{"id":118328,"date":"2026-10-09T15:52:51","date_gmt":"2026-10-09T15:52:51","guid":{"rendered":"https:\/\/ohmycad.com\/secnumcloud\/"},"modified":"2026-10-09T15:52:51","modified_gmt":"2026-10-09T15:52:51","slug":"secnumcloud","status":"publish","type":"post","link":"https:\/\/ohmycad.com\/en-ca\/secnumcloud\/","title":{"rendered":"SecNumCloud: What does the certification require, and who actually has it?"},"content":{"rendered":"<hr>\n<blockquote>\n<p><strong>Points cl\u00e9s :<\/strong><\/p>\n<ul>\n<li>SecNumCloud est une qualification de s\u00e9curit\u00e9 d\u00e9livr\u00e9e par l&rsquo;ANSSI, avec des audits men\u00e9s par AFNOR Certification. Ce n&rsquo;est ni une norme internationale comme ISO 27001, ni une obligation sectorielle comme HDS.<\/li>\n<li>Depuis le 15 ao\u00fbt 2026 (arr\u00eat\u00e9 du 12 ao\u00fbt 2026, publi\u00e9 au Journal officiel le 14 ao\u00fbt), elle est une obligation l\u00e9gale, et non plus une simple recommandation, pour h\u00e9berger les donn\u00e9es les plus sensibles de l&rsquo;\u00c9tat, de ses op\u00e9rateurs et des groupements d&rsquo;int\u00e9r\u00eat public.<\/li>\n<li>ISO 27001, HDS et SecNumCloud r\u00e9pondent \u00e0 trois questions diff\u00e9rentes : la s\u00e9curit\u00e9 g\u00e9n\u00e9rale, l&rsquo;h\u00e9bergement de donn\u00e9es de sant\u00e9, et l&rsquo;immunit\u00e9 face aux lois \u00e9trang\u00e8res.<\/li>\n<li>The Outscale Dassault Syst\u00e8mes cloud meets all three requirements, plus SOC 2 Type II, CISPE, and TISAX, within specific scopes, while SecNumCloud remains an option that can be enabled on a regional basis.<\/li>\n<\/ul>\n<\/blockquote>\n<hr>\n<h2 id=\"secnumcloud-c-est-quoi-exactement\">SecNumCloud, c&rsquo;est quoi exactement ?<\/h2>\n<p>SecNumCloud est une qualification de s\u00e9curit\u00e9 pour les offres cloud (IaaS, PaaS, SaaS), d\u00e9livr\u00e9e par l&rsquo;ANSSI, l&rsquo;agence fran\u00e7aise de cybers\u00e9curit\u00e9. Elle repose sur un r\u00e9f\u00e9rentiel de r\u00e8gles de s\u00e9curit\u00e9 techniques, op\u00e9rationnelles et juridiques, et sa particularit\u00e9 est d&rsquo;exiger une protection contre les lois extraterritoriales, notamment le Cloud Act am\u00e9ricain. L&rsquo;ANSSI est claire sur une limite importante : la qualification porte sur l&rsquo;offre cloud elle-m\u00eame, elle ne garantit pas le niveau de s\u00e9curit\u00e9 de ce que le client construit par-dessus.<\/p>\n<h2 id=\"qui-delivre-la-qualification-et-comment-l-obtient-on\">Qui d\u00e9livre la qualification, et comment l&rsquo;obtient-on ?<\/h2>\n<p>L&rsquo;ANSSI con\u00e7oit le r\u00e9f\u00e9rentiel et accorde la qualification, mais ce sont les auditeurs d&rsquo;AFNOR Certification qui m\u00e8nent l&rsquo;\u00e9valuation en son nom. Le processus se d\u00e9roule en plusieurs jalons : d\u00e9p\u00f4t de candidature et validation de l&rsquo;\u00e9ligibilit\u00e9, d\u00e9finition d&rsquo;une strat\u00e9gie d&rsquo;audit adapt\u00e9e au p\u00e9rim\u00e8tre du candidat, audit initial sur site, validation du rapport par l&rsquo;ANSSI, puis attribution de la qualification et du badge de s\u00e9curit\u00e9 correspondant. La qualification n&rsquo;est pas acquise d\u00e9finitivement : elle est soumise \u00e0 des audits de maintien annuels, avec un renouvellement complet tous les trois ans.