SecNumCloud 2026 : liste prestataires qualifiés + guide

L’essentiel. SecNumCloud est la qualification délivrée par l’ANSSI aux prestataires cloud offrant le plus haut niveau de sécurité et de souveraineté en France. Sa version 3.2 (2022) ajoute des critères d’immunité contre les législations extraterritoriales (CLOUD Act, FISA), ce qui la rend unique en Europe. Elle est obligatoire pour les administrations d’État hébergeant des données sensibles, et devient un standard de fait pour les entités NIS2 et les secteurs régulés. En juillet 2026, une dizaine d’offres sont qualifiées ; le schéma européen EUCS, censé harmoniser ces exigences, reste bloqué en négociation.

Quand un hébergeur affiche « SecNumCloud 3.2 qualifié ANSSI », il ne s’agit pas d’un label marketing : c’est l’aboutissement d’un processus d’audit de plusieurs années, assorti d’exigences parmi les plus strictes au monde en cybersécurité et en immunité extraterritoriale. Sous l’effet de la doctrine « cloud au centre », ce référentiel autrefois confidentiel est devenu un critère structurant des appels d’offres publics et de nombreux marchés privés. Voici ce qu’il faut comprendre, qui est concerné, qui est qualifié en 2026 — et comment positionner votre stratégie cloud en conséquence.

Qu’est-ce que SecNumCloud ?

SecNumCloud est un référentiel d’exigences publié par l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Il fixe les conditions qu’un prestataire de services cloud doit remplir pour être qualifié par l’ANSSI, c’est-à-dire reconnu comme offrant un niveau de sécurité et de souveraineté suffisant pour héberger les données et systèmes les plus sensibles de l’État et des opérateurs critiques.

Deux éléments le distinguent radicalement d’une simple certification ISO 27001 ou HDS :

• des exigences de sécurité renforcées, couvrant la sécurité logique, physique, organisationnelle, la gouvernance, la maîtrise des sous-traitants, la cryptographie et la disponibilité ;
• des critères de protection contre les législations extraterritoriales, notamment le CLOUD Act américain, le FISA 702 et les lois de renseignement étrangères. C’est ce volet qui rend SecNumCloud unique au niveau européen.

La version en vigueur est le référentiel SecNumCloud 3.2, publié en mars 2022. Il a supplanté la version 3.1 de 2016 et introduit les clauses d’immunité extraterritoriale qui structurent aujourd’hui l’offre française de cloud de confiance.

L’historique et le cadre juridique

SecNumCloud trouve son origine dans les référentiels de qualification de l’ANSSI développés à partir de la fin des années 2000, la première version dédiée au cloud datant du milieu des années 2010. Le cadre juridique repose sur :

• les dispositions du Code de la défense confiant à l’ANSSI la délivrance des qualifications ;
• le décret n° 2015-350 du 27 mars 2015 relatif à la qualification des produits et prestataires de sécurité ;
• la circulaire du Premier ministre du 5 juillet 2021 dite « cloud au centre », qui impose aux administrations d’État le recours à des services qualifiés SecNumCloud pour héberger certaines données ;
• une circulaire de 2023 qui a précisé et renforcé le dispositif, notamment pour les données dites « sensibles ».

Au-delà de ces textes internes à l’État, SecNumCloud s’intègre désormais dans l’écosystème de la directive NIS2 et du Cyber Resilience Act : les entités essentielles et importantes qui externalisent des systèmes critiques trouvent dans SecNumCloud un moyen direct de démontrer leur maîtrise des mesures techniques et organisationnelles appropriées.

Qui est concerné par l’obligation SecNumCloud ?

Il faut distinguer trois niveaux d’exigence.

Niveau	Qui	Portée
Obligation stricte	Administrations d’État hébergeant des données sensibles	Recours obligatoire à une offre qualifiée, sauf dérogation encadrée
Obligation indirecte	OIV, OSE, entités essentielles/importantes NIS2	Pas de texte unique, mais obligations de sécurité difficilement atteignables sans qualification
Recommandation forte	Santé, finance (DORA), collectivités, grands groupes régulés	Standard de fait dans les appels d’offres

Obligation stricte : administrations et données sensibles

Depuis la circulaire « cloud au centre », toute administration d’État qui envisage d’héberger sur un cloud des données personnelles sensibles (santé, situations sociales, pénales, fiscales), des secrets protégés par la loi (secret des correspondances, secret fiscal, secret médical) ou des données nécessaires à ses missions régaliennes doit recourir à un service qualifié SecNumCloud. Les exceptions sont encadrées et soumises à dérogation.

