SecNumCloud : à quoi sert ce visa ANSSI et qui en a vraiment besoin en 2026 ?

#Qu'est-ce que SecNumCloud ? Genèse et contexte ANSSI

SecNumCloud est un référentiel de sécurité créé par l'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information) pour qualifier les offres d'informatique en nuage (IaaS, PaaS, SaaS) destinées aux administrations françaises et aux organismes qui traitent des données sensibles pour l'État.

La première version du référentiel date de 2016, dans un contexte où les administrations publiques migraient massivement vers le cloud sans cadre de sécurité adapté. L'objectif initial était double : fournir un référentiel technique rigoureux et donner aux acheteurs publics un critère objectif pour sélectionner leurs prestataires cloud.

La révision majeure v3.2, publiée en 2022, a représenté un tournant. Elle a introduit une exigence qui allait radicalement restreindre le nombre d'opérateurs qualifiables : l'immunité aux lois extraterritoriales. Concrètement, un opérateur ne peut pas être qualifié SecNumCloud si une entité soumise à une loi d'un pays tiers — comme le Cloud Act américain de 2018 — détient une participation significative dans son capital ou contrôle ses opérations.

Cette évolution n'était pas anodine : elle a de facto exclu les filiales ou partenariats des grands hyperscalers américains (AWS, Microsoft Azure, Google Cloud) de la qualification directe, et déclenché des projets comme S3NS (Thales + Google) ou Bleu (Orange + Capgemini + Microsoft) qui cherchent à structurer des entités juridiquement immunisées.

#Les 4 piliers du référentiel SecNumCloud v3.2

Le référentiel SecNumCloud v3.2 s'articule autour de quatre axes d'exigences qui forment un bloc indissociable.

#1. Architecture et cloisonnement des données

L'infrastructure qualifiée doit garantir que les données du client ne sont jamais accessibles à d'autres clients, ni aux équipes de support sans autorisation explicite et tracée. Les exigences couvrent :

• Isolation multi-tenant : cloisonnement réseau et hyperviseur entre tenants, sans possibilité de «break-out» d'une instance vers une autre
• Localisation des données : les données doivent rester physiquement en France ou, pour certains périmètres, dans l'Union européenne — avec prohibition explicite de tout traitement ou copie de sauvegarde hors de cette zone
• Gestion des clés de chiffrement : le client doit pouvoir détenir et gérer ses propres clés (BYOK), sans que l'opérateur ne puisse déchiffrer les données au repos ou en transit sans autorisation

#2. Sécurité opérationnelle

SecNumCloud impose des standards élevés sur les processus d'exploitation :

• Gestion des accès privilégiés : revue régulière des droits administrateurs, authentification forte obligatoire, journalisation complète des accès sensibles
• Gestion des vulnérabilités : délais de correction définis par criticité (critiques : 72 h maximum), processus de veille et de correctifs documenté
• Plan de continuité et de reprise : RTO/RPO définis et testés, redondance géographique sur sol français ou européen
• Gestion des incidents de sécurité : procédure de notification dans les 24 h pour les incidents majeurs, rapport post-incident obligatoire

#3. Conformité au droit français

C'est le pilier qui distingue fondamentalement SecNumCloud des autres certifications cloud :

• L'opérateur ne doit pas être soumis à des législations hors UE autorisant un accès non judiciaire à des données (Cloud Act, loi NSL chinoise, etc.)
• Les chaînes logicielles critiques (hyperviseur, orchestrateur Kubernetes, couche réseau) doivent être maîtrisées par des entités soumises au droit français/européen
• Les contrats de support ne doivent pas créer de dépendance vis-à-vis d'entités étrangères pouvant contraindre l'opérateur
• Toute prise de participation significative par une entité hors UE doit être déclarée et peut entraîner une suspension de la qualification

#4. Auditabilité et réversibilité

• L'opérateur doit permettre des audits indépendants commandités par l'ANSSI ou par le client
• La portabilité des données doit être garantie via des formats ouverts et sans surfacturation excessive
• La réversibilité (migration vers un autre opérateur) doit être documentée et praticable dans un délai contractuellement défini

#SecNumCloud vs ISO 27001 vs HDS vs SOC 2 : tableau comparatif

Ce tableau synthétise les différences structurelles. L'ISO 27001 est une certification de management de la sécurité de l'information — elle ne dit rien sur la localisation des données ni sur la souveraineté juridique. HDS est spécifique aux données de santé et exige une localisation en France, mais ne traite pas du risque d'accès extraterritorial. SOC 2 est une norme américaine, auditée par des cabinets américains, sans aucune pertinence vis-à-vis du Cloud Act.

