SecNumCloud : définition et portée de la qualification ANSSI

Que garantit la qualification SecNumCloud ?

La qualification SecNumCloud atteste qu’une offre de cloud respecte le référentiel d’exigences de l’ANSSI, l’Agence nationale de la sécurité des systèmes d’information. L’ANSSI a élaboré ce référentiel en 2016. Il couvre les offres de logiciel (SaaS), de plateforme (PaaS), d’infrastructure (IaaS) et de conteneurs (CaaS) fournies en ligne.

Selon l’ANSSI, une offre qualifiée doit résister à la menace isolée ou hacktiviste et à une cybercriminalité « de bon niveau ». Elle doit aussi résister à une injonction issue de lois extraterritoriales. La qualification vaut trois ans au plus, avec des audits annuels de surveillance. L’ANSSI publie un catalogue des services qualifiés, avec la référence de chaque décision et ses dates de validité.

Comment SecNumCloud 3.2 protège-t-il du droit extra-européen ?

SecNumCloud 3.2 exige que le prestataire relève exclusivement du droit de l’Union européenne. L’ANSSI décline cette exigence en cinq points :

1. Le siège social se trouve dans un État membre de l’Union.

2. Le capital et les droits de vote : des entités situées hors de l’Union ne peuvent en détenir plus de 24 % chacune, ni plus de 39 % ensemble (exigence 19.6 b).

3. Les sociétés tierces hors Union : le référentiel encadre leur capacité pratique à obtenir les données du service.

4. L’autonomie : le prestataire garantit une exploitation continue et autonome du service.

5. L’indépendance face aux ingérences, dans le respect du droit et des valeurs de l’Union.

Ces exigences visent les lois à portée extraterritoriale, dont le Cloud Act américain. Le référentiel demande aussi au prestataire de lister les risques résiduels liés aux lois extra-européennes qui permettent de collecter vos données sans votre consentement. Il doit vous remettre les éléments de cette analyse si vous les demandez (chapitre 5.3).

Qui doit recourir à une offre qualifiée SecNumCloud ?

L’obligation vise d’abord l’État. La doctrine « cloud au centre » impose aux services de l’État une offre qualifiée SecNumCloud quand ils hébergent des données particulièrement sensibles sur un cloud commercial. L’article 31 de la loi n° 2024-449 du 21 mai 2024, dite loi SREN, s’appuie sur cette doctrine.

Cet article vise les administrations de l’État, certains de leurs opérateurs et certains groupements d’intérêt public. Pour leurs données d’une sensibilité particulière, le service de cloud doit empêcher l’accès d’autorités d’États tiers. Seul le droit de l’Union ou d’un État membre peut autoriser un tel accès. Ces textes ne visent pas l’entreprise privée qui achète du cloud : pour elle, la qualification reste un critère de choix, sauf règle propre à son secteur.

SecNumCloud ou hébergement en France : quelle différence ?

Un hébergement en France fixe la localisation des données. SecNumCloud traite aussi la juridiction, c’est-à-dire le droit qui s’applique au prestataire. Un fournisseur soumis au droit américain peut héberger vos données à Paris et rester tenu de les remettre sur réquisition. La fiche souveraineté numérique détaille cette distinction.

Ne confondez pas non plus l’offre et le fournisseur. Un même prestataire peut vendre une offre qualifiée et d’autres offres qui ne le sont pas.

Que change SecNumCloud pour votre décision ?

• Exigez la qualification là où le risque la justifie. L’ANSSI la conçoit pour le traitement de données sensibles. Pour chaque usage, comparez le niveau de protection requis et l’écart de coût éventuel de l’offre qualifiée.

• Vérifiez l’offre, pas la marque. La qualification couvre une offre précise. Contrôlez dans le catalogue de l’ANSSI la décision qui la concerne et sa date de fin de validité.

• Suivez chaque maillon de votre chaîne d’IA. Une application d’IA peut tourner sur un hébergement qualifié et appeler un modèle de langage chez un fournisseur qui ne l’est pas. Demandez le périmètre exact de la décision de qualification.

• Gardez le modèle dans le périmètre qualifié. Pour un usage d’IA sensible, un modèle à poids ouverts hébergé sur une offre qualifiée garde le modèle et les données sous le même régime. Vous prenez alors en charge son exploitation.

• Demandez l’analyse des risques extra-européens. Le référentiel oblige le prestataire à vous en remettre les éléments sur demande. Faites-la lire par votre direction juridique avant de signer.