SecNumCloud : le référentiel de l'ANSSI pour un cloud de confiance

SecNumCloud est le référentiel de l'ANSSI qui permet de qualifier une offre de cloud « de confiance » : sécurité technique et organisationnelle de haut niveau, données traitées dans l'Union européenne et protection contre les lois extraterritoriales non européennes. La qualification SecNumCloud, valable trois ans, est délivrée par l'ANSSI à une offre précise, et non à un fournisseur. Depuis 2026, elle est la référence obligatoire pour les données sensibles de l'État confiées à un cloud commercial.

L'Agence nationale de la sécurité des systèmes d'information (ANSSI) délivre plusieurs « visas de sécurité » aux produits et services qu'elle a fait évaluer. SecNumCloud est celui des services d'informatique en nuage. Il couvre les offres d'infrastructure (IaaS), de plateforme (PaaS) et de logiciel (SaaS), ainsi que les offres de conteneurs.

Trois idées résument ce que recouvre une qualification SecNumCloud :

• une offre, pas une entreprise : l'ANSSI le dit sans ambiguïté dans sa FAQ, SecNumCloud « vient reconnaître une offre de cloud spécifique et non pas un fournisseur de cloud ». Un même fournisseur peut proposer des services qualifiés et d'autres qui ne le sont pas ;
• la sécurité technique et organisationnelle : gouvernance, gestion des risques, contrôle d'accès, chiffrement, exploitation, gestion des incidents, continuité, sous-traitance ;
• la protection juridique : les données ne doivent pas pouvoir être réclamées par une autorité d'un État tiers en dehors du droit européen.

Ce dernier point fait la singularité du référentiel. Il répond à une inquiétude précise : des lois comme le CLOUD Act américain peuvent contraindre un fournisseur soumis à ce droit à communiquer des données, y compris stockées en Europe. Un centre de données situé à Paris ne suffit donc pas ; c'est la structure juridique et capitalistique du prestataire qui compte.

La qualification ne garantit pas, en revanche, la sécurité de ce que le client installe sur l'offre. L'ANSSI le rappelle : l'organisation cliente reste responsable de la sécurité de ses propres systèmes, de ses accès et de ses données.

Cloud souverain, cloud de confiance, SecNumCloud : ne pas confondre

Les trois expressions circulent souvent comme des synonymes. Elles ne le sont pas. « Cloud souverain » est un argument commercial sans définition juridique : il désigne en général un fournisseur européen ou des données hébergées en France, sans rien dire du niveau de sécurité ni du contrôle exercé par l'actionnariat. « Cloud de confiance » est l'expression retenue par l'État depuis 2021 pour désigner des offres protégées à la fois des cyberattaques et des lois extraterritoriales ; dans la doctrine publique, elle renvoie précisément à SecNumCloud. Enfin, une offre qualifiée SecNumCloud est la seule des trois dont les promesses ont été vérifiées par un évaluateur agréé puis validées par l'ANSSI.

Concrètement, face à une offre présentée comme souveraine, la bonne question n'est pas « où sont vos serveurs ? », mais « quel service exact est qualifié, à quelle date, et sur quelle couche ? ».

La version en vigueur du référentiel SecNumCloud est la 3.2, publiée par l'ANSSI en mars 2022. Elle a pris une portée nouvelle en 2026 : un arrêté du 12 août 2026, publié au Journal officiel du 14 août, l'a approuvé comme référentiel d'exigences applicable aux prestataires de cloud de l'État, en application de la loi SREN. Comme le relève Silicon, l'arrêté ne change pas le contenu technique du référentiel : il en change le poids juridique.

Les critères de protection vis-à-vis des lois extraterritoriales

C'est l'apport majeur de la version 3.2. D'après la FAQ de l'ANSSI et les analyses de Génération NT et de Silicon, le prestataire doit notamment remplir les conditions suivantes :

• son siège, son centre de décision et l'administration du service sont situés dans l'Union européenne ;
• la part de son capital détenue par des entités extra-européennes est plafonnée (24 % pour une entité seule, 39 % au total) ;
• aucune entité extra-européenne ne dispose d'un droit de veto sur ses décisions ;
• les données sont stockées et traitées dans l'Union européenne, et le service est opéré depuis l'Union.

Les autres évolutions de la version 3.2

• Des tests d'intrusion tout au long du cycle de qualification, et non plus à un instant donné.
• La qualification par composition : un éditeur SaaS ou PaaS qui s'appuie sur une infrastructure déjà qualifiée peut en hériter les garanties et concentrer l'évaluation sur sa propre couche, ce qui réduit la charge et le coût.
• Un rapprochement avec le futur schéma européen EUCS, en particulier son niveau le plus élevé.

Au total, le référentiel compte plus de 360 exigences selon Silicon, couvrant la sécurité technique, la gestion des accès, la gouvernance, l'audit, la chaîne d'approvisionnement et la continuité d'activité.

L'État : de la doctrine « cloud au centre » à la loi SREN

L'exigence s'est construite par étapes. La circulaire n° 6282/SG du 5 juillet 2021 a posé la doctrine « cloud au centre » : le cloud devient l'hébergement par défaut des nouveaux projets numériques de l'État. La circulaire du 31 mai 2023 l'a précisée en définissant les données d'une sensibilité particulière (données couvertes par un secret protégé par la loi, ou nécessaires aux missions essentielles de l'État), qui doivent être hébergées sur une offre qualifiée SecNumCloud lorsqu'elles sont confiées à un cloud commercial, comme l'expliquait alors Localtis.

