SecNumCloud 2026
et Schéma EUCS

01 Introduction et Contexte Stratégique

En 2026, la qualification SecNumCloud s'impose comme le standard incontournable pour l'hébergement des données sensibles en France. Face aux enjeux de souveraineté numérique, de protection contre les législations extraterritoriales et de conformité réglementaire croissante, les organisations françaises et européennes doivent repenser leur stratégie cloud. Ce guide exhaustif analyse le référentiel SecNumCloud dans sa version 3.2, le processus de qualification ANSSI, et l'articulation avec le futur schéma européen EUCS.

La transformation numérique des entreprises et des administrations s'est accélérée de manière significative depuis 2020. Cette migration massive vers le cloud a soulevé des questions fondamentales sur la protection des données stratégiques, notamment face à l'application extraterritoriale de certaines législations comme le Cloud Act américain ou la loi chinoise sur la sécurité nationale. SecNumCloud répond à ces préoccupations en établissant un cadre de confiance robuste pour les données les plus sensibles.

L'écosystème cloud souverain français

Le marché français du cloud souverain a connu une croissance exponentielle, passant de quelques acteurs pionniers à un écosystème structuré comprenant des opérateurs qualifiés, des intégrateurs spécialisés et des éditeurs compatibles. Cette dynamique est soutenue par des investissements publics significatifs dans le cadre de France 2030 et par une demande croissante des grandes entreprises cherchant à sécuriser leurs données stratégiques.

Les différentes catégories de données concernées par SecNumCloud incluent :

• Données classifiées : informations relevant du secret de la défense nationale
• Données sensibles de l'État : informations stratégiques des administrations
• Données personnelles à risque : données de santé, judiciaires, biométriques
• Données d'entreprises stratégiques : propriété intellectuelle, R&D, données financières
• Données d'infrastructures critiques : OIV, OSE, secteurs essentiels

Évolution historique du référentiel

SecNumCloud a connu plusieurs évolutions majeures depuis sa création. La version initiale (2016) posait les bases de la qualification cloud sécurisé. La version 2.0 (2019) a renforcé les exigences techniques et organisationnelles. La version actuelle 3.2 (2022) introduit les critères d'immunité aux législations extra-européennes, marquant un tournant décisif vers la souveraineté numérique.

02 Le Référentiel SecNumCloud 3.2 en Détail

Le référentiel SecNumCloud version 3.2, publié par l'ANSSI en mars 2022, constitue le socle normatif de la qualification cloud de confiance en France. Ce document de référence définit un ensemble complet d'exigences de sécurité que doivent satisfaire les prestataires de services cloud pour obtenir et maintenir leur qualification.

Structure du référentiel

Le référentiel s'organise autour de plusieurs domaines de sécurité couvrant l'ensemble du cycle de vie des services cloud. Cette approche holistique garantit que tous les aspects critiques sont adressés, depuis la gouvernance jusqu'aux mesures techniques les plus spécifiques.

Les trois niveaux de qualification

SecNumCloud définit trois niveaux de qualification correspondant à des niveaux de sécurité croissants. Cette graduation permet aux organisations de choisir le niveau adapté à la sensibilité de leurs données et à leurs contraintes réglementaires.

Articulation avec ISO 27001

Le référentiel SecNumCloud s'appuie sur la norme ISO 27001 comme socle, tout en ajoutant des exigences spécifiques au contexte cloud et à la souveraineté. Un prestataire certifié ISO 27001 dispose d'une base solide, mais doit compléter sa conformité avec les exigences additionnelles de SecNumCloud, notamment sur l'immunité extra-européenne et les spécificités techniques cloud.