Seul SecNumCloud combine les quatre dimensions : rigueur technique, souveraineté juridique, localisation des données et portée légale dans les marchés publics français.

#Qui doit choisir SecNumCloud ?

#Secteur public et administrations

La circulaire interministérielle de 2023 (instruction DISIC) recommande explicitement le recours à des offres qualifiées SecNumCloud pour tout système d'information traitant des données sensibles non classifiées (niveau «Diffusion Restreinte»). Pour les données classifiées, des exigences encore plus strictes s'appliquent via les systèmes d'information classifiés.

Sont directement concernés : ministères, établissements publics, collectivités territoriales pour leurs systèmes critiques, agences de l'État, opérateurs publics de services numériques.

#Opérateurs d'importance vitale (OIV) et opérateurs de services essentiels (OSE)

La directive NIS2, transposée en droit français par la loi du 26 octobre 2024, impose des exigences de sécurité renforcées aux OIV (désignés par décret) et à plusieurs centaines d'OSE dans les secteurs énergie, transports, santé, eau, finance et infrastructure numérique.

Pour ces organisations, les systèmes d'information d'importance vitale (SIIV) doivent s'appuyer sur des infrastructures cloud dont le niveau de sécurité est opposable — SecNumCloud est le référentiel de référence de l'ANSSI pour cette qualification.

#Acteurs de l'IA souveraine

Avec l'essor des projets d'IA générative au sein des administrations et des entreprises sensibles, la question de l'infrastructure d'entraînement et d'inférence est devenue centrale. Un modèle de langage entraîné sur des données publiques ou des données métier sensibles ne peut pas être hébergé sur une infrastructure exposée au Cloud Act sans risque juridique majeur.

Les acteurs qui développent ou déploient des modèles IA sur données sensibles de l'État — dossiers médicaux, données fiscales, données de renseignement économique — doivent héberger leurs pipelines d'entraînement et leurs endpoints d'inférence sur infrastructure qualifiée SecNumCloud.

#Ce qui ne nécessite pas SecNumCloud

Une PME qui héberge son site e-commerce, son CRM ou ses outils collaboratifs sur OVHcloud ou Scaleway n'a pas besoin de SecNumCloud. La conformité RGPD est atteinte dès lors que les données restent dans l'UE et que les DPA (Data Processing Agreements) sont en place. SecNumCloud représente un surcoût et une complexité opérationnelle justifiés uniquement par un niveau de risque élevé.

→ Pour aller plus loin : découvrez nos outils gratuits — calculateurs ROI, diagnostics techniques et quiz interactifs pour affiner votre réflexion.

#Les opérateurs qualifiés SecNumCloud en 2026

#Outscale (Dassault Systèmes) — Qualification obtenue

Outscale est la filiale cloud de Dassault Systèmes, détenue à 100% par le groupe français. Elle est l'opérateur qui a le plus avancé dans la qualification SecNumCloud IaaS, avec une offre qualifiée en production. L'actionnariat 100% français et l'absence de toute dépendance vis-à-vis d'entités hors UE lui permettent de satisfaire l'exigence d'immunité extraterritoriale.

L'offre qualifiée couvre l'IaaS (compute, stockage, réseau). Elle est référencée sur le catalogue UGAP, ce qui facilite l'achat public sans procédure d'appel d'offres spécifique pour les montants concernés.

#Numspot — Qualification en finalisation

Numspot est un consortium fondé en 2023 par Banque des Territoires (Caisse des Dépôts), Dexia, Docaposte (La Poste) et Bouygues Télécom Entreprises. Sa gouvernance est structurellement alignée avec les exigences SecNumCloud : actionnariat 100% français, absence de partenariats technologiques avec des hyperscalers non européens.

