SecNumCloud : Bilan Dix Ans Après la Mise en Place du Référentiel de Sécurité Français

FAIT PRINCIPAL
Dix ans après son lancement, le référentiel SecNumCloud, qui comprend 15 chapitres, 263 exigences et 1 200 points de contrôle, demeure la pierre angulaire de la doctrine française du Cloud de confiance. Ce cadre met l’accent sur la cybersécurité tout en intégrant la notion de souveraineté, qui a suscité des tensions entre la France et d’autres pays européens, notamment lors des discussions sur le référentiel européen EUCS High+ en 2024.

CONTEXTE FACTUEL
L’importance de la souveraineté est devenue plus évidente, notamment après l’élection de Donald Trump en 2024, renforçant ainsi la position de la France et de l’Agence nationale de sécurité des systèmes d’information (Anssi) dans le débat sur la sécurité numérique. Renan Choyer, Responsable de segment technologique à l’Anssi, indique qu’il y a actuellement 11 sociétés qualifiées, avec trois fois plus en cours d’évaluation.

DONNÉES OU STATISTIQUES
Le volume des commandes de services Cloud via l’offre Nuage Public de l’UGAP a dépassé 253 millions d’euros sur cinq ans. Pour 2025, les commandes s’élevaient à 84 millions d’euros, et pour les six premiers mois de 2026, elles ont atteint 52 millions d’euros. En outre, 70 % des ventes de Nuage Public proviennent de fournisseurs français, bien que le catalogue inclue également des géants comme AWS, Google Cloud et Microsoft Azure.

CONSÉQUENCE DIRECTE
La qualification SecNumCloud, bien que rigoureuse, pourrait voir une augmentation du nombre de services offerts, notamment grâce au principe de qualification par composition, qui permet de s’appuyer sur des plateformes déjà qualifiées. Cependant, le processus reste complexe et peu agile, ce qui représente un défi pour les fournisseurs souhaitant innover rapidement.

SOURCE
Propos recueillis lors des Rencontres du Clusif, Paris, 1er juillet.