SecNumCloud
Référentiel de qualification ANSSI pour les fournisseurs cloud de confiance — démontrant à la fois la sécurité technique et l'immunité aux lois extraterritoriales non européennes (notamment le CLOUD Act américain), exigé pour les charges cloud du secteur public et des infrastructures critiques en France.
SecNumCloud est le référentiel de qualification de l’ANSSI pour les prestataires de services cloud de confiance. Sa version de référence actuelle est SecNumCloud v3.2 (2022, rafraîchie en 2024). Un prestataire qualifié SecNumCloud a été audité contre ~200 exigences couvrant la sécurité technique, la résilience opérationnelle — et, surtout, l’immunité aux lois extraterritoriales non européennes.
La clause d’extraterritorialité (Section 19.6 du référentiel) est ce qui rend SecNumCloud politiquement distinctif. Un prestataire dont l’actionnariat, le capital ou la gouvernance le soumet à des lois comme le CLOUD Act américain ne peut pas être qualifié — même si ses centres de données sont entièrement en France. Cela exclut les hyperscalers américains d’une qualification directe ; des offres comme Bleu (Microsoft + Capgemini + Orange) et S3NS (Google + Thales) sont des joint-ventures explicitement conçues pour satisfaire le critère d’immunité via une entité opérationnelle française majoritairement contrôlée.
Aujourd’hui, les fournisseurs qualifiés incluent OVHcloud, Outscale (Dassault Systèmes), Cloud Temple, Worldline, NumSpot et quelques autres. Bleu et S3NS ont obtenu le visa de qualification et ont des offres qualifiées en cours en 2026.
SecNumCloud est obligatoire ou fortement recommandé pour :
- Les SI sensibles de l’État (la doctrine « cloud au centre » issue de la circulaire du Premier ministre de 2021, réaffirmée en 2023).
- Les OIV et OSE français au titre de la transposition NIS2.
- Certains marchés publics (catalogues UGAP, contrats régionaux et municipaux).
Pour une mairie, un groupe hospitalier ou une entité financière hébergeant des charges en France, SecNumCloud est la réponse pratique à la question achats ce cloud est-il juridiquement protégé d’une ordonnance d’un tribunal américain. La couche complémentaire — les personnes qui utilisent le cloud — est celle où se place Engarde, distinct des autres acteurs qui partagent le nom Engarde.
Termes liés
- Cloud ActLoi fédérale américaine (2018) obligeant les fournisseurs cloud dont la maison mère est aux États-Unis à transmettre les données clients sur réquisition légale américaine — peu importe où elles sont physiquement stockées — ce qui entre en conflit avec le droit européen pour les clients européens.
- ANSSI (Agence nationale de la sécurité des systèmes d'information)Autorité nationale française de cybersécurité — publie les guides, certifications (SecNumCloud, CSPN) et posture de réponse à incident sur lesquels les organisations s'alignent.
- PSSI (Politique de Sécurité des Systèmes d'Information)Politique de Sécurité des Systèmes d'Information — document maître de sécurité d'une organisation, formalisé selon la méthode PSSI-E publiée par l'ANSSI.
- NIS2Directive UE 2022/2555 qui élève les obligations cyber des entités essentielles et importantes, avec contrôles comportementaux et formation désormais auditables.
- HDS (Hébergeur de Données de Santé)Certification française, délivrée par l'ANS, obligatoire pour toute organisation qui héberge des données de santé pour le compte d'un responsable de traitement français.