SecNumCloud 3.2 n’est pas qu’une mise à jour technique de plus : c’est un signal fort envoyé au marché du Cloud. Avec cette nouvelle version publiée en mars 2022, l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) impose un cadre plus exigeant, plus lisible et plus robuste pour encadrer l’hébergement de données sensibles, en particulier lorsqu’il s’agit de cloud public, de SaaS ou de services manipulant des informations à caractère stratégique.
SecNumCloud est une réponse concrète aux attentes du marché, des clients et de l’Union européenne en matière de confiance et de sécurite. Avec la version 3.2 du référentiel, le message est clair pour les acteurs du Cloud : le niveau d’exigence monte encore.
Cet article décrypte les changements majeurs de SecNumCloud 3.2, leurs raisons et leurs impacts concrets. Nous aborderons :
- Les évolutions majeures du référentiel SecNumCloud 3.2
- Les nouvelles exigences imposées aux fournisseurs de cloud
- Les avantages pour les clients
- SecNumCloud vs les autres référentiels
Pourquoi SecNumCloud est-il indispensable aujourd’hui ?
Publié par l’ANSSI (Agence nationale de la sécurité des systèmes d’information), ce référentiel est devenu le label de référence du cloud de confiance en France, particulièrement pour les entités sensibles et stratégiques.
SecNumCloud 3.2 s’inscrit dans un environnement où les pressions réglementaires se multiplient, rendant la conformité et la sécurité des données plus cruciales que jamais :
- L’arrêt Schrems II de la Cour de Justice de l’Union Européenne (CJUE) a invalidé le Privacy Shield, renforçant considérablement les exigences de protection des données personnelles des citoyens européens lorsqu’elles sont transférées hors de l’UE. Cela oblige les entreprises à garantir que leurs fournisseurs de cloud ne sont pas soumis à des lois extraterritoriales, comme le Cloud Act américain.
- La doctrine « cloud au centre » du gouvernement français impose aux administrations publiques de privilégier les solutions cloud certifiées SecNumCloud pour héberger leurs données, en particulier les plus sensibles. Cette directive vise à renforcer la souveraineté numérique de l’État.
- L’alignement futur avec l’EUCS (European Union Cybersecurity Certification Scheme) positionne SecNumCloud 3.2 comme un précurseur. Le niveau d’exigence de SecNumCloud est déjà compatible avec le niveau « High » (le plus élevé) de la future certification européenne, offrant ainsi aux entreprises une longueur d’avanJce sur la conformité à l’échelle de l’UE.
- La convergence avec d’autres réglementations sectorielles et transversales comme DORA (pour le secteur financier), NIS2 (cybersécurité des réseaux et systèmes d’information), le RGPD (protection des données) et HDS (hébergement de données de santé) fait de SecNumCloud un socle commun de confiance pour répondre à de multiples obligations légales en une seule fois.
Pourquoi le référentiel SecNumCloud a-t-il été mis à jour en version 3.2 ?
La mise à jour du référentiel SecNumCloud en version 3.2 répond à une double nécessité, à la fois stratégique et opérationnelle. Pour faire face à l’évolution des cybermenaces et aux enjeux croissants de souveraineté numérique, l’ANSSI a voulu renforcer le cadre de confiance pour la protection des données sensibles.
Plutôt que de simplement durcir les exigences, cette nouvelle version clarifie les obligations en matière de démonstration, de contrôle et de maintenance de la sécurité sur le long terme. Elle s’adapte ainsi aux réalités du cloud moderne, qui exigent une évaluation continue de la sécurité.
La version 3.2 vient donc préciser les zones d’ombre des précédentes moutures, apportant plus de clarté aux prestataires comme à leurs clients. Son objectif est double : maintenir un haut niveau d’exigence tout en préparant la transition vers la future certification européenne (EUCS).
Les évolutions historiques du référentiel SecNumCloud
Les 4 évolutions majeures du référentiel SecNumCloud 3.2
La mise à jour du référentiel 3.2 porte sur 4 axes fondamentaux et transforme la sécurité cloud pour les prestataires et leurs clients.
Garantir une souveraineté juridique et mieux cadrer le risque extraterritorial
La version 3.2 de SecNumCloud introduit des critères de souveraineté juridique clairs et mesurables afin de protéger les données contre les lois à portée extraterritoriale, comme le Cloud Act américain. C’est le changement le plus important du référentiel.