Obligation indirecte : OIV, OSE, entités NIS2

Les opérateurs d’importance vitale (OIV), les opérateurs de services essentiels (OSE) et, désormais, les entités essentielles et importantes au titre de NIS2 ne sont pas tenus par un texte unique de recourir à SecNumCloud. Mais leurs obligations de sécurité — maîtrise des dépendances, cryptographie robuste, résilience, protection contre les ingérences étrangères — sont difficilement atteignables sans passer par un prestataire qualifié.

Recommandation forte : santé, finance, secteurs critiques

Pour les établissements de santé, les acteurs financiers soumis à DORA, les collectivités traitant des données sensibles et les grandes entreprises régulées, SecNumCloud n’est pas obligatoire mais devient rapidement un standard de référence. Plusieurs grands groupes exigent désormais la qualification pour leurs charges de travail sensibles.

Les exigences techniques et juridiques

Le référentiel 3.2 compte plusieurs centaines d’exigences réparties en une vingtaine de chapitres. Les points les plus structurants sont les suivants.

Immunité extraterritoriale

C’est le changement majeur de la version 3.2. Le prestataire qualifié et ses filiales ne doivent pas être soumis, au titre de leur siège, de leur actionnariat ou des législations applicables, à des injonctions d’accès aux données émanant d’autorités étrangères. Concrètement, une entreprise dont la maison mère relève du CLOUD Act ne peut être qualifiée en direct, et le référentiel encadre strictement la part de capital détenue par des entités extra-européennes afin d’écarter tout pouvoir de contrôle. C’est cette exigence qui a poussé les hyperscalers américains à structurer des coentreprises de droit français (S3NS avec Thales, Bleu avec Capgemini et Orange) pour tenter d’accéder à la qualification.

Localisation et traitement des données

L’ensemble des données hébergées — y compris métadonnées, sauvegardes et données d’exploitation — doit être stocké et traité dans l’Espace économique européen. Les personnels ayant accès aux données doivent être situés dans l’EEE. Cette exigence dépasse largement celle des clauses contractuelles types du RGPD pour les transferts internationaux.

Sécurité logique et cryptographie

Le référentiel impose une authentification forte pour les administrateurs, une séparation stricte des environnements d’administration, une journalisation centralisée et protégée, et des exigences cryptographiques conformes aux recommandations de l’ANSSI. Le chiffrement des données au repos et en transit doit être systématique — ce qui recoupe et dépasse les attentes de l’article 32 du RGPD.

Gouvernance et sous-traitance

Chaque sous-traitant fait l’objet d’une analyse de risque et d’un contrat aligné. Les dépendances critiques (OS, hyperviseur, bases de données) doivent être identifiées et maîtrisées. Les plans de continuité et de reprise d’activité donnent lieu à des exercices réguliers documentés.

Audit et contrôle continu

La qualification est valable 3 ans et donne lieu à un audit de surveillance à mi-parcours (autour de 18 mois). Toute modification substantielle de l’offre (nouveau datacenter, changement d’actionnariat, nouvelle fonctionnalité) doit être déclarée à l’ANSSI.

Les prestataires qualifiés en 2026

Selon le catalogue de l’ANSSI consulté en juillet 2026, une dizaine d’offres disposent d’une qualification SecNumCloud 3.2 active, et une douzaine de dossiers sont en cours d’instruction. Parmi les offres qualifiées figurent notamment :

• Outscale — offre IaaS, filiale de Dassault Systèmes ;
• OVHcloud — plusieurs offres qualifiées ;
• Oodrive — collaboration, signature, coffre-fort numérique ;
• Cloud Temple — IaaS et services sectoriels ;
• Worldline — services spécifiques au paiement et à la finance ;
• Orange Business — cloud opéré ;
• S3NS — coentreprise Thales / Google, dont l’offre a rejoint la liste des qualifiés ;
• ainsi que d’autres acteurs (Cegedim, Index Education, Whaller…).