<\/p>\n<h2 id=\"iso-27001-hds-secnumcloud-a-quoi-sert-chaque-certification\">ISO 27001, HDS, SecNumCloud: What is the purpose of each certification?<\/h2>\n<p>These three references complement each other; they are not interchangeable.<\/p>\n<table>\n<thead>\n<tr>\n<th><\/th>\n<th>ISO 27001<\/th>\n<th>HDS<\/th>\n<th>SecNumCloud 3.2<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<th>Framework sponsored by<\/th>\n<td>International standard (ISO), audited by accredited certification bodies<\/td>\n<td>Ministry of Health (Delegation for Digital Health \/ Digital Health Agency)<\/td>\n<td>ANSSI, audits conducted by AFNOR Certification<\/td>\n<\/tr>\n<tr>\n<th>Covers<\/th>\n<td>Un syst\u00e8me de management de la s\u00e9curit\u00e9 de l&rsquo;information, tout secteur<\/td>\n<td>L&rsquo;h\u00e9bergement de donn\u00e9es de sant\u00e9 \u00e0 caract\u00e8re personnel<\/td>\n<td>Cloud services that handle sensitive data<\/td>\n<\/tr>\n<tr>\n<th>Required for<\/th>\n<td>Not legally required, but expected of any reputable professional web hosting provider<\/td>\n<td>Any person who stores health data on behalf of third parties (Public Health Code)<\/td>\n<td>Depuis le 15 ao\u00fbt 2026, l&rsquo;\u00c9tat, ses op\u00e9rateurs et les groupements d&rsquo;int\u00e9r\u00eat public pour leurs donn\u00e9es les plus sensibles (arr\u00eat\u00e9 du 12 ao\u00fbt 2026) ; recommand\u00e9e pour les OIV<\/td>\n<\/tr>\n<tr>\n<th>Addresses the issue of the Cloud Act<\/th>\n<td>No<\/td>\n<td>Non, m\u00eame si sa version 2 (2024) impose d\u00e9j\u00e0 une localisation des donn\u00e9es dans l&rsquo;Espace \u00e9conomique europ\u00e9en<\/td>\n<td>Oui, c&rsquo;est sa raison d&rsquo;\u00eatre<\/td>\n<\/tr>\n<tr>\n<th>Le cloud Outscale Dassault Syst\u00e8mes<\/th>\n<td>Qualifi\u00e9, sur l&rsquo;ensemble de l&rsquo;infrastructure<\/td>\n<td>Qualified<\/td>\n<td>Qualified for the cloudgouv-eu-west-1 region (optional)<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2 id=\"depuis-quand-secnumcloud-est-il-obligatoire-et-pour-qui\">Since when has SecNumCloud been mandatory, and for whom?<\/h2>\n<p>Jusqu&rsquo;en ao\u00fbt 2026, SecNumCloud restait une recommandation forte de l&rsquo;ANSSI, pas une contrainte l\u00e9gale. L&rsquo;arr\u00eat\u00e9 du 12 ao\u00fbt 2026 \u00ab portant approbation du r\u00e9f\u00e9rentiel d&rsquo;exigences relatif aux prestataires de services d&rsquo;informatique en nuage \u00bb, publi\u00e9 au Journal officiel du 14 ao\u00fbt et entr\u00e9 en vigueur le lendemain, change cette donne : il approuve la version 3.2 du r\u00e9f\u00e9rentiel SecNumCloud et la rend opposable, en application de l&rsquo;article 31 de la loi SREN du 21 mai 2024 et de son d\u00e9cret du 14 avril 2026, pour h\u00e9berger les donn\u00e9es d&rsquo;une sensibilit\u00e9 particuli\u00e8re de l&rsquo;\u00c9tat, de ses op\u00e9rateurs et des groupements d&rsquo;int\u00e9r\u00eat public, d\u00e8s lors qu&rsquo;une compromission menacerait l&rsquo;ordre public, la s\u00e9curit\u00e9 publique, la sant\u00e9, la vie des personnes ou la protection de la propri\u00e9t\u00e9 intellectuelle. La conformit\u00e9 s&rsquo;atteste par une qualification ANSSI, ou par une certification europ\u00e9enne reconnue \u00e9quivalente par l&rsquo;agence.