Les principales différences incluent :

• Exigences de localisation : données et traitements sur le territoire européen
• Protection juridique : immunité aux législations extraterritoriales
• Capital et gouvernance : contrôle européen de l'entité
• Spécificités techniques cloud : virtualisation, multi-tenancy, API
• Audit renforcé : évaluation ANSSI au lieu de certification tierce partie

03 Exigences Techniques Détaillées

Les exigences techniques de SecNumCloud 3.2 couvrent l'ensemble de l'architecture et des opérations d'un service cloud. Ces mesures constituent le cœur de la protection effective des données et des systèmes hébergés.

Architecture sécurisée

L'architecture d'un service SecNumCloud doit respecter des principes fondamentaux de conception sécurisée :

• Défense en profondeur : multiples couches de sécurité indépendantes
• Moindre privilège : accès strictement nécessaires aux fonctions
• Séparation des environnements : isolation des tenants et des services
• Résilience native : haute disponibilité et tolérance aux pannes
• Sécurité by design : intégration dès la conception

Chiffrement et gestion des clés

Les exigences cryptographiques constituent un pilier essentiel de SecNumCloud. Le référentiel impose l'utilisation d'algorithmes conformes au RGS (Référentiel Général de Sécurité) et définit des règles strictes pour la gestion des clés cryptographiques.

Contrôle d'accès et authentification

Le contrôle d'accès dans un environnement SecNumCloud repose sur plusieurs mécanismes complémentaires :

Authentification forte : L'authentification multi-facteurs (MFA) est obligatoire pour les accès d'administration et recommandée pour l'ensemble des utilisateurs. Les mécanismes acceptés incluent les tokens physiques, les applications d'authentification et les certificats sur support cryptographique.

Gestion des identités : Un système IAM (Identity and Access Management) centralisé doit gérer l'ensemble des identités et des droits. Ce système doit permettre une traçabilité complète et une révocation immédiate des accès.

Modèle de moindre privilège : Chaque utilisateur et service ne dispose que des droits strictement nécessaires à ses fonctions. Les comptes à privilèges sont limités et font l'objet d'une surveillance renforcée.

Sécurité réseau

La segmentation réseau est un élément critique de l'architecture SecNumCloud :

• Segmentation stricte : isolation des zones de sécurité différentes
• Micro-segmentation : contrôle fin des flux entre services
• Filtrage applicatif : WAF, IPS/IDS en complément du filtrage réseau
• Protection DDoS : capacités de mitigation intégrées
• Journalisation exhaustive : capture de tous les flux significatifs

Journalisation et détection

Les capacités de détection et de supervision sont essentielles pour identifier les menaces et y répondre efficacement. SecNumCloud exige une journalisation exhaustive et une surveillance continue :

• Collecte centralisée : agrégation de tous les logs dans un SIEM
• Rétention conforme : conservation selon les exigences légales (min. 1 an)
• Intégrité des logs : protection contre l'altération
• Détection en temps réel : règles de corrélation et alertes
• Analyse comportementale : détection des anomalies (UEBA)

04 Protection contre les Législations Extra-Européennes

L'un des apports majeurs de SecNumCloud 3.2 est l'introduction d'exigences visant à protéger les données hébergées contre l'application de législations extraterritoriales, notamment le Cloud Act américain, le FISA Section 702 ou encore les lois chinoises sur la cybersécurité et le renseignement national.

Le contexte juridique international

Plusieurs législations nationales prévoient des mécanismes permettant aux autorités d'accéder à des données stockées à l'étranger par des entreprises relevant de leur juridiction. Cette extraterritorialité pose un défi majeur pour la protection des données sensibles européennes.

Les critères d'immunité SecNumCloud

Pour garantir une protection effective, SecNumCloud 3.2 niveau Avancé impose des critères stricts sur la structure juridique et capitalistique des prestataires qualifiés :

Localisation des données : L'ensemble des données, métadonnées et données techniques doivent être stockées et traitées exclusivement sur le territoire de l'Union européenne. Aucune réplication vers des juridictions tierces n'est autorisée.

