Un éditeur SaaS reçoit un cahier des charges public qui exige « un cloud SecNumCloud ». Son CTO consulte trois hébergeurs : l'un affiche le logo sans préciser le périmètre, l'autre propose une offre « compatible souveraineté », le troisième remet une attestation ANSSI datée avec la liste exacte des services couverts. Même mot-clé, trois réalités différentes — et un écart de budget qui peut doubler.
SecNumCloud n'est pas un synonyme de « hébergement sérieux ». C'est une qualification de sécurité délivrée par l'ANSSI pour des offres cloud qui répondent à des exigences renforcées, notamment face aux lois extraterritoriales comme le Cloud Act. La question utile n'est donc pas « faut-il du SecNumCloud ? » mais « mon projet est-il dans la catégorie de risques pour laquelle cette qualification apporte une réponse vérifiable ? »
Ce que SecNumCloud garantit — et ce qu'il ne promet pas
La qualification SecNumCloud (référentiel ANSSI) atteste qu'un prestataire cloud a été audité sur un ensemble d'exigences : gouvernance, localisation des traitements, maîtrise de la chaîne de sous-traitance, résistance à certaines contraintes juridiques étrangères. Elle vise à protéger des charges sensibles contre un accès non souhaité depuis l'étranger.
Ce n'est pas :
- une certification RGPD générique ;
- un substitut au HDS pour les données de santé ;
- une garantie automatique que votre application tourne sur le bon produit ;
- un badge valable sur toute la gamme commerciale du prestataire.
Comme pour le HDS, le travail sérieux commence par le périmètre : quels services cloud, quelles régions, quels types d'infrastructure sont réellement qualifiés ?
SecNumCloud répond à la question « qui peut contraindre l'accès à mes données ? » — pas à « mon site est-il bien référencé ? »
À qui cette qualification apporte une vraie réponse
Trois familles de projets en tirent un bénéfice net.
Les entités soumises à des obligations de souveraineté. Administrations, établissements publics, opérateurs d'importance vitale (OIV), certains secteurs réglementés : leurs cahiers des charges imposent parfois explicitement un cloud qualifié. Ici, SecNumCloud n'est pas du sur-engineering — c'est un filtre d'achat légitime.
Les éditeurs qui vendent à l'État ou à des donneurs d'ordre exigeants. Même sans obligation directe, un produit « cloud souverain qualifié » peut débloquer des marchés. La qualification devient alors un actif commercial, à condition de ne pas promettre plus que le périmètre certifié.
Les architectures où la menace extraterritoriale est documentée. Données de défense, renseignement économique, secrets industriels critiques : si votre analyse de risque identifie l'accès forcé via une législation étrangère comme scénario crédible, SecNumCloud apporte un cadre d'exigences reconnu.
En revanche, pour un site vitrine, une boutique en ligne ou un outil interne sans données sensibles, SecNumCloud est souvent un coût sans gain — le RGPD et un bon contrat de sous-traitance suffisent.
| Profil de projet | SecNumCloud utile ? | Alternative raisonnable |
|---|---|---|
| Site corporate, blog, e-commerce classique | Non | RGPD + hébergeur UE documenté |
| Données de santé en France | Complément possible, pas substitut | HDS sur le bon périmètre |
| Marché public / OIV / charge souveraine | Oui, si exigé | Attestation + mapping architecture |
| Startup B2B sans contrainte sectorielle | Rarement | ISO 27001, SOC 2, clauses contractuelles |
SecNumCloud, HDS, RGPD : ne pas fusionner les dossiers
Le marketing adore empiler les acronymes. Pour décider, séparez les couches.
Le RGPD encadre tout traitement de données personnelles en Europe. Tout hébergeur sérieux doit pouvoir y répondre.
Le HDS s'applique aux données de santé à caractère personnel hébergées en France. Sans lui sur le bon périmètre, un projet santé est exposé — SecNumCloud ne corrige pas cette lacune.
