SecNumCloud : ce que garantit la qualification de l’ANSSI

SecNumCloud est la qualification que l’ANSSI, l’agence nationale de la sécurité des systèmes d’information, délivre aux offres de cloud qui respectent son référentiel d’exigences. Elle garantit un haut niveau de sécurité et une protection contre les lois extra-européennes : siège dans l’Union européenne, capital majoritairement européen, données stockées et traitées dans l’Union. Elle porte sur une offre précise, pour une durée limitée, et la seule liste qui fait foi est celle de l’ANSSI.

Tout ce qui suit a été relevé le 23/10/2026 sur cyber.gouv.fr (catalogue des qualifications mis à jour le 16/10/2026, liste des qualifications en cours, référentiel) et sur Légifrance.

Qu’est-ce que SecNumCloud ?

C’est un référentiel d’exigences, publié par l’ANSSI, que doit respecter un prestataire de cloud pour obtenir la qualification de son offre. La version en vigueur est la 3.2, datée du 8 mars 2022 (référentiel sur cyber.gouv.fr). Elle a surtout ajouté des critères de protection vis-à-vis du droit extra-européen, comme le CLOUD Act américain.

Pour lire une annonce :

• La qualification porte sur un service, pas sur une entreprise : un hébergeur peut avoir une offre qualifiée et dix qui ne le sont pas.
• Elle concerne quatre types de services : l’infrastructure (IaaS : serveurs, stockage), la plateforme (PaaS), les conteneurs (CaaS) et le logiciel en ligne (SaaS).
• Elle est évaluée par un organisme agréé, puis délivrée par l’ANSSI. Le catalogue en cite quatre pour SecNumCloud : AFNOR Certification, BYCYB, Certi-Trust France et LSTI.
• Elle a une date de fin. Dans le catalogue, la plupart des qualifications courent sur trois ans.

Ce que le référentiel exige

L’essentiel du référentiel porte sur la sécurité classique : chiffrement, sécurité physique, gestion des accès et des incidents, continuité d’activité. Ce qui le distingue, c’est son chapitre 19.

Où sont les données (19.2). Le prestataire doit stocker et traiter les données de ses clients dans l’Union européenne, et administrer le service depuis l’Union. Les données techniques (journaux, annuaire, certificats) aussi. Seul le support peut intervenir depuis un pays tiers, sur des opérations documentées et contrôlées depuis l’Union.

Qui contrôle le prestataire (19.6). C’est la partie « protection vis-à-vis du droit extra-européen » :

• son siège statutaire, son administration centrale et son principal établissement sont dans un État membre de l’Union ;
• des sociétés établies hors de l’Union ne peuvent pas détenir, directement ou indirectement, plus de 24 % de son capital ou de ses droits de vote chacune, ni plus de 39 % ensemble, ni disposer d’un droit de veto ou nommer la majorité de ses dirigeants ;
• un sous-traitant extra-européen ne doit pas avoir la possibilité technique d’accéder aux données ;
• le prestataire doit pouvoir continuer à faire tourner le service même si un fournisseur le lâche (l’« autonomie d’exploitation ») ;
• il doit prévenir ses clients dans un délai d’un mois de tout changement qui touche ces exigences.

Qui est qualifié SecNumCloud ?

Au catalogue de l’ANSSI mis à jour le 16/10/2026, treize prestataires ont au moins une offre qualifiée, pour trente services en tout.

Source : catalogue des produits et services qualifiés de l’ANSSI, section 3.3, consulté le 23/10/2026.

Deux dates à surveiller : la qualification d’Outscale (filiale de Dassault Systèmes, sur laquelle tourne notamment Albert, l’IA de l’État) arrive à échéance le 30/11/2026, et celle de l’offre VMware d’OVH le 29/12/2026. Un renouvellement n’apparaissait pas encore dans le catalogue du 16/10/2026 : vérifie la version du jour avant de t’appuyer dessus.

