SecNumCloud (qualification ANSSI cloud souverain)
#Définition SecNumCloud (qualification ANSSI cloud souverain)
Référentiel de sécurité élaboré par l'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information) qualifiant les fournisseurs de services cloud répondant aux exigences françaises de souveraineté numérique. La qualification SecNumCloud version 3.2 (2022) garantit immunité aux lois extraterritoriales (Cloud Act US notamment), hébergement physique en UE, équipe d'exploitation européenne, chiffrement, séparation des données.
Pour approfondir, consultez la page service Souveraineté Numérique Responsable.
Maîtriser SecNumCloud (qualification ANSSI cloud souverain) permet aux équipes techniques et métier de parler le même langage — et d'arbitrer plus vite.
#SecNumCloud (qualification ANSSI cloud souverain) expliqué simplement
SecNumCloud est le « label rouge » du cloud souverain français. Quand un hébergeur est SecNumCloud, l'État français garantit que vos données ne pourront jamais être réclamées par les autorités américaines (Cloud Act), que les serveurs sont en France/UE, et que l'équipe technique est européenne. C'est obligatoire pour les administrations publiques et fortement recommandé pour les banques, mutuelles, énergéticiens régulés.
Imaginez que vous dirigez une PME ou une scale-up.
#Cas d'usage concrets
Grande collectivité (exemple de situation) — Bascule progressive d'un cloud public américain vers un hébergeur qualifié SecNumCloud, sans interruption de service. Le coût complet se compare à celui de l'hébergement actuel, et la qualification devient un argument dans les marchés publics.
Banque — assistant IA (exemple de situation) — Déploiement de Mistral Large 2 auto-hébergé chez un hébergeur qualifié SecNumCloud, pour un assistant à destination des conseillers. Les données restent dans le périmètre souverain, ce qui simplifie le dossier de conformité.
Mutuelle santé HDS + SecNumCloud (exemple de situation) — Données de santé + souveraineté : hébergement chez un prestataire à la fois certifié HDS et qualifié SecNumCloud. Cette double exigence compte dans certains marchés publics.
#SecNumCloud (qualification ANSSI cloud souverain) chez Nehos Groupe
L'équipe Nehos travaille avec cette technologie depuis ses débuts. Notre service Souveraineté Numérique Responsable couvre ce périmètre de A à Z.
La méthode Nehos est documentée sur méthode Stack Souveraine Nehos. Chaque mission démarre par un cadrage structuré : objectifs chiffrés, périmètre technique, jalons à 30/60/90 jours. Les résultats se mesurent sur le projet lui-même, pas sur des moyennes promises à l'avance. On livre, on mesure, on itère. Pas de slides sans livrable.
#Termes associés
Plusieurs concepts gravitent autour de ce sujet.
- DORA (résilience opérationnelle numérique)
- NIS2 (directive cybersécurité UE)
- AI Act (règlement européen sur l'IA)
- RGPD (Règlement Général Protection Données)
- OVHcloud (hébergeur souverain français)
- HDS (Hébergeur Données de Santé)
- Cloud Act US (loi extraterritoriale)
- Doctrine Cloud au centre (DINUM)
Explorez chaque définition pour construire une vision complète du sujet.
#Points clés à retenir
Qui doit obligatoirement utiliser un cloud SecNumCloud ? Depuis la circulaire « Cloud au centre » de mai 2023, toutes les administrations de l'État français doivent héberger sur un cloud SecNumCloud les données sensibles, les données personnelles non publiques et les applications dites « régaliennes ». L'obligation s'étend de facto aux opérateurs d'importance vitale (OIV) et opérateurs de services essentiels (OSE) au titre de NIS2.
Quels fournisseurs sont qualifiés SecNumCloud en 2026 ? Trois acteurs sont pleinement qualifiés SecNumCloud v3.2 à date : OVHcloud (offre Hosted Private Cloud SecNumCloud et Bare Metal Pod), 3DS Outscale (filiale de Dassault Systèmes) et Cloud Temple. Les offres dites « de confiance » Bleu (coentreprise Capgemini-Orange-Microsoft) et S3NS (Thales-Google) sont annoncées mais pas encore qualifiées.
