SecNumCloud revient dans presque tous les cahiers des charges publics et dans une part croissante des appels d'offres privés du secteur régulé, souvent cité comme un synonyme flou de « cloud sécurisé français ». C'est une confusion coûteuse. SecNumCloud est un référentiel d'exigences délivré par l'ANSSI, qui qualifie des prestataires de services cloud sur un périmètre précis, avec un coût et une durée qui rendent la démarche disproportionnée pour une grande partie des entreprises qui la citent sans l'avoir lu.
Ce que qualifie réellement le référentiel
La version 3.2 du référentiel, publiée par l'ANSSI, couvre les quatre familles de services cloud : IaaS, PaaS, SaaS et CaaS. Le document est un ensemble de plusieurs centaines d'exigences réparties sur trois axes : technique (chiffrement, cloisonnement, gestion des accès, supervision), organisationnel (gouvernance de la sécurité, gestion des incidents, continuité d'activité) et légal (localisation des données, actionnariat, gouvernance du prestataire).
Ce que qualifie SecNumCloud, c'est le prestataire de service cloud, pas une entreprise cliente qui héberge chez lui, et pas un service isolé sans lien avec l'infrastructure sous-jacente qualifiée. Un hébergeur peut avoir une offre SecNumCloud sur un périmètre précis (une gamme d'instances IaaS, par exemple) sans que l'ensemble de son catalogue le soit. Vérifier le périmètre exact de la qualification affichée par un prestataire, service par service, est la première chose à faire avant toute discussion de conformité, la liste officielle des prestataires qualifiés étant publiée par l'ANSSI elle-même.
Sur le plan technique, le référentiel entre dans le détail opérationnel plutôt que de rester au niveau des principes : cloisonnement réseau entre clients, gestion du cycle de vie des clés de chiffrement, traçabilité des accès administrateurs, procédure documentée de réponse à incident, et surtout localisation garantie des données et de leur administration sur le territoire de l'Union européenne. Chaque exigence est évaluée individuellement par le centre d'évaluation, avec preuve à l'appui, pas sur simple déclaration du prestataire.
L'immunité extraterritoriale, le vrai différenciateur
Sur le papier, beaucoup de référentiels de sécurité cloud se ressemblent : contrôle d'accès, chiffrement, gestion des vulnérabilités, plans de continuité. Ce qui distingue SecNumCloud de la quasi-totalité des cadres équivalents, y compris internationaux, c'est un critère que la technique seule ne résout jamais : l'immunité aux législations extraterritoriales.
La version 3.2 impose que le prestataire qualifié soit hors de portée de lois comme le CLOUD Act américain ou la loi chinoise sur le renseignement, y compris quand les données sont physiquement hébergées en Europe. Ça passe par des exigences de gouvernance et d'actionnariat : le prestataire doit être contrôlé par une entité européenne, sans dépendance capitalistique ou contractuelle qui exposerait la relation à une réquisition étrangère. Un fournisseur américain qui ouvre une filiale française et loue des baies dans un datacenter parisien ne répond pas à ce critère, quelle que soit la localisation physique de ses serveurs : c'est l'entité juridique qui compte, pas la géographie du matériel.
C'est un point que l'ANSSI a explicitement clarifié : SecNumCloud protège contre le droit extraterritorial, ce n'est pas une garantie absolue contre toute forme d'accès étatique, mais c'est la seule qualification cloud en Europe qui traite frontalement ce risque juridique plutôt que de le laisser hors périmètre.
Ce que ça coûte et ce que ça dure
C'est là que la plupart des projets de qualification s'arrêtent avant d'avoir commencé, une fois les chiffres posés sur la table. Le processus complet, du dépôt du dossier à la décision de qualification, comprend une stratégie d'évaluation, des travaux d'audit menés par un centre d'évaluation agréé, puis l'instruction ANSSI elle-même. Les retours du terrain convergent sur une fourchette de douze à vingt-quatre mois, avec un budget qui dépasse fréquemment 100 000 euros une fois intégrés l'accompagnement, l'audit et les transformations internes nécessaires pour se mettre en conformité avant même le dépôt du dossier.
