SecNumCloud: co gwarantuje francuska kwalifikacja ANSSI

SecNumCloud to kwalifikacja, którą ANSSI, francuska krajowa agencja cyberbezpieczeństwa, przyznaje ofertom chmurowym spełniającym jej zbiór wymagań. Gwarantuje wysoki poziom bezpieczeństwa i ochronę przed prawem spoza Europy: siedziba w Unii Europejskiej, kapitał w większości europejski, dane przechowywane i przetwarzane w Unii. To francuski system, który obejmuje jedną konkretną ofertę, na ograniczony czas, a jedyną wiążącą listą jest lista ANSSI.

Wszystko poniżej sprawdziliśmy 23 października 2026 roku na cyber.gouv.fr, stronie ANSSI (katalog kwalifikacji zaktualizowany 16 października 2026 roku, lista kwalifikacji w toku, sam standard), oraz w Légifrance, oficjalnej francuskiej bazie aktów prawnych. Źródła są po francusku, cytaty podajemy we własnym tłumaczeniu.

Czym jest SecNumCloud?

To zbiór wymagań (standard) opublikowany przez ANSSI, który dostawca chmury musi spełnić, aby jego oferta uzyskała kwalifikację. Obowiązuje wersja 3.2 z 8 marca 2022 roku (standard na cyber.gouv.fr, po francusku). Najważniejszą nowością tej wersji były kryteria ochrony przed prawem spoza Europy, takim jak amerykański CLOUD Act.

Jak czytać komunikaty marketingowe:

• Kwalifikacja dotyczy usługi, a nie firmy: dostawca może mieć jedną ofertę z kwalifikacją i dziesięć bez niej.
• Obejmuje cztery rodzaje usług: infrastrukturę (IaaS: serwery, przestrzeń dyskowa), platformę (PaaS), kontenery (CaaS) i oprogramowanie online (SaaS).
• Ocenia ją akredytowana jednostka, a przyznaje ANSSI. Katalog wymienia cztery takie jednostki dla SecNumCloud: AFNOR Certification, BYCYB, Certi-Trust France i LSTI.
• Ma datę ważności. W katalogu większość kwalifikacji obowiązuje trzy lata.

Czego wymaga standard

Większość standardu dotyczy klasycznego bezpieczeństwa: szyfrowania, ochrony fizycznej, zarządzania dostępem i incydentami, ciągłości działania. Wyróżnia go rozdział 19.

Gdzie są dane (19.2). Dostawca musi przechowywać i przetwarzać dane klientów w Unii Europejskiej i administrować usługą z terenu Unii. Dotyczy to także danych technicznych (logów, katalogu użytkowników, certyfikatów). Tylko wsparcie techniczne może działać z państwa trzeciego, przy udokumentowanych operacjach kontrolowanych z Unii.

Kto kontroluje dostawcę (19.6). To część o „ochronie przed prawem spoza Europy”:

• statutowa siedziba, zarząd i główny zakład dostawcy znajdują się w państwie członkowskim Unii;
• firmy z siedzibą poza Unią nie mogą posiadać, bezpośrednio ani pośrednio, więcej niż 24% kapitału lub praw głosu każda, ani więcej niż 39% łącznie, nie mogą też mieć prawa weta ani powoływać większości kadry kierowniczej;
• podwykonawca spoza Europy nie może mieć technicznej możliwości dostępu do danych;
• dostawca musi być w stanie utrzymać usługę nawet wtedy, gdy któryś z jego dostawców się wycofa („autonomia operacyjna”);
• musi powiadomić klientów w ciągu miesiąca o każdej zmianie, która dotyczy tych wymagań.

Kto ma kwalifikację SecNumCloud?

W katalogu ANSSI zaktualizowanym 16 października 2026 roku trzynastu dostawców ma co najmniej jedną zakwalifikowaną ofertę, łącznie trzydzieści usług.

Źródło: katalog zakwalifikowanych produktów i usług ANSSI, sekcja 3.3, stan na 23 października 2026 roku (po francusku).

Dwie daty warto obserwować: kwalifikacja Outscale (spółki zależnej Dassault Systèmes, na której działa m.in. Albert, AI francuskiej administracji) wygasa 30 listopada 2026 roku, a kwalifikacja oferty VMware od OVH 29 grudnia 2026 roku. W katalogu z 16 października 2026 roku nie było jeszcze odnowień: zanim na nich polegasz, sprawdź aktualną wersję.