À l’inverse, certaines offres restent en cours d’instruction — c’est le cas, à la date de rédaction, de Bleu (Microsoft / Capgemini / Orange). Le paysage évolue vite : vérifiez toujours la liste officielle et le périmètre exact sur le site de l’ANSSI (cyber.gouv.fr). Un prestataire peut être qualifié pour son IaaS et pas pour son SaaS, pour certaines régions et pas d’autres, pour certaines fonctionnalités et pas les plus récentes. La qualification porte sur une offre précise, à une date précise — jamais sur une entreprise « en général ».

SecNumCloud, HDS, ISO 27001 : quelles différences ?

Les équipes achats et DSI confondent souvent ces référentiels. Voici la distinction opérationnelle.

Référentiel	Objet	Immunité extraterritoriale	Prestataires US éligibles
ISO 27001	Management de la sécurité (international)	Non	Oui
HDS	Hébergement de données de santé (France)	Non	Oui (AWS, Microsoft, Google certifiés HDS)
SecNumCloud	Sécurité + souveraineté (France)	Oui	Non (en direct)

ISO 27001 certifie l’existence d’un système de management de la sécurité, mais ne juge pas du niveau technique des mesures ni de la localisation. HDS (hébergeur de données de santé) est une certification française obligatoire pour héberger des données de santé ; elle repose sur ISO 27001 assortie d’exigences complémentaires, mais autorise les prestataires américains et ne prémunit donc pas contre le CLOUD Act. SecNumCloud englobe les exigences ISO 27001, va au-delà sur le plan technique et ajoute les critères d’immunité extraterritoriale. En pratique, un prestataire SecNumCloud est presque systématiquement aussi certifié HDS et ISO 27001 ; l’inverse n’est pas vrai.

Le lien avec le RGPD et le projet EUCS

La question du RGPD se pose sous deux angles. D’une part, SecNumCloud facilite grandement la conformité à l’article 32 du RGPD sur la sécurité du traitement : les mesures exigées couvrent et dépassent les recommandations de la CNIL. D’autre part, SecNumCloud répond aux difficultés soulevées par l’arrêt Schrems II (CJUE, 16 juillet 2020) pour les transferts vers les États-Unis : en écartant par construction l’exposition au CLOUD Act, il ferme la voie du risque d’accès extraterritorial. Cette sécurité juridique est d’autant plus précieuse que le cadre transatlantique reste incertain — le Data Privacy Framework a été validé par le Tribunal de l’UE en septembre 2025, mais un pourvoi est pendant devant la CJUE et sa robustesse continue d’être discutée.

Attention toutefois : SecNumCloud sécurise l’hébergement, mais n’exonère pas de votre propre conformité RGPD. Il vous reste à cartographier les traitements hébergés, à documenter les mesures de l’article 32 et à tenir votre registre. Pour cette partie, un logiciel RGPD permet d’industrialiser la documentation et le suivi des mesures techniques et organisationnelles.

Au niveau européen, le projet de schéma EUCS (European Cybersecurity Certification Scheme for Cloud Services) fait l’objet de négociations tendues depuis 2022. La France défend l’inclusion de critères d’immunité inspirés de SecNumCloud ; plusieurs États membres s’y opposent. En attendant un accord, une articulation pragmatique se dessine : les données « sensibles » de l’État requièrent SecNumCloud, tandis que les données des entités essentielles NIS2 peuvent, sous conditions et à titre dérogatoire justifié, s’appuyer sur un niveau élevé d’EUCS lorsqu’aucune offre SecNumCloud ne couvre le service requis. Tant que la négociation n’a pas abouti, SecNumCloud reste la référence nationale sans équivalent européen pleinement opérationnel.

Comment structurer votre projet cloud souverain

Quelques points pratiques pour cadrer une migration.

Cartographier avant de migrer. Toutes les données ne justifient pas SecNumCloud. Distinguez les données sensibles des données non critiques et appliquez le référentiel là où il a du sens, sur les charges de travail les plus exposées.

Vérifier le périmètre exact. Demandez l’attestation et vérifiez les services, régions et fonctionnalités effectivement couverts par la qualification.