Une fois obtenue, la qualification n'est pas acquise à vie : elle repose sur un cycle d'audits de surveillance réguliers, avec le même niveau d'exigence documentaire que l'audit initial. Le référentiel intègre aussi des exigences opérationnelles qui pèsent sur le run, pas seulement sur le projet de mise en conformité, ce qui en fait un engagement structurel et pas une certification qu'on obtient puis qu'on range dans un tiroir.
Des aides publiques existent, jusqu'à 180 000 euros pour accompagner des startups et PME de la cybersécurité vers la qualification. Elles couvrent rarement l'intégralité du besoin réel une fois la transformation interne comptée, et ne remplacent jamais le temps d'équipe qu'il faut mobiliser sur la durée du projet.
Pour qui c'est disproportionné
La question à se poser n'est pas « SecNumCloud est-il un gage de sécurité sérieux », il l'est, mais « le problème que j'ai à résoudre justifie-t-il ce niveau d'exigence ». Pour une écrasante majorité d'entreprises, la réponse est non.
SecNumCloud a du sens pour un hébergeur ou un opérateur cloud qui vise explicitement le marché public sensible, les secteurs régulés soumis à la doctrine « cloud au centre », ou les activités où l'immunité extraterritoriale conditionne juridiquement le choix du prestataire, santé publique, défense, administration. Dans ces cas, la qualification n'est pas une option marketing, c'est une exigence contractuelle non négociable posée par le donneur d'ordre.
Pour une PME qui héberge son ERP ou son site e-commerce, ou pour une entreprise dont l'obligation réelle est le RGPD, le référentiel SecNumCloud est disproportionné, en coût comme en délai, au regard du risque réellement couvert. Le RGPD impose déjà des garanties de localisation et de protection des données personnelles, sans exiger la structure de gouvernance ni le cycle d'audit d'une qualification cloud complète. Confondre les deux niveaux d'exigence mène souvent à un cahier des charges qui exige SecNumCloud sur un projet où un hébergement européen classique, correctement audité, aurait suffi. C'est aussi une question de proportionnalité au regard des obligations sectorielles : les entreprises concernées par NIS2 doivent d'abord regarder ce que le texte impose réellement à leur taille et leur secteur avant de viser un référentiel pensé pour les opérateurs cloud eux-mêmes.
La lecture qu'on en fait
SecNumCloud est un excellent référentiel pour ce qu'il a été conçu : qualifier des prestataires cloud sur un périmètre juridique et technique très exigeant, avec une réponse crédible à la question de l'extraterritorialité. Ce n'est pas un totem à brandir pour rassurer un client, ni un objectif que toute entreprise hébergeant en France devrait viser par principe. Poser la bonne question de conformité avant de lancer une démarche coûteuse, c'est ce qu'on fait avec les entreprises qui nous consultent sur leur trajectoire de cloud souverain : identifier ce que le texte ou le marché exige réellement, plutôt que de courir après un label disproportionné au risque à couvrir.
Sources
- ANSSI, référentiel d'exigences SecNumCloud v3.2 : texte officiel du référentiel, périmètre IaaS/PaaS/SaaS/CaaS et exigences techniques, organisationnelles et légales.
- ANSSI, FAQ avant de se lancer dans la qualification SecNumCloud : processus de qualification, centres d'évaluation agréés et étapes du dossier.
- CIO Online, SecNumCloud, une protection contre le droit extraterritorial, pas une garantie absolue : clarification de l'ANSSI sur la portée réelle de l'immunité extraterritoriale.
- Journal du Net, SecNumCloud 3.2 : l'Anssi en demande-t-elle trop ? : analyse du coût, de la durée et de l'accessibilité du référentiel pour les PME.