<\/p>\n<h2 id=\"le-cloud-outscale-dassault-systemes-a-t-il-vraiment-cette-qu\">Does the Outscale Dassault Syst\u00e8mes cloud really have this certification?<\/h2>\n<p>Oui, sur sa r\u00e9gion cloudgouv-eu-west-1, qualifi\u00e9e SecNumCloud 3.2. La r\u00e9gion France standard (eu-west-2) reste certifi\u00e9e ISO 27001, ISO 27017, ISO 27018 et HDS, sans la qualification SecNumCloud, les deux environnements sont distincts, et changer de l&rsquo;un \u00e0 l&rsquo;autre suppose un red\u00e9ploiement. Au-del\u00e0 de ces qualifications, Outscale est \u00e9galement audit\u00e9 SOC 2 Type II, conforme au code de conduite CISPE (donn\u00e9es trait\u00e9es et stock\u00e9es dans l&rsquo;Espace \u00e9conomique europ\u00e9en) et certifi\u00e9 TISAX pour l&rsquo;h\u00e9bergement de donn\u00e9es sensibles du secteur automobile. Peu d&rsquo;infrastructures cloud cumulent un jeu de qualifications aussi large, du g\u00e9n\u00e9raliste au sectoriel. Chez Ohmycad, la r\u00e9gion SecNumCloud reste une option : elle s&rsquo;active quand votre r\u00e9glementation ou votre client final l&rsquo;exige, elle n&rsquo;est jamais incluse par d\u00e9faut.<\/p>\n<h2 id=\"conclusion\">Conclusion<\/h2>\n<p>SecNumCloud a chang\u00e9 de statut en 2026 : d&rsquo;une recommandation de bonne pratique, elle est devenue une obligation l\u00e9gale opposable pour une partie du secteur public. Le mouvement ne va pas s&rsquo;arr\u00eater l\u00e0, et les organisations qui traitent des donn\u00e9es sensibles ont int\u00e9r\u00eat \u00e0 s&rsquo;y pr\u00e9parer avant que la r\u00e9glementation ne les y oblige.<\/p>\n<p>Le cloud Outscale Dassault Syst\u00e8mes tient ce niveau d&rsquo;exigence sur sa r\u00e9gion cloudgouv-eu-west-1, en plus d&rsquo;un socle ISO 27001, ISO 27017, ISO 27018 et HDS sur l&rsquo;ensemble de son infrastructure. L&rsquo;offre cloud souverain Ohmycad s&rsquo;appuie sur cette base pour proposer la qualification en option, sans l&rsquo;imposer \u00e0 qui n&rsquo;en a pas besoin.<\/p>\n<p>The right approach: Check which certification actually meets your legal requirement before paying for a level that the law does not require.<\/p>\n<p><a href=\"\/en-ca\/sovereign-cloud\/\">D\u00e9couvrir l&rsquo;offre cloud souverain Ohmycad \u2192<\/a><\/p>\n<p><strong>For more information:<\/strong> <a href=\"\/en-ca\/trusted-cloud\/\">The Trusted Cloud Label<\/a> \u00b7 <a href=\"\/en-ca\/cloud-act\/\">the Cloud Act<\/a><\/p>\n<h2 id=\"sources\">Sources<\/h2>\n<ul>\n<li><a href=\"https:\/\/cyber.gouv.fr\/enjeux-technologiques\/cloud\/\" target=\"_blank\" rel=\"noopener\">cyber.gouv.fr (ANSSI), Trusted Cloud, and SecNumCloud<\/a><\/li>\n<li><a href=\"https:\/\/certification.afnor.org\/numerique\/qualification-secnumcloud\" target=\"_blank\" rel=\"noopener\">certification.afnor.org, SecNumCloud