SecNumCloud 2026 et EUCS : Guide Complet Qualification

La qualification SecNumCloud 2026 représente l'exigence de souveraineté numérique la plus contraignante du marché européen : seuls sept prestataires en sont titulaires ou en cours de qualification, et le processus exige entre 12 et 18 mois d'audit pour le niveau Avancé. Face à la montée des risques liés aux lois extraterritoriales américaines — CLOUD Act et FISA 702 —, les administrations centrales, les Opérateurs d'Importance Vitale et les acteurs de santé n'ont plus le choix : les données sensibles doivent résider sur une infrastructure qualifiée ou en voie de l'être. Le référentiel SecNumCloud v3.2, publié par l'Agence Nationale de la Sécurité des Systèmes d'Information, intègre désormais des critères d'immunité juridique explicites, distinguant les prestataires réellement immunisés de ceux qui le prétendent. Ce guide vous permet de comprendre chaque niveau de qualification, d'identifier les prestataires qualifiés, d'anticiper les coûts réels et de positionner SecNumCloud dans le paysage des certifications européennes comme l'EUCS, l'ISO 27001 ou le CSA STAR. En 2026, la conformité cloud souverain est devenue un critère d'attribution pour 40 % des appels d'offres publics selon les données de la DAE — ignorer ce référentiel expose l'organisation à des risques juridiques, réglementaires et commerciaux croissants.

SecNumCloud v3.2 : architecture du référentiel ANSSI

La version 3.2 du référentiel SecNumCloud, publiée par l'ANSSI en 2022 et mise à jour en 2024, structure les exigences autour de 19 domaines de contrôle qui couvrent l'intégralité du cycle de vie d'un service cloud. Les domaines vont de la gouvernance et gestion des risques (domaine 1) à la résilience des systèmes et plans de continuité (domaine 18), en passant par la cryptographie (domaine 9), la gestion des identités et des accès (domaine 11) et la protection des données personnelles (domaine 17). Chaque domaine contient entre 4 et 12 exigences numérotées, pour un total de 114 exigences dont certaines sont qualifiantes (obligatoires pour l'obtention) et d'autres recommandées.

La structure du référentiel distingue deux grandes catégories d'exigences : les exigences techniques portant sur l'infrastructure, les systèmes et les protocoles, et les exigences organisationnelles relatives aux processus, aux compétences et à la gouvernance. Un prestataire cloud qui cible le niveau Avancé doit démontrer la mise en œuvre effective — pas seulement documentaire — de 100 % des exigences qualifiantes. L'audit de qualification est conduit par un PASSI (Prestataire d'Audit de la Sécurité des Systèmes d'Information) qualifié ANSSI, qui remet un rapport d'audit à l'ANSSI, seule autorité habilitée à délivrer la qualification.

Parmi les points de contrôle les plus exigeants en pratique figurent : la séparation cryptographique des données entre clients (domaine 10), la gestion des vulnérabilités avec délai de correction sous 72h pour les critiques (domaine 13), l'enregistrement et la supervision des accès administrateurs (domaine 12), et l'obligation de maintenir la chaîne de sous-traitance sous contrôle — chaque sous-traitant traitant des données qualifiées doit lui-même être qualifié ou faire l'objet d'une analyse de risque approuvée par l'ANSSI.

Trois niveaux de qualification : Essentiel, Avancé, Élevé

SecNumCloud définit trois niveaux de qualification correspondant à des périmètres d'exigences progressivement plus stricts :

Le niveau Essentiel (anciennement « Premier »), ciblant les services cloud standard sans traitement de données sensibles classifiées, impose un sous-ensemble de 60 exigences. Il est accessible à des prestataires ne satisfaisant pas encore aux critères d'immunité extraterritoriale, ce qui en fait un premier palier de maturité. En pratique, peu d'appels d'offres publics en 2026 se limitent au niveau Essentiel.