L’objectif est double : s’assurer que les données restent sous juridiction européenne et réduire leur vulnérabilité juridique.
Concrètement, les prestataires doivent prouver leur immunité face aux réglementations étrangères. Cela implique de respecter des exigences strictes :
Le siège social, le centre décisionnel et l’administration des services doivent être situés dans l’Union européenne.
Le capital détenu par des entités hors UE est limité à 24 % individuellement et 39 % collectivement.
Aucune entité hors UE ne peut détenir de droit de veto décisionnel.
Pourquoi c’est structurant ? Parce que ce critère n’est pas technique, il est capitalistique. Un fournisseur peut corriger une faille en quelques semaines. Il ne peut pas changer son actionnariat ni rapatrier ses centres de décision du jour au lendemain. Ce critère élimine d’office une partie des fournisseurs.
Renforcer la sécurité avec des tests d’intrusion réguliers
La version 3.2 impose désormais des tests d’intrusion (pentests) réguliers tout au long du cycle de qualification, et pas seulement à l’instant T, renforçant la logique de sécurité continue.
Les fournisseurs Cloud ont désormais l’obligation de réaliser des tests d’intrusion continus et de documenter les résultats, mais également de mettre en place d’une supervision 24/7 et une journalisation complète des actions sensibles.
En tant que client, cette nouvelle exigence est la garantie que votre prestataire reste éprouvé face aux vulnérabilités émergentes, y compris les failles découvertes après l’audit initial.
Vous bénéficiez ainsi d’une meilleure visibilité sur la sécurité opérationnelle de vos prestataires, d’une réactivité accrue face aux vulnérabilités grâce à des correctifs rapides, et d’une traçabilité complète pour les actions administratives et sensibles.
Faciliter la qualification SaaS grâce à la composition de services
Les services SaaS peuvent désormais s’appuyer sur les garanties de sécurité offertes par l’infrastructure IaaS sur laquelle ils s’appuient.
Un éditeur SaaS ou un fournisseur PaaS qui s’appuie sur une infrastructure IaaS (ou un service CaaS de conteneurs) déjà qualifiée SecNumCloud hérite des garanties de cette brique. Il n’a plus à re-prouver la sécurité de la couche basse : il concentre son audit sur sa propre couche applicative.
Ce principe de composition de services permet aux éditeurs SaaS d’alléger leur propre processus de qualification.
Le bénéfice est réel : un éditeur peut atteindre la qualification beaucoup plus vite et à moindre coût, ce qui devrait, à terme, enrichir l’offre de solutions souveraines disponibles.
Le piège est tout aussi réel : un service « qualifié » ne garantit pas que toutes ses briques le sont. À vous de vérifier l’intégralité de l’assemblage.
Anticiper les exigences européennes avec l’alignement EUCS
SecNumCloud 3.2 se rapproche des exigences du futur schéma européen EUCS (European Union Cybersecurity Certification Scheme), notamment du niveau « High ».
Par anticipation, SecNumCloud 3.2 prépare les entreprises françaises à une harmonisation des standards à l’échelle européenne, positionnant ainsi un fournisseur qualifié 3.2 en tête de file pour une reconnaissance à l’échelle de l’Union.
Pour le client, la convergence entre les normes françaises et européennes simplifie l’identification des prestataires les plus crédibles et conformes.
Ce qui change avec SecNumCloud 3.2
Lors du processus de qualification, plus de 360 exigences sont audités, couvrant différents domaines : sécurité technique, gestion des accès, gouvernance, audit, supply chain, continuité d’activité et conformité réglementaire.
Ce que SecNumCloud 3.2 change pour les hébergeurs, les clients et les données
La version 3.2 du référentiel SecNumCloud renforce la sécurité des données en exigeant une meilleure maîtrise des accès, des dépendances, des audits et de la chaîne de sous-traitance. Loin d’être une simple mise à jour, elle apporte des changements significatifs pour l’ensemble de l’écosystème.
Pour les fournisseurs cloud : une transformation en profondeur
Se conformer à SecNumCloud 3.2 n’est pas qu’une question de conformité réglementaire ; c’est une transformation qui impacte la gouvernance, l’architecture et les opérations techniques.
