Près de neuf entreprises sur dix redoutent aujourd’hui un accès non maîtrisé à leurs données par des autorités étrangères. Ce n’est plus une hypothèse lointaine, mais une menace concrète, amplifiée par des lois comme le Cloud Act américain. Face à ce risque, la version 3.2 du référentiel SecNumCloud de l’ANSSI s’impose comme une réponse structurée et exigeante. Elle ne se contente pas de sécuriser les infrastructures : elle redéfinit les règles du jeu en matière de souveraineté numérique. Voici comment s’y préparer efficacement.
Les fondamentaux du référentiel SecNumCloud 3.2
La version 3.2 du référentiel SecNumCloud n’est pas une simple mise à jour : c’est une refonte profonde des garde-fous contre l’extraterritorialité juridique. Elle vise à empêcher tout accès, direct ou indirect, des autorités non européennes aux données hébergées. C’est particulièrement crucial face à des textes comme le Cloud Act ou le FISA 702, qui autorisent les États-Unis à exiger des données stockées à l’étranger, même par des filiales locales. SecNumCloud 3.2 impose donc une barrière juridique et technique infranchissable.
Un bouclier contre les lois extra-territoriales
Pour que le prestataire ne puisse légalement transmettre de données à une autorité étrangère, SecNumCloud 3.2 exige qu’il ne soit ni contrôlé, ni influencé par des entités soumises à ces régimes. Cela signifie que les lois américaines, chinoises ou autres ne peuvent s’appliquer au service cloud qualifié. Cette protection repose sur une indépendance juridique renforcée, qui va bien au-delà d’un simple stockage en Europe. Pour bien comprendre les enjeux de souveraineté et de protection technique, on peut lire le dossier complet.
L’autonomie d’exploitation comme priorité
Le simple fait d’avoir des serveurs en France ne suffit pas. SecNumCloud 3.2 exige que le siège social et l’infrastructure technique soient situés dans l’Union européenne. Mais surtout, même en cas de sous-traitance à une entité hors UE, celle-ci ne doit avoir aucun accès technique aux données. Le prestataire doit prouver une autonomie d’exploitation totale : gestion des accès, opérations techniques, et décision stratégique. C’est ce qui empêche toute dépendance pouvant être exploitée par une législation extraterritoriale.
Inventaire et critères d'éligibilité technique
Pour qu’un prestataire obtienne la qualification SecNumCloud 3.2, il doit répondre à un ensemble de critères stricts, tant juridiques que techniques. Ces exigences ne sont pas optionnelles : elles forment le socle de la confiance dans un cloud souverain. En voici les principaux points, à vérifier lors de toute évaluation.
Check-list des dépendances critiques
Certains éléments techniques et financiers sont scrutés à la loupe pour garantir que le contrôle du service reste européen. Voici les points clés à auditer :
- ✅ Localisation du siège et des infrastructures : dans l’Union européenne, sans exception.
- ✅ Capitaux étrangers : aucune entité hors UE ne peut détenir plus de 24 % du capital ou des droits de vote individuellement, ni plus de 39 % collectivement.
- ✅ Contrôle stratégique : interdiction d’exercer un droit de veto ou de nommer la majorité des dirigeants par une entité non européenne.
- ✅ Maîtrise de la virtualisation : le prestataire doit contrôler l’ensemble de la chaîne d’exécution, y compris les hyperviseurs.
- ✅ Alignement avec EUCS : le référentiel anticipe les futures normes européennes de certification, facilitant une convergence future.
Ces seuils ne sont pas arbitraires : ils visent à éviter toute influence de fait, même sans contrôle majoritaire. Tout dépasser, c’est risquer de perdre la qualification - et avec elle, la confiance des clients sensibles.
Conduire son audit de sécurité et gestion des risques
Se conformer à SecNumCloud 3.2 ne se fait pas du jour au lendemain. Cela passe par un audit rigoureux mené par un organisme agréé, aboutissant à un Visa de sécurité délivré par l’ANSSI. Ce processus exige une préparation méticuleuse, tant au niveau technique que documentaire.
Identifier les données sensibles
La première étape consiste à classer les données à protéger. Toutes ne nécessitent pas un hébergement SecNumCloud : on cible celles à impact élevé (personnelles, stratégiques, réglementées). L’analyse des risques doit inclure les menaces spécifiques au cloud mutualisé - comme la fuite de données entre locataires - ou aux accès distants mal protégés. Tout bien pesé, mieux vaut surprotéger que sous-estimer.