certification<\/a><\/li>\n<li><a href=\"https:\/\/presse.economie.gouv.fr\/nouvelle-version-du-referentiel-de-certification-hds\/\" target=\"_blank\" rel=\"noopener\">presse.economie.gouv.fr, HDS certification framework<\/a><\/li>\n<li><a href=\"https:\/\/www.legifrance.gouv.fr\/jorf\/id\/JORFTEXT000054678082\" target=\"_blank\" rel=\"noopener\">legifrance.gouv.fr, arr\u00eat\u00e9 du 12 ao\u00fbt 2026 portant approbation du r\u00e9f\u00e9rentiel d&rsquo;exigences relatif aux prestataires de services d&rsquo;informatique en nuage (JORF n\u00b00189 du 14 ao\u00fbt 2026)<\/a><\/li>\n<li><a href=\"https:\/\/en.outscale.com\/our-certifications\/\" target=\"_blank\" rel=\"noopener\">outscale.com, certifications<\/a><\/li>\n<\/ul>\n<section class=\"omc-faq\" aria-labelledby=\"omc-faq-article\">\n<p class=\"omc-faq__eyebrow\">FAQ<\/p>\n<h2 class=\"omc-faq__title\" id=\"omc-faq-article\">Frequently asked Questions<\/h2>\n<details class=\"omc-faq__item\">\n<summary>Where can I find the list of SecNumCloud-certified service providers?<\/summary>\n<p>L&rsquo;ANSSI publie et tient \u00e0 jour le catalogue officiel des offres qualifi\u00e9es sur son propre site. C&rsquo;est la seule source fiable, une page tierce qui pr\u00e9tend lister \u00ab les meilleurs \u00bb prestataires SecNumCloud n&rsquo;a aucune valeur officielle.<\/p>\n<\/details>\n<details class=\"omc-faq__item\">\n<summary>Is SecNumCloud mandatory for all companies?<\/summary>\n<p>Non. Depuis le 15 ao\u00fbt 2026, l&rsquo;obligation l\u00e9gale ne vise que l&rsquo;\u00c9tat, ses op\u00e9rateurs et les groupements d&rsquo;int\u00e9r\u00eat public, pour leurs donn\u00e9es d&rsquo;une sensibilit\u00e9 particuli\u00e8re. Pour les autres organisations, SecNumCloud reste une option recommand\u00e9e quand les donn\u00e9es trait\u00e9es sont sensibles ou r\u00e9glement\u00e9es, pas une contrainte g\u00e9n\u00e9rale.<\/p>\n<\/details>\n<details class=\"omc-faq__item\">\n<summary>What is the difference between SecNumCloud and the \"Trusted Cloud\" label?<\/summary>\n<p>SecNumCloud est la qualification de l&rsquo;ANSSI. \u00ab Cloud de confiance \u00bb est le label de la doctrine de l&rsquo;\u00c9tat de 2021, qui d\u00e9signait le cumul de SecNumCloud et d&rsquo;une immunit\u00e9 aux lois extraterritoriales comme le Cloud Act. Depuis la version 3.2 du r\u00e9f\u00e9rentiel, cette immunit\u00e9 fait partie des exigences de SecNumCloud lui-m\u00eame. Le d\u00e9tail est dans <a href=\"\/en-ca\/trusted-cloud\/\">our article on the trusted cloud<\/a>.<\/p>\n<\/details>\n<details class=\"omc-faq__item\">\n<summary>L&rsquo;offre cloud souverain Ohmycad est-elle qualifi\u00e9e SecNumCloud par d\u00e9faut ?<\/summary>\n<p>Non. La qualification s&rsquo;applique \u00e0 la r\u00e9gion cloudgouv-eu-west-1 du cloud Outscale Dassault Syst\u00e8mes, activ\u00e9e en option quand votre r\u00e9glementation ou votre client final l&rsquo;exige.<\/p>\n<\/details>\n<details class=\"omc-faq__item\">\n<summary>Is ISO 27001 sufficient if my data isn't sensitive?