La qualification SecNumCloud exige d'un fournisseur cloud deux choses distinctes : un niveau de sécurité élevé, vérifié par audit sur l'ensemble de la chaîne d'exploitation, et une protection juridique contre l'application de lois extra-européennes. La version en vigueur du référentiel, la 3.2, est datée du 8 mars 2022 1. Elle a été formellement approuvée par un arrêté du 12 août 2026, publié au Journal officiel du 14 août, dans le cadre du dispositif issu de l'article 31 de la loi SREN 45.
Pour un client, comprendre ces exigences permet de lire correctement une qualification : ce qu'elle garantit, ce qu'elle ne garantit pas, et les mesures qui restent de sa responsabilité. C'est l'objet de cet article, qui s'appuie directement sur le texte du référentiel et sur les publications de l'ANSSI.
Le référentiel SecNumCloud 3.2 : périmètre et logique
SecNumCloud s'applique aux prestataires de services d'informatique en nuage, du IaaS au SaaS. Le référentiel est organisé en chapitres thématiques couvrant notamment l'analyse de risques, le contrôle d'accès, la cryptographie, la sécurité de l'exploitation, la sécurité des réseaux, la continuité d'activité et la gestion des incidents, complétés par un chapitre 19 d'exigences supplémentaires : convention de service, localisation des données, régionalisation, fin de contrat, protection des données personnelles et protection vis-à-vis du droit extra-européen 1.
La qualification est délivrée pour trois ans, avec des audits de surveillance annuels 2. L'entrée dans le processus est actée par un courrier de l'ANSSI marquant le jalon J0 ; ce n'est qu'à partir de ce moment que le prestataire peut faire état publiquement de sa démarche 2. Dans le cas de S3NS, la qualification de l'offre PREMI3NS est intervenue environ dix-sept mois après le J0, selon Next 7.
Les exigences techniques qui font la différence
Beaucoup d'exigences recoupent les bonnes pratiques d'un SMSI mature. Certaines sont plus spécifiques et ont un impact direct sur l'architecture de l'offre.
- Chiffrement des données stockées, de façon à empêcher leur récupération lors de la réallocation ou de la récupération d'un support, avec au moins une clé par client pour les services IaaS et CaaS (chapitre 10.1) 1.
- Chiffrement des flux conforme aux règles cryptographiques de l'ANSSI et à ses recommandations TLS, IPsec ou SSH (chapitre 10.2) 1.
- Certificats émis par une autorité de certification d'un État membre de l'Union, avec cérémonies de clés maîtresses réalisées dans l'Union (chapitre 10.6) 1.
- Interfaces d'administration non accessibles depuis un réseau public et protégées par une authentification multifacteur forte (chapitre 9.6) 1.
- Support à distance depuis l'extérieur de l'Union uniquement à travers une passerelle sécurisée, avec supervision en temps réel des actions (chapitre 9.7) 1.
- Sauvegardes situées à distance suffisante et soumises aux mêmes exigences de localisation et de sécurité que les données de production (chapitre 12.5) 1.
Ces exigences expliquent en partie la durée des qualifications : elles imposent souvent de reconstruire des chaînes d'administration, de support et de gestion des clés qui, dans un cloud public standard, sont mondialisées.
SecNumCloud et l'immunité aux lois extra-européennes
Le chapitre 19.6 du référentiel, consacré à la protection vis-à-vis du droit extra-européen, est celui qui distingue SecNumCloud de la plupart des certifications de sécurité. L'ANSSI le résume ainsi : la société doit être soumise au seul droit de l'Union, ce qui s'apprécie à partir de plusieurs critères (siège dans un État membre, actionnariat extra-européen minoritaire, recours à des prestataires tiers non européens, autonomie d'exploitation, absence d'ingérence étrangère) 2.
Les critères capitalistiques
Comme le rappelle l'exposé sommaire d'un amendement déposé à l'Assemblée nationale, le prestataire doit avoir son siège statutaire, son administration centrale ou son principal établissement dans l'Union, et son capital comme ses droits de vote ne doivent pas être détenus, directement ou indirectement, à plus de 24 % individuellement et à plus de 39 % collectivement par des entités établies hors de l'Union 3. Ces seuils expliquent les montages en coentreprise retenus par les offres fondées sur des technologies américaines.
Localisation et autonomie
Les données des clients doivent être localisées dans l'Union, mais aussi les annuaires d'administrateurs et d'utilisateurs ainsi que les données techniques comme les journaux et les certificats racines ; les annuaires d'administration doivent être séparés de ceux des clients 2. Un sous-traitant extra-européen ne doit pas disposer d'un accès technique aux données, et le prestataire doit pouvoir continuer à exploiter son service de façon autonome 2.
SecNumCloud ne protège pas seulement la donnée : il protège aussi les journaux, les annuaires et les clés qui permettent d'y accéder.
Ce que la qualification ne garantit pas
Le référentiel est explicite sur ses propres limites. Son chapitre 3.3.2 indique qu'il n'apporte pas de garantie technique contre un accès du prestataire aux données du client : les engagements correspondants sont contractuels, et il appartient au client de mettre en place, s'il le juge nécessaire, un chiffrement complémentaire sous sa propre maîtrise 1. La qualification réduit donc fortement le risque juridique et le risque d'exploitation, sans dispenser d'une réflexion sur la gestion des clés.
Le prestataire doit par ailleurs lister dans un document spécifique les risques résiduels liés à l'existence de lois extra-européennes permettant la collecte de données sans le consentement du client, et fournir sur demande les éléments d'appréciation de ces risques (chapitre 5.3) 1. Ce document est une pièce que tout RSSI devrait demander et analyser.
