SecNumCloud : ce que la qualification ANSSI garantit vraiment (et ce qu'elle ne
garantit pas)

SecNumCloud est un référentiel d'exigences publié par l'ANSSI, en version 3.2 depuis le 8 mars 2022, qui sert à qualifier des prestataires de services d'informatique en nuage. Trois confusions se croisent régulièrement autour de ce mot dans un cahier des charges : on le prend pour une certification à la ISO 27001, on l'attribue à une entreprise entière plutôt qu'à une offre précise, et on suppose qu'il déteint sur ce que le client déploie dessus. Les trois sont fausses, et la troisième coûte le plus cher.

Le référentiel fait 55 pages, la liste des prestataires qualifiés est republiée chaque mois au catalogue de l'ANSSI, et les deux sont en accès libre. Presque personne ne les ouvre, ce qui laisse le champ libre aux résumés de deuxième main. Ils disent pourtant avec beaucoup de précision ce que la qualification couvre, et quelqu'un dont le métier consiste à casser des applications hébergées quelque part n'y lit pas tout à fait la même chose qu'un acheteur.

Ce que qualifie SecNumCloud, exactement

La qualification est délivrée par l'ANSSI au titre de l'article 14 du décret n° 2015-350, après une évaluation menée par un organisme d'évaluation de la conformité agréé (AFNOR Certification, BYCYB, Certi-Trust France et LSTI au catalogue d'août 2026). Elle couvre quatre familles d'activités décrites au chapitre 2 du référentiel : SaaS, PaaS, CaaS et IaaS. Elle est valable trois ans et fait l'objet d'audits annuels de surveillance.

Le chapitre 3.2, intitulé "Portée de la qualification", contient la phrase qui devrait figurer en gras dans tous les appels d'offres : "Les prestataires qualifiés gardent la faculté de réaliser des prestations en dehors du périmètre pour lequel ils sont qualifiés, mais ne peuvent, dans ce cas, se prévaloir de la qualification sur ces prestations." Autrement dit, un prestataire qualifié vend aussi des choses qui ne le sont pas, et c'est parfaitement régulier. La FAQ de l'ANSSI dit la même chose autrement : "SecNumCloud vient reconnaître une offre de cloud spécifique et non pas un fournisseur de cloud, ni une infrastructure."

Le volet technique, lui, va loin. Le référentiel impose le guide d'hygiène informatique de l'ANSSI en niveau renforcé, un programme d'audit sur trois ans incluant un audit qualifié par an réalisé par un prestataire PASSI qualifié, et des tests d'intrusion à trois moments distincts : la revue initiale avant qualification, la revue continue, et toute revue de changement majeur. Les cibles sont nommées : les interfaces d'administration exposées sur un réseau public, et, pour un service SaaS, l'interface utilisateur finale plus un audit de code source portant sur l'authentification, la gestion des sessions et le cloisonnement multi-tenant. C'est un des rares référentiels français qui écrit noir sur blanc que la conformité documentaire ne suffit pas.

Le chapitre 19.6, celui que tout le monde commente

La version 3.2 a été publiée pour une raison précise, indiquée dans son propre historique des versions : intégrer "des critères de protection vis-à-vis du droit extra-européen". Le problème qu'elle traite est juridictionnel. Le CLOUD Act américain de 2018 permet aux autorités des États-Unis de contraindre un fournisseur relevant de leur juridiction à produire des données qu'il détient, quel que soit le pays où elles sont physiquement stockées. La section 702 du FISA vise, elle, la collecte de renseignement auprès de fournisseurs de services de communication électronique. Le chiffrement au repos dans un centre de données de Francfort ne répond ni à l'un ni à l'autre, parce que la question n'est pas où sont les octets mais qui a le pouvoir légal d'ordonner leur remise.

La réponse du référentiel est de fermer la question en amont, au niveau de la structure capitalistique et de la gouvernance du prestataire.

Le référentiel ajoute une clause de valeurs (exigence 19.6.e, respect des droits fondamentaux et des valeurs de l'Union, avec prise en compte des liens éventuels du prestataire avec un gouvernement étranger) et une obligation d'information sous un mois en cas de changement juridique, organisationnel ou technique affectant la conformité à ce chapitre. C'est ce dernier point qui rend le dispositif vivant plutôt que déclaratif : un rachat, une prise de participation ou un changement de sous-traitant doit remonter.

