SecNumCloud est-il obligatoire pour un sous-traitant défense ?
« Est-ce que votre solution est SecNumCloud ? » Cette question arrive tôt dans les échanges dès qu’une entreprise touche de près ou de loin à la défense. Elle est légitime, mais elle est souvent posée par réflexe — et elle masque les questions qui déterminent réellement si un logiciel peut entrer dans votre système d’information. Voyons ce que la réglementation impose vraiment à un sous-traitant défense en matière d’hébergement, et ce qui fait échouer un dossier dans les faits.
Ce qu’est SecNumCloud, et ce qu’il n’est pas
SecNumCloud est un visa de sécurité délivré par l’ANSSI. Il atteste qu’une offre de cloud répond à un référentiel exigeant — la version 3.2 en vigueur repose sur plus de 360 exigences techniques, organisationnelles, opérationnelles et juridiques. C’est le plus haut niveau d’exigence français en matière de cloud, et une poignée d’offres seulement sont qualifiées.
Trois précisions qui changent tout dans une discussion commerciale.
La qualification porte sur une offre précise, pas sur une entreprise. Un hébergeur peut avoir une offre qualifiée et dix offres qui ne le sont pas. Quand un éditeur vous dit « nous sommes chez un hébergeur qualifié SecNumCloud », la question suivante est : sur quelle offre exactement ? La réponse figure au contrat.
La qualification ne se transmet pas à ce qui est hébergé. L’ANSSI l’écrit noir sur blanc : la qualification « ne préjuge pas du niveau de sécurité d’un service numérique d’un client qui sera hébergé sur l’offre cloud qualifiée SecNumCloud ». Autrement dit, une application médiocre hébergée sur une infrastructure qualifiée reste une application médiocre. Un éditeur qui laisse entendre le contraire vous vend une confusion.
Une homologation ne se transmet pas davantage. Un prestataire dont l’infrastructure est homologuée pour la Diffusion Restreinte ne vous transfère pas cette homologation. C’est vous, en tant qu’autorité d’homologation de votre propre système, qui menez la démarche pour votre contexte d’usage.
Les trois cas où l’hébergement qualifié s’impose vraiment
Les administrations d’État et leurs données sensibles
C’est le seul cas d’obligation réglementaire nette. La doctrine « cloud au centre » impose aux administrations d’héberger leurs données sensibles sur des offres qualifiées, et le décret d’application de l’article 31 de la loi SREN, publié en avril 2026, l’a inscrit dans le droit pour les administrations centrales.
Nuance importante : l’obligation ne vise pas toutes les données d’une administration, mais celles qui remplissent deux conditions cumulatives — une sensibilité particulière et un risque caractérisé en cas de violation. Si vous êtes une entreprise privée, ce texte ne vous concerne pas directement. Il peut en revanche vous être répercuté par contrat si vous fournissez une administration.
Les systèmes traitant de la Diffusion Restreinte
La mention Diffusion Restreinte s’applique à des informations sensibles qui ne relèvent pas du secret de la défense nationale. Les systèmes qui les traitent relèvent de l’instruction interministérielle n° 901, et pour leur hébergement dans le cloud, l’ANSSI préconise des offres qualifiées SecNumCloud sur infrastructure dédiée.
Posez-vous la vraie question : vos plannings d’équipe, vos temps déclarés et votre charge par programme portent-ils réellement cette mention ? Dans la grande majorité des cas, non. Un nom de programme dans un libellé de projet ne transforme pas un outil de planning en système d’information DR. Si c’est le cas chez vous, c’est votre officier de sécurité qui le dira — et le cadre applicable dépasse alors largement le choix d’un hébergeur.
Les informations classifiées
Secret, Très Secret : ces informations ne vont dans aucun cloud commercial, qualifié ou non. Le sujet ne se pose pas en ces termes.
Le cas réel : la PME industrielle de la BITD
La base industrielle et technologique de défense française compte environ 4 500 PME et ETI autour d’une dizaine de grands donneurs d’ordre. Beaucoup d’entre elles sont aujourd’hui en montée de cadence, avec des volumes qui ont doublé ou triplé, et pilotent encore leur charge sur des fichiers Excel qui circulent par e-mail.
Pour ces entreprises, la question de l’hébergement d’un outil de planning se pose en termes d’analyse de risque, pas d’obligation réglementaire. Ce qui compte :
- La localisation des données et la juridiction applicable à l’éditeur comme à l’hébergeur.
- La capacité de l’éditeur à documenter précisément son architecture.
