3 lettres, 2 mots, le label SecNumCloud pour Numspot, ce qui change pour vos données sensibles

Numspot vient d’obtenir la qualification SecNumCloud de l’ANSSI pour son offre d’infrastructure cloud IaaS. Cette étape place l’acteur français parmi les fournisseurs capables d’héberger des données sensibles selon un référentiel de sécurité exigeant. Sur un marché où les offres qualifiées restent rares, l’enjeu dépasse la technique et touche la commande publique, la conformité et la dépendance aux hyperscalers.

Le débat sur le cloud de confiance est souvent réduit à une opposition binaire entre souveraineté et efficacité. Dans les faits, la qualification SecNumCloud sert de filtre très concret, parce qu’elle impose des exigences de sécurité, d’organisation et de contrôle. En clair, c’est comme passer d’un simple badge d’accès à un système de contrôle multi-facteurs avec auditabilité, procédures et surveillance, la sécurité n’est plus un argument marketing, elle devient une mécanique vérifiable.

Avec ce sésame, Numspot cherche à se rendre éligible à des usages où la question n’est pas quel cloud est le plus pratique, mais quel cloud est acceptable pour des données sensibles, dans un contexte où les textes européens et français poussent à mieux maîtriser les dépendances numériques et les risques opérationnels.

SecNumCloud, le référentiel ANSSI qui requalifie le mot “confiance”

La qualification SecNumCloud est délivrée par l’ANSSI et vise à attester qu’un service cloud respecte un ensemble d’exigences de sécurité et de gouvernance adaptées à des données sensibles. Le principe est simple sur le papier, mais redoutable en pratique: il ne s’agit pas seulement de chiffrer des disques ou d’empiler des pare-feu, il faut démontrer une maîtrise bout en bout, depuis les processus internes jusqu’aux mécanismes techniques.

Traduction: la confiance n’est pas une promesse, c’est un ensemble de contrôles et de preuves. Dans un cloud, une grande partie du risque se déplace vers l’exploitation (mises à jour, gestion des accès, supervision, réponse à incident). SecNumCloud vient cadrer ce système d’exploitation organisationnel: qui administre, comment les accès sont tracés, comment les incidents sont gérés, comment les dépendances sont contrôlées, comment la sécurité est maintenue dans la durée.

Ce point est central pour les organisations qui manipulent des informations sensibles. Le cloud n’est pas qu’une affaire d’infrastructure, c’est une chaîne de responsabilités. SecNumCloud vise à réduire les zones grises de cette chaîne en imposant une approche documentée, auditable et maintenue.

Numspot qualifié SecNumCloud sur l’IaaS, et une trajectoire annoncée vers le PaaS

Numspot a obtenu la qualification SecNumCloud pour son offre IaaS, ce qui le fait entrer dans le cercle des fournisseurs d’infrastructures cloud qualifiés ^[1]. L’IaaS correspond à la couche machines, stockage, réseau, la base sur laquelle les organisations déploient leurs systèmes, comme on choisirait un châssis et une alimentation avant d’assembler un serveur.

Mais l’ambition affichée ne s’arrête pas à cette couche. Numspot indique viser une montée en gamme vers le PaaS (plateforme) et des services managés, avec une attention particulière portée aux cas d’usage liés à l’IA ^[2]. Cette progression est logique: l’IaaS est indispensable pour héberger, mais la valeur d’usage se concentre souvent plus haut, dans les bases de données managées, les outils de déploiement, l’observabilité, les pipelines de données, ou les environnements d’entraînement et d’inférence.

Le sujet est aussi un piège classique. Beaucoup d’acteurs se disent souverains parce que l’infrastructure est localisée ou parce que l’actionnariat est européen. Sur le papier, c’est rassurant. En pratique, les dépendances se nichent dans les couches supérieures: services managés propriétaires, outils d’orchestration, API non portables. Numspot met en avant une approche portable et réversible, avec une plateforme présentée comme hybride ^[3]. Le choix des mots compte: la réversibilité, c’est la capacité à sortir sans réécrire la moitié du SI, un point qui devient stratégique quand les exigences réglementaires et les risques de verrouillage augmentent.

Autre détail important, les services gérés ne sont pas automatiquement couverts par la qualification IaaS. Selon IT Social, Numspot obtient la qualification sur l’IaaS tandis que ses services managés restent en cours d’examen ^[5]. C’est un rappel utile: dans le cloud, la sécurité n’est pas un bloc monolithique, elle est attachée à un périmètre précis. Pour une DSI, cela implique de lire les qualifications comme on lit une fiche technique, ligne par ligne, et pas comme un label global.

Doctrine “Cloud au centre”, NIS2: la conformité pousse le cloud hors de la seule DSI

La qualification SecNumCloud prend une dimension particulière dans le secteur public. Selon les sources, elle peut devenir un passage obligé pour certaines données sensibles dans le cadre de la Doctrine Cloud au centre ^[2]. Cela reconfigure le marché des appels d’offres: le sujet n’est plus seulement de comparer des fonctionnalités, mais de vérifier l’éligibilité à un cadre de confiance défini.