Contrôle capitalistique européen : La société opérant le service doit être détenue majoritairement par des intérêts européens. La chaîne de contrôle (holding, investisseurs) ne doit pas permettre à une entité non-européenne d'exercer une influence déterminante.

Administration depuis l'Europe : Les opérations d'administration et de support doivent être réalisées depuis le territoire européen par du personnel européen. Aucun accès distant depuis des pays tiers n'est autorisé pour les opérations sur données sensibles.

Contrats de droit européen : Les contrats régissant le service doivent relever exclusivement du droit d'un État membre de l'UE. Les clauses de juridiction doivent désigner des tribunaux européens.

Implications pratiques

Ces exigences ont des conséquences significatives sur l'écosystème cloud :

• Les hyperscalers américains (AWS, Azure, GCP) ne peuvent pas être qualifiés SecNumCloud niveau Avancé en propre
• Des structures de "Cloud de Confiance" ont émergé : partenariats entre acteurs européens et hyperscalers sous licence
• Les éditeurs de logiciels doivent adapter leurs offres pour une exploitation souveraine
• Les entreprises doivent évaluer la chaîne de sous-traitance de leurs prestataires

05 Processus de Qualification ANSSI

La qualification SecNumCloud est délivrée par l'ANSSI à l'issue d'un processus rigoureux d'évaluation. Ce processus, bien que exigeant, suit des étapes clairement définies permettant aux candidats de se préparer efficacement.

Phases du processus

Le parcours vers la qualification se décompose en plusieurs phases successives :

Phase 1 - Candidature : Le prestataire soumet un dossier de candidature à l'ANSSI comprenant la description du service, le périmètre visé, et une auto-évaluation préliminaire. L'ANSSI évalue la recevabilité et peut demander des compléments.

Phase 2 - Préparation : Une fois la candidature acceptée, le prestataire prépare l'ensemble de la documentation et met en œuvre les mesures de sécurité requises. Cette phase inclut généralement un audit préparatoire (audit blanc) par un tiers.

Phase 3 - Évaluation : L'ANSSI mandate un centre d'évaluation agréé (CESTI) pour réaliser l'audit technique. Cet audit comprend l'analyse documentaire, les tests techniques et les vérifications sur site.

Phase 4 - Décision : Sur la base du rapport d'évaluation, l'ANSSI statue sur la qualification. Des réserves peuvent être formulées, nécessitant des actions correctives avant délivrance finale.

Phase 5 - Maintien : La qualification est valide 3 ans avec des audits de surveillance annuels. Le prestataire doit notifier tout changement significatif à l'ANSSI.

Coûts et ressources

La qualification SecNumCloud représente un investissement significatif que les organisations doivent anticiper :

06 Acteurs Qualifiés en 2026

L'écosystème des prestataires qualifiés SecNumCloud s'est considérablement enrichi depuis les premières qualifications. En 2026, plusieurs dizaines de services sont qualifiés, couvrant l'ensemble des besoins cloud des organisations françaises.

Panorama des offres qualifiées

Les services qualifiés SecNumCloud se répartissent en plusieurs catégories :

Infrastructure as a Service (IaaS) : Services de calcul, stockage et réseau virtualisés. Ces offres constituent le socle sur lequel peuvent s'appuyer les autres services.

• OVHcloud : Hosted Private Cloud qualifié, offre de référence française
• Outscale (Dassault Systèmes) : Cloud public IaaS qualifié
• 3DS Outscale : Services compute et storage souverains
• Cloud Temple : Infrastructure haute sécurité pour données sensibles

Platform as a Service (PaaS) : Services de plateforme pour le développement et le déploiement d'applications.

• Services de conteneurisation Kubernetes managés
• Bases de données managées (PostgreSQL, MySQL, Redis)
• Services de messaging et d'intégration
• Plateformes DevOps sécurisées

Software as a Service (SaaS) : Applications métier accessibles en service.