Ce qu'il faut se garder d'en conclure : aucune juridiction n'a jugé que ces critères rendent une injonction étrangère inopérante. Le référentiel lui-même le formule prudemment, en demandant au prestataire (exigence 5.3.d) de lister dans un document spécifique les risques résiduels liés à l'existence de lois extra-européennes. Il y a donc, par construction, un risque résiduel, documenté, et c'est plus honnête que la plupart des plaquettes commerciales qui s'appuient dessus.

Localisation des données : l'exception qu'on lit rarement

Le chapitre 19.2 impose que les données du commanditaire soient stockées et traitées dans l'Union européenne, que les opérations d'administration et de supervision soient réalisées depuis l'Union européenne, et que les données techniques (annuaire, certificats, journaux de l'infrastructure, identités des administrateurs, configuration des accès) y résident également. Cette dernière précision fait beaucoup de travail : c'est souvent par les métadonnées d'exploitation qu'on reconstitue qui fait quoi.

Mais l'exigence 19.2.e ouvre une porte que peu de résumés mentionnent : le prestataire peut réaliser des opérations de support depuis un État hors de l'Union européenne. Il doit alors documenter la liste des opérations concernées et les mécanismes de contrôle d'accès et de supervision, lesquels doivent être opérés depuis l'Union. L'arbitrage est assumé et encadré. Mais si votre modèle de menace inclut l'accès d'un opérateur de support à une session d'assistance, cette liste est un document à réclamer avant de signer.

La liste réelle des prestataires qualifiés SecNumCloud

Le catalogue officiel de l'ANSSI, mis à jour le 13 août 2026, recense onze prestataires qualifiés pour vingt-cinq offres de service distinctes. Le tableau ci-dessous les reprend, avec la date de fin de qualification, qui est l'information la plus utile et la plus souvent omise dans les listes recopiées sur le web.

PRESTATAIRE                OFFRE QUALIFIEE                          TYPE            FIN DE QUALIF.
--------------------------------------------------------------------------------------------------
Cegedim                    CegNumCloud Secured IaaS                 IaaS            04/12/2027
Cloud Solutions            Wimi (8 modules)                         SaaS            18-19/05/2029
Cloud Temple               Secure Temple                            IaaS            30/05/2028
Cloud Temple               PaaS Openshift                           PaaS            30/05/2028
Index Education            Pronote, Pronote Primaire,               SaaS            18/06/2027
                           Hyperplanning, EDT
Oodrive                    Oodrive_Meet, Oodrive_Work,              SaaS            25/01/2028
                           Oodrive_Work_Share
Orange Business Services   Cloud Avenue SecNum                      IaaS            11/07/2028
Outscale                   IaaS Cloud on Demand                     IaaS            30/11/2026
OVH                        Hosted Private Cloud (VMware)            IaaS            29/12/2026
OVH                        Bare Metal Pod                           IaaS            24/03/2028
Thales Cloud Securise      Cloud de confiance S3NS                  PaaS/CaaS/IaaS  17/12/2028
Whaller                    Whaller Donjon SaaS                      SaaS            02/08/2027
Worldline                  Worldline Cloud Services Secured IaaS    IaaS            31/03/2028

Deux lectures s'imposent. D'abord, la granularité : "OVHcloud est SecNumCloud" ne veut rien dire. Deux offres nommées le sont, Hosted Private Cloud powered by VMware et Bare Metal Pod. Le reste du catalogue OVH, parfaitement légitime par ailleurs, ne l'est pas. Même chose pour Index Education, qualifié pour Pronote, Pronote Primaire, Hyperplanning et EDT nommément, ou pour Cloud Temple, qualifié pour son IaaS et son PaaS OpenShift. Un acheteur qui écrit "hébergeur qualifié SecNumCloud" dans son cahier des charges sans nommer l'offre n'a rien exigé du tout.

Ensuite, l'échéance. Deux qualifications du tableau arrivent à terme avant la fin de l'année 2026 (Outscale le 30 novembre, OVH Hosted Private Cloud le 29 décembre). Le renouvellement n'a rien d'automatique : il repasse par une évaluation. Le référentiel prévoit d'ailleurs, à l'exigence 19.1.g, que la convention de service comporte une clause de résiliation sans pénalité pour le client en cas de perte de la qualification. Une clause qui n'existerait pas si le cas n'était pas envisagé.

