SecNumCloud: wat de Franse cloudkwalificatie van het ANSSI garandeert

SecNumCloud is de kwalificatie die het ANSSI, het Franse nationale cyberbeveiligingsagentschap, toekent aan cloudaanbiedingen die aan zijn eisenpakket voldoen. Ze garandeert een hoog beveiligingsniveau en bescherming tegen niet-Europese wetten: hoofdkantoor in de Europese Unie, overwegend Europees kapitaal, gegevens opgeslagen en verwerkt in de EU. Het is een Franse regeling die geldt voor één specifiek aanbod, voor een beperkte tijd, en de enige lijst die telt is die van het ANSSI.

Alles hieronder is op 23 oktober 2026 gecontroleerd op cyber.gouv.fr, de site van het ANSSI (catalogus van kwalificaties bijgewerkt op 16 oktober 2026, lijst van lopende kwalificaties, de norm zelf), en op Légifrance, de officiële Franse wettendatabank. Die bronnen zijn in het Frans; citaten zijn vertaald.

Wat is SecNumCloud?

Het is een eisenpakket (een norm), gepubliceerd door het ANSSI, waaraan een cloudaanbieder moet voldoen om zijn aanbod gekwalificeerd te krijgen. De geldende versie is 3.2, van 8 maart 2022 (norm op cyber.gouv.fr, in het Frans). Die versie voegde vooral eisen toe ter bescherming tegen niet-Europees recht, zoals de Amerikaanse CLOUD Act.

Zo lees je een aankondiging:

• De kwalificatie geldt voor een dienst, niet voor een bedrijf: een hostingpartij kan één gekwalificeerd aanbod hebben en tien die het niet zijn.
• Ze dekt vier soorten diensten: infrastructuur (IaaS: servers, opslag), platform (PaaS), containers (CaaS) en online software (SaaS).
• Ze wordt beoordeeld door een erkende instelling en daarna toegekend door het ANSSI. De catalogus noemt er vier voor SecNumCloud: AFNOR Certification, BYCYB, Certi-Trust France en LSTI.
• Ze heeft een einddatum. In de catalogus lopen de meeste kwalificaties drie jaar.

Wat de norm eist

Het grootste deel van de norm gaat over klassieke beveiliging: versleuteling, fysieke beveiliging, toegangs- en incidentbeheer, bedrijfscontinuïteit. Wat hem onderscheidt, is hoofdstuk 19.

Waar de gegevens staan (19.2). De aanbieder moet de gegevens van zijn klanten in de Europese Unie opslaan en verwerken, en de dienst vanuit de EU beheren. Technische gegevens (logbestanden, gebruikersdirectory, certificaten) ook. Alleen de support mag vanuit een land buiten de EU werken, aan gedocumenteerde handelingen die vanuit de EU worden gecontroleerd.

Wie de aanbieder controleert (19.6). Dit is het deel “bescherming tegen niet-Europees recht”:

• de statutaire zetel, het hoofdbestuur en de hoofdvestiging liggen in een lidstaat van de EU;
• bedrijven buiten de EU mogen, direct of indirect, elk niet meer dan 24% van het kapitaal of de stemrechten bezitten, en samen niet meer dan 39%, en geen vetorecht hebben of de meerderheid van de bestuurders benoemen;
• een niet-Europese onderaannemer mag technisch geen toegang tot de gegevens kunnen krijgen;
• de aanbieder moet de dienst draaiende kunnen houden, ook als een leverancier afhaakt (“operationele autonomie”);
• hij moet zijn klanten binnen een maand inlichten over elke wijziging die deze eisen raakt.

Welke aanbieders zijn SecNumCloud-gekwalificeerd?

In de catalogus van het ANSSI, bijgewerkt op 16 oktober 2026, hebben dertien aanbieders minstens één gekwalificeerd aanbod, samen goed voor dertig diensten.

Bron: catalogus van gekwalificeerde producten en diensten van het ANSSI (in het Frans), sectie 3.3, geraadpleegd op 23 oktober 2026.

Twee data om in de gaten te houden: de kwalificatie van Outscale (een dochter van Dassault Systèmes, waarop onder meer Albert, de AI van de Franse staat draait) loopt af op 30 november 2026, die van het VMware-aanbod van OVH op 29 december 2026. In de catalogus van 16 oktober 2026 stond nog geen verlenging: controleer de actuele versie voordat je erop bouwt.

