Dans les appels d’offres, SecNumCloud apparaît souvent comme une case à cocher parmi d’autres, entre ISO 27001 et HDS. C’est une erreur de lecture.

ISO 27001 atteste d’un système de management. HDS encadre l’hébergement de données de santé. SecNumCloud fait autre chose : il trace une frontière juridique.

Depuis sa version 3.2, le référentiel de l’ANSSI n’exige pas seulement plus de trois cent soixante critères de sécurité technique et organisationnelle. Il exige une immunité vis-à-vis des législations extraterritoriales. En clair : un service qualifié doit être structuré, capitalistiquement et opérationnellement, de sorte qu’aucune loi étrangère ne puisse contraindre l’accès à vos données.

La question à laquelle répond SecNumCloud n’est donc pas « ce cloud est-il sécurisé ? » mais « quel droit s’applique à mes données ? »

C’est une question de nature différente. La première se traite avec des audits. La seconde se traite avec une analyse de risque juridique et politique, et elle appartient au comité de direction, pas à la seule DSI.

Cette clarification change la méthode de décision.

D’abord, elle interdit le raisonnement binaire. Tout mettre en SecNumCloud est un contresens économique : l’offre qualifiée reste plus étroite en services et plus exigeante en coûts que celle des hyperscalers. Ne rien y mettre peut être un contresens stratégique. Le travail utile consiste à classifier : quelles données, si elles étaient accessibles à une puissance étrangère ou indisponibles sur décision extérieure, créeraient un dommage inacceptable ? Cette liste est presque toujours plus courte qu’on ne le craint, et plus précise qu’on ne l’espère.

Ensuite, elle oblige à regarder la qualification pour ce qu’elle est : un engagement de l’État, délivré après audit, valable trois ans, surveillé tous les dix-huit mois. Ce n’est pas un argument marketing, c’est un acte administratif. À l’été 2026, une dizaine d’offres sont qualifiées et une douzaine de candidatures sont en cours : l’écosystème existe, il n’est plus une promesse.

Enfin, elle éclaire le paysage européen. Le schéma EUCS, qui devait harmoniser ces exigences à l’échelle de l’Union, reste enlisé dans les négociations, précisément sur ce critère d’immunité. Ce blocage dit quelque chose : la frontière que trace SecNumCloud dérange, donc elle compte.

Pour un DSI d’un secteur régulé, la conclusion pratique tient en une phrase : SecNumCloud n’est ni un totem ni un tabou. C’est un outil de segmentation. Il se prescrit là où l’analyse de risque le justifie, données par données, et il se refuse là où il ne ferait qu’ajouter du coût à ce qui n’en a pas besoin.

À retenir La sécurité se mesure en contrôles. La souveraineté se mesure en droit applicable. SecNumCloud est le seul référentiel qui réponde à la seconde question, et c’est pour cela qu’il ne se coche pas, il se décide.