Qualification SecNumCloud.

SecNumCloud est une qualification délivrée par l'ANSSI, l'agence nationale de la sécurité des systèmes d'information. Elle atteste de la sécurité, de la résilience et de la conformité d'un service cloud, et ajoute des exigences de protection contre les législations extraterritoriales.

C'est le niveau d'exigence le plus élevé en France pour un service cloud. Elle a été conçue pour encadrer les services cloud critiques et permettre aux organisations d'aller vers le cloud en confiance.

Non, pas encore. Blue est actuellement en cours de qualification SecNumCloud, dans une démarche d'alignement avec les exigences de l'ANSSI et le référentiel version 3.2.

Tant que la qualification n'est pas prononcée, nous ne l'annonçons pas comme acquise : un service est qualifié SecNumCloud, ou il ne l'est pas. Nos équipes commerciales peuvent vous indiquer où en est le dossier au moment de votre projet.

L'ANSSI supervise le processus de qualification et délivre le visa de sécurité, qui garantit que le prestataire respecte les exigences du référentiel SecNumCloud.

C'est une différence avec l'ISO 27001 et le HDS, délivrés par des organismes certificateurs accrédités. Ici, c'est directement l'agence nationale qui se prononce.

Les trois référentiels ne répondent pas à la même question. La qualification SecNumCloud est française et porte sur le service cloud lui-même, avec un niveau d'exigence supérieur et des garanties contre les lois extraterritoriales.

L'ISO 27001 est internationale et généraliste : elle structure la gouvernance de la sécurité. La certification HDS est française et sectorielle : elle encadre l'hébergement des données de santé. Elles sont complémentaires, et l'ISO 27001 sert de socle aux deux autres.

Non. SecNumCloud n'est pas une obligation légale, contrairement à la certification HDS pour les données de santé. C'est un standard de sécurité et un cadre pour les prestataires qui souhaitent se positionner comme cloud souverain.

En revanche, elle est de plus en plus exigée dans les appels d'offres publics et par les opérateurs d'importance vitale, ce qui en fait un repère de marché au-delà de son caractère volontaire.

Aux données sensibles hébergées dans le cloud, aux systèmes critiques et aux applications stratégiques : tout ce dont la compromission aurait des conséquences majeures pour l'organisation ou pour l'intérêt national.

Le référentiel couvre notamment les services IaaS et PaaS, sur l'ensemble de leur cycle de vie.

La démarche est engagée auprès de l'ANSSI et suit son cours, sur le référentiel version 3.2. Elle s'appuie sur un socle déjà audité : ISO 27001 depuis 2015 et HDS depuis 2019.

Tant que la qualification n'est pas prononcée, nous ne l'annonçons pas comme acquise. Nos équipes commerciales peuvent vous indiquer où en est le dossier au moment de votre projet.

Nos certificats ISO 27001 et HDS, qui portent sur les infrastructures et les sites où vos données sont effectivement hébergées, et non sur une simple entité juridique.

S'y ajoutent des engagements de localisation et de traçabilité opposables, et des plans de continuité et de reprise documentés et testés. Concrètement : des questionnaires de sécurité plus rapides à remplir et une charge de preuve qui ne repose pas entièrement sur vos équipes.

Pour SecNumCloud, l'ANSSI publie la liste des prestataires qualifiés et le périmètre exact de chaque qualification. Un prestataire figure sur cette liste, ou il n'y figure pas.

Méfiez-vous des formulations intermédiaires du type « aligné SecNumCloud » ou « conforme au référentiel » : elles n'ont aucune valeur officielle. Pour les certifications ISO 27001 et HDS, demandez les certificats et lisez-y l'organisme, la date de validité et surtout le périmètre couvert.