Anticiper les contraintes fonctionnelles. Les offres SecNumCloud n’intègrent pas toujours les dernières fonctionnalités des hyperscalers. Évaluez les écarts et adaptez votre architecture.

Négocier les clauses contractuelles. La qualification n’exonère pas de la rédaction d’un contrat complet : accord de sous-traitance RGPD conforme à l’article 28, SLA, réversibilité, localisation précise, droit d’audit. Un questionnaire d’évaluation des sous-traitants structure cette vérification.

Prévoir la gestion des incidents. Alignez vos procédures de notification de violation de données (RGPD) et de notification d’incident (NIS2) : les délais et destinataires diffèrent.

Former vos équipes. L’administration d’un cloud souverain diffère de celle d’AWS ou d’Azure ; investir dans la formation technique et juridique est indispensable, comme le rappelle le guide ANSSI pour les TPE/PME.

Ce qu’il faut retenir

• SecNumCloud est la qualification ANSSI attestant du plus haut niveau de sécurité et de souveraineté en France.
• La version 3.2 (2022) intègre les critères d’immunité contre les législations extraterritoriales (CLOUD Act, FISA).
• Elle est obligatoire pour les administrations hébergeant des données sensibles, et devient un standard de fait pour les entités NIS2 et les secteurs régulés.
• En juillet 2026, une dizaine d’offres sont qualifiées (Outscale, OVHcloud, Oodrive, Cloud Temple, Worldline, Orange Business, S3NS…) ; la liste officielle, tenue par l’ANSSI, fait foi.
• SecNumCloud dépasse ISO 27001 et HDS sur le volet souveraineté ; le schéma européen EUCS équivalent reste un enjeu politique pour 2026-2027.

FAQ

SecNumCloud est-il obligatoire pour toutes les entreprises ?

Non. L’obligation stricte ne concerne que les administrations d’État hébergeant des données sensibles, en application de la doctrine « cloud au centre ». Pour les entreprises privées, SecNumCloud est une recommandation qui devient de fait un standard pour les secteurs régulés (finance, santé, défense, énergie) et pour les entités essentielles au titre de NIS2.

Combien coûte une offre SecNumCloud par rapport à AWS ou Azure ?

Les offres SecNumCloud sont généralement plus onéreuses — de l’ordre de 20 à 50 % selon les services — en raison d’une moindre mutualisation et d’exigences de sécurité renforcées. Ce surcoût s’apprécie au regard du risque juridique et opérationnel évité, en particulier pour les données soumises à des obligations de souveraineté.

Combien de temps dure le processus de qualification pour un prestataire ?

Le processus complet prend généralement 18 à 30 mois : préparation documentaire, mise en conformité technique, audits par un organisme agréé et instruction par l’ANSSI. La qualification est ensuite valable 3 ans, avec un audit de surveillance à mi-parcours.

Un cloud américain peut-il obtenir SecNumCloud ?

Pas en direct. L’exigence d’immunité extraterritoriale exclut les entreprises dont la maison mère est soumise au CLOUD Act ou à des législations équivalentes. Les offres comme S3NS (Thales / Google) ou Bleu (Microsoft / Capgemini / Orange) reposent sur des coentreprises de droit français visant à isoler juridiquement la gestion des données ; leur qualification dépend du respect strict du référentiel 3.2 et de l’instruction de l’ANSSI.

SecNumCloud suffit-il à assurer ma conformité RGPD ?

Non. SecNumCloud sécurise l’hébergement et facilite la conformité à l’article 32, mais votre organisation reste responsable de sa propre conformité : registre des traitements, bases légales, information des personnes, gestion des droits et AIPD le cas échéant. La qualification de l’hébergeur est une brique, pas un blanc-seing.

Quelle différence entre certification et qualification ?

En France, la certification (ex. Critères communs, CSPN) atteste de la sécurité d’un produit, tandis que la qualification est une recommandation officielle de l’État attestant de la confiance dans un produit ou un prestataire. SecNumCloud relève de la qualification : c’est l’ANSSI qui, au nom de l’État, atteste du niveau de confiance de l’offre cloud.

---

Recevez chaque semaine nos analyses sur la conformité RGPD, NIS2 et la cybersécurité. Inscrivez-vous à notre newsletter pour suivre l’évolution du cloud de confiance et les publications de l’ANSSI.