Qu'est-ce que la qualification SecNumCloud ?
SecNumCloud est une qualification de sécurité créée par l'ANSSI, l'agence nationale de cybersécurité française, destinée aux fournisseurs de services cloud. Elle certifie qu'un fournisseur cloud répond à un ensemble défini d'exigences de sécurité techniques et organisationnelles et, dans sa version actuelle, qu'il est protégé de toute juridiction extra-européenne sur les données hébergées — répondant ainsi aux enjeux de souveraineté numérique pour les données sensibles. La qualification SecNumCloud couvre notamment le contrôle d'accès, la cryptographie, la gestion des incidents, la sécurité du personnel et la maîtrise de la chaîne d'approvisionnement, et nécessite un audit par un organisme accrédité avant qu'un fournisseur puisse revendiquer le label. Elle est de plus en plus référencée ou exigée pour héberger des données sensibles du secteur public, des données de santé et d'autres charges réglementées en France, et se compare souvent au label allemand C5 ou au futur schéma européen de certification cloud (EUCS).
Pourquoi c'est important
La qualification SecNumCloud en dit beaucoup sur où se trouvent les données et sous quelle juridiction, mais très peu sur qui — ou quoi — peut y accéder une fois hébergées. Chaque charge migrée vers un environnement qualifié SecNumCloud continue de reposer sur des comptes de service, des clés API et des identités machine qui connectent applications, sauvegardes et outils d'administration à la plateforme cloud — et c'est précisément là que se concentrent les compromissions : 80 % des violations d'identité impliquent désormais une identité non humaine (OWASP NHI Top 10, 2025). Une infrastructure cloud souveraine et bien auditée ne protège en rien contre un compte de service sur-privilégié ou une clé API qui fuite à l'intérieur. Les organisations qui choisissent un fournisseur SecNumCloud pour des raisons de souveraineté ou de conformité présument souvent que la qualification au niveau infrastructure couvre aussi leur propre hygiène d'identités — ce n'est pas le cas. La transposition de NIS2 en France (projet de loi Résilience) est en cours d'examen au Parlement ; l'ANSSI publie déjà le référentiel ReCyF pour s'y préparer.
Comment Cydenti vous aide
Cydenti donne aux organisations une visibilité sur les identités non humaines — comptes de service, clés API, identités machine — qui opèrent au sein de leurs environnements cloud, y compris ceux hébergés sur une infrastructure qualifiée SecNumCloud. La plateforme cartographie les identités existantes, ce qu'elles peuvent atteindre, et où l'exposition entre clouds ou entre comptes crée un risque que la qualification au niveau infrastructure ne couvre pas. Cela complète les garanties de SecNumCloud au niveau plateforme par une assurance au niveau identité : savoir non seulement que l'infrastructure est souveraine et auditée, mais que les identifiants qui y tournent sont inventoriés, à moindre privilège et surveillés. Pour les équipes qui construisent leur dossier de souveraineté ou de conformité autour de SecNumCloud, cette couche identité mérite d'être approfondie.
Explorer →Questions fréquentes
SecNumCloud certifie-t-il la sécurité des données ou seulement leur localisation ?
Les deux, mais pas au même niveau. SecNumCloud impose des contrôles de sécurité techniques (contrôle d'accès, cryptographie, réponse aux incidents) et, dans sa version renforcée, garantit l'immunité vis-à-vis d'une juridiction extra-européenne sur les données. Elle qualifie l'infrastructure et les opérations du fournisseur — pas la façon dont un client gère ses identités et ses accès à l'intérieur.
SecNumCloud est-il obligatoire pour toutes les entreprises françaises ?
Non. Il est aujourd'hui exigé ou fortement recommandé principalement pour les entités du secteur public, les opérateurs d'importance vitale, et les organisations traitant certaines catégories de données sensibles ou réglementées. De nombreuses entreprises privées choisissent volontairement un fournisseur qualifié SecNumCloud pour des raisons de souveraineté ou pour simplifier leur conformité à des cadres comme NIS2.
Découvrez les identités machines que vous ignoriez posséder
— le premier inventaire arrive en général sous une semaine.
L’Audit Flash connecte jusqu’à trois applications SaaS en lecture seule et liste les comptes de service, identifiants orphelins, autorisations OAuth et agents IA qu’il voit. Le premier inventaire des identités arrive en général sous une semaine. Un scan complet des partages, sur un grand tenant, peut prendre plus longtemps. Sans engagement.
Sans engagement · Données hébergées en Europe · Réponse sous 24h