Souveraineté

SecNumCloud expliqué : qualification, liste, délais

Ce que prouve la qualification SecNumCloud de l'ANSSI, où trouver la liste officielle des offres qualifiées, et combien de temps prend une qualification.

7 min

Ce qu'est SecNumCloud

SecNumCloud est le référentiel d'exigences de l'ANSSI pour les fournisseurs de services cloud. La version en vigueur est la 3.2.

La qualification se fait par offre, après un audit, et elle est valable trois ans avec un audit de surveillance à mi-parcours. Elle ne qualifie pas une entreprise « en bloc » : un même fournisseur peut avoir une offre qualifiée et une autre seulement en cours de qualification.

SecNumCloud combine un audit de sécurité approfondi et des critères d'immunité extraterritoriale portant sur le contrôle du capital, le siège et le droit applicable, qui doivent se situer dans l'Union européenne.

Par offre, par audit

La qualification porte sur une offre précise, pas sur l'entreprise entière.

Immunité extraterritoriale

Critères sur le capital, le siège et le droit applicable, situés dans l'UE.

Valable trois ans

Avec un audit de surveillance à mi-parcours pour maintenir la qualification.

Ce que la qualification prouve vraiment

SecNumCloud équivaut à peu près à un niveau SEAL-3 audité par un tiers : un contrôle européen et une pile protégée contre une rupture d'approvisionnement non européenne.

C'est un signal fort, mais il porte sur l'offre d'infrastructure ou de plateforme qualifiée, pas automatiquement sur tous les services construits au-dessus. Un service applicatif hébergé sur une offre qualifiée n'hérite pas de la qualification.

Les propositions européennes CADA de niveaux 3 et 4 et SecNumCloud convergent sur le fond ; la France pousse leur reconnaissance mutuelle. Le débat sur les coentreprises associant un acteur non européen reste ouvert au niveau européen.

Lire ce qui est qualifié

Demandez toujours quelle offre précise est qualifiée, et si le service que vous utilisez en fait partie. La qualification d'une brique d'infrastructure ne couvre pas, par défaut, les couches applicatives au-dessus.

Qui est qualifié, et où vérifier

La seule liste qui fait foi est celle publiée par l'ANSSI sur cyber.gouv.fr. Ne vous fiez pas à une liste recopiée sur un site tiers : les statuts changent.

À titre d'exemple de statuts publics vérifiables : S3NS a annoncé la qualification SecNumCloud 3.2 de son offre PREMI3NS en décembre 2025 ; Scaleway, qui a passé le jalon initial en janvier 2025, est toujours en cours de qualification à la date de cette page. Ces statuts sont indicatifs et doivent être revérifiés à la source.

Pour la liste complète et à jour des offres qualifiées et des offres en cours de qualification, référez-vous directement à l'ANSSI.

Source unique

La liste officielle des offres qualifiées et en cours est sur cyber.gouv.fr.

Méfiance des copies

Une liste recopiée ailleurs peut être périmée : un statut peut évoluer d'un trimestre à l'autre.

Quand l'exiger

SecNumCloud est obligatoire pour certaines données de l'État et recommandé pour les opérateurs d'importance vitale et les données sensibles, dans le cadre de la doctrine « cloud au centre ».

Pour le secteur privé, c'est un signal de confiance fort, mais pas toujours nécessaire : le coût et le périmètre de services qualifiés sont à peser au regard du besoin réel. Dans beaucoup de cas, évaluer la souveraineté sur les trois dimensions suffit.

Si vos données ne doivent de toute façon jamais quitter votre réseau, une architecture on-premise déconnectée répond à la question par la conception, sans dépendre d'un label.

Questions fréquentes

SecNumCloud qualifie-t-il une entreprise ou une offre ?
Une offre précise, pas l'entreprise entière. Un même fournisseur peut avoir une offre qualifiée et une autre en cours de qualification. Demandez toujours quelle offre est concernée et si le service que vous utilisez en fait réellement partie.

Combien de temps prend une qualification SecNumCloud ?
Le délai constaté entre le jalon initial et la qualification est généralement de dix-huit à trente-six mois, car il suppose un audit approfondi. Un fournisseur ayant engagé la démarche n'est pas qualifié tant que l'ANSSI ne l'a pas inscrit sur sa liste officielle.

Où trouver la liste officielle des fournisseurs SecNumCloud ?
Uniquement sur cyber.gouv.fr, le site de l'ANSSI. C'est la seule source qui fait foi, pour les offres qualifiées comme pour celles en cours de qualification. Une liste recopiée sur un site tiers peut être périmée.

Sources primaires

Pages associées

Discutons de vos exigences de conformité

On passe en revue vos contraintes réelles, référentiel par référentiel, sans survente.

Demander une démo