Référentiel SecNumCloud

conformite

Définition

SecNumCloud est le référentiel de sécurité de l'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information) définissant les exigences que doit satisfaire un prestataire de services cloud pour obtenir la qualification SecNumCloud. Cette qualification vise à garantir que les services cloud qualifiés offrent un niveau de sécurité élevé et une protection contre les lois extraterritoriales (notamment le USA PATRIOT Act et le CLOUD Act américains), en s'appuyant sur des opérateurs soumis exclusivement au droit européen. Le référentiel SecNumCloud version 3.2 (en vigueur depuis 2022) couvre l'ensemble des aspects d'un service cloud : gouvernance, gestion des risques, ressources humaines, sécurité physique, infrastructure technique, gestion des identités et des accès, chiffrement, gestion des incidents, continuité de service, développement sécurisé, et relations avec les sous-traitants. Il s'applique aux services IaaS (Infrastructure as a Service), PaaS (Platform as a Service) et SaaS (Software as a Service). La qualification SecNumCloud est accordée par l'ANSSI après évaluation par un prestataire d'audit accrédité. Elle est valable trois ans avec des audits de surveillance annuels. La liste des services SecNumCloud qualifiés est publiée sur le site de l'ANSSI. L'une des exigences les plus structurantes de SecNumCloud est l'immunité aux lois extraterritoriales : le prestataire et ses sous-traitants ne doivent être soumis à aucune législation non-européenne permettant à une autorité étrangère d'accéder aux données des clients sans voie juridique normale. Cette exigence exclut de facto les filiales de sociétés américaines (cloud act) et d'autres pays non soumis au RGPD. SecNumCloud est conçu comme la base nationale pour le schéma européen EUCS (EU Cybersecurity Certification Scheme for Cloud Services), développé par l'ENISA dans le cadre du Cybersecurity Act. Le niveau d'assurance élevé (High) d'EUCS est aligné sur SecNumCloud, facilitant la transition des services qualifiés SecNumCloud vers une certification européenne reconnue.

Référentiel et exigences SecNumCloud

Le référentiel SecNumCloud v3.2 de l'ANSSI couvre 12 domaines de sécurité pour les services IaaS, PaaS et SaaS : gouvernance et organisation, gestion des risques, ressources humaines, sécurité physique, infrastructure, gestion des accès, cryptographie, exploitation sécurisée, gestion des incidents, continuité, développement sécurisé, et relations fournisseurs. L'évaluation est réalisée par un prestataire d'audit accrédité ANSSI (similaire au modèle PASSI).

L'exigence d'immunité aux lois extraterritoriales est centrale : le prestataire et ses sous-traitants essentiels ne doivent pas être soumis à des lois permettant l'accès non-judiciaire aux données (USA CLOUD Act, PATRIOT Act). Cette exigence exclut les filiales d'entreprises américaines (AWS, Azure, GCP) de la qualification SecNumCloud, les contraignant à créer des entités juridiques pleinement européennes pour être éligibles.

Services qualifiés et cas d'usage

Les services SecNumCloud qualifiés sont principalement utilisés par les administrations et OIV français pour leurs systèmes sensibles. Parmi les prestataires qualifiés : OVHcloud, Outscale (Dassault Systèmes), Orange, Atos (Nuvlo), NumSpot. Ces prestataires ont investi massivement pour satisfaire les exigences techniques et organisationnelles du référentiel.

Depuis 2024, les administrations et OIV souhaitant utiliser des services cloud pour leurs données sensibles (non-classifiées Diffusion Restreinte) sont encouragés à utiliser des services SecNumCloud. La circulaire sur le cloud de confiance (2021) établit les conditions dans lesquelles les administrations peuvent recourir au cloud, avec SecNumCloud comme niveau de référence pour les données les plus sensibles.

EUCS et dimension européenne

L'ENISA développe le schéma EUCS (EU Cybersecurity Certification Scheme for Cloud Services) dans le cadre du Cybersecurity Act. EUCS prévoit trois niveaux d'assurance : Basic, Substantial, High. Le niveau High est aligné sur SecNumCloud et inclut des exigences équivalentes sur la résistance aux lois extraterritoriales, avec la notion de « protection de la souveraineté des données ».

L'adoption d'EUCS au niveau européen permettrait aux services SecNumCloud d'obtenir une reconnaissance paneuropéenne, facilitant leur déploiement dans d'autres États membres. Ce schéma est également un levier pour encourager le développement d'une offre cloud souveraine européenne face à la domination des hyperscalers américains.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis