SecNumCloud est la qualification délivrée par l'ANSSI aux prestataires de services cloud (IaaS, PaaS, SaaS) qui atteignent un niveau d'exigence élevé, à la fois technique et juridique. C'est le visa de confiance de référence pour le cloud souverain en France. Cette page explique ce que la qualification garantit, sa protection juridique contre les lois extraterritoriales (une exigence auditée, pas une immunité absolue), qui en a besoin, et comment SOCLE complète cette approche côté chaîne logicielle. Public visé : RSSI, acheteurs cloud et architectes du secteur public ou manipulant des données sensibles.
Ce que vous allez apprendre
Section intitulée « Ce que vous allez apprendre »- Distinguer une qualification ANSSI d'une simple certification
- Comprendre le critère de protection juridique propre à SecNumCloud, et sa limite
- Savoir qui doit (ou a intérêt à) l'exiger
- Relier la posture souveraine aux exigences SOCLE
Qu'est-ce que SecNumCloud
Section intitulée « Qu'est-ce que SecNumCloud »SecNumCloud est un référentiel d'exigences publié par l'ANSSI, dont la version 3.2 (8 mars 2022) fait foi. Qualification v3.2 Un prestataire qui s'y conforme et passe un audit par un organisme habilité obtient la qualification, gage que son service offre une sécurité et une confiance vérifiées par l'État.
À la différence d'une certification généraliste, la qualification SecNumCloud porte un niveau d'assurance reconnu officiellement par l'ANSSI et s'inscrit dans la doctrine française du cloud au centre pour les administrations.
Ce que la qualification exige
Section intitulée « Ce que la qualification exige »SecNumCloud combine deux registres d'exigences que peu de référentiels réunissent.
- Volet technique : la base reprend largement les contrôles d'un système de management de la sécurité (proche d'ISO/IEC 27001), renforcés sur le cloisonnement, le chiffrement, la journalisation, la gestion des accès privilégiés et les sauvegardes.
- Volet juridique : c'est la signature de SecNumCloud. Le prestataire doit être protégé des lois extraterritoriales (siège et capital dans l'Union européenne, absence de contrôle par une entité soumise à un droit non européen). Cela vise à empêcher un accès aux données imposé par une législation étrangère. C'est une exigence auditée, pas une immunité absolue : elle ne couvre pas la dépendance à une technologie amont américaine, que traite la leçon sur la souveraineté technologique.
Qui en a besoin
Section intitulée « Qui en a besoin »Pour les données particulièrement sensibles de l'État, de ses opérateurs et de certains groupements d'intérêt public, le recours à un prestataire cloud privé qualifié est exigé : l'article 31 de la loi SREN du 21 mai 2024 en pose le principe et le décret n° 2026-272 du 14 avril 2026 en fixe l'application, dans le prolongement de la doctrine « cloud au centre ». La conformité s'atteste par une qualification de l'ANSSI ou par une certification européenne reconnue équivalente. Ce texte ne vise pas, en tant que tels, les opérateurs d'importance vitale ou de services essentiels (OIV, OSE) : leurs obligations relèvent d'autres régimes, à vérifier au cas par cas. Au-delà de l'obligation, la qualification sert d'argument de souveraineté pour toute organisation qui veut garder la maîtrise de ses données.
Pour le détail des fournisseurs qualifiés, le catalogue de l'ANSSI et les cas S3NS et Bleu, voyez la page de référence SecNumCloud, S3NS, Bleu : référentiels et offres. Pour un exemple concret de fournisseur qualifié, voyez le cas SecNumCloud chez Outscale, et pour la réflexion plus large la souveraineté technologique de votre stack.
Comment SOCLE vous aide
Section intitulée « Comment SOCLE vous aide »SecNumCloud qualifie un hébergeur ; SOCLE sécurise ce que vous y construisez et déployez. Les deux se complètent :
- Souveraineté et localisation : la famille Fournisseurs traite la souveraineté et la localisation des données et des dépendances.
- Chiffrement et clés : les exigences chiffrement et gestion des clés prolongent le volet technique côté application.
- Journalisation et accès : la journalisation et l'audit et l'IAM cloud répondent aux attentes sur les accès privilégiés et la traçabilité.
Héberger chez un prestataire qualifié ne dispense pas de durcir votre propre chaîne : c'est tout l'objet du référentiel.
À retenir
Section intitulée « À retenir »- SecNumCloud est une qualification ANSSI de haut niveau pour les services cloud, version 3.2.
- Sa particularité est la protection juridique contre les lois extraterritoriales, au-delà des seules exigences techniques.
- Elle est exigée pour les données particulièrement sensibles de l'État, de ses opérateurs et de certains groupements d'intérêt public, et un atout de souveraineté ailleurs.
- SOCLE complète la qualification de l'hébergeur côté chaîne logicielle et application.
FAQ : questions fréquentes
Section intitulée « FAQ : questions fréquentes »Ces questions reprennent les interrogations les plus courantes sur la qualification, avec une réponse courte à chacune.
Prochaines étapes
Section intitulée « Prochaines étapes »Ressources officielles
Section intitulée « Ressources officielles »La publication de l'ANSSI fait seule autorité sur le référentiel et sur la liste des prestataires qualifiés : revérifiez-y toute information avant de la citer.
- SecNumCloud (ANSSI), le référentiel et la liste des prestataires qualifiés