S3NS verdient een aparte regel: het is “een unieke alliantie tussen Thales en Google Cloud”, volgens de eigen site, en het aanbod draait op technologie van Google Cloud. Het is gekwalificeerd sinds 17 december 2025, en zulke hybride aanbiedingen leidden tot zoveel discussie dat het ANSSI de stevigheid van zijn kwalificatie publiekelijk verdedigde (Banque des Territoires, 13 januari 2026, in het Frans). De kwalificatie zegt dat de exploitant aan de norm voldoet, hoofdstuk 19.6 inbegrepen, niet dat de technologie Europees is.

Wie zit er in het kwalificatietraject?

De lijst van lopende kwalificaties (in het Frans) telde op 23 oktober 2026 veertien aanbieders: Adista, Aqua Ray, Bleu (Cloud de Confiance Bleu), Blue, Cegedim.cloud (een wijziging van het aanbod), Free Pro, GIP Mipih, Interstis, ITS Integra, Keyes (België), Numspot (het PaaS-deel), Prolival, Scaleway (Scaleway SecNumCloud, IaaS en PaaS) en Scalingo.

Volgens het ANSSI staan alleen de trajecten op de lijst die de aanbieders openbaar willen maken. En vooral: “in behandeling” betekent niet gekwalificeerd. Een dienst bij een aanbieder in het traject mag zich vandaag niet SecNumCloud noemen, en er is geen einddatum voor de beoordeling gepubliceerd.

Voor wie is SecNumCloud verplicht?

Sinds het Franse ministeriële besluit van 12 augustus 2026, gepubliceerd in het Journal officiel (de Franse Staatscourant) van 14 augustus en de dag erna in werking getreden, is norm 3.2 verplicht voor commerciële clouds die werken voor Franse rijksdiensten, de publieke organisaties onder hun toezicht en samenwerkingsverbanden van publiek belang, voor gegevens “van bijzondere gevoeligheid”: gegevens waarvan een lek de openbare orde, de openbare veiligheid, de gezondheid of het leven van mensen, of intellectueel eigendom zou schaden (besluit op Légifrance, in het Frans). Het voert artikel 31 uit van de Franse wet van 21 mei 2024 om de digitale ruimte te beveiligen en te reguleren, de zogeheten SREN-wet.

Hetzelfde besluit aanvaardt, in plaats van een kwalificatie van het ANSSI, een certificering uit de EU of uit een ander land van de Europese Economische Ruimte die het ANSSI als gelijkwaardig erkent.

Een privébedrijf valt niet onder deze tekst, en Nederlandse organisaties al helemaal niet: het is Frans recht. Nederlandse overheden werken met hun eigen kader, de Baseline Informatiebeveiliging Overheid (BIO). Je kunt SecNumCloud wel tegenkomen in een contract: een Franse overheidsopdracht, of een klant in de zorg, defensie of energie, kan het van zijn leveranciers eisen. Wat voor jouw bedrijf geldt, is een vraag voor je functionaris gegevensbescherming of jurist.

Hoe controleer je of een aanbod echt gekwalificeerd is?

1. Noteer de exacte naam van de dienst die je wordt aangeboden, niet alleen de naam van de hostingpartij.
2. Zoek hem op in de catalogus van het ANSSI, in de sectie “Services d’informatique en nuage (SecNumCloud)” (clouddiensten), en kijk wanneer het document is bijgewerkt.
3. Lees de einddatum van de kwalificatie. Valt die binnen je contract, vraag dan schriftelijk wat er gepland is.
4. Kijk naar het type dienst. Software (SaaS) op een gekwalificeerde infrastructuur is zelf niet gekwalificeerd: alleen de infrastructuur is dat. In de catalogus van 16 oktober 2026 staat geen enkele AI-dienst: AI-diensten die zich SecNumCloud noemen, draaien op een gekwalificeerde infrastructuur.
5. Wees op je hoede bij “in behandeling” en “SecNumCloud-conform”: alleen een vermelding in de catalogus telt.

Wat SecNumCloud niet garandeert

• Dat jouw eigen verwerking voldoet aan de AVG (de Europese privacywet, GDPR). De norm regelt de hostingpartij; wat jij met de gegevens doet, blijft jouw verantwoordelijkheid (zie AI en de AVG).
• De HDS-certificering voor gezondheidsgegevens. Dat is een aparte Franse certificering, met eigen regels.
• De software die erop draait. Een AI op een gekwalificeerde infrastructuur is geen gekwalificeerde AI.
• De toekomst. Een kwalificatie verloopt, en het kapitaal van een aanbieder kan veranderen.

Wil je SecNumCloud plaatsen tussen de andere vragen (wie maakt de AI, waar draait hij, onder welk recht), lees dan het overzicht Franse AI. De CLOUD Act komt aan bod in ChatGPT zakelijk, de rest in het thema soevereiniteit.