Qualifié, ou "en cours de qualification" : l'écart

L'ANSSI publie une seconde liste, distincte, des prestataires en cours de qualification. Une quinzaine de dossiers y figurent, dont Adista, Bleu, Ecritel, Free Pro, le GIP Mipih, ITS Integra, NumSpot, Scaleway, Scalingo ou encore Prolival. La page précise elle-même que seuls les projets de qualification rendus publics par les candidats y apparaissent : elle est donc incomplète par construction, dans un sens comme dans l'autre.

Le détail intéressant est ailleurs. Plusieurs acteurs figurent sur les deux listes en même temps, pour des périmètres différents : Cloud Temple est qualifié pour Secure Temple et son PaaS OpenShift, et en cours pour ses offres VPC et VMI. OVH est qualifié pour deux offres et en cours pour sa SNC Cloud Platform. Orange Business est qualifié pour Cloud Avenue SecNum et en cours pour d'autres déclinaisons de Cloud Avenue. C'est la démonstration la plus nette que la qualification s'attache à une offre, pas à une raison sociale.

Sur le plan contractuel, la conséquence est simple : "en cours de qualification" ne vaut pas engagement. Il n'y a ni délai garanti, ni obligation de résultat, ni présomption de conformité pendant l'instruction. Si votre exigence porte sur un service qualifié, la seule preuve opposable est le numéro de décision au catalogue, avec sa date de fin.

Cloud au centre, loi SREN : qui y est réellement obligé

Côté État, la trajectoire a commencé par une doctrine, pas par une loi. La circulaire n° 6282-SG du 5 juillet 2021 pose le principe du "cloud au centre" : le cloud devient le mode d'hébergement par défaut des nouveaux projets numériques de l'État, sous réserve que les données sensibles aillent sur une offre qualifiée. Elle a été actualisée le 31 mai 2023. Une circulaire engage l'administration qui la publie, mais elle ne crée pas d'obligation opposable au sens d'un décret, et le flou sur la définition des données sensibles a nourri des années de débat.

Ce flou a été levé en 2026. Le décret n° 2026-272 du 14 avril 2026, publié au Journal officiel le 16 avril et pris en application de l'article 31 de la loi SREN du 21 mai 2024, rend l'obligation opposable pour les administrations de l'État, ses opérateurs et six groupements d'intérêt public désignés, s'agissant des données d'une sensibilité particulière. Il prévoit un régime de dérogations temporaires, accordées par le ministre compétent après validation du Premier ministre : jusqu'à dix-huit mois lorsqu'une offre acceptable existe, un an renouvelable lorsqu'il n'en existe pas.

Au niveau européen, l'EUCS, le schéma de certification des services cloud porté par l'ENISA, devait harmoniser tout cela. Au moment d'écrire, il n'est toujours pas adopté, et les critères de souveraineté présents dans ses premiers projets (contrôle par une entité européenne, absence d'accès depuis l'extérieur de l'Union pour le niveau le plus élevé) ont été retirés des versions ultérieures. C'est précisément pour cette raison que SecNumCloud reste, en France, la référence qui porte le volet juridictionnel.

Le point qui compte : la qualification ne couvre pas votre application

C'est là que la qualification est le plus souvent mal lue, et la FAQ de l'ANSSI y répond en une phrase : "Une offre hébergée sur une offre SecNumCloud n'est pas automatiquement qualifiée SecNumCloud elle-même." La qualification ne se transmet pas par hébergement, comme un label ne se transmet pas au produit posé sur l'étagère.

Sur un IaaS qualifié, la frontière est nette et elle est basse. Le prestataire répond du matériel, de l'hyperviseur, du réseau, de la localisation des données, de son propre personnel et de sa propre chaîne de sous-traitance. Tout ce qui est au-dessus est à vous.

Un attaquant qui vise une application déployée sur un IaaS qualifié ne se demande pas où est le siège social du prestataire. Il énumère les sous-domaines, cherche l'instance de recette laissée ouverte, teste l'endpoint d'API qui accepte un identifiant d'objet arbitraire. Une injection SQL fonctionne exactement pareil à Roubaix et en Virginie. C'est pour cette raison que la première mesure utile après un choix d'hébergeur reste de savoir ce que l'on expose réellement sur internet, qualification ou pas.

