En ce début d’année 2025, le paysage du cloud de confiance français continue d’être façonné par le référentiel SecNumCloud dans sa version 3.2. Créé par l’ANSSI en 2016, ce standard a connu plusieurs évolutions majeures, dont la dernière version 3.2 lancée en 2022 a transformé l’approche de la souveraineté numérique en France.
Historique des versions du référentiel SecNumCloud
Le référentiel a connu plusieurs étapes clés dans son développement :
- 2016 : Création initiale établissant les fondamentaux de la sécurité cloud en France. Cette première version posait les bases d’une approche structurée de la sécurité des services cloud, définissant les exigences essentielles en matière de protection des données.
- 2018 : La version 3.1 a permis d’aligner le référentiel avec le RGPD. Par souci de simplification, le référentiel supprime aussi les notions de niveaux de garantie “SecNumCloud avancé” et “SecNumCloud essentiel” pour créer un unique label SecNumCloud
- 2022 : Le lancement de la version 3.2 marque un grand changement avec l’introduction de la souveraineté juridique.
- 2025 : Une nouvelle version est attendue cette année. Elle devrait apporter des évolutions pour répondre aux nouveaux enjeux du marché.
Les changements majeurs observés dans la version 3.2 du référentiel SecNumCloud
La révolution juridique de la version 3.2
L’article 19.6 est la pierre angulaire de la version actuelle. Il établit un cadre juridique strict qui protège les données européennes contre les ingérences étrangères. Cette protection s’articule autour de trois axes fondamentaux :
- L’immunité juridique face aux législations extra-territoriales, particulièrement le Cloud Act américain. Cette disposition garantit que les données hébergées restent sous le contrôle exclusif des juridictions européennes.
- L’exigence d’un contrôle capitalistique européen des prestataires, assurant une véritable indépendance décisionnelle.
- La mise en place de garanties contractuelles robustes protégeant les intérêts des utilisateurs européens.
L’évolution technique du référentiel
Le référentiel 3.2 a considérablement élargi son périmètre technique pour répondre aux besoins modernes du cloud. L’intégration des services CaaS et PaaS permet maintenant aux organisations de moderniser leurs infrastructures tout en maintenant un niveau de sécurité optimal.
Les principales innovations techniques concernent :
- L’architecture des services : les prestataires doivent désormais implémenter une ségrégation stricte des environnements, avec des contrôles renforcés sur les flux de données et les accès administrateurs.
- La sécurité opérationnelle : un monitoring constant des systèmes et une gestion sophistiquée des incidents sont devenus obligatoires, incluant des mécanismes de détection et de réponse aux menaces en temps réel.
- La protection des données : le chiffrement de bout en bout est devenu systématique, avec une gestion rigoureuse des clés de chiffrement exclusivement sous contrôle européen.
Le principe de composition
Le principe de composition introduit par la version 3.2 a changé radicalement l’approche de la qualification pour les éditeurs de solutions. Cette innovation permet aux éditeurs de s’appuyer sur des infrastructures déjà qualifiées, simplifiant considérablement leur parcours vers la certification.
Concrètement, un éditeur SaaS peut désormais concentrer ses efforts de qualification sur son application, à condition d’héberger celle-ci sur une infrastructure cloud déjà qualifiée SecNumCloud. Cette approche présente plusieurs avantages majeurs :
- Réduction significative des coûts : les investissements nécessaires à la qualification sont optimisés.
- Accélération du processus : le temps de qualification est considérablement réduit.
- Focus sur la valeur métier : les éditeurs peuvent se concentrer sur leur cœur de métier plutôt que sur les aspects infrastructurels.
Le référentiel SecNumCloud 3.2 représente donc une étape importante dans la construction d’un écosystème cloud souverain et sécurisé en France. En renforçant les garanties juridiques, techniques et opérationnelles, cette version transforme significativement la protection des données numériques.
SecNumCloud, dans sa version 3.2, répond aux standards de sécurité les plus élevés en Europe. Sa rigueur en termes de protection des données est inégalée. En couvrant les risques fonctionnels, organisationnels et juridiques du cloud, il offre une approche holistique de la sécurité.