- Une architecture plus maîtrisée et documentée : Le référentiel impose une segmentation claire des environnements et une gestion des accès beaucoup plus stricte (moindre privilège, authentification multifacteur). Chaque brique du service doit être parfaitement auditable, expliquant qui opère quoi et où se trouvent les responsabilités.
- Une maîtrise totale de la gouvernance et de la sous-traitance : Il est impératif de documenter sa chaîne de dépendances pour prouver qu’aucun acteur non européen ne dispose d’un accès privilégié aux données.
- Des audits continus et une remédiation accélérée : La logique d’audit est renforcée avec des tests d’intrusion continus et une traçabilité accrue des actions sensibles, poussant les équipes à intégrer la sécurité dans leur cycle de déploiement (DevSecOps).
Pour les clients : un outil stratégique de gestion des risques
Pour les DSI, RSSI et directions juridiques, cette mise à jour apporte des garanties inédites.
- Un environnement contractuel et technique plus rigoureux : Le référentiel aide à évaluer des aspects souvent invisibles, comme la cartographie des dépendances, la localisation des opérations sensibles et les modalités de notification d’incident.
- Une meilleure maîtrise du risque d’ingérence étrangère : La clarification sur les lois extra-européennes réduit le risque juridique et opérationnel, offrant un cadre plus protecteur pour l’hébergement de données sensibles (santé, secteur public, finance, OIV, etc.).
- Une transparence accrue : Les clients peuvent vérifier quelles briques techniques sont réellement couvertes par le visa de l’ANSSI, faisant de SecNumCloud un véritable outil de gouvernance du risque.
Pour les données : un niveau de protection rehaussé
SecNumCloud 3.2 renforce la sécurité des données à plusieurs niveaux : contrôle des accès, cloisonnement des environnements, supervision continue et réduction du risque lié à la chaîne d’approvisionnement (supply chain). Cette approche ne supprime pas tout risque, mais elle relève nettement le niveau de protection attendu pour des données sensibles, des traitements stratégiques ou des usages réglementés. La logique du référentiel ne porte pas seulement sur la technologie, mais aussi sur la manière dont elle est utilisée, administrée et contrôlée, transformant une simple solution cloud en un véritable Cloud de confiance.
Comparatif : SecNumCloud 3.2 vs les autres référentiels
SecNumCloud 3.2 ne remplace pas le RGPD, NIS2 et autres réglementations sectorielles. Il s’y articule. Cette articulation est importante parce qu’elle permet de construire une stratégie de conformité cohérente plutôt que d’accumuler des labels sans logique de fond.
Dans des secteurs comme la santé, les services publics ou les infrastructures critiques, cette cohérence est souvent plus importante qu’un simple empilement d’exigences. SecNumCloud peut alors servir de socle pour sécuriser le choix d’hébergement et réduire les zones de fragilité.
Comparatif entre SecNumCloud et les autres référentiels européens
Pourquoi choisir un fournisseur qualifié SecNumCloud
Opter pour un fournisseur de services cloud qualifié SecNumCloud va bien au-delà de la simple conformité. C’est un choix stratégique qui consiste à s’engager vers un cloud de confiance, spécifiquement conçu pour minimiser les risques juridiques, techniques et opérationnels qui pèsent sur votre organisation.
Le référentiel SecNumCloud est particulièrement adapté aux organisations qui cherchent à :
- Renforcer la maîtrise de leur cloud public : en garantissant que les données sont hébergées et opérées selon les standards de sécurité les plus élevés, à l’abri des lois extraterritoriales.
- Réduire leur exposition aux dépendances critiques : en s’assurant de la résilience et de la réversibilité des services, vous évitez d’être prisonnier d’une technologie ou d’un fournisseur.
- Clarifier les responsabilités : le référentiel offre une lecture claire et robuste des obligations du fournisseur cloud, assurant une transparence totale sur la gestion de la sécurité, des incidents et la protection de vos données.
Numspot : la plateforme cloud secure by design
Dans un contexte où les exigences de sécurité et de souveraineté ne cessent de croître, Numspot a conçu son infrastructure dès le premier jour pour répondre nativement aux prérequis du référentiel 3.2 de l’ANSSI.
Si vous avez un projet nécessitant un hébergement de haute sécurité, nous vous invitons à voir comment Numspot s’inscrit dans le processus de qualification SecNumCloud 3.2 pour sécuriser vos actifs stratégiques.