Le référentiel est d'ailleurs plus lucide que ses commentateurs sur ses propres limites. Le chapitre 3.3.2 précise qu'il "n'apporte pas de garanties techniques fortes contre un accès du prestataire aux données traitées sur le système d'information du service, uniquement des engagements contractuels", et recommande explicitement au client qui veut cette garantie de mettre en œuvre son propre chiffrement, sous sa maîtrise. Il ajoute que la virtualisation ne doit pas être considérée comme équivalente à une séparation physique, et que la conformité au référentiel ne se substitue pas aux exigences applicables aux données de santé ou de niveau Diffusion Restreinte. Le chapitre 4 va plus loin : la conformité SecNumCloud n'atteste pas de la conformité à la PSSIE, et l'hébergement de données réglementées suppose une démarche d'homologation distincte.

Reste enfin le risque que la qualification déplace sans le supprimer : votre hébergeur est un fournisseur, donc un maillon de votre chaîne d'approvisionnement. Un prestataire qualifié est audité une fois par an par un PASSI, ce qui est nettement mieux que rien, mais une attaque par la chaîne d'approvisionnement ne passe pas nécessairement par lui : elle passe plus souvent par une dépendance de votre code, un outil de CI ou un prestataire de développement. Et si vous fabriquez un produit connecté, le Cyber Resilience Act vous imposera des obligations sur le produit lui-même, que l'infrastructure qui l'héberge soit qualifiée ou non.

Ce qu'il faut demander à un prestataire qui s'en réclame

Quatre questions suffisent à séparer l'argument commercial du fait vérifiable, et elles se posent avant la signature.

• Quelle offre, nommément ? Pas la société : le nom exact du service tel qu'il figure au catalogue, avec son type (SaaS, PaaS, CaaS, IaaS) et le numéro de décision de qualification. Si le service que vous achetez ne porte pas ce nom, il n'est pas couvert.
• Quelle date de fin ? Une qualification vaut trois ans. Si elle expire pendant la durée de votre contrat, la clause de résiliation sans pénalité prévue par le référentiel (19.1.g) doit figurer dans la convention de service.
• Quelles opérations de support hors Union européenne ? L'exigence 19.2.e les autorise sous conditions, et impose au prestataire de les documenter. Demandez la liste, pas une assurance verbale.
• Quels risques résiduels liés au droit extra-européen ? L'exigence 5.3.d oblige le prestataire à les consigner dans un document spécifique, et l'exigence 5.3.e à vous en communiquer les éléments d'appréciation sur demande. Ce document existe forcément. Réclamez-le.

À retenir

• SecNumCloud qualifie une offre, pas une entreprise. Le chapitre 3.2 du référentiel autorise expressément un prestataire qualifié à vendre des services hors périmètre, sans pouvoir s'en prévaloir. "Hébergeur SecNumCloud" est une formulation vide : il faut le nom de l'offre.
• Le chapitre 19.6 est le cœur du sujet souveraineté : siège dans l'UE, capital extra-européen plafonné à 24 % individuellement et 39 % collectivement, aucun droit de véto ni nomination des dirigeants, et aucun accès technique possible pour un sous-traitant extra-européen.
• Onze prestataires qualifiés, vingt-cinq offres au catalogue ANSSI du 13 août 2026, et une quinzaine de dossiers publics en cours. Ce sont deux statuts différents : "en cours" n'emporte aucun engagement de délai ni de résultat.
• La qualification ne déteint pas sur votre application. Système d'exploitation, configuration, identités, code et surface exposée restent à vous. Une injection SQL est aussi exploitable sur une infrastructure qualifiée qu'ailleurs.
• Le référentiel documente ses propres limites : pas de garantie technique forte contre un accès du prestataire (chiffrement côté client recommandé), support hors UE possible sous conditions, et risques résiduels liés au droit extra-européen à consigner par écrit.
• L'obligation est publique, pas générale. Le décret n° 2026-272 du 14 avril 2026 vise les administrations de l'État, ses opérateurs et six GIP. Aucune entreprise privée n'est tenue par NIS2 ou le RGPD de choisir un service qualifié.

Choisir un hébergeur qualifié règle une question de juridiction et une partie de la question infrastructure. Il reste tout ce que vous déployez dessus, et c'est là que se trouvent les vulnérabilités qu'on exploite en mission. Si vous voulez savoir ce que votre application expose réellement, un audit technique orienté NIS2 documente ce qui tient et ce qui cède, preuves à l'appui, et l'approche par le test d'intrusion explique comment on s'y prend ; le cadrage se fait par la page contact. Une API mal cloisonnée répond 200 OK à qui n'y a pas droit, quelle que soit la juridiction du centre de données qui l'héberge.