<\/summary>\n<p>Dans la plupart des cas, oui, c&rsquo;est un socle attendu de tout h\u00e9bergeur professionnel s\u00e9rieux. La question \u00e0 se poser n&rsquo;est pas le volume de donn\u00e9es mais leur sensibilit\u00e9 : d\u00e8s qu&rsquo;une donn\u00e9e de sant\u00e9 ou une donn\u00e9e d&rsquo;\u00c9tat particuli\u00e8rement sensible entre dans le p\u00e9rim\u00e8tre, HDS ou SecNumCloud deviennent respectivement obligatoire ou fortement recommand\u00e9.<\/p>\n<\/details>\n<\/section>\n<p>Besoin d&rsquo;un h\u00e9bergement souverain, op\u00e9r\u00e9 et chiffr\u00e9 sur votre p\u00e9rim\u00e8tre ? Un ing\u00e9nieur Ohmycad revient vers vous avec un chiffrage, pas avec une grille tarifaire g\u00e9n\u00e9rique : <a href=\"\/en-ca\/contact-us\/?sujet=sovereign_cloud\">se faire rappeler<\/a>. L&rsquo;offre compl\u00e8te est sur la page <a href=\"https:\/\/ohmycad.com\/en-ca\/sovereign-cloud\/\">sovereign cloud<\/a>.<\/p>\n<p><!-- omc-rappel:start --> <script> (function () {   function fix(links) {     Array.prototype.forEach.call(links, function (a) {       if ((a.textContent || '').replace(\/\\s+\/g, ' ').trim() !== 'Se faire rappeler') return;       var h = a.getAttribute('href') || '';       if (\/\\\/contactez-nous\\\/?$\/.test(h)) a.setAttribute('href', h.replace(\/\\\/contactez-nous\\\/?$\/, '\/contactez-nous\/?sujet=sovereign_cloud'));     });   }   \/* Outscale pages only: header callback link -> \/contactez-nous\/?sujet=sovereign_cloud *\/   fix(document.querySelectorAll('header .omh-cta')); })(); <\/script> <!-- omc-rappel:end --><\/p>","protected":false},"excerpt":{"rendered":"<p>Qui d\u00e9livre la qualification SecNumCloud, ce qu&rsquo;elle impose, en quoi elle diff\u00e8re d&rsquo;ISO 27001 et de HDS, et depuis quand elle est obligatoire pour l&rsquo;\u00c9tat.<\/p>","protected":false},"author":2,"featured_media":118329,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_breakdance_hide_in_design_set":false,"_breakdance_tags":"","footnotes":""},"categories":[501],"tags":[],"class_list":["post-118328","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cloud-souverain"],"acf":[],"_links":{"self":[{"href":"https:\/\/ohmycad.com\/en-ca\/wp-json\/wp\/v2\/posts\/118328","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/ohmycad.com\/en-ca\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/ohmycad.com\/en-ca\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/ohmycad.com\/en-ca\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/ohmycad.com\/en-ca\/wp-json\/wp\/v2\/comments?post=118328"}],"version-history":[{"count":0,"href":"https:\/\/ohmycad.com\/en-ca\/wp-json\/wp\/v2\/posts\/118328\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/ohmycad.com\/en-ca\/wp-json\/wp\/v2\/media\/118329"}],"wp:attachment":[{"href":"https:\/\/ohmycad.com\/en-ca\/wp-json\/wp\/v2\/media?parent=118328"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/ohmycad.com\/en-ca\/wp-json\/wp\/v2\/categories?post=118328"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/ohmycad.com\/en-ca\/wp-json\/wp\/v2\/tags?post=118328"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}