Osobnego zdania wymaga S3NS: to „wyjątkowy sojusz Thales i Google Cloud”, jak czytamy na jego stronie, a jego oferta opiera się na technologii Google Cloud. Ma kwalifikację od 17 grudnia 2025 roku. Takie hybrydowe oferty budziły kontrowersje, do tego stopnia, że ANSSI publicznie broniła wiarygodności swojej kwalifikacji (Banque des Territoires, 13 stycznia 2026 roku, po francusku). Kwalifikacja mówi, że operator spełnia standard, łącznie z rozdziałem 19.6, a nie że technologia jest europejska.

Kto jest w trakcie kwalifikacji?

Lista kwalifikacji w toku (po francusku) obejmowała 23 października 2026 roku czternastu dostawców: Adista, Aqua Ray, Bleu (Cloud de Confiance Bleu), Blue, Cegedim.cloud (rozszerzenie swojej oferty), Free Pro, GIP Mipih, Interstis, ITS Integra, Keyes (Belgia), Numspot (część PaaS), Prolival, Scaleway (Scaleway SecNumCloud, IaaS i PaaS) i Scalingo.

ANSSI zaznacza, że lista obejmuje tylko projekty, które dostawcy zgodzili się ujawnić. Przede wszystkim jednak „w trakcie” nie znaczy „z kwalifikacją”: usługa hostowana u dostawcy w trakcie kwalifikacji nie może dziś nazywać się SecNumCloud, a daty zakończenia oceny nie są publikowane.

Kto musi korzystać z SecNumCloud?

Od rozporządzenia z 12 sierpnia 2026 roku, opublikowanego we francuskim dzienniku urzędowym 14 sierpnia i obowiązującego od następnego dnia, standard 3.2 jest obowiązkowy dla komercyjnych chmur obsługujących francuską administrację rządową, podległe jej instytucje publiczne i publiczne związki celowe (GIP), gdy chodzi o dane „o szczególnej wrażliwości”: takie, których naruszenie zagroziłoby porządkowi publicznemu, bezpieczeństwu publicznemu, zdrowiu lub życiu ludzi albo własności intelektualnej (rozporządzenie w Légifrance, po francusku). Wykonuje ono art. 31 francuskiej ustawy z 21 maja 2024 roku o zabezpieczeniu i regulacji przestrzeni cyfrowej, tzw. ustawy SREN.

To samo rozporządzenie dopuszcza, zamiast kwalifikacji ANSSI, certyfikację europejską lub certyfikację innego państwa Europejskiego Obszaru Gospodarczego, którą ANSSI uznaje za równoważną.

Ten akt nie dotyczy firm prywatnych, a poza Francją nie ma mocy prawnej. SecNumCloud może się jednak pojawić w umowie: francuskie zamówienie publiczne albo klient z sektora zdrowia, obronności czy energetyki może go wymagać od dostawców. To, co obowiązuje twoją firmę, warto ustalić z inspektorem ochrony danych albo prawnikiem.

Jak sprawdzić, czy oferta naprawdę ma kwalifikację?

1. Zanotuj dokładną nazwę usługi, którą ci proponują, a nie tylko nazwę dostawcy.
2. Znajdź ją w katalogu ANSSI, w sekcji „Services d’informatique en nuage (SecNumCloud)”, i sprawdź datę aktualizacji dokumentu.
3. Przeczytaj datę końca kwalifikacji. Jeśli wypada w trakcie twojej umowy, zapytaj na piśmie, co jest przewidziane.
4. Sprawdź rodzaj usługi. Oprogramowanie (SaaS) hostowane na zakwalifikowanej infrastrukturze samo nie ma kwalifikacji: ma ją tylko infrastruktura. W katalogu z 16 października 2026 roku nie ma żadnej usługi AI: te, które nazywają się SecNumCloud, działają na zakwalifikowanej infrastrukturze.
5. Uważaj na „w trakcie” i „zgodne z SecNumCloud”: liczy się tylko wpis w katalogu.

Czego SecNumCloud nie gwarantuje

• Zgodności z RODO twojego własnego przetwarzania. Standard dotyczy dostawcy; to, co robisz z danymi, pozostaje twoją odpowiedzialnością (zobacz AI a RODO).
• Certyfikacji do hostingu danych medycznych (HDS). To osobna francuska certyfikacja, z własnymi zasadami.
• Oprogramowania, które na nim działa. AI uruchomiona na zakwalifikowanej infrastrukturze nie jest AI z kwalifikacją.
• Przyszłości. Kwalifikacja wygasa, a struktura właścicielska dostawcy może się zmienić.

Aby umieścić SecNumCloud wśród innych pytań (kto tworzy AI, gdzie działa, jakiemu prawu podlega), przeczytaj przegląd francuskiej AI. CLOUD Act wyjaśniamy w osobnym artykule, oferty OpenAI w artykule ChatGPT dla firm, a resztę znajdziesz w poradnikach o suwerenności.