Le niveau Avancé est celui exigé par la doctrine Cloud de l'État pour les données « sensibles » des administrations et pour les Opérateurs d'Importance Vitale dans leurs systèmes d'information critiques. Il requiert les 114 exigences dans leur intégralité, incluant l'immunité aux lois extraterritoriales. Concrètement, cela signifie qu'aucun actionnaire direct ou indirect détenant plus de 10 % du capital, aucun dirigeant et aucun sous-traitant accédant aux données ne peut être soumis à une législation permettant à un État tiers de contraindre la divulgation de données sans accord judiciaire bilatéral. Le CLOUD Act américain et le FISA 702 sont les deux textes explicitement visés par l'ANSSI.

Le niveau Élevé, encore en cours de finalisation au niveau européen dans le cadre de l'EUCS, vise les données classifiées « Confidentiel Défense » et les systèmes d'armes. Il ajoute des exigences de localisation physique des équipes d'intervention sur le sol français et des contrôles renforcés sur les mises à jour logicielles.

Qu'est-ce que l'EUCS et comment s'articule-t-il avec SecNumCloud ?

L'EUCS (European Cybersecurity Certification Scheme for Cloud Services) est le schéma européen de certification cloud porté par l'ENISA (European Union Agency for Cybersecurity) dans le cadre du Cybersecurity Act de 2019. Il définit trois niveaux — Basic, Substantial et High — correspondant respectivement à des protections contre des menaces de faible, moyen et fort niveau de sophistication.

Le niveau High de l'EUCS est celui qui se rapproche le plus de SecNumCloud Avancé. Il intègre des exigences de contrôle d'accès, de chiffrement et de gestion des incidents comparables, mais diverge sur un point stratégique majeur : les exigences d'immunité extraterritoriale. La version initiale du texte EUCS, débattue entre 2021 et 2023, a fait l'objet d'une bataille diplomatique intense entre la France (portant les exigences d'immunité) et les États-Unis (appuyés par des États membres hébergeant des filiales de GAFAM). Le compromis adopté en 2024 maintient une option High « renforcé » avec critères d'immunité, mais sans les rendre obligatoires pour la certification High standard.

La relation pratique entre EUCS et SecNumCloud en 2026 : SecNumCloud est un schéma national français reconnu dans le cadre de l'article 49 du Cybersecurity Act (schéma national antérieur). Les qualifications SecNumCloud existantes peuvent être reconnues mutuellement par l'EUCS High renforcé une fois le mécanisme de reconnaissance activé, mais ce processus n'est pas encore opérationnel. Les prestataires qualifiés SecNumCloud Avancé peuvent en revanche valoriser cette qualification comme gage de conformité EUCS High auprès de leurs clients, en attendant la reconnaissance formelle.

CLOUD Act et FISA 702 : pourquoi l'immunité extraterritoriale est non négociable

Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act), adopté par les États-Unis en 2018, permet aux autorités américaines d'exiger d'une entreprise soumise à la juridiction américaine la communication de données stockées n'importe où dans le monde, y compris sur des serveurs en France ou en Allemagne. Une filiale européenne d'un groupe américain, ou une entreprise dont un actionnaire américain détient plus de 50 %, est soumise à cette loi. Azure, AWS et Google Cloud, quelle que soit la région de stockage des données, sont concernés.

Le FISA 702 (Foreign Intelligence Surveillance Act, Section 702), régulièrement reconduit par le Congrès américain, autorise la surveillance des communications électroniques de ressortissants étrangers via les opérateurs de télécommunications et les grandes plateformes technologiques américaines. En 2026, sa reconduction par le REAUTHORIZATION Act de 2024 a étendu les catégories de prestataires pouvant être contraints à coopérer.

