SecNumCloud: cosa garantisce la qualifica cloud dell’ANSSI francese

SecNumCloud è la qualifica che l’ANSSI, l’agenzia nazionale francese per la cybersicurezza (l’omologa della nostra ACN), rilascia alle offerte cloud che rispettano il suo standard di requisiti. Garantisce un alto livello di sicurezza e una protezione dalle leggi extraeuropee: sede nell’Unione europea, capitale in maggioranza europeo, dati conservati e trattati nell’Unione. È uno schema francese che riguarda un’offerta precisa, per un periodo limitato, e l’unico elenco che fa fede è quello dell’ANSSI.

Tutto quello che segue è stato verificato il 23/10/2026 su cyber.gouv.fr, il sito dell’ANSSI (catalogo delle qualifiche aggiornato al 16/10/2026, elenco delle qualifiche in corso, standard), e su Légifrance, la banca dati ufficiale delle leggi francesi. Le fonti sono in francese; le citazioni sono tradotte.

Se lavori in Italia, tieni presente che SecNumCloud non è il riferimento della nostra pubblica amministrazione, che segue la qualificazione dei servizi cloud dell’ACN. Ma lo incontrerai spesso: è il marchio che i provider europei mettono in evidenza quando parlano di cloud sovrano, e alcuni clienti francesi lo chiedono ai loro fornitori.

Cos’è SecNumCloud?

È uno standard di requisiti, pubblicato dall’ANSSI, che un provider cloud deve rispettare per ottenere la qualifica della propria offerta. La versione in vigore è la 3.2, datata 8 marzo 2022 (standard su cyber.gouv.fr, in francese). La sua novità principale sono stati i criteri di protezione dal diritto extraeuropeo, come il CLOUD Act americano.

Per leggere un annuncio:

• La qualifica riguarda un servizio, non un’azienda: un provider può avere un’offerta qualificata e dieci che non lo sono.
• Copre quattro tipi di servizio: l’infrastruttura (IaaS: server, storage), la piattaforma (PaaS), i container (CaaS) e il software online (SaaS).
• Viene valutata da un organismo accreditato, poi rilasciata dall’ANSSI. Il catalogo ne cita quattro per SecNumCloud: AFNOR Certification, BYCYB, Certi-Trust France e LSTI.
• Ha una data di scadenza. Nel catalogo, la maggior parte delle qualifiche dura tre anni.

Cosa chiede lo standard

Gran parte dello standard riguarda la sicurezza classica: cifratura, sicurezza fisica, gestione degli accessi e degli incidenti, continuità operativa. A distinguerlo è il capitolo 19.

Dove stanno i dati (19.2). Il provider deve conservare e trattare i dati dei clienti nell’Unione europea, e gestire il servizio dall’Unione. Lo stesso vale per i dati tecnici (log, directory, certificati). Solo l’assistenza può intervenire da un Paese terzo, su operazioni documentate e controllate dall’Unione.

Chi controlla il provider (19.6). È la parte «protezione dal diritto extraeuropeo»:

• la sede legale, l’amministrazione centrale e la sede principale si trovano in uno Stato membro dell’Unione;
• le società con sede fuori dall’Unione non possono detenere, direttamente o indirettamente, più del 24% del capitale o dei diritti di voto ciascuna, né più del 39% insieme, né avere un diritto di veto o nominare la maggioranza dei dirigenti;
• un subfornitore extraeuropeo non deve avere la possibilità tecnica di accedere ai dati;
• il provider deve poter continuare a far funzionare il servizio anche se un fornitore lo abbandona (l’«autonomia operativa»);
• deve avvisare i clienti entro un mese di qualsiasi cambiamento che tocchi questi requisiti.

Chi è qualificato SecNumCloud?

Nel catalogo dell’ANSSI aggiornato al 16/10/2026, tredici provider hanno almeno un’offerta qualificata, per trenta servizi in tutto.

Fonte: catalogo dei prodotti e servizi qualificati dell’ANSSI (in francese), sezione 3.3, consultato il 23/10/2026.

Due date da tenere d’occhio: la qualifica di Outscale (controllata di Dassault Systèmes, su cui gira tra l’altro Albert, l’IA dello Stato francese) scade il 30/11/2026, quella dell’offerta VMware di OVH il 29/12/2026. Nel catalogo del 16/10/2026 non compariva ancora nessun rinnovo: controlla la versione del giorno prima di farci affidamento.

