Ein SaaS-Herausgeber erhält öffentliche Spezifikationen, die „eine SecNumCloud-Cloud“ erfordern. Sein CTO konsultiert drei Gastgeber: Einer zeigt das Logo ohne Angabe des Umfangs, der andere bietet ein „souveränitätskompatibles“ Angebot an, der dritte stellt ein datiertes ANSSI-Zertifikat mit der genauen Liste der abgedeckten Dienste zur Verfügung. Gleiches Stichwort, drei unterschiedliche Realitäten – und eine Budgetlücke, die sich verdoppeln kann.
SecNumCloud ist kein Synonym für „seriöses Hosting“. Dabei handelt es sich um eine von der ANSSI ausgestellte Sicherheitsqualifikation für Cloud-Angebote, die insbesondere angesichts extraterritorialer Gesetze wie dem Cloud Act erhöhte Anforderungen erfüllen. Die sinnvolle Frage lautet daher nicht: „Brauchen wir SecNumCloud?“ » aber „Liegt mein Projekt in der Risikokategorie, für die diese Qualifikation eine nachweisbare Antwort liefert? »
Was SecNumCloud garantiert – und was es nicht verspricht
Die SecNumCloud-Qualifikation (ANSSI-Benchmark) bescheinigt, dass ein Cloud-Anbieter hinsichtlich einer Reihe von Anforderungen geprüft wurde: Governance, Lokalisierung der Verarbeitung, Kontrolle der Unterauftragskette, Widerstandsfähigkeit gegen bestimmte ausländische rechtliche Beschränkungen. Ziel ist es, sensible Gebühren vor unerwünschtem Zugriff aus dem Ausland zu schützen.
Es ist nicht:
- eine allgemeine DSGVO-Zertifizierung;
- ein Ersatz für HDS für Gesundheitsdaten;
- eine automatische Garantie, dass Ihre Anwendung auf dem richtigen Produkt läuft;
- ein für das gesamte Geschäftsangebot des Dienstleisters gültiger Badge.
Wie bei HDS beginnt die ernsthafte Arbeit mit dem Umfang: Welche Cloud-Dienste, welche Regionen, welche Arten von Infrastruktur sind tatsächlich qualifiziert?
SecNumCloud beantwortet die Frage „Wer kann den Zugriff auf meine Daten einschränken?“ » – nicht „Ist meine Website gut referenziert?“ »
Für wen diese Qualifikation eine echte Antwort bietet
Davon profitieren drei Projektfamilien.
Entitäten, die Hoheitsverpflichtungen unterliegen. Verwaltungen, öffentliche Einrichtungen, Betreiber von lebenswichtiger Bedeutung (OIV), bestimmte regulierte Sektoren: Ihre Spezifikationen schreiben manchmal ausdrücklich eine qualifizierte Cloud vor. Hier geht es bei SecNumCloud nicht um Überentwicklung – es handelt sich um einen legitimen Kauffilter.
Verlage, die an den Staat oder an anspruchsvolle Kunden verkaufen. Auch ohne direkte Verpflichtung kann ein „Qualified Sovereign Cloud“-Produkt Märkte erschließen. Die Qualifikation wird dann zum gewerblichen Vermögenswert, sofern Sie nicht mehr als den zertifizierten Umfang versprechen.
Architekturen, in denen die extraterritoriale Bedrohung dokumentiert ist. Verteidigungsdaten, Wirtschaftsinformationen, kritische Industriegeheimnisse: Wenn Ihre Risikoanalyse einen erzwungenen Zugriff durch ausländische Gesetzgebung als glaubwürdiges Szenario identifiziert, bietet SecNumCloud einen anerkannten Rahmen an Anforderungen.
Andererseits ist SecNumCloud für eine Showcase-Site, einen Online-Shop oder ein internes Tool ohne sensible Daten oft Kosten ohne Gewinn – die DSGVO und ein guter Unterauftragsvertrag reichen aus.
| Projektprofil | SecNumCloud sinnvoll? | Vernünftige Alternative |
|---|---|---|
| Unternehmensseite, Blog, klassischer E-Commerce | Nein | DSGVO + EU-Host dokumentiert |
| Gesundheitsdaten in Frankreich | Mögliche Ergänzung, kein Ersatz | HDS am rechten Rand |
| Öffentlicher Markt / OIV / hoheitliche Abgabe | Ja, bei Bedarf | Zertifizierung + Architekturkartierung |
| B2B-Startup ohne Branchenbeschränkungen | Selten | ISO 27001, SOC 2, Vertragsklauseln |
SecNumCloud, HDS, DSGVO: Ordner nicht zusammenführen
Das Marketing liebt es, Akronyme anzuhäufen. Um eine Entscheidung zu treffen, trennen Sie die Schichten.
Die DSGVO regelt die gesamte Verarbeitung personenbezogener Daten in Europa. Jeder seriöse Gastgeber sollte in der Lage sein, sie zu beantworten.
Das HDS gilt für persönliche Gesundheitsdaten, die in Frankreich gehostet werden. Ohne es am richtigen Rand ist ein Gesundheitsprojekt offengelegt – SecNumCloud schließt diese Lücke nicht.