S3NS mérite une ligne à part : c’est une « alliance unique entre Thales et Google Cloud », selon son site, dont l’offre repose sur la technologie de Google Cloud. Elle est qualifiée depuis le 17/12/2025, et ces offres hybrides ont fait débat, au point que l’ANSSI a défendu publiquement la solidité de sa qualification (Banque des Territoires, 13/01/2026) : la qualification dit que l’exploitant respecte le référentiel, chapitre 19.6 compris, pas que la technologie est européenne.

Qui est en cours de qualification ?

La liste des qualifications en cours comptait quatorze prestataires le 23/10/2026 : Adista, Aqua Ray, Bleu (Cloud de Confiance Bleu), Blue, Cegedim.cloud (une évolution de son offre), Free Pro, GIP Mipih, Interstis, ITS Integra, Keyes (Belgique), Numspot (sa partie PaaS), Prolival, Scaleway (Scaleway SecNumCloud, IaaS et PaaS) et Scalingo.

N’y figurent que les projets que les prestataires ont accepté de rendre publics, précise l’ANSSI. Surtout, « en cours » ne veut pas dire qualifié : un service hébergé chez un prestataire en cours ne peut pas se dire SecNumCloud aujourd’hui, et aucune date de fin d’évaluation n’est publiée.

Qui doit utiliser SecNumCloud ?

Depuis l’arrêté du 12 août 2026, publié au Journal officiel du 14 août et entré en vigueur le lendemain, le référentiel 3.2 s’impose aux clouds commerciaux qui servent les services de l’État, ses opérateurs et les groupements d’intérêt public, pour des données « d’une sensibilité particulière » : celles dont la violation porterait atteinte à l’ordre public, à la sécurité publique, à la santé ou à la vie des personnes, ou à la propriété intellectuelle (arrêté sur Légifrance). Il applique l’article 31 de la loi du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique, dite loi SREN.

Le même arrêté admet, à la place d’une qualification de l’ANSSI, une certification européenne ou d’un autre État de l’Espace économique européen que l’ANSSI reconnaît comme équivalente.

Une entreprise privée n’est pas visée par ce texte. Elle peut toutefois rencontrer SecNumCloud dans un contrat : un marché public, un client de la santé, de la défense ou de l’énergie peut l’exiger de ses fournisseurs. Ce qui s’applique à ton entreprise est une question pour ton DPO ou ton juriste.

Comment vérifier qu’une offre est vraiment qualifiée ?

1. Note le nom exact du service qu’on te propose, pas seulement celui de l’hébergeur.
2. Cherche-le dans le catalogue de l’ANSSI, section « Services d’informatique en nuage (SecNumCloud) », et regarde la date de mise à jour du document.
3. Lis la date de fin de qualification. Si elle tombe pendant ton contrat, demande par écrit ce qui est prévu.
4. Regarde le type de service. Un logiciel (SaaS) hébergé sur une infrastructure qualifiée n’est pas qualifié lui-même : seule l’infrastructure l’est. Aucun service d’IA ne figure dans le catalogue du 16/10/2026 : ceux qui se disent SecNumCloud tournent sur une infrastructure qualifiée.
5. Méfie-toi de « en cours » et de « conforme à SecNumCloud » : seule la mention dans le catalogue compte.

Ce que SecNumCloud ne garantit pas

• La conformité au RGPD de ton propre traitement. Le référentiel encadre l’hébergeur ; ce que tu fais des données reste ta responsabilité (voir IA et RGPD).
• La certification des données de santé (HDS). C’est une autre certification, avec ses propres règles.
• Les logiciels posés dessus. Une IA qui tourne sur une infrastructure qualifiée n’est pas une IA qualifiée.
• L’avenir. Une qualification expire, et le capital d’un prestataire peut changer.

Pour situer SecNumCloud parmi les autres questions (qui édite l’IA, où elle tourne, sous quel droit), lis le panorama des IA françaises ; le CLOUD Act est expliqué dans ChatGPT en entreprise, et le reste dans la thématique souveraine.