SecNumCloud: o que garante a qualificação da ANSSI francesa

O SecNumCloud é a qualificação que a ANSSI, a agência nacional francesa de cibersegurança, atribui às ofertas de nuvem que cumprem o seu referencial de requisitos. Garante um elevado nível de segurança e proteção contra leis extraeuropeias: sede na União Europeia, capital maioritariamente europeu, dados guardados e tratados na União. É um regime francês que incide sobre uma oferta concreta, por um período limitado, e a única lista que faz fé é a da ANSSI. Em Portugal, a autoridade nacional de cibersegurança é outra, o Centro Nacional de Cibersegurança (CNCS): o SecNumCloud interessa-te sobretudo se trabalhas com clientes franceses ou se escolhes um fornecedor de nuvem francês.

Tudo o que se segue foi verificado a 23/10/2026 em cyber.gouv.fr, o site da ANSSI (catálogo das qualificações atualizado a 16/10/2026, lista das qualificações em curso, o próprio referencial), e no Légifrance, a base de dados jurídica oficial francesa. Estas fontes estão em francês; as citações foram traduzidas.

O que é o SecNumCloud?

É um referencial de requisitos, publicado pela ANSSI, que um prestador de nuvem tem de cumprir para obter a qualificação da sua oferta. A versão em vigor é a 3.2, de 8 de março de 2022 (referencial em cyber.gouv.fr, em francês). A grande novidade desta versão foram os critérios de proteção face ao direito extraeuropeu, como o CLOUD Act norte-americano.

Para ler um anúncio:

• A qualificação incide sobre um serviço, não sobre uma empresa: um fornecedor de alojamento pode ter uma oferta qualificada e dez que não o são.
• Abrange quatro tipos de serviço: a infraestrutura (IaaS: servidores, armazenamento), a plataforma (PaaS), os contentores (CaaS) e o software online (SaaS).
• É avaliada por um organismo acreditado e depois atribuída pela ANSSI. O catálogo indica quatro para o SecNumCloud: AFNOR Certification, BYCYB, Certi-Trust France e LSTI.
• Tem data de fim. No catálogo, a maioria das qualificações vale por três anos.

O que o referencial exige

A maior parte do referencial trata da segurança clássica: cifragem, segurança física, gestão de acessos e de incidentes, continuidade do negócio. O que o distingue é o capítulo 19.

Onde estão os dados (19.2). O prestador tem de guardar e tratar os dados dos clientes na União Europeia e administrar o serviço a partir da União. Os dados técnicos (registos, diretório, certificados) também. Só o suporte pode intervir a partir de um país terceiro, em operações documentadas e controladas a partir da União.

Quem controla o prestador (19.6). É a parte da «proteção face ao direito extraeuropeu»:

• a sede estatutária, a administração central e o estabelecimento principal ficam num Estado-Membro da União;
• empresas estabelecidas fora da União não podem deter, direta ou indiretamente, mais de 24 % do capital ou dos direitos de voto cada uma, nem mais de 39 % em conjunto, nem ter direito de veto ou nomear a maioria dos dirigentes;
• um subcontratante extraeuropeu não pode ter a possibilidade técnica de aceder aos dados;
• o prestador tem de conseguir manter o serviço a funcionar mesmo que um fornecedor o deixe (a «autonomia de exploração»);
• tem de avisar os clientes no prazo de um mês de qualquer alteração que afete estes requisitos.

Quem tem a qualificação SecNumCloud?

No catálogo da ANSSI atualizado a 16/10/2026, treze prestadores têm pelo menos uma oferta qualificada, num total de trinta serviços.

Fonte: catálogo dos produtos e serviços qualificados da ANSSI (em francês), secção 3.3, consultado a 23/10/2026.

Duas datas a vigiar: a qualificação da Outscale (filial da Dassault Systèmes, onde corre, entre outros, o Albert, a IA do Estado francês) termina a 30/11/2026, e a da oferta VMware da OVH a 29/12/2026. Nenhuma renovação constava ainda do catálogo de 16/10/2026: confirma a versão do dia antes de contares com ela.