Quelle différence entre SecNumCloud et ISO 27001 ? ISO 27001 est un standard international de management de la sécurité de l'information — il dit que vous gérez bien vos risques cyber, pas que vos données sont à l'abri d'une juridiction étrangère. SecNumCloud va beaucoup plus loin : il ajoute des exigences de souveraineté juridique (immunité aux lois extraterritoriales), de souveraineté physique (datacenters en UE) et de souveraineté humaine (personnel d'exploitation européen).
Applications Concrètes
« Bascule progressive d'un cloud public américain vers un hébergeur qualifié SecNumCloud, sans interruption de service. Le coût complet se compare à celui de l'hébergement actuel, et la qualification devient un argument dans les marchés publics. »
« Déploiement de Mistral Large 2 auto-hébergé chez un hébergeur qualifié SecNumCloud, pour un assistant à destination des conseillers. Les données restent dans le périmètre souverain, ce qui simplifie le dossier de conformité. »
« Données de santé + souveraineté : hébergement chez un prestataire à la fois certifié HDS et qualifié SecNumCloud. Cette double exigence compte dans certains marchés publics. »
Questions & réponses
Questions fréquentes sur SecNumCloud
Depuis la circulaire « Cloud au centre » de mai 2023, toutes les administrations de l'État français doivent héberger sur un cloud SecNumCloud les données sensibles, les données personnelles non publiques et les applications dites « régaliennes ». L'obligation s'étend de facto aux opérateurs d'importance vitale (OIV) et opérateurs de services essentiels (OSE) au titre de NIS2. Les banques, mutuelles, hôpitaux et énergéticiens y recourent par effet domino, soit par exigence sectorielle (DORA, HDS), soit pour répondre aux clauses souveraineté de leurs propres marchés publics.
Trois acteurs sont pleinement qualifiés SecNumCloud v3.2 à date : OVHcloud (offre Hosted Private Cloud SecNumCloud et Bare Metal Pod), 3DS Outscale (filiale de Dassault Systèmes) et Cloud Temple. Les offres dites « de confiance » Bleu (coentreprise Capgemini-Orange-Microsoft) et S3NS (Thales-Google) sont annoncées mais pas encore qualifiées. AWS, Microsoft Azure et Google Cloud Platform dans leurs versions standard ne le sont pas et ne peuvent pas l'être, leurs sociétés mères restant soumises au Cloud Act américain.
ISO 27001 est un standard international de management de la sécurité de l'information — il dit que vous gérez bien vos risques cyber, pas que vos données sont à l'abri d'une juridiction étrangère. SecNumCloud va beaucoup plus loin : il ajoute des exigences de souveraineté juridique (immunité aux lois extraterritoriales), de souveraineté physique (datacenters en UE) et de souveraineté humaine (personnel d'exploitation européen). Un fournisseur peut être ISO 27001 sans être SecNumCloud, l'inverse n'existe pas — toute qualification SecNumCloud inclut ISO 27001 comme socle.
Sur les charges de travail comparables (IaaS, PaaS standard), un surcoût existe souvent à puissance équivalente, à chiffrer par une comparaison de devis. Mais c'est une lecture partielle : à coûts complets (sortie de données, frais réseau, conformité réglementaire, audits), l'écart se réduit, et peut parfois basculer en faveur de SecNumCloud. Le vrai sujet n'est pas le prix, c'est la perte d'éligibilité à certains marchés publics quand on est hors SecNumCloud.
Non, pas dans leurs versions standard. Tant qu'une société mère américaine peut être contrainte par le Cloud Act ou un subpoena fédéral à livrer les données de ses filiales, la qualification est juridiquement impossible. Les contournements proposés (Bleu pour Azure, S3NS pour Google) reposent sur des structures juridiques européennes hébergeant la technologie sous licence — leur qualification fait l'objet d'un débat technique et politique vif depuis 2023. À ce jour, aucune n'est qualifiée. La voie réaliste reste un cloud nativement européen ou une architecture hybride avec données sensibles isolées chez un fournisseur SecNumCloud.
Non, et c'est le piège marketing le plus répandu. La localisation physique des serveurs en France ne protège pas du Cloud Act : la loi américaine s'applique à toute donnée gérée par une entité dont la maison-mère est de droit US, peu importe où sont les machines. Un datacenter AWS à Paris reste sous juridiction américaine. C'est précisément pour fermer cette faille que SecNumCloud impose cumulativement les trois souverainetés — juridique, physique, humaine. La géographie seule ne suffit pas, le droit prime.