La qualification SecNumCloud était initialement ciblée pour 2025. En 2026, le processus d'audit est en phase finale. L'offre cible en priorité les collectivités territoriales, les établissements de santé et les opérateurs publics numériques.

#S3NS (Thales + Google) — Qualification en cours

S3NS est une coentreprise entre Thales et Google Cloud, structurée pour que Thales opère l'infrastructure et contrôle les clés de chiffrement, sans accès possible de Google aux données clients. L'objectif est d'obtenir la qualification SecNumCloud tout en bénéficiant des technologies Google Cloud (GKE, BigQuery, Vertex AI).

C'est un modèle dit de «cloud de confiance» : la technologie est américaine, mais l'opération et la maîtrise des données sont entre les mains d'une entité française. L'ANSSI examine si ce modèle satisfait pleinement l'exigence d'immunité extraterritoriale — la qualification n'est pas encore formellement obtenue à la date de publication.

#Bleu (Orange + Capgemini + Microsoft) — Statut incertain

Bleu est un projet de joint-venture entre Orange, Capgemini et Microsoft Azure, fondé sur le même principe de «cloud de confiance» que S3NS. Orange et Capgemini seraient les opérateurs souverains, Microsoft fournissant la technologie sans accès aux données.

→ Pour aller plus loin : découvrez nos outils gratuits — calculateurs ROI, diagnostics techniques et quiz interactifs pour affiner votre réflexion.

Le projet a connu des retards significatifs et son statut exact en 2026 reste à confirmer. Les enjeux d'immunité extraterritoriale sont complexes : même si les opérations sont localisées en France, des contrats de licence, de support technique et de mise à jour de logiciels avec Microsoft peuvent créer des points d'accès indirects. L'ANSSI n'a pas encore prononcé de qualification à la date de cet article.

#Le processus de qualification SecNumCloud

#Durée et étapes

La qualification SecNumCloud est un processus long et exigeant :

1. Phase de candidature : l'opérateur soumet un dossier de qualification à l'ANSSI décrivant son offre, son architecture technique, ses processus de sécurité et sa gouvernance juridique.
2. Audit documentaire : l'ANSSI ou un prestataire d'audit agréé (PASSI — Prestataires d'Audit de la Sécurité des Systèmes d'Information) vérifie la conformité du dossier au référentiel.
3. Audit technique sur site : tests d'intrusion, revue d'architecture, vérification des contrôles de sécurité opérationnelle sur l'infrastructure réelle.
4. Instruction ANSSI : analyse des résultats d'audit, échanges avec l'opérateur pour les points à corriger, décision de qualification.
5. Décision de qualification : délivrance du visa pour l'offre qualifiée, publication sur le site de l'ANSSI.

La durée totale est généralement de 18 à 36 mois entre le début de la démarche et la qualification effective. Les opérateurs qui partent d'une base ISO 27001 mature avancent plus vite.

#Coût

Le coût d'un processus de qualification SecNumCloud est significatif :

• Audit PASSI : entre112 1 792 € et50 9 472 € selon la complexité de l'offre et l'étendue du périmètre audité
• Mise en conformité préalable :50 9 472 € à plusieurs millions d'euros pour les opérateurs qui doivent refondre leur architecture ou leur gouvernance
• Coûts récurrents : l'audit de renouvellement triennal représente 50 à 70% du coût initial

Ces chiffres expliquent pourquoi seuls des opérateurs disposant de ressources significatives ou d'un marché garanti (secteur public) s'engagent dans cette démarche.

#Renouvellement triennal

La qualification est valable 3 ans. À l'issue, l'opérateur doit soumettre sa qualification à renouvellement avec un nouvel audit complet. L'ANSSI peut également procéder à des audits de surveillance intermédiaires. Tout changement significatif d'architecture, de périmètre ou de gouvernance doit être notifié à l'ANSSI et peut déclencher une réévaluation anticipée.