Dans le privé, la dynamique est parallèle. Les réglementations européennes et françaises poussent les organisations à mieux maîtriser leurs dépendances numériques, et à traiter le choix du cloud comme une décision de risque, pas comme une décision d’outillage ^[2]. La directive NIS2 est citée dans ce contexte ^[2]. Même sans entrer dans les détails juridiques, l’effet est clair: plus les obligations de sécurité et de continuité montent, plus l’hébergement et l’exploitation deviennent des sujets de direction générale, d’audit, de conformité, et pas seulement de production informatique.

En clair, SecNumCloud agit comme un format de fichier commun entre acheteurs, juristes, RSSI et DSI. Il ne dit pas que tout est parfait, mais il fournit un langage partagé et un niveau d’exigence standardisé. Pour un fournisseur comme Numspot, l’intérêt est double: accéder à des marchés où le filtre de qualification est déterminant, et déplacer la discussion vers des critères vérifiables (périmètre qualifié, engagements, processus) plutôt que vers des promesses.

“Monopole des GAFAM”: ce que change vraiment une qualification, et ce qu’elle ne change pas

Plusieurs articles présentent l’obtention de SecNumCloud par Numspot comme un recul du monopole des hyperscalers sur les données sensibles ^[1]. Sur l’angle politique, le message est évident: renforcer une offre locale qualifiée. Sur l’angle technique, il faut distinguer trois niveaux.

Premier niveau, l’éligibilité: dans des contextes où SecNumCloud est requis, une offre non qualifiée est de fait écartée. La qualification change donc la capacité à concourir, et c’est déjà un levier majeur dans des appels d’offres structurés par des exigences de sécurité.

Deuxième niveau, l’usage: obtenir une qualification IaaS ouvre une porte, mais la majorité des projets cloud modernes reposent sur des services managés (bases de données, bus de messages, analytique, MLOps). Si ces briques restent hors périmètre, l’organisation devra arbitrer entre rester sur des composants bas niveau (plus de charge d’exploitation interne) ou attendre/choisir des services managés qualifiés. C’est exactement le sens de la trajectoire évoquée vers le PaaS et l’IA ^[2], et de la précision sur des services gérés encore en cours d’examen ^[5].

Troisième niveau, la portabilité: c’est le nerf de la guerre contre le verrouillage. Numspot met en avant une plateforme portable et réversible ^[3]. Sur le papier, c’est la promesse de ne pas reconstruire tout un système quand on change de fournisseur. En pratique, la portabilité dépend de choix d’architecture (conteneurs, standards d’API, outillage CI/CD, gestion des identités) et de discipline d’ingénierie. Une qualification de sécurité ne garantit pas automatiquement cette portabilité, mais elle peut pousser à documenter et gouverner ces choix, ce qui rend le verrouillage plus visible, donc plus pilotable.

Le résultat est moins spectaculaire qu’un slogan, mais plus concret: SecNumCloud ne remplace pas les hyperscalers. Il donne des alternatives qualifiées pour des périmètres sensibles, et il force le marché à parler d’exigences, de périmètres et de responsabilités. C’est souvent là que se joue la souveraineté opérationnelle, pas dans les discours.

FAQ

Qu’est-ce que SecNumCloud?
SecNumCloud est une qualification délivrée par l’ANSSI qui atteste qu’un service cloud respecte un référentiel exigeant en matière de sécurité et de gouvernance, adapté à l’hébergement de données sensibles.

Numspot est-il qualifié SecNumCloud sur toute son offre cloud?
Numspot a obtenu la qualification SecNumCloud pour son offre IaaS. Selon IT Social, ses services managés restent en cours d’examen.

Pourquoi l’IaaS est-il une première étape, et pas le point d’arrivée?
L’IaaS fournit la base (calcul, stockage, réseau). Beaucoup de projets cloud s’appuient aussi sur des services managés et des briques de plateforme (PaaS). Numspot indique viser une montée vers le PaaS et des services liés à l’IA.

Quel lien avec la doctrine “Cloud au centre”?
Dans le secteur public, la qualification peut devenir un passage obligé pour certaines données sensibles dans le cadre de la Doctrine Cloud au centre, ce qui influence l’éligibilité dans les appels d’offres.

Est-ce que SecNumCloud règle la question de la dépendance aux hyperscalers?
SecNumCloud aide à structurer des alternatives qualifiées pour certains périmètres sensibles. La dépendance dépend aussi des choix d’architecture et des services managés utilisés, donc de la portabilité et de la réversibilité réelles des systèmes.

recap_placeholder

• Numspot obtient la qualification SecNumCloud de l’ANSSI pour son IaaS.
• Le label agit comme un filtre d’éligibilité pour des données sensibles et certains appels d’offres.
• Numspot vise une trajectoire vers le PaaS, les services managés et l’IA.
• La conformité (dont NIS2) pousse le choix du cloud au-delà de la seule DSI.

enjeux_placeholder

Entre sécurité prouvée, portabilité et conformité, SecNumCloud transforme un débat politique en critères opérationnels, et redessine la concurrence sur les données sensibles.