SecNumCloud : définition

Pourquoi est-ce important ?

Dans le cloud, « hébergé en France » est une promesse commerciale ; SecNumCloud est une vérification. Un organisme d'évaluation audite le service, l'ANSSI (Agence nationale de la sécurité des systèmes d'information) prononce la qualification, et le résultat est public.

Depuis 2026, ce n'est plus seulement un repère. Le décret n° 2026-272 du 14 avril 2026 oblige l'État, ses opérateurs et six groupements d'intérêt public à confier leurs données d'une sensibilité particulière à un cloud conforme à un référentiel de sécurité. L'arrêté du 12 août 2026 a approuvé ce référentiel : c'est SecNumCloud 3.2. La conformité s'atteste par une qualification de l'ANSSI ou par une certification européenne. Le guide Cloud souverain : définition retrace cette doctrine en détail.

Comment ça fonctionne ?

Un service qualifié, pour trois ans

La qualification porte sur une offre. La FAQ de l'ANSSI le dit sans détour : SecNumCloud « vient reconnaître une offre de cloud spécifique et non pas un fournisseur de cloud, ni une infrastructure ». Elle vaut trois ans, sous réserve d'audits annuels de surveillance. Le référentiel couvre les quatre niveaux de service : logiciel (SaaS), plateforme (PaaS), conteneurs (CaaS) et infrastructure (IaaS).

Ce que le référentiel exige

L'essentiel du texte reprend les règles classiques de la sécurité informatique : contrôle d'accès, chiffrement, journalisation, sécurité physique, continuité d'activité. Son chapitre 19 contient ce qui fait sa singularité :

• Localisation (19.2) : les données du client et les données techniques, comme les journaux et les identités des administrateurs, sont stockées et traitées dans l'Union, et le service est administré depuis l'Union. Le support peut intervenir de l'extérieur, sur une liste d'opérations documentée et contrôlée.
• Droit applicable (19.6) : siège dans un État membre, capital et droits de vote détenus au plus à 24 % par une entité non européenne et à 39 % par l'ensemble de ces entités (source : référentiel SecNumCloud 3.2, ANSSI, 8 mars 2022). Un sous-traitant non européen ne doit pas avoir la possibilité technique d'accéder aux données.
• Contrat (19.1) : la convention de service relève du droit d'un État membre. Elle prévoit une clause de réversibilité, pour récupérer toutes ses données dans un format documenté ou par une interface, et une résiliation sans pénalité si le service perd sa qualification.
• Fin de contrat (19.4) : effacement sécurisé de toutes les données du client, annoncé par un préavis de vingt et un jours calendaires.

Exemple concret

Relevé GadGeek du 8 octobre 2026 sur le catalogue de l'ANSSI (section 3.3.1, version du 15 septembre 2026, la plus récente en ligne) : 27 services qualifiés, chez 12 fournisseurs. Le chiffre impressionne moins quand on le détaille. Huit services sont des modules d'une même suite collaborative, Wimi, du fournisseur Cloud Solutions, et quatre sont des logiciels scolaires d'Index Education, dont Pronote. Au total, 16 des 27 services sont des logiciels en ligne (SaaS).

Deux qualifications arrivent à échéance avant la fin de l'année : IaaS Cloud on Demand d'Outscale le 30 novembre 2026 et Hosted Private Cloud powered by VMware d'OVH le 29 décembre 2026. Une échéance ne signifie pas une perte, un renouvellement peut être en cours. C'est en revanche la raison pour laquelle une qualification se vérifie à la date de l'achat, et non sur une plaquette.

La page de l'ANSSI consacrée aux projets en cours liste, le même jour, 17 prestataires, dont Bleu (Capgemini et Orange, technologie Microsoft), Scaleway et Free Pro. Seuls y figurent les projets que les prestataires ont accepté de rendre publics : « en cours » n'atteste encore aucune garantie.

SecNumCloud face au cloud souverain

SecNumCloud règle deux des trois dimensions d'un cloud souverain : la localisation des données et le droit applicable à l'opérateur. Il ne dit rien de l'origine de la technologie. Une offre qualifiée peut tourner sur un logiciel américain sous licence, du moment que son éditeur n'a pas d'accès technique aux données. C'est le cas de l'offre de S3NS, bâtie sur Google Cloud et qualifiée depuis le 17 décembre 2025 ; plusieurs intitulés du catalogue mentionnent aussi VMware.

Notre lecture : SecNumCloud est en France le repère public et audité contre les lois extraterritoriales, et c'est ce qui fait sa valeur. Ce n'est pas un label d'indépendance technologique. Si votre exigence porte aussi sur la maîtrise du logiciel, la qualification est une condition nécessaire, pas suffisante.

Qui contrôle un service qualifié SecNumCloud ?

• Les données : le prestataire qualifié, établi dans l'Union. La convention de service doit préciser qu'il ne peut pas en disposer et qu'il ne divulgue rien à un tiers sans l'accord écrit du client. C'est la réponse du référentiel aux lois comme le CLOUD Act, qui vise les entreprises soumises au droit américain, où que soient stockées les données.
• La vérification : l'ANSSI et l'organisme d'évaluation, que le client autorise par contrat à auditer le service. Le client peut aussi adresser une réclamation à l'ANSSI.
• La sortie : le client, grâce à la clause de réversibilité et à la résiliation sans pénalité en cas de perte de la qualification.
• Le logiciel : son éditeur, qui peut être étranger. Il décide des évolutions ; l'opérateur les déploie.

Ces offres s'adressent surtout aux organisations. Un particulier ou une petite structure peut reprendre la même grille pour un stockage en ligne : qui l'exploite, sous quel droit, et peut-on partir avec toutes ses données ? Nos pistes sont dans la sélection cloud européen et, pour qui préfère tout garder chez soi, dans la rubrique self-hosting.

Questions fréquentes

Dernière vérification : 08/10/2026