SecNumCloud Avancé impose que le prestataire démontre qu'aucune entité de sa structure capitalistique n'est exposée à ces lois. En pratique, cela exclut : les filiales de groupes américains, les sociétés cotées sur des marchés américains, les entreprises ayant levé des fonds auprès de fonds d'investissement américains au-delà de certains seuils. OVHcloud, dont le capital est majoritairement français (famille Klaba + investisseurs européens), et 3DS Outscale (filiale de Dassault Systèmes) satisfont aujourd'hui ce critère, ce qui explique leur position dominante sur le marché qualifié.

Prestataires qualifiés en 2026 : qui peut héberger vos données sensibles ?

Au 1er juillet 2026, l'ANSSI recense sept prestataires qualifiés SecNumCloud ou en cours de qualification pour le niveau Avancé :

OVHcloud avec son offre Sovereign Cloud (anciennement HDS Cloud) est le prestataire le plus mature, proposant des services IaaS, PaaS et une sélection de services managés qualifiés. La qualification porte sur les datacenters de Roubaix (RBX) et Strasbourg (SBG), avec réplication géographique en France métropolitaine.

3DS Outscale, filiale de Dassault Systèmes, opère sous la marque S3NS (en partenariat avec Google Cloud pour les couches hautes) et propose ses propres services IaaS qualifiés. La particularité de 3DS Outscale est d'offrir une compatibilité API avec AWS tout en maintenant l'immunité extraterritoriale — un atout pour les migrations depuis AWS.

D'autres acteurs comme Oodrive (solutions documentaires), Numspot (porté par Banque des Territoires, La Poste et Docaposte) et Thales/S3NS ont obtenu ou sont en cours d'obtention de qualifications sectorielles. Numspot vise spécifiquement les collectivités territoriales et établissements publics.

Comparaison SecNumCloud, ISO 27001, CSA STAR et EUCS

Quels secteurs sont concernés par SecNumCloud en 2026 ?

La doctrine Cloud de l'État, formalisée par la circulaire du Premier Ministre de novembre 2021 et mise à jour en 2023, distingue trois catégories de données publiques : les données non-sensibles (hébergeables dans tout cloud certifié HDS ou ISO 27001), les données « sensibles » (requérant SecNumCloud qualifié ou solution sur site) et les données « Diffusion Restreinte » (hébergeables uniquement sur infrastructure opérée par des personnels habilités, avec SecNumCloud Élevé ou système classifié).

Les Opérateurs d'Importance Vitale (OIV), réglementés par la directive NIS 2 transposée en droit français, sont tenus d'appliquer des mesures de sécurité renforcées sur leurs systèmes d'information essentiels. La circulaire de l'ANSSI de 2024 précise que les prestataires cloud hébergeant des données OIV catégorie « haute sensibilité » doivent justifier d'une qualification SecNumCloud Avancé ou d'une analyse de risque validée par l'ANSSI.

Le secteur santé est doublement contraint : la certification HDS (Hébergeur de Données de Santé) est obligatoire pour tout hébergement de données de santé à caractère personnel, et les établissements de santé classés OIV (CHU, AP-HP) doivent en plus satisfaire SecNumCloud pour leurs systèmes critiques. Des prestataires comme OVHcloud ont obtenu la double certification HDS + SecNumCloud, permettant aux acteurs de santé de consolider leur conformité.

La défense nationale constitue le cas le plus strict : les systèmes d'information des armées et de la DGA relèvent du niveau Élevé de SecNumCloud, voire de systèmes classifiés au-delà. Les industriels de défense (BITD - Base Industrielle et Technologique de Défense) qui traitent des informations techniques classifiées doivent respecter la politique de sécurité des systèmes d'information de l'État (PSSIE) et ne peuvent recourir qu'à des solutions qualifiées.

Doctrine Cloud de l'État : les circulaires 2021 et 2023 décryptées

La circulaire du 5 novembre 2021 a posé le cadre général de la doctrine Cloud de l'État en distinguant trois modalités d'hébergement : le cloud interne (on-premise de l'administration), le cloud dédié (infrastructure dédiée à l'État opérée par un prestataire privé) et le cloud externe (offres commerciales mutualisées). Seul le cloud interne ou externe qualifié SecNumCloud est autorisé pour les données sensibles.

