anuncio:

• La cualificación se refiere a un servicio, no a una empresa: un proveedor puede tener una oferta cualificada y diez que no lo están.
• Cubre cuatro tipos de servicio: la infraestructura (IaaS: servidores, almacenamiento), la plataforma (PaaS), los contenedores (CaaS) y el software en línea (SaaS).
• La evalúa un organismo acreditado y luego la concede la ANSSI. El catálogo cita cuatro para SecNumCloud: AFNOR Certification, BYCYB, Certi-Trust France y LSTI.
• Tiene fecha de caducidad. En el catálogo, la mayoría de las cualificaciones duran tres años.

Lo que exige el referencial

Lo esencial del referencial trata de la seguridad clásica: cifrado, seguridad física, gestión de accesos e incidentes, continuidad de la actividad. Lo que lo distingue es su capítulo 19.

Dónde están los datos (19.2). El proveedor debe almacenar y procesar los datos de sus clientes en la Unión Europea, y administrar el servicio desde la Unión. También los datos técnicos (registros, directorio, certificados). Solo el soporte puede intervenir desde un tercer país, en operaciones documentadas y controladas desde la Unión.

Quién controla al proveedor (19.6). Es la parte de «protección frente al derecho no europeo»:

• su domicilio social, su administración central y su establecimiento principal están en un Estado miembro de la Unión;
• las sociedades establecidas fuera de la Unión no pueden tener, directa o indirectamente, más del 24 % de su capital o de sus derechos de voto cada una, ni más del 39 % en conjunto, ni disponer de un derecho de veto o nombrar a la mayoría de sus directivos;
• un subcontratista no europeo no debe tener la posibilidad técnica de acceder a los datos;
• el proveedor debe poder seguir haciendo funcionar el servicio aunque un suministrador lo deje tirado (la «autonomía de explotación»);
• debe avisar a sus clientes en el plazo de un mes de cualquier cambio que afecte a estos requisitos.

¿Quién tiene la cualificación SecNumCloud?

En el catálogo de la ANSSI actualizado el 16 de octubre de 2026, trece proveedores tienen al menos una oferta cualificada, con treinta servicios en total.

Fuente: catálogo de productos y servicios cualificados de la ANSSI (en francés), sección 3.3, consultado el 23 de octubre de 2026.

Dos fechas que vigilar: la cualificación de Outscale (filial de Dassault Systèmes, en la que funciona, entre otros, Albert, la IA del Estado francés) caduca el 30 de noviembre de 2026, y la de la oferta VMware de OVH, el 29 de diciembre de 2026. En el catálogo del 16 de octubre de 2026 todavía no aparecía ninguna renovación: comprueba la versión del día antes de apoyarte en ella.

S3NS merece una línea aparte: es una «alianza única entre Thales y Google Cloud», según su web, cuya oferta se basa en la tecnología de Google Cloud. Está cualificada desde el 17 de diciembre de 2025, y estas ofertas híbridas han generado debate, hasta el punto de que la ANSSI defendió públicamente la solidez de su cualificación (Banque des Territoires, en francés, 13 de enero de 2026): la cualificación dice que quien explota el servicio cumple el referencial, capítulo 19.6 incluido, no que la tecnología sea europea.

¿Quién está en proceso de cualificación?

La lista de cualificaciones en curso (en francés) incluía catorce proveedores el 23 de octubre de 2026: Adista, Aqua Ray, Bleu (Cloud de Confiance Bleu), Blue, Cegedim.cloud (una evolución de su oferta), Free Pro, GIP Mipih, Interstis, ITS Integra, Keyes (Bélgica), Numspot (su parte PaaS), Prolival, Scaleway (Scaleway SecNumCloud, IaaS y PaaS) y Scalingo.

Solo figuran los proyectos que los proveedores han aceptado hacer públicos, precisa la ANSSI. Y, sobre todo, «en curso» no significa cualificado: un servicio alojado en un proveedor en proceso de cualificación no puede decir hoy que es SecNumCloud, y no se publica ninguna fecha de fin de la evaluación.

¿Quién debe usar SecNumCloud?

Desde la orden ministerial del 12 de agosto de 2026, publicada en el Journal officiel (el boletín oficial francés) del 14 de agosto y en vigor desde el día siguiente, el referencial 3.2 se impone a las nubes comerciales que dan servicio a los servicios del Estado francés, sus organismos y las agrupaciones de interés público, para los datos «de una sensibilidad especial»: aquellos cuya violación afectaría al orden público, a la seguridad pública, a la salud o la vida de las personas, o a la propiedad intelectual (orden en Légifrance, en francés). Aplica el artículo 31 de la ley francesa del 21 de mayo de 2024 para proteger y regular el espacio digital, conocida como ley SREN.

La misma orden admite, en lugar de una cualificación de la ANSSI, una certificación europea o de otro Estado del Espacio Económico Europeo que la ANSSI reconozca como equivalente.

Una empresa privada no está afectada por este texto, y menos aún una empresa en España. Sin embargo, puede encontrarse con SecNumCloud en un contrato: un contrato público francés o un cliente de la sanidad, la defensa o la energía pueden exigirlo a sus proveedores. Lo que se aplica a tu empresa es una pregunta para tu delegado de protección de datos o tu abogado.

¿Cómo comprobar que una oferta está realmente cualificada?

1. Apunta el nombre exacto del servicio que te proponen, no solo el del proveedor.
2. Búscalo en el catálogo de la ANSSI, sección «Services d’informatique en nuage (SecNumCloud)», y mira la fecha de actualización del documento.
3. Lee la fecha de fin de la cualificación. Si cae durante tu contrato, pregunta por escrito qué está previsto.
4. Fíjate en el tipo de servicio. Un software (SaaS) alojado en una infraestructura cualificada no está cualificado él mismo: solo lo está la infraestructura. En el catálogo del 16 de octubre de 2026 no figura ningún servicio de IA: los que se presentan como SecNumCloud funcionan sobre una infraestructura cualificada.
5. Desconfía de «en curso» y de «conforme a SecNumCloud»: solo cuenta la mención en el catálogo.

Lo que SecNumCloud no garantiza

• Que tu propio tratamiento cumpla el RGPD. El referencial regula al proveedor de alojamiento; lo que haces con los datos sigue siendo responsabilidad tuya (consulta IA y RGPD).
• La certificación de alojamiento de datos de salud (HDS). Es otra certificación francesa, con sus propias reglas.
• El software instalado encima. Una IA que funciona sobre una infraestructura cualificada no es una IA cualificada.
• El futuro. Una cualificación caduca, y el capital de un proveedor puede cambiar.

Para situar SecNumCloud entre las demás preguntas (quién hace la IA, dónde funciona, bajo qué derecho), lee el panorama de la IA francesa; la CLOUD Act se explica en qué permite de verdad la CLOUD Act, y el resto, en el tema de la soberanía.