Longtemps réservée aux initiés de la cybersécurité d’État, la qualification SecNumCloud s’est imposée en 2026 comme la référence incontournable du cloud souverain en France. Portée par l’ANSSI et durcie par sa version 3.2, elle conditionne désormais l’accès aux marchés publics les plus sensibles et structure la stratégie numérique des grands groupes industriels et financiers du pays.
SecNumCloud, la qualification ANSSI qui fait référence
SecNumCloud est le référentiel d’exigences publié par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) pour qualifier les prestataires de services cloud — IaaS, PaaS et SaaS — selon les plus hauts standards de sécurité disponibles en France. Créée en 2015, la qualification a connu une refonte majeure en 2022 avec la version 3.2, qui ajoute un critère décisif : l’immunité vis-à-vis des législations extraterritoriales, au premier rang desquelles le Cloud Act américain et le FISA. Un fournisseur qualifié SecNumCloud doit ainsi démontrer que son capital, son siège social et l’ensemble de sa gouvernance opérationnelle échappent à toute possibilité d’accès aux données par une puissance étrangère, même via une maison mère.
Ce n’est pas un simple label marketing apposé sur une plaquette commerciale. Obtenir la qualification SecNumCloud suppose un audit mené par un prestataire d’audit de la sécurité des systèmes d’information (PASSI) agréé, portant sur plus de 360 exigences techniques et organisationnelles : chiffrement conforme aux recommandations de l’ANSSI, authentification multifacteur, cloisonnement strict entre locataires, tests d’intrusion réguliers et localisation des données au sein de l’Union européenne. La qualification, valable trois ans, est soumise à un audit de surveillance tous les dix-huit mois pour vérifier son maintien.
Un référentiel plus strict que l’ISO 27001 et l’HDS
La comparaison avec les certifications généralistes du marché éclaire l’ambition du dispositif. Là où l’ISO 27001 exige de démontrer qu’un système de management de la sécurité fonctionne, SecNumCloud impose des mesures nommées et non négociables sur le périmètre du service audité. La certification Hébergeur de données de santé (HDS), elle, reste centrée sur la protection sanitaire et ne couvre pas la dimension d’indépendance juridique face aux lois étrangères. SecNumCloud combine les deux exigences — technique et juridique — dans un seul et même visa de confiance, ce qui en fait à ce jour le référentiel le plus complet en Europe pour l’hébergement de données sensibles.
Cette exigence a un coût : les délais de qualification s’étalent souvent sur plusieurs années, et les investissements en infrastructure dédiée, en personnel européen et en processus d’audit représentent des montants significatifs pour les prestataires candidats. Il ne s’agit pas seulement de cocher des cases : les entreprises candidates doivent en général démontrer une ségrégation physique et logique complète entre leurs environnements qualifiés SecNumCloud et le reste de leur infrastructure, ce qui implique souvent la construction de zones de datacenters dédiées, opérées exclusivement par du personnel localisé en Union européenne, vingt-quatre heures sur vingt-quatre.
C’est précisément ce coût d’entrée qui confère à la qualification SecNumCloud sa crédibilité et qui explique pourquoi le marché reste concentré autour d’un nombre restreint d’acteurs, malgré l’appétit croissant des entreprises françaises pour ce type de garanties.
Qui détient la qualification SecNumCloud en 2026 ?
En juillet 2026, une dizaine d’offres figurent au catalogue officiel de l’ANSSI. Parmi les prestataires ou services qualifiés SecNumCloud, on retrouve notamment OVHcloud, Outscale (filiale de Dassault Systèmes), Cloud Temple, Oodrive, Orange Business, Worldline, Cegedim, Index Education, Whaller et S3NS, la coentreprise formée par Thales et Google Cloud. D’autres candidatures sont en cours d’instruction, parmi lesquelles Bleu — la plateforme portée par Orange et Capgemini pour opérer une version souveraine de Microsoft Azure et Microsoft 365 — ainsi qu’Adista, Ecritel ou Free Pro.
Le mouvement dépasse aujourd’hui la seule infrastructure. Certains acteurs qualifiés SecNumCloud opèrent sur des couches applicatives ou collaboratives, signe que le référentiel s’étend progressivement à l’ensemble des briques critiques du numérique d’entreprise, de la messagerie à la visioconférence en passant par le partage de fichiers. L’arrivée de SAP sur l’offre PREMI3NS de S3NS, avec Thales comme premier client pour la migration de son ERP, illustre ce passage à l’échelle industrielle d’une qualification longtemps cantonnée à des usages de niche.
