Cloud souverain : ce que SecNumCloud change vraiment pour les DSI

Pour choisir un service cloud, je commence par les données à protéger et les usages à maintenir. SecNumCloud apporte un repère utile, à condition d’examiner l’offre exacte et son périmètre.

Ce que la qualification couvre

SecNumCloud est une qualification de sécurité délivrée par l’ANSSI pour une offre de service cloud. Elle évalue des exigences techniques, organisationnelles et juridiques, notamment face aux menaces cyber et aux lois extraterritoriales. Elle ne s’étend pas automatiquement à tout le catalogue du fournisseur.

Les services SaaS, PaaS, IaaS et CaaS peuvent être éligibles. Vérifiez l’offre qualifiée et son statut au moment de votre décision. Une annonce de candidature ou un projet en cours ne constitue pas une qualification obtenue.

Ce qui reste à votre charge

Héberger votre application sur une infrastructure qualifiée ne qualifie pas automatiquement cette application. Les accès, les configurations, les flux et les usages restent à examiner.

Je recommande de documenter quatre points avant de choisir : les données et traitements concernés, le périmètre couvert par l’offre, les responsabilités contractuelles, puis les conditions d’export et de reprise.

Comparer sur un cas réel

Testez un besoin précis : restaurer un dossier, exporter les données nécessaires à votre activité ou maintenir une fonction essentielle pendant une indisponibilité. Comparez le service rendu, les engagements, les coûts et les résultats du test. Une nationalité, une marque ou un logo ne suffisent pas à décider.

Pour préparer cet examen, utilisez ma grille d’évaluation des dépendances et le cadre de maîtrise des données.

Source : FAQ SecNumCloud de l’ANSSI, consultée le 28 septembre 2026. Cette présentation générale ne détermine pas les obligations applicables à une organisation particulière.