La mise à jour de 2023 a renforcé les exigences avec deux apports majeurs : l'obligation de réversibilité contractuelle (le prestataire doit garantir la portabilité des données en 30 jours maximum en cas de fin de contrat), et la publication d'une liste positive des services cloud autorisés pour les ministères, tenue à jour par la DINUM. Les ministères ont été tenus de soumettre leurs plans de migration vers le cloud qualifié avant le 31 décembre 2024.

En pratique, les administrations centrales ont majoritairement basculé leurs messageries et suites bureautiques vers des solutions qualifiées ou en cours de qualification. La conformité de Microsoft 365 dans ce contexte reste un sujet sensible : Microsoft Cloud for Sovereignty propose des engagements contractuels renforcés, mais ne satisfait pas les critères d'immunité CLOUD Act exigés par SecNumCloud Avancé.

Processus et délais de qualification : ce qu'il faut anticiper

Le processus de qualification SecNumCloud Avancé se déroule en cinq phases principales :

Phase 1 — Candidature et recevabilité (1-2 mois) : le prestataire soumet un dossier de candidature à l'ANSSI comprenant la description de ses services, son architecture technique, ses politiques de sécurité et sa structure capitalistique. L'ANSSI vérifie la recevabilité et l'absence d'obstacle juridique (critère d'immunité).

Phase 2 — Audit documentaire (2-4 mois) : le PASSI mandaté examine la documentation de sécurité (politiques, procédures, plans de continuité), les architectures techniques et les contrats de sous-traitance. Cette phase génère souvent 200 à 400 écarts à corriger avant l'audit technique.

Phase 3 — Audit technique sur site (2-3 mois) : tests de pénétration, vérification des configurations, contrôle physique des datacenters et des procédures d'accès. Les tests incluent des scénarios d'intrusion avancés sur l'isolation multi-tenants.

Phase 4 — Instruction ANSSI (3-6 mois) : l'ANSSI instruit le rapport du PASSI, pose des questions complémentaires et peut demander des corrections. C'est la phase la plus longue et la moins prévisible.

Phase 5 — Décision de qualification : la qualification est accordée pour 3 ans, avec un audit de surveillance annuel.

Au total, comptez 12 à 18 mois pour un prestataire cloud déjà mature en sécurité (ISO 27001 certifié, pratiques DevSecOps établies). Pour un prestataire partant de zéro, 24 à 36 mois est plus réaliste. La phase de remédiation des écarts documentaires représente souvent 30 % du temps total.

Combien coûte réellement une qualification SecNumCloud ?

Les coûts de qualification sont souvent sous-estimés dans les projets. Voici une décomposition réaliste pour un prestataire IaaS de taille moyenne (50-200 collaborateurs, 3-5 datacenters) :

Accompagnement conseil et remédiation : 80k€-200k€ sur 12 à 18 mois pour un cabinet spécialisé en qualification ANSSI. Ce poste couvre la revue des 114 exigences, la rédaction des politiques de sécurité manquantes, la préparation aux audits et le suivi des plans d'action.

Audit PASSI : 80k€-150k€ pour les phases documentaire et technique, facturés par le prestataire d'audit qualifié ANSSI. Ce coût dépend du périmètre des services audités et de la complexité de l'architecture.

Remédiation technique : 100k€-300k€ pour les mises à niveau d'infrastructure (HSM, séparation réseau, systèmes de supervision, durcissement des hyperviseurs). Ce poste est extrêmement variable selon le niveau de maturité initial.

Coûts récurrents annuels : 40k€-80k€/an pour l'audit de surveillance, le maintien des politiques et la veille réglementaire.

Total sur 3 ans (cycle de qualification complet) : 400k€-1M€ pour un prestataire IaaS de taille intermédiaire. Pour un prestataire SaaS à périmètre plus limité, la fourchette descend à 200k€-500k€. Ces coûts expliquent la concentration du marché sur quelques acteurs capables d'amortir cet investissement sur un volume de clients suffisant.