A S3NS merece uma linha à parte: é uma «aliança única entre a Thales e a Google Cloud», segundo o seu site (em inglês), e a sua oferta assenta na tecnologia da Google Cloud. Está qualificada desde 17/12/2025, e estas ofertas híbridas geraram debate, ao ponto de a ANSSI ter defendido publicamente a solidez da sua qualificação (Banque des Territoires, em francês, 13/01/2026): a qualificação diz que o operador cumpre o referencial, incluindo o capítulo 19.6, não que a tecnologia é europeia.

Quem está em processo de qualificação?

A lista das qualificações em curso (em francês) tinha catorze prestadores a 23/10/2026: Adista, Aqua Ray, Bleu (Cloud de Confiance Bleu), Blue, Cegedim.cloud (uma evolução da sua oferta), Free Pro, GIP Mipih, Interstis, ITS Integra, Keyes (Bélgica), Numspot (a parte PaaS), Prolival, Scaleway (Scaleway SecNumCloud, IaaS e PaaS) e Scalingo.

Só aparecem os projetos que os prestadores aceitaram tornar públicos, precisa a ANSSI. Sobretudo, «em curso» não quer dizer qualificado: um serviço alojado num prestador em processo de qualificação não pode dizer-se SecNumCloud hoje, e não é publicada nenhuma data de fim da avaliação.

Quem tem de usar o SecNumCloud?

Desde a portaria francesa de 12 de agosto de 2026, publicada no Journal officiel (o jornal oficial francês) a 14 de agosto e em vigor no dia seguinte, o referencial 3.2 impõe-se às nuvens comerciais que servem os serviços do Estado francês, os organismos públicos que tutela e os agrupamentos de interesse público, para dados «de sensibilidade particular»: aqueles cuja violação poria em causa a ordem pública, a segurança pública, a saúde ou a vida das pessoas, ou a propriedade intelectual (portaria no Légifrance, em francês). Aplica o artigo 31 da lei francesa de 21 de maio de 2024 para proteger e regular o espaço digital, conhecida como lei SREN.

A mesma portaria aceita, em vez de uma qualificação da ANSSI, uma certificação europeia ou de outro Estado do Espaço Económico Europeu que a ANSSI reconheça como equivalente.

Uma empresa privada não é abrangida por este texto, e muito menos uma empresa portuguesa. Pode, ainda assim, encontrar o SecNumCloud num contrato: um contrato público francês, ou um cliente da saúde, da defesa ou da energia, pode exigi-lo aos seus fornecedores. O que se aplica à tua empresa é uma pergunta para o teu encarregado da proteção de dados ou para o teu jurista.

Como confirmar que uma oferta está mesmo qualificada?

1. Anota o nome exato do serviço que te propõem, não só o nome do fornecedor de alojamento.
2. Procura-o no catálogo da ANSSI, na secção «Services d’informatique en nuage (SecNumCloud)» (serviços de computação em nuvem), e vê a data de atualização do documento.
3. Lê a data de fim da qualificação. Se cair durante o teu contrato, pergunta por escrito o que está previsto.
4. Vê o tipo de serviço. Um software (SaaS) alojado numa infraestrutura qualificada não está ele próprio qualificado: só a infraestrutura está. Nenhum serviço de IA consta do catálogo de 16/10/2026: os que se dizem SecNumCloud correm numa infraestrutura qualificada.
5. Desconfia de «em curso» e de «conforme com o SecNumCloud»: só conta a menção no catálogo.

O que o SecNumCloud não garante

• A conformidade do teu próprio tratamento com o RGPD. O referencial enquadra quem aloja; o que fazes com os dados continua a ser responsabilidade tua (ver IA e RGPD).
• A certificação para alojamento de dados de saúde (HDS). É outra certificação francesa, com regras próprias.
• O software instalado por cima. Uma IA que corre numa infraestrutura qualificada não é uma IA qualificada.
• O futuro. Uma qualificação expira, e o capital de um prestador pode mudar.

Para situar o SecNumCloud entre as outras questões (quem faz a IA, onde corre, sob que direito), lê o panorama da IA francesa; o CLOUD Act é explicado em CLOUD Act: o que a lei norte-americana permite, e o resto está no tema soberania.