OVHcloud, pionnier historique du mouvement, a poursuivi en 2026 l’extension de son périmètre qualifié SecNumCloud en renouvelant sa qualification 3.2 et en ouvrant une troisième zone de datacenter dédiée, à Gravelines, qui vient rejoindre les sites existants de Roubaix et de Strasbourg. Le groupe roubaisien affiche l’ambition de qualifier chaque nouveau produit au fur et à mesure de sa sortie, afin de proposer une gamme complète d’offres Public Cloud conformes au référentiel de l’ANSSI. Cette montée en puissance progressive témoigne d’une bascule de fond : la qualification SecNumCloud n’est plus un projet ponctuel mené pour décrocher un marché public isolé, mais une trajectoire d’entreprise structurante, engageant plusieurs années d’investissement continu.
SecNumCloud, colonne vertébrale de la doctrine « cloud au centre »
La circulaire du Premier ministre du 9 juillet 2021, prolongée par la doctrine « cloud au centre » de 2023, impose aux administrations d’État l’hébergement de leurs données sensibles sur une offre qualifiée SecNumCloud. Cette obligation réglementaire, initialement circonscrite à la sphère publique, s’est progressivement diffusée vers les opérateurs d’importance vitale (OIV), les opérateurs de services essentiels (OSE) et, plus récemment, l’ensemble des entités désormais couvertes par la directive européenne NIS2. Pour un directeur des systèmes d’information déjà en conformité NIS2, une part significative du chemin vers SecNumCloud est généralement déjà parcourue, les deux référentiels partageant un socle commun d’exigences en matière de gestion des risques cyber.
Le secteur privé n’échappe pas à la dynamique. Dans la finance, la santé et la défense, la qualification SecNumCloud devient un standard de fait, y compris hors obligation légale stricte, parce qu’elle constitue un argument différenciant dans les appels d’offres et un gage de résilience face à la multiplication des cybermenaces. La chambre de compensation LCH SA, filiale du London Stock Exchange Group basée à Paris, a par exemple engagé la migration d’une partie de ses services vers un environnement qualifié SecNumCloud opéré par OVHcloud, dans une logique de renforcement de sa résilience opérationnelle et de conformité aux exigences réglementaires qui pèsent sur les infrastructures de marché critiques.
Le choix d’EDF de s’appuyer sur Bleu et S3NS pour compléter son cloud interne illustre cette bascule progressive des grands groupes énergétiques vers des solutions certifiables SecNumCloud, tout en révélant les débats persistants sur le degré réel d’indépendance technologique que ces offres permettent d’atteindre.
Souveraineté numérique : l’enjeu stratégique derrière SecNumCloud
Au-delà de la technique, SecNumCloud est devenu l’un des instruments les plus concrets de la stratégie française de souveraineté économique et numérique. Dans un contexte géopolitique marqué par la militarisation croissante des flux de données et par l’extraterritorialité assumée du droit américain, disposer d’un cloud dont le siège, le capital et le personnel opérationnel restent sous juridiction européenne constitue un levier de puissance autant qu’un outil de conformité. C’est cette ambition qui a présidé à la création de coentreprises hybrides comme Bleu ou S3NS, associant technologie américaine et gouvernance strictement française — une architecture qui ne fait cependant pas l’unanimité.
Les partisans d’un cloud entièrement européen, à l’image de Scaleway, OVHcloud ou du projet Gaia-X, estiment que seule une rupture technologique complète avec les hyperscalers américains garantit une souveraineté authentique. Les défenseurs du modèle hybride répondent que l’alternative réaliste n’est pas un cloud européen mature à court terme, mais un maintien sur des infrastructures vieillissantes, elles-mêmes porteuses de risques. Ce débat, loin d’être tranché, gagne en intensité à mesure que le schéma européen de certification cloud EUCS (European Cybersecurity Certification Scheme), censé harmoniser les exigences de sécurité à l’échelle du continent, demeure bloqué en négociation à Bruxelles depuis plusieurs années, sous la pression de certains États membres et de fournisseurs non européens réticents à des critères de souveraineté trop stricts.
Tant que l’EUCS ne verra pas le jour dans une version ambitieuse, SecNumCloud restera l’étalon français — et, de fait, l’un des rares repères crédibles pour les organisations européennes soucieuses de protéger leurs données sensibles des ingérences extraterritoriales. Cette situation place la France dans une position singulière : pionnière d’un référentiel nourri par des années d’expertise de l’ANSSI, mais confrontée au risque que ce même référentiel soit un jour dilué par un compromis européen moins-disant. Pour l’écosystème industriel français du cloud et de la cybersécurité, la défense d’une version exigeante de l’EUCS, calquée sur les standards de SecNumCloud, constitue donc un enjeu de politique industrielle à part entière, autant qu’une question technique.
Pour les entreprises et administrations françaises, la question n’est donc plus de savoir si la qualification SecNumCloud doit structurer leur stratégie cloud, mais à quel rythme elles peuvent l’intégrer sans sacrifier leur compétitivité numérique.