Préparer le passage devant l'ANSSI
L’audit combine la revue de documentation, des tests d’intrusion, et une évaluation de la gouvernance. Les délais varient, mais comptez plusieurs mois pour une qualification complète. Il faut fournir des preuves concrètes : schémas d’architecture, politiques de gestion des accès, procédures de réponse aux incidents. L’ANSSI n’accepte pas les promesses : seulement des faits vérifiables.
Comparatif des offres cloud qualifiées
Face aux différentes options du marché, il est essentiel de comparer les prestations selon les critères de SecNumCloud 3.2. Ce tableau résume les différences clés selon les types de services.
| 🔍 Type de service | ⚙️ Autonomie d’exploitation | 🛡️ Protection contre droit extraterritorial | 🇪🇺 Alignement EUCS |
|---|---|---|---|
| IaaS (Infrastructure) | Élevée - contrôle du matériel et de la virtualisation | Maximale - si conditions SecNumCloud respectées | Fort - cadre technique bien défini |
| PaaS (Plateforme) | Moyenne - dépendance au runtime fourni | Conditionnelle - selon la maîtrise du middleware | Moyen - en évolution |
| SaaS (Application) | Faible - dépendance totale au prestataire | Limitée - sauf qualification spécifique | Faible - rarement aligné |
Ce tableau montre que plus on monte en abstraction, plus le risque de perte de contrôle augmente. Les services SaaS, même performants, sont souvent inadaptés aux exigences de souveraineté.
Optimiser la virtualisation et l'étanchéité logicielle
La sécurité d’un cloud ne repose pas que sur le physique. La couche logicielle, notamment la virtualisation, est un maillon critique. SecNumCloud 3.2 y accorde une attention particulière, car c’est là que les risques d’accès non autorisé se multiplient.
Sécuriser les couches applicatives
L’isolation des environnements est un pilier du référentiel. Chaque client doit être parfaitement séparé des autres, même sur des serveurs mutualisés. Cela passe par une configuration rigoureuse des hyperviseurs, des mécanismes de cloisonnement renforcés, et une surveillance continue des interactions entre instances. La virtualisation n’est pas un détail technique : c’est le cœur du réacteur.
Gérer les accès administrateurs
Un administrateur tiers, même bien intentionné, peut devenir un vecteur d’exfiltration. SecNumCloud 3.2 impose un contrôle strict : aucun prestataire tiers ne doit disposer d’un accès non supervisé. Toute intervention doit être journalisée, authentifiée, et justifiée. L’étanchéité technique exige que ces accès soient limités dans le temps, géolocalisés, et soumis à validation préalable.
Les questions majeures
Concrètement, qu'implique le seuil de 39 % de capital étranger ?
Ce seuil limite la participation collective des entités non européennes au capital d’un prestataire. Même sans détenir la majorité, une coalition de groupes étrangers ne doit pas dépasser 39 %, afin d’éviter une influence de fait sur les décisions stratégiques ou l’exécution des contrats.
SecNumCloud 3.2 est-il plus contraignant que l'ISO 27001 ?
Oui. L’ISO 27001 est une norme internationale de management de la sécurité, tandis que SecNumCloud 3.2 est une qualification souveraine, bien plus exigeante sur les aspects juridiques, de localisation et d’autonomie. Elle inclut des exigences que l’ISO ne couvre pas, comme la protection contre les lois extraterritoriales.
Peut-on utiliser des outils SaaS américains sur une infra qualifiée ?
Cela dépend. Si l’outil SaaS accède à des données hébergées dans un environnement SecNumCloud, cela peut compromettre la qualification. Il faut garantir que les données ne quittent pas le périmètre souverain. L’intégration de services tiers doit être strictement encadrée et justifiée.
Une entreprise privée doit-elle obligatoirement migrer en 2026 ?
Non, pas systématiquement. L’obligation concerne principalement les organismes d’importance vitale (OIV), les opérateurs d’importance essentielle (OSE) et les entités du secteur public. Mais de nombreuses entreprises privées adoptent SecNumCloud 3.2 pour des raisons de confiance, de contrat ou de chaîne d’approvisionnement.
Comment assurer la réversibilité après avoir obtenu la qualification ?
La qualification impose des obligations de portabilité des données. Le prestataire doit fournir des outils et formats ouverts pour permettre un départ sans accrocs. Il est crucial de tester cette réversibilité dès la conception du contrat, pour éviter l’enfermement propriétaire.