SecNumCloud zielt auf die operative Souveränität der Cloud angesichts extraterritorialer rechtlicher Bedrohungen ab. Es kann mit HDS innerhalb desselben Akteurs koexistieren (OVHcloud, 3DS Outscale, Cloud Temple bieten qualifizierte Angebote an), aber jede Zertifizierung deckt einen bestimmten Bereich ab.
Die Verwechslung der drei führt zu den teuersten und am wenigsten nützlichen Anschaffungen: SecNumCloud für einen HDS-Bedarf bezahlen oder HDS für eine Website verlangen, die nur die DSGVO benötigt.
Lesen Sie eine Qualifikation, ohne sich täuschen zu lassen
Fordern Sie vor der Unterzeichnung das gültige ANSSI-Zertifikat an – keine „souveräne“ Marketingseite. Überprüfen Sie:
- Stufe – SecNumCloud historisch oder Repository 3.2, je nach anwendbarer Version.
- Der technische Umfang – IaaS, PaaS, Objektspeicher, verwaltetes Kubernetes: Was ist enthalten?
- Standort – Frankreich/EU-Regionen, die tatsächlich von der Qualifikation abgedeckt werden.
- Die Unterauftragskette – Hypervisor, Hardware, L3-Support: Wer ist beteiligt und unterliegt welcher Gerichtsbarkeit?
- Anpassung an Ihre Architektur – Datenbank, Dateien, Backups, Protokolle: Liegt alles im qualifizierten Bereich?
Ein Host kann SecNumCloud im Rahmen eines Unternehmensangebots sein und ohne Qualifikation Shared Services anbieten. Es ist kein Betrug – es ist Angebotssegmentierung. Die Falle besteht darin zu glauben, dass das Logo für den gesamten Katalog gilt.
Der Gipfel: Die Qualifizierung ersetzt nicht Ihre Risikoanalyse
Folgendes wird auf den „Sovereign Cloud“-Seiten behandelt.
Viele Ausschreibungen kopieren „SecNumCloud“, weil das Wort beruhigt, nicht weil eine Analyse es gerechtfertigt hätte. Ergebnis: vervielfachte Budgets für eine teilweise Abdeckung oder schlimmer noch – ein „kompatibles“ Angebot ohne Zertifizierung des tatsächlich eingesetzten Produkts.
Entscheide dich und gehe ohne blinden Fleck voran
Listen Sie zunächst Ihre Daten und Ihre rechtlichen Einschränkungen auf: Gesundheit, öffentlicher Sektor, Betriebsgeheimnisse oder einfacher Online-Handel. Lesen Sie die Spezifikation, um eine gesetzliche Anforderung von einem generischen Formular zum Kopieren und Einfügen zu unterscheiden. Fordern Sie das gültige Zertifikat an und ordnen Sie es Ihrem Architekturdiagramm zu – Datenbank, Dateien, Backups, Protokolle. Vergleichen Sie die Gesamtkosten: Qualifikation, Migration, geeignete Produkte, Betriebskenntnisse. Dokumentieren Sie die Entscheidung: Warum SecNumCloud oder warum nicht.
Für einen Überblick über die Repositories rundet der Leitfaden RGPD, HDS, SecNumCloud – wer braucht was? diese Lektüre ab. Filtern Sie qualifizierte Akteure über das Verzeichnis und den Vergleicher.
Häufig gestellte Fragen
Ist SecNumCloud für ein KMU verpflichtend?
Nein. SecNumCloud richtet sich hauptsächlich an Unternehmen, die betrieblichen Souveränitätsanforderungen unterliegen – Verwaltungen, Betreiber von lebenswichtiger Bedeutung, bestimmte öffentliche Märkte. Ein klassisches KMU braucht es nicht, wenn für seine Tätigkeit die DSGVO und ein solider Vertrag ausreichen.
Ersetzt SecNumCloud HDS für ein Gesundheitsprojekt?
Nein. Das HDS bleibt die sektorale Verpflichtung zur Speicherung personenbezogener Gesundheitsdaten in Frankreich. SecNumCloud kann eine sensible Architektur ergänzen, ersetzt jedoch nicht HDS.
Garantiert ein SecNumCloud-Host, dass meine Daten in Frankreich bleiben?
Nicht automatisch. Die Qualifikation deckt Sicherheits- und Governance-Anforderungen gegen extraterritorialen Zugriff über einen definierten Perimeter ab. Den genauen Standort können Sie dem Zertifikat und dem Vertrag entnehmen, nicht allein dem Logo.
Woher weiß ich, ob meine Ausschreibung wirklich SecNumCloud erfordert?
Lesen Sie die Spezifikationen noch einmal durch: Handelt es sich dabei um eine gesetzliche Anforderung oder um ein kopiertes „nice to have“? Erfragen Sie die Qualifikationsstufe (SecNumCloud oder SecNumCloud 3.2), den abgedeckten Umfang und die berechtigten Produkte beim ausgewählten Dienstleister.
Wenn Ihnen SecNumCloud das nächste Mal auferlegt wird, stellen Sie nur eine Frage: Welches spezifische Risiko eliminiert diese Qualifikation in meiner Architektur? Ohne Antwort ist es ein Schlüsselwort – keine Strategie.