#Cloud Act américain et données SecNumCloud : pourquoi l'immunité extraterritoriale est déterminante

Le Cloud Act (Clarifying Lawful Overseas Use of Data Act), adopté par le Congrès américain en mars 2018, autorise les autorités américaines à contraindre les fournisseurs de services cloud soumis à la juridiction américaine à fournir des données stockées n'importe où dans le monde, y compris hors des États-Unis.

Contrairement à ce que suggère parfois une lecture superficielle, le Cloud Act ne se limite pas aux données stockées aux États-Unis. Un opérateur dont la maison-mère est américaine, dont les dirigeants sont soumis au droit américain, ou dont les contrats sont gouvernés par le droit américain peut recevoir une injonction contraignante même pour des données hébergées dans un datacenter parisien.

Les données stockées sur une infrastructure qualifiée SecNumCloud bénéficient d'une protection structurelle : l'opérateur qualifié ne peut pas, par construction, être soumis au Cloud Act. Toute demande d'accès à des données doit passer par les voies judiciaires européennes (commissions rogatoires, conventions d'entraide judiciaire), avec les garanties procédurales correspondantes.

C'est cette garantie — et non pas seulement la localisation physique des données — qui fonde la valeur du visa SecNumCloud pour les organisations traitant des données sensibles.

#SecNumCloud dans les marchés publics : obligations et circulaires

La circulaire du Premier ministre de juillet 2023 (instruction interministérielle DISIC) formalise les obligations des administrations centrales et des opérateurs de l'État en matière de recours au cloud souverain. Elle distingue trois catégories de données :

• Données «non sensibles» : hébergement cloud possible sur tout opérateur respectant le RGPD et localisé dans l'UE (OVHcloud, Scaleway, etc. acceptables)
• Données «sensibles» (niveau DR — Diffusion Restreinte) : recours requis à une offre qualifiée SecNumCloud ou, à défaut, justification documentée d'une alternative de niveau équivalent
• Données classifiées : infrastructure dédiée relevant des systèmes d'information classifiés, hors périmètre cloud commercial

Le Programme cloud au centre de la DINUM (Direction Interministérielle du Numérique) référence les offres cloud qualifiées ou en voie de qualification. Les acheteurs publics sont fortement incités à utiliser ce référentiel pour leurs marchés.

Dans les appels d'offres publics, la qualification SecNumCloud peut être un critère d'exclusion ou un critère de sélection selon la sensibilité du traitement. Les acheteurs qui ne respectent pas cette orientation s'exposent à des risques de requalification de marché et de contentieux.

#Architecture souveraine Nehos pour le secteur public : approche pratique

Nehos accompagne des organisations du secteur public et des ETI dans la conception d'architectures cloud souveraines opérationnelles. L'approche suit quatre étapes.

1. Audit de sensibilité des données : cartographie des flux de données, classification par niveau de sensibilité (public, interne, confidentiel, DR), identification des traitements nécessitant une infrastructure qualifiée SecNumCloud.

2. Architecture cible : conception d'une architecture hybride ou full-souveraine selon le profil de risque. Pour un organisme public type, l'architecture combine une infrastructure qualifiée SecNumCloud (Outscale ou Numspot) pour les données sensibles et une infrastructure cloud souverain de fait (OVHcloud) pour les données moins critiques — avec un cloisonnement réseau strict entre les deux périmètres.

3. Intégration IA sur infrastructure qualifiée : déploiement de modèles de langage open source (Mistral, Llama) sur l'infrastructure SecNumCloud via des pipelines d'inférence conteneurisés. Les données d'entraînement et les prompts ne quittent jamais l'infrastructure qualifiée. L'API exposée aux agents métier est hébergée dans le périmètre souverain.

4. Documentation de conformité : production du dossier de conformité RGPD et NIS2, des DPA avec les sous-traitants, du registre des traitements mis à jour, et de la politique de gestion des incidents conforme aux obligations de notification.

L'objectif est de livrer une architecture qui soit à la fois conforme aux exigences SecNumCloud et opérationnellement viable : temps de latence acceptables, coûts maîtrisés, autonomie des équipes DSI.