La loi SREN du 21 mai 2024 a donné une base légale à cette exigence. Son article 31 impose aux administrations de l'État, à leurs opérateurs et à certains groupements d'intérêt public qui confient des données d'une sensibilité particulière à un cloud commercial de recourir à des offres protégées contre tout accès non autorisé par des autorités d'États tiers. Le décret n° 2026-272 du 14 avril 2026 en a fixé les modalités, avec un régime de dérogation temporaire en l'absence d'offre adaptée, et l'arrêté du 12 août 2026 a désigné SecNumCloud 3.2 comme référentiel. Selon l'arrêté, la conformité est attestée par une qualification de l'ANSSI ou par une certification européenne reconnue équivalente par l'ANSSI. La direction des affaires juridiques de Bercy a publié une fiche technique et des clauses types à l'usage des acheteurs publics.

Collectivités, santé, entreprises : pas d'obligation générale

Les collectivités territoriales et les établissements de santé ne sont pas directement visés par l'article 31. Beaucoup d'acheteurs publics demandent pourtant un hébergement SecNumCloud dans leurs marchés pour les données sensibles, ou le valorisent dans la notation. Côté privé, ni NIS 2 ni DORA n'imposent SecNumCloud, mais ces textes demandent de maîtriser les risques liés aux prestataires, et une offre qualifiée constitue un élément de preuve solide pour les systèmes les plus sensibles. Les entreprises qui répondent à des marchés publics de cloud, ou qui interviennent en sous-traitance, voient enfin ces exigences répercutées dans leurs contrats, comme le souligne Quantic Avocats.

Pour les administrations, la question SecNumCloud se pose souvent au moment de l'homologation de sécurité d'un système d'information : le choix de l'hébergement fait partie des risques que l'autorité d'homologation accepte, ou non. Elle s'ajoute aux autres exigences de cybersécurité du secteur public : référentiels de l'État, IGI 1300 pour les informations classifiées, et désormais NIS 2.

La qualification est une démarche longue, engagée par le prestataire de cloud. Elle passe par des jalons numérotés, de J0 à J3, et fait intervenir un centre d'évaluation agréé par l'ANSSI, qui audite l'offre, puis l'ANSSI, qui décide.

La qualification est valable trois ans, sous réserve d'audits de surveillance annuels, puis renouvelable selon les mêmes jalons (FAQ de l'ANSSI). L'agence ne publie pas de durée type ; les prestataires qui ont témoigné publiquement décrivent un processus de plus d'un an, exigeant en ressources.

Ces quatre sigles reviennent dans les mêmes appels d'offres. Ils ne mesurent pas la même chose, et un prestataire peut en cumuler plusieurs. Choisissez un critère pour comparer.

SecNumCloud et HDS

La certification HDS est obligatoire pour héberger des données de santé pour le compte d'un tiers. Elle impose un stockage dans l'UE ou l'EEE et une transparence sur les lois étrangères, sans exiger d'immunité. SecNumCloud va plus loin sur la souveraineté, mais ne remplace pas HDS : un cloud qualifié qui héberge des données de santé doit aussi être certifié. En mai 2026, d'après l'Agence du numérique en santé, huit des dix hébergeurs qualifiés SecNumCloud étaient également certifiés HDS.

SecNumCloud et ISO 27001

ISO 27001 certifie un système de management de la sécurité, sur un périmètre choisi par l'organisation. C'est une base utile, que de nombreux prestataires détiennent déjà, mais elle ne dit rien de la localisation des données ni des lois extraterritoriales. Un logiciel ISO 27001 aide à piloter ce socle commun aux deux démarches.

SecNumCloud et EUCS

L'EUCS est le schéma européen de certification du cloud préparé par l'ENISA dans le cadre du Cybersecurity Act. Début 2026, sa version finale n'était toujours pas adoptée : les États membres débattent de la prise en compte de risques stratégiques, au-delà des exigences techniques, selon Cullen International. La Commission a par ailleurs proposé, en janvier 2026, une révision du Cybersecurity Act pour accélérer l'élaboration des schémas. L'arrêté d'août 2026 prévoit déjà qu'une certification européenne reconnue équivalente par l'ANSSI pourra attester la conformité.

Les listes changent au fil des qualifications : fiez-vous à la liste officielle des offres qualifiées publiée par l'ANSSI, et à celle des prestataires en cours de qualification. Courant 2026, on comptait une dizaine d'offres qualifiées. Avant de signer, vérifiez :

• la couche qualifiée : une qualification IaaS ne couvre pas automatiquement les services PaaS ou SaaS du même fournisseur ;
• le périmètre exact du service que vous achetez, au regard de celui qui a été évalué ;
• la date et la validité de la qualification, et les engagements du prestataire en cas de perte ;
• la réversibilité : conditions de sortie, formats, délais ;
• les sous-traitants du prestataire, et leur propre exposition aux lois extraterritoriales.

Ces contrôles relèvent de la gestion des risques tiers. Ils prennent tout leur sens face aux attaques par la chaîne d'approvisionnement, où un prestataire compromis devient la porte d'entrée de ses clients.

Comment Phinasoft s'inscrit dans cette démarche

Phinasoft est un logiciel de gestion des risques cyber pour le secteur public, référencé à l'UGAP via SCC et au Sipperec. Il peut être installé sur site, dans votre propre infrastructure, ou hébergé sur un cloud souverain français (OVH ou Outscale) avec option SecNumCloud. Le logiciel accompagne vos démarches d'homologation, vos analyses de risques avec le module EBIOS RM labellisé par l'ANSSI, vos évaluations de conformité (IGI 1300, guide d'hygiène de l'ANSSI, NIS 2, ISO 27001, PSSI) et l'évaluation de vos prestataires et de vos sous-traitants. Pour en discuter à partir de votre situation, vous pouvez demander une démonstration.