Qualification du fournisseur et sécurité de votre système
Une qualification porte sur le service fourni, pas sur ce que le client construit au-dessus. Une application déployée sur un IaaS qualifié n'hérite pas de la qualification : ses propres choix d'architecture, de gestion des identités, de développement et d'exploitation restent à évaluer. De même, un éditeur SaaS qui s'appuie sur une infrastructure qualifiée ne peut pas présenter son service comme qualifié s'il n'a pas lui-même suivi le processus pour son propre périmètre.
La qualification ne remplace pas non plus l'analyse de risques et la démarche d'homologation du système d'information du client. Elle en constitue un intrant solide, qui permet de considérer comme traités un grand nombre de risques liés à l'hébergement, mais la responsabilité de l'acceptation des risques résiduels reste celle de l'organisation cliente. Concrètement, la qualification réduit le travail d'audit du fournisseur ; elle ne dispense ni de cartographier les flux, ni de définir qui administre quoi, ni de tester les procédures de restauration et de sortie.
Les points de vigilance côté client
Le décret d'application de l'article 31 de la loi SREN et la fiche technique de la direction des affaires juridiques insistent sur la vérification de la portée réelle de la qualification 6. Comme le souligne une analyse de l'arrêté d'août 2026, afficher une qualification ne suffit pas : il faut contrôler le périmètre du service qualifié, la chaîne de sous-traitance, les lieux d'hébergement et d'accès, la réversibilité et la protection contre les accès d'autorités étrangères 4. Une certification européenne ou d'un État de l'Espace économique européen peut aussi être admise si l'ANSSI la reconnaît équivalente 45.
Checklist : exploiter une qualification SecNumCloud dans vos contrats
- Vérifier que chaque service consommé figure dans le périmètre qualifié, y compris les services managés annexes (bases de données, sauvegarde, supervision).
- Obtenir la convention de service et le document listant les risques résiduels liés aux lois extra-européennes.
- Décider explicitement qui détient les clés de chiffrement et, pour les données les plus sensibles, envisager un chiffrement sous votre maîtrise.
- Contrôler que vos propres outils (SIEM, sauvegarde, CI/CD, support éditeur) ne réexportent pas données ou journaux hors du périmètre qualifié.
- Suivre les dates de qualification et de renouvellement, et prévoir contractuellement l'information en cas de suspension.
- Intégrer dans le contrat les modalités de fin de contrat et de restitution des données prévues au chapitre 19 du référentiel.
Conclusion
SecNumCloud est aujourd'hui le standard le plus exigeant disponible en France pour héberger des données sensibles dans le cloud, parce qu'il combine contrôles techniques audités et critères juridiques précis. Il ne transfère pas pour autant toute la responsabilité au fournisseur : périmètre, clés de chiffrement et chaîne d'outillage restent à maîtriser côté client. C'est sur cette lecture opérationnelle des qualifications que DATASWING appuie ses missions d'architecture cloud de confiance.
— Questions fréquentes
Ce qu'on nous demande souvent
Quelle est la version actuelle du référentiel SecNumCloud ?+
La version en vigueur est la 3.2, datée du 8 mars 2022 et publiée par l'ANSSI. Elle a été approuvée par un arrêté du 12 août 2026, publié au Journal officiel du 14 août, qui en fait le référentiel applicable aux services cloud traitant des données d'une sensibilité particulière pour l'État et ses opérateurs.
Combien de temps dure une qualification SecNumCloud ?+
Une qualification SecNumCloud est délivrée pour trois ans, sous réserve d'audits de surveillance annuels, puis peut être renouvelée. Le processus d'obtention est long : à titre d'exemple, la qualification de l'offre PREMI3NS de S3NS est intervenue environ dix-sept mois après l'entrée formelle dans le processus, selon Next.
Un fournisseur américain peut-il être qualifié SecNumCloud ?+
Pas directement. Le prestataire doit être soumis au seul droit européen, avoir son siège dans l'Union et un capital détenu au plus à 24 % individuellement et 39 % collectivement par des entités extra-européennes. D'où des coentreprises françaises exploitant des technologies américaines sous licence, avec des sous-traitants sans accès technique aux données.
SecNumCloud empêche-t-il le fournisseur d'accéder à mes données ?+
Pas techniquement. Le référentiel précise qu'il n'apporte pas de garantie technique contre l'accès du prestataire aux données : les engagements sont contractuels. Pour les données les plus sensibles, l'ANSSI renvoie au client la décision de mettre en place un chiffrement complémentaire dont il garde la maîtrise des clés.
— Sources
Références citées
Les textes réglementaires et documentations évoluent : vérifiez la version en vigueur avant toute décision. Cet article n'est pas un avis juridique.
- [1]
- [2]
-
[3]
Amendement n° CL88 – exposé sommaire (critères du chapitre 19.6 SecNumCloud) ↗Assemblée nationale · 2022
-
[4]
Arrêté du 12 août 2026 : approbation du référentiel SecNumCloud ↗Kohen Avocats · 2026-08
-
[5]
Évolution du référentiel d'exigences relatif aux prestataires de services d'informatique en nuage ↗Landot & associés · 2026-08
-
[6]
Nouvelle fiche technique sur la mise en oeuvre de l'article 31 de la loi du 21 mai 2024 visant à sécuriser et réguler l'espace numérique ↗Ministère de l'Économie – Direction des affaires juridiques · 2026-05
-
[7]
S3NS obtient la qualification SecNumCloud par l'ANSSI ↗Next · 2025-12