SecNumCloud cible la souveraineté opérationnelle du cloud face à des menaces juridiques extraterritoriales. Il peut coexister avec HDS chez un même acteur (OVHcloud, 3DS Outscale, Cloud Temple proposent des offres qualifiées), mais chaque certification couvre un périmètre distinct.
Confondre les trois mène aux achats les plus coûteux et les moins utiles : payer SecNumCloud pour un besoin HDS, ou exiger HDS pour un site qui n'a besoin que du RGPD.
Lire une qualification sans se faire berner
Avant de signer, exigez l'attestation ANSSI en cours de validité — pas une page marketing « souverain ». Vérifiez :
- Le niveau — SecNumCloud historique ou référentiel 3.2 selon la version applicable.
- Le périmètre technique — IaaS, PaaS, stockage objet, Kubernetes managé : qu'est-ce qui est inclus ?
- La localisation — régions France / UE effectivement couvertes par la qualification.
- La chaîne de sous-traitance — hyperviseur, matériel, support L3 : qui intervient et sous quelle juridiction ?
- L'alignement avec votre architecture — base, fichiers, backups, logs : tout est-il sur le périmètre qualifié ?
Un hébergeur peut être SecNumCloud sur une offre enterprise et proposer le mutualisé sans qualification. Ce n'est pas une arnaque — c'est une segmentation d'offre. Le piège, c'est de croire que le logo vaut pour tout le catalogue.
Le sommet : la qualification ne remplace pas votre analyse de risque
Voici ce que les pages « cloud souverain » eludent.
Beaucoup d'appels d'offres copient « SecNumCloud » parce que le mot rassure, pas parce qu'une analyse l'a justifié. Résultat : budgets multipliés pour une couverture partielle, ou pire — une offre « compatible » sans attestation sur le produit réellement déployé.
Décider et avancer sans angle mort
Listez d'abord vos données et vos contraintes légales : santé, secteur public, secret industriel, ou simple commerce en ligne. Lisez le cahier des charges pour distinguer une exigence légale d'un formulaire générique copié-collé. Demandez l'attestation en cours de validité et mappez-la sur votre schéma d'architecture — base, fichiers, sauvegardes, journaux. Comparez le coût total : qualification, migration, produits éligibles, compétences d'exploitation. Documentez la décision : pourquoi SecNumCloud, ou pourquoi non.
Pour une vue d'ensemble des référentiels, le guide RGPD, HDS, SecNumCloud — qui a besoin de quoi ? complète cette lecture. Filtrez les acteurs qualifiés via l'annuaire et le comparateur.
Questions fréquentes
SecNumCloud est-il obligatoire pour une PME ?
Non. SecNumCloud vise surtout les entités soumises à des exigences de souveraineté opérationnelle — administrations, opérateurs d'importance vitale, certains marchés publics. Une PME classique n'en a pas besoin si le RGPD et un contrat solide suffisent à son activité.
SecNumCloud remplace-t-il le HDS pour un projet santé ?
Non. Le HDS reste l'obligation sectorielle pour héberger des données de santé à caractère personnel en France. SecNumCloud peut compléter une architecture sensible, mais ne se substitue pas au HDS.
Un hébergeur SecNumCloud garantit-il que mes données restent en France ?
Pas automatiquement. La qualification encadre des exigences de sécurité et de gouvernance contre l'accès extraterritorial sur un périmètre défini. La localisation exacte se lit dans l'attestation et le contrat, pas dans le logo seul.
Comment savoir si mon appel d'offres exige vraiment SecNumCloud ?
Relisez le cahier des charges : est-ce une exigence légale ou un « nice to have » copié-collé ? Demandez le niveau de qualification (SecNumCloud ou SecNumCloud 3.2), le périmètre couvert et les produits éligibles chez le prestataire retenu.
La prochaine fois qu'on vous imposera SecNumCloud, posez une seule question : quel risque précis cette qualification élimine-t-elle dans mon architecture ? Sans réponse, c'est un mot-clé — pas une stratégie.