Votre client public demande « cloud souverain ». Faut-il SecNumCloud (OVHcloud, Scaleway, Clever Cloud) ou un cloud européen classique suffit ?
La réponse ne se trouve pas dans un fil LinkedIn sur le Cloud Act et votre contrat. Elle se trouve dans le cahier des charges — mot pour mot — et dans le périmètre exact de ce que la qualification couvre.
Beaucoup d'équipes confondent souveraineté marketing et obligation contractuelle. Un datacenter en France ou en Allemagne répond souvent au RGPD ; SecNumCloud ajoute un cadre ANSSI quand un acheteur public ou un opérateur d'importance vitale l'impose. Commencer par la qualification sans exigence écrite, c'est payer en complexité ; l'ignorer quand elle est exigée, c'est s'exclure de l'appel d'offres.
Cloud européen classique : le socle RGPD
Un cloud UE bien choisi offre des datacenters européens, un DPA signé, un choix de sous-traitants documenté et une politique de réponse aux demandes gouvernementales lisible. C'est suffisant pour une PME, un e-commerce ou un SaaS B2B standard — à condition que la chaîne complète soit cartographiée sans accès extraterritorial non encadré.
OVHcloud, Scaleway, Hetzner, Infomaniak et d'autres acteurs européens couvrent des millions de projets sans SecNumCloud. Le RGPD n'exige pas la qualification ANSSI pour une boutique en ligne ou une API B2B. Ce qui compte, c'est la localisation réelle des données, des sauvegardes et des accès administrateur — pas le badge sur la slide commerciale.
Pour cadrer ce socle, croisez hébergement européen et enquête localisation réelle avant d'ajouter une couche SecNumCloud.
SecNumCloud : quand l'ANSSI formalise l'exigence
SecNumCloud est une qualification ANSSI : exigences renforcées contre l'accès extraterritorial (Cloud Act, CLOUD Act britannique, etc.). Elle devient requise quand un marché public sensible ou un opérateur d'importance vitale l'impose explicitement dans le contrat ou le référentiel d'achat.
Le coût et le périmètre restent plus restreints qu'une offre cloud généraliste. Ce n'est pas une option marketing par défaut : les offres qualifiées couvrent des services précis (compute, stockage, sauvegarde selon l'acteur), pas forcément l'intégralité du catalogue du fournisseur.
| Situation | Cloud UE classique | SecNumCloud |
|---|---|---|
| PME B2B | Souvent oui | Surdimensionné |
| Marché public sensible | Insuffisant si exigé | Requis |
| Santé HDS | Complémentaire | Complémentaire |
| Startups | Rarement jour 1 | Si contrat l'impose |
Lire le contrat avant le logo
Demandez l'attestation en cours de validité, pas une capture de page d'accueil. Vérifiez le périmètre technique : hébergement mutualisé, VPS, Kubernetes, stockage objet, sauvegardes, support d'administration ? Un même acteur peut proposer des offres qualifiées et non qualifiées sur des lignes de facturation distinctes.
Croisez avec SecNumCloud reversibilité et Scaleway souveraineté pour comparer les garanties contractuelles, les délais de sortie et la localisation des copies de sauvegarde. La qualification couvre ce qui est dans l'attestation — pas ce que votre équipe déploie ensuite sur une offre non qualifiée par erreur.
Coût, délai et réversibilité
SecNumCloud ajoute souvent un surcoût et des contraintes d'architecture : périmètre réduit, processus d'achat plus long, documentation à produire pour l'audit. Sur trente-six mois, comparez le total (compute, stockage, transfert sortant, support) entre une offre qualifiée et une offre UE classique — pas seulement le premier mois promotionnel.
Anticipez aussi la sortie : changement de fournisseur, migration vers une offre non qualifiée si le cahier des charges évolue, export des clés et des journaux. Une qualification utile aujourd'hui peut devenir un goulot demain si la réversibilité n'a pas été négociée dès le contrat initial.
Le sommet : la qualification tranche au contrat, pas à la peur
Décider et avancer sans angle mort
Lisez le cahier des charges ligne par ligne et repérez les mentions explicites de SecNumCloud, de souveraineté opérationnelle ou de référentiels ANSSI. Exigez l'attestation en cours de validité et le périmètre technique couvert (compute, stockage, sauvegardes, support). Cartographiez les sous-traitants, la localisation des copies de sauvegarde et les accès administrateur hors Union européenne.
Comparez le coût total sur trente-six mois, pas le premier mois promotionnel. Consultez SecNumCloud reversibilité, Scaleway souveraineté et l'annuaire pour réduire la liste aux acteurs adaptés à votre contrainte réelle.
Questions fréquentes
SecNumCloud est-il obligatoire pour toute PME ?
Non. La qualification devient obligatoire surtout pour certains marchés publics sensibles et pour les opérateurs d'importance vitale, selon ce que le cahier des charges impose. Pour la majorité des PME qui traitent des données personnelles standard, le RGPD et un cloud européen bien documenté suffisent — tant que la chaîne sous-traitants et sauvegardes est cartographiée.
OVHcloud et Scaleway sont-ils SecNumCloud ?
Les deux proposent des offres qualifiées sur certains périmètres, mais pas l'intégralité de leur catalogue. Demandez l'attestation officielle et vérifiez quelle ligne de service est couverte : un VPS généraliste et un service qualifié peuvent coexister chez le même acteur. Une capture de page d'accueil ne remplace pas le document contractuel.
SecNumCloud remplace-t-il le HDS ?
Non. HDS répond à l'hébergement de données de santé en France ; SecNumCloud formalise la souveraineté opérationnelle face aux accès extraterritoriaux. Un projet santé peut exiger les deux sur des périmètres différents — par exemple HDS pour les données patients et SecNumCloud pour une plateforme d'administration soumise à un marché public.
Cloud UE sans SecNumCloud est-il « non souverain » ?
La souveraineté est un spectre : juridiction du contrat, sous-traitants américains, gestion des clés, localisation du support. SecNumCloud formalise un niveau exigé par l'ANSSI dans certains contextes — ce n'est pas la seule définition du mot, ni un prérequis universel pour respecter le RGPD.
SecNumCloud se décide à la ligne du contrat — pas à la peur du Cloud Act générique.