• Solutions collaboratives (messagerie, visioconférence, partage)
• Applications métier sectorielles (santé, finance, secteur public)
• Services de cybersécurité (SIEM, EDR, gestion d'identités)

Les initiatives "Cloud de Confiance"

Plusieurs partenariats stratégiques ont émergé pour proposer des offres combinant technologies de référence mondiale et souveraineté française :

07 Schéma EUCS et Harmonisation Européenne

Le European Union Cybersecurity Certification Scheme for Cloud Services (EUCS) constitue l'effort européen d'harmonisation des certifications cloud. Développé sous l'égide de l'ENISA dans le cadre du Cybersecurity Act, ce schéma vise à créer un cadre commun reconnu dans tous les États membres.

Architecture du schéma EUCS

L'EUCS définit trois niveaux d'assurance correspondant à des exigences de sécurité croissantes :

La question de l'immunité dans EUCS

L'un des débats majeurs autour de l'EUCS concerne l'inclusion de critères d'immunité aux législations extra-européennes, similaires à ceux de SecNumCloud 3.2. La France défend l'intégration de ces critères au niveau High, tandis que d'autres États membres souhaitent un schéma plus ouvert aux acteurs internationaux.

Articulation SecNumCloud / EUCS

L'ANSSI travaille à assurer une transition fluide entre les qualifications SecNumCloud existantes et le futur schéma européen. Les principes suivants guident cette articulation :

• Reconnaissance mutuelle : les qualifications SecNumCloud devraient être reconnues comme équivalentes aux certifications EUCS de niveau correspondant
• Période de transition : coexistence des deux schémas pendant plusieurs années
• Passerelle de certification : procédures simplifiées pour les détenteurs de SecNumCloud vers EUCS
• Maintien des exigences françaises : possibilité de conserver des exigences nationales additionnelles si EUCS s'avère moins exigeant sur la souveraineté

08 Stratégie de Migration vers le Cloud Souverain

La migration vers un environnement SecNumCloud nécessite une approche méthodique tenant compte des spécificités de chaque organisation. Cette section présente les meilleures pratiques pour réussir cette transition stratégique.

Évaluation préalable

Avant toute migration, une analyse approfondie du contexte est indispensable :

Cartographie des données : Identifier et classifier l'ensemble des données selon leur sensibilité, leur criticité métier et les contraintes réglementaires applicables. Cette cartographie permettra de déterminer quelles données doivent impérativement être hébergées sur infrastructure SecNumCloud.

Inventaire applicatif : Recenser les applications, leurs dépendances, leurs contraintes techniques et leurs besoins en ressources. Évaluer la compatibilité avec les offres SecNumCloud disponibles.

Analyse des flux : Comprendre les échanges de données entre systèmes, avec les partenaires et vers l'extérieur. Certains flux pourront nécessiter des adaptations pour respecter les exigences d'isolation.

Approches de migration

Plusieurs stratégies peuvent être adoptées selon le contexte :

• Lift and Shift : Migration à l'identique vers l'infrastructure cible. Rapide mais ne tire pas pleinement parti du cloud.
• Refactoring : Adaptation des applications pour optimiser leur fonctionnement en environnement cloud (conteneurisation, serverless...).
• Rearchitecting : Refonte complète selon les paradigmes cloud-native. Plus coûteux mais offre les meilleurs bénéfices à long terme.
• Hybrid : Conservation de certaines charges on-premise tout en migrant vers le cloud souverain. Permet une transition progressive.

Points d'attention critiques

Bonnes pratiques de migration

Pour maximiser les chances de succès :

• Commencer par un pilote sur un périmètre limité pour valider l'approche
• Impliquer les équipes sécurité et conformité dès le début du projet
• Établir des KPIs clairs pour mesurer le succès de la migration
• Prévoir une phase de coexistence permettant un rollback si nécessaire
• Documenter exhaustivement les procédures d'exploitation spécifiques
• Former les équipes aux particularités des offres souveraines

09 La Doctrine "Cloud au Centre" de l'État

La doctrine "Cloud au Centre", formalisée par la circulaire du Premier ministre de 2021 et renforcée en 2023, pose le cadre de l'utilisation du cloud par les administrations françaises. Cette politique constitue un levier majeur pour le développement de l'écosystème SecNumCloud.

