Aller au contenu
agencedevops.fr

Prestataire SecNumCloud : choisir un cloud qualifié et l’équipe qui l’exploite

Un « prestataire SecNumCloud » recouvre deux métiers : le fournisseur dont l’offre cloud est qualifiée par l’ANSSI, et l’intégrateur ou l’infogéreur qui y déploie et exploite votre système. La qualification porte sur l’offre du premier, pas sur le travail du second : il faut choisir les deux, et vérifier chaque qualification dans le catalogue officiel de l’ANSSI.

Par la rédaction d’agencedevops.fr · données vérifiées le · méthode

Deux métiers à ne pas confondre

La qualification SecNumCloud est délivrée par l’ANSSI à une offre de cloud : une infrastructure virtuelle, une plateforme, parfois un service managé. Elle dit que cette offre respecte un référentiel d’exigences de sécurité, d’exploitation et de protection contre l’application de lois extra-européennes. Elle ne dit rien de la façon dont votre application sera déployée, configurée, sauvegardée et surveillée sur cette offre. Ce travail revient à un intégrateur ou à un infogéreur, ou à votre propre équipe.

Un projet SecNumCloud se prépare donc en deux choix : l’offre qualifiée qui correspond à vos besoins techniques, puis l’équipe qui sait l’exploiter avec le niveau d’exigence attendu.

Vérifier une qualification

L’ANSSI tient un catalogue des produits et services qualifiés, mis à jour au moins une fois par mois. Pour chaque offre, il donne la référence de la décision, ses dates de début et de fin de validité et le niveau de recommandation. Trois vérifications s’imposent :

  1. l’offre exacte que l’on vous propose figure-t-elle au catalogue, avec ce nom et ce périmètre ?
  2. la qualification est-elle valide sur toute la durée de votre contrat, ou son renouvellement est-il à prévoir ?
  3. les services que vous comptez utiliser, Kubernetes, stockage objet, bases managées, sont-ils dans le périmètre qualifié, ou vendus à côté ?

Une offre « en cours de qualification » ou « conforme au référentiel » n’est pas une offre qualifiée.

Ce que la qualification change pour votre architecture

  • Un catalogue plus étroit : moins de services managés que sur les grands clouds publics. Les briques absentes, files de messages, recherche, outils d’IA, devront être déployées et exploitées par votre équipe ou votre prestataire.
  • Des accès d’administration encadrés : poste d’administration dédié, authentification forte, traçabilité. Votre prestataire doit pouvoir le démontrer.
  • Un coût plus élevé à ressources égales, qui se compare au coût du risque et à l’exigence de vos clients publics.
  • Une réversibilité à préparer : un code d’infrastructure portable, par exemple Terraform avec des modules séparés par fournisseur, évite de se retrouver captif d’une offre.

Les acheteurs publics et le cloud

Les 1 245 marchés publics d’hébergement et de cloud notifiés depuis 2022 ont un montant médian publié de 176 647 € et reçoivent deux offres en médiane ; 44 % n’en reçoivent qu’une : sur ces marchés, l’exigence d’une offre qualifiée réduit encore le nombre de candidats possibles, ce qui plaide pour un allotissement qui sépare l’hébergement qualifié de l’intégration et de l’exploitation.

Marchés publics français : hébergement et cloud
Indicateur Valeur
Marchés notifiés de 2022 à 2026 1 245
Montant médian (montant publié) 176 647 €
Un marché sur quatre dépasse 495 500 €
Durée médiane 48 mois
Offres reçues (médiane) 2
Marchés attribués avec une seule offre 44,2 %
Part passée en accord-cadre 32,4 %

Source : données essentielles de la commande publique (DECP consolidées, data.gouv.fr), marchés notifiés de 2022 à 2026 dont l’objet relève du segment, relevé du 2 octobre 2026. Montants : 1 159 marchés au montant renseigné et cohérent.

Choisir l’intégrateur ou l’infogéreur

Pour la partie déploiement et exploitation, regardez l’expérience déclarée sur les clouds français et souverains, les certifications de sécurité de l’entreprise, ISO 27001 notamment, et sa capacité à travailler selon les règles d’administration sécurisée de l’ANSSI. Parmi les entreprises notées avec notre barème, voici celles qui ont une page de service consacrée aux clouds français ou souverains :

Entreprises classées, barème sur 100 points
Rang Entreprise Registre Score
1 Orange Business siège à Issy-les-Moulineaux, créée en 1991, 10 000 salariés et plus 70
2 Claranet siège à Cesson-Sevigne, créée en 1998, 500 à 999 salariés 69
3 Cloud Temple siège à Puteaux, créée en 2017, 100 à 199 salariés 69
4 Inherent siège à Maxeville, créée en 1981, 500 à 999 salariés 67
5 BT Blue siège à Chateaubourg, créée en 2005, 100 à 199 salariés 61
6 Theodo Cloud siège à Paris, créée en 2007, 200 à 249 salariés 61
7 Alter Way siège à Asnieres-sur-Seine, créée en 2006, 100 à 199 salariés 60
8 Stack Labs siège à Paris, créée en 2002, 2 000 à 4 999 salariés 58

Le classement complet figure sur la page partenaires OVHcloud et clouds souverains. Les mentions de qualification SecNumCloud déclarées par une entreprise sur son site concernent ses propres offres d’hébergement : vérifiez-les dans le catalogue de l’ANSSI.

Les questions à poser dans la consultation

  • Quelle offre qualifiée proposez-vous, avec quelle référence de décision et quelle date de fin de validité ?
  • Quels services de l’architecture cible sont dans le périmètre qualifié, et lesquels sont opérés par vous à côté ?
  • Depuis quels lieux et avec quels postes vos équipes administrent-elles le système ?
  • Comment le code d’infrastructure et les données nous sont-ils restitués en fin de contrat ?

Décrivez votre projet ci-dessous pour être orienté vers une architecture et un fournisseur adaptés.

Questions fréquentes

Qu’est-ce que la qualification SecNumCloud ?

C’est une qualification délivrée par l’ANSSI à une offre de cloud, après évaluation par un centre agréé selon un référentiel d’exigences. Elle couvre la sécurité technique et opérationnelle de l’offre et des exigences de protection contre les lois extra-européennes. Elle s’applique à une offre précise, pas à toute l’entreprise qui la commercialise.

Qui doit utiliser un cloud qualifié SecNumCloud ?

L’ANSSI recommande un cloud qualifié pour les systèmes d’information sensibles, et les administrations de l’État y sont tenues pour leurs données les plus sensibles. Dans le privé, c’est le plus souvent une exigence contractuelle d’un client public ou une décision de gestion des risques.

Peut-on utiliser Kubernetes sur un cloud SecNumCloud ?

Oui, plusieurs offres qualifiées proposent des machines virtuelles, et certaines des services managés comme Kubernetes ou des bases de données. Le catalogue disponible reste plus restreint que sur un grand cloud public : vérifiez service par service ce qui est inclus dans le périmètre qualifié.

Un intégrateur doit-il être qualifié pour déployer sur SecNumCloud ?

La qualification SecNumCloud ne s’applique pas aux intégrateurs. En revanche, l’équipe qui administre le système doit respecter les exigences d’administration sécurisée de l’ANSSI, et certains marchés exigent d’autres qualifications, par exemple PASSI pour les audits.

Sources