Comment SecNumCloud impacte-t-il la stratégie cloud des organisations clientes ?

Pour les organisations clientes (administrations, OIV, acteurs de santé), SecNumCloud n'est pas seulement une contrainte — c'est un outil de gestion des risques. L'utilisation d'un cloud qualifié transfère une partie du risque de conformité vers le prestataire : si l'ANSSI a qualifié OVHcloud Avancé, c'est qu'elle a vérifié les 114 exigences. L'organisation cliente n'a plus à auditer elle-même l'infrastructure sous-jacente.

Cependant, la qualification du prestataire ne dispense pas le client de ses propres responsabilités. La responsabilité partagée (shared responsibility model) s'applique : le prestataire est responsable de la sécurité de l'infrastructure, mais le client reste responsable de la configuration de ses instances, de la gestion de ses accès et de la classification de ses données. Un article de référence sur l'ISO 27001 détaille ce modèle de responsabilité dans le contexte de la gouvernance de la sécurité.

Les organisations qui adoptent SecNumCloud doivent également anticiper les contraintes de portabilité : le catalogue de services des prestataires qualifiés est plus restreint que celui d'AWS ou Azure (pas de ML managé, moins de services PaaS avancés). Cela peut contraindre les architectures applicatives ou nécessiter des développements supplémentaires. Le contexte du CRA et de la transparence logicielle impose par ailleurs une traçabilité des composants logiciels qui doit être maintenue y compris dans les environnements cloud qualifiés.

Questions fréquentes

Un hébergeur qualifié SecNumCloud est-il automatiquement conforme RGPD ?

Non, ce sont deux référentiels distincts. SecNumCloud Avancé garantit des mesures de sécurité technique robustes et l'immunité aux lois extraterritoriales, ce qui contribue fortement à la conformité RGPD sur les volets sécurité et transferts internationaux. Mais la conformité RGPD reste la responsabilité du responsable de traitement : bases légales, droits des personnes, registre des traitements — ces obligations ne sont pas couvertes par SecNumCloud. La combinaison SecNumCloud + analyse RGPD rigoureuse est nécessaire.

Peut-on utiliser Microsoft Azure ou AWS avec des données sensibles d'État ?

Non, au regard de la doctrine Cloud de l'État 2021/2023. Azure et AWS, en tant que filiales de groupes américains soumis au CLOUD Act, ne peuvent pas héberger de données « sensibles » des administrations françaises. La seule exception reconnue est l'utilisation d'une offre structurée sous forme de cloud dédié opéré par une entité française non soumise aux lois américaines — modèle que Microsoft et AWS tentent de proposer via S3NS (pour Google) ou des partenariats avec des acteurs français, sans encore satisfaire pleinement les critères ANSSI au niveau Avancé.

Quelle est la durée de validité d'une qualification SecNumCloud ?

Une qualification SecNumCloud Avancé est valable 3 ans, sous réserve d'audits de surveillance annuels réussis. Si le prestataire modifie substantiellement son architecture ou ses services, il doit notifier l'ANSSI qui peut décider d'un audit complémentaire. En cas de modification majeure de la structure capitalistique (fusion, acquisition, entrée d'un actionnaire hors UE), la qualification peut être suspendue le temps de la vérification des critères d'immunité.

Les PME peuvent-elles accéder à des services qualifiés SecNumCloud sans coût prohibitif ?

Oui, via les offres commerciales des prestataires qualifiés. OVHcloud propose des VPS et instances cloud qualifiés à des tarifs accessibles aux PME (à partir de quelques centaines d'euros par mois pour une infrastructure de test). La PME n'a pas à supporter le coût de qualification — elle loue des services déjà qualifiés. En revanche, si une PME souhaite elle-même se faire qualifier comme prestataire cloud, les coûts de 200k€-500k€ sont inévitables.