S3NS merita un discorso a parte: è «un’alleanza unica tra Thales e Google Cloud», secondo il suo sito (in inglese), e la sua offerta si basa sulla tecnologia di Google Cloud. È qualificata dal 17/12/2025, e queste offerte ibride hanno fatto discutere, al punto che l’ANSSI ha difeso pubblicamente la solidità della sua qualifica (Banque des Territoires, 13/01/2026, in francese): la qualifica dice che il gestore rispetta lo standard, capitolo 19.6 compreso, non che la tecnologia sia europea.

Chi ha la qualifica in corso?

L’elenco delle qualifiche in corso (in francese) contava quattordici provider il 23/10/2026: Adista, Aqua Ray, Bleu (Cloud de Confiance Bleu), Blue, Cegedim.cloud (un’evoluzione della sua offerta), Free Pro, GIP Mipih, Interstis, ITS Integra, Keyes (Belgio), Numspot (la parte PaaS), Prolival, Scaleway (Scaleway SecNumCloud, IaaS e PaaS) e Scalingo.

L’ANSSI precisa che vi compaiono solo i progetti che i provider hanno accettato di rendere pubblici. Soprattutto, «in corso» non vuol dire qualificato: un servizio ospitato da un provider in corso di qualifica oggi non può dirsi SecNumCloud, e non viene pubblicata nessuna data di fine valutazione.

Chi deve usare SecNumCloud?

Dal decreto ministeriale francese del 12 agosto 2026, pubblicato nel Journal officiel (la Gazzetta ufficiale francese) del 14 agosto ed entrato in vigore il giorno dopo, lo standard 3.2 è obbligatorio per i cloud commerciali che servono i servizi dello Stato francese, gli enti sotto la sua vigilanza e i gruppi di interesse pubblico, per dati «di particolare sensibilità»: quelli la cui violazione lederebbe l’ordine pubblico, la sicurezza pubblica, la salute o la vita delle persone, o la proprietà intellettuale (decreto su Légifrance, in francese). Il decreto attua l’articolo 31 della legge francese del 21 maggio 2024 per la sicurezza e la regolazione dello spazio digitale, detta legge SREN.

Lo stesso decreto ammette, al posto di una qualifica dell’ANSSI, una certificazione europea o di un altro Stato dello Spazio economico europeo che l’ANSSI riconosca come equivalente.

Un’azienda privata non rientra in questo testo, e un’azienda italiana ancora meno. Può comunque trovarsi davanti a SecNumCloud in un contratto: un appalto pubblico francese, un cliente della sanità, della difesa o dell’energia può chiederlo ai suoi fornitori. Cosa si applica alla tua azienda è una domanda per il tuo DPO o il tuo legale.

Come verificare che un’offerta sia davvero qualificata?

1. Annota il nome esatto del servizio che ti propongono, non solo quello del provider.
2. Cercalo nel catalogo dell’ANSSI, nella sezione «Services d’informatique en nuage (SecNumCloud)» (servizi di cloud computing), e controlla la data di aggiornamento del documento.
3. Leggi la data di scadenza della qualifica. Se cade durante il tuo contratto, chiedi per iscritto cosa è previsto.
4. Guarda il tipo di servizio. Un software (SaaS) ospitato su un’infrastruttura qualificata non è qualificato a sua volta: lo è solo l’infrastruttura. Nel catalogo del 16/10/2026 non compare nessun servizio di IA: quelli che si dicono SecNumCloud girano su un’infrastruttura qualificata.
5. Diffida di «in corso» e di «conforme a SecNumCloud»: conta solo la presenza nel catalogo.

Cosa SecNumCloud non garantisce

• La conformità al GDPR del tuo trattamento. Lo standard regola il provider; quello che fai dei dati resta una tua responsabilità (vedi IA e GDPR).
• La certificazione per i dati sanitari (HDS). È un’altra certificazione francese, con regole proprie.
• I software che ci girano sopra. Un’IA che gira su un’infrastruttura qualificata non è un’IA qualificata.
• Il futuro. Una qualifica scade, e il capitale di un provider può cambiare.

Per collocare SecNumCloud tra le altre domande (chi sviluppa l’IA, dove gira, secondo quale legge), leggi il panorama delle IA francesi; la legge americana da cui SecNumCloud vuole proteggere è spiegata in CLOUD Act, e il resto è nel tema sovranità.