Principes directeurs

La doctrine établit plusieurs principes structurants :

Cloud par défaut : Le cloud devient le mode d'hébergement de référence pour les nouveaux projets informatiques de l'État. L'hébergement on-premise doit être justifié par des contraintes spécifiques.

Hiérarchisation des données : Les données sont classifiées selon leur sensibilité, déterminant le niveau de protection requis et donc le type de cloud autorisé.

Préférence souveraine : Pour les données sensibles, les solutions qualifiées SecNumCloud sont privilégiées. L'usage de solutions non-souveraines nécessite une dérogation argumentée.

Classification des données de l'État

Mise en œuvre dans les administrations

La doctrine se traduit concrètement par plusieurs mesures :

• Marchés publics : Intégration des exigences SecNumCloud dans les appels d'offres
• Référencement : Catalogues de services cloud pré-qualifiés pour les administrations
• Accompagnement : Programmes de formation et de conseil pour les DSI ministérielles
• Financement : Enveloppes dédiées pour les migrations vers le cloud souverain
• Mutualisation : Développement d'offres cloud interministérielles

Impact sur le secteur privé

Bien que la doctrine s'adresse directement aux administrations, elle a un effet d'entraînement sur le secteur privé :

• Les prestataires de l'État doivent se conformer aux exigences de leurs donneurs d'ordre
• Les secteurs régulés (finance, santé, énergie) s'inspirent de la doctrine pour leurs propres politiques
• Le développement du marché SecNumCloud améliore l'offre disponible pour tous
• La notoriété croissante du label incite les entreprises privées à s'y référer

10 Perspectives 2026-2028

Le paysage du cloud souverain connaîtra des évolutions majeures dans les années à venir. Comprendre ces tendances permet aux organisations d'anticiper et de préparer leur stratégie cloud à moyen terme.

Évolutions réglementaires attendues

Adoption de l'EUCS : Le schéma européen devrait être finalisé et entrer en vigueur, créant un cadre harmonisé au niveau de l'Union. Les modalités d'articulation avec SecNumCloud seront clarifiées.

Renforcement NIS 2 : L'application complète de NIS 2 accentuera la pression sur les entités essentielles et importantes pour sécuriser leurs systèmes, favorisant l'adoption de solutions qualifiées.

Évolution DORA : Le secteur financier devra répondre aux exigences DORA sur les prestataires TIC critiques, créant une demande forte pour des clouds conformes aux standards les plus élevés.

Tendances technologiques

Plusieurs évolutions technologiques impacteront l'écosystème SecNumCloud :

• IA souveraine : Développement d'offres d'IA générative respectant les critères de souveraineté, en réponse au AI Act européen
• Confidential Computing : Généralisation des technologies de calcul confidentiel (enclaves sécurisées) renforçant l'isolation des données
• Post-quantique : Intégration des algorithmes post-quantiques dans les offres cloud pour anticiper la menace des ordinateurs quantiques
• Edge computing souverain : Extension des garanties SecNumCloud aux infrastructures edge pour les cas d'usage latence-sensibles

Évolution du marché

Le marché français du cloud souverain devrait connaître une croissance soutenue :

• Consolidation : Rapprochements entre acteurs pour atteindre la taille critique
• Enrichissement fonctionnel : Les offres souveraines rattraperont progressivement les hyperscalers en termes de services managés
• Spécialisation sectorielle : Émergence d'offres verticales (santé, finance, secteur public)
• Internationalisation : Les acteurs français chercheront à exporter leur savoir-faire en Europe

Recommandations pour 2026

Pour préparer les évolutions à venir, les organisations devraient :