- Le cloisonnement des accès, la traçabilité des actions, la réversibilité des données.
- Les exigences que votre donneur d’ordre vous répercute contractuellement — souvent plus déterminantes que la réglementation elle-même.
Un hébergement en France chez un hébergeur français, avec un éditeur français, répond à l’essentiel de ces attentes pour des données de planning et de temps non marquées.
Ce qui fait réellement échouer un dossier
En pratique, ce n’est presque jamais l’absence de qualification SecNumCloud qui bloque. C’est l’un de ces cinq points.
L’éditeur ne sait pas répondre au questionnaire de sécurité. Réponses vagues, délais de plusieurs semaines, renvoi vers le commercial : c’est éliminatoire, et à juste titre.
Les objectifs de reprise sont mauvais ou inconnus. Demandez le RPO — la quantité de données perdue en cas de sinistre — et le RTO — le délai de remise en service. Un éditeur qui sauvegarde une fois par jour vous fera perdre une journée entière de déclarations. Sur un outil qui pilote une production en cadence, c’est un sujet plus concret que la souveraineté.
La chaîne de sous-traitance est opaque. Tout éditeur SaaS s’appuie sur des tiers : e-mails transactionnels, paiement, notifications mobiles, cartographie. Exigez la liste complète, avec le rôle et la localisation de chacun. Une liste qu’on découvre en cours de projet coûte toujours plus cher qu’une liste annoncée d’emblée.
Il n’y a pas de clause de réversibilité. Vos données doivent rester exportables, pendant le contrat comme à son terme, dans un format exploitable et sans frais de sortie.
Aucun test d’intrusion externe n’a jamais été mené. C’est une demande standard des acheteurs du secteur, et l’absence de réponse en dit long sur la maturité de l’éditeur.
Comment poser la question à un éditeur
Plutôt que « êtes-vous SecNumCloud ? », qui appelle une réponse binaire souvent trompeuse, quatre questions vous en apprendront beaucoup plus :
- Où sont hébergées mes données, chez quel hébergeur, sur quelle offre exactement, et sous quelle juridiction ?
- Votre service applicatif est-il qualifié, ou est-ce l’infrastructure de votre hébergeur qui l’est ?
- Quels sont vos RPO et RTO, et quand avez-vous testé une restauration pour la dernière fois ?
- Pouvez-vous me transmettre la liste complète de vos sous-traitants, avec leur localisation ?
Un éditeur qui répond précisément à ces quatre questions, même quand certaines réponses ne sont pas flatteuses, est un partenaire plus sûr qu’un éditeur qui coche une case sans savoir ce qu’elle recouvre.
Chez Lemmpo, nous répondons à ces quatre questions dès le premier échange. Nos données sont hébergées en France chez OVHcloud ; dans l’offre Entreprise, un déploiement sur une infrastructure qualifiée SecNumCloud est possible sur demande ; et dans tous les cas, notre service applicatif n’est pas lui-même qualifié — nous le disons avant qu’on nous le demande. Notre questionnaire de sécurité pré-rempli est transmis sur demande aux équipes sécurité et conformité.
Pour aller plus loin
Pour approfondir le sujet :
- Logiciel souverain : le guide complet — le guide de référence sur la souveraineté logicielle.
- Notre page Sécurité — chiffrement, protection des accès, journalisation, sauvegardes et réversibilité.
- Souveraineté & sécurité — localisation des données, juridiction applicable et périmètre exact de la qualification SecNumCloud.
- Lemmpo pour la défense et l’industrie sensible — piloter la charge et les programmes dans un environnement exigeant.
- Comment choisir un outil de pilotage opérationnelle sans se tromper — la grille de comparaison au-delà des seuls critères de sécurité.
FAQ – SecNumCloud et sous-traitance défense
SecNumCloud est-il obligatoire pour une PME de la défense ?
Non, pas dans le cas général. L’obligation réglementaire vise les administrations d’État pour leurs données sensibles. Une PME ou ETI industrielle privée dont les données de planning, de temps et de charge ne portent aucune mention de protection particulière n’y est pas soumise.
Qui décide du niveau d’hébergement exigé ?
Votre autorité d’homologation interne, et le cas échéant votre donneur d’ordre par voie contractuelle. La réglementation fixe un plancher pour certains cas ; le reste relève de l’analyse de risque de votre organisation.
Un hébergeur qualifié SecNumCloud rend-il mon logiciel conforme ?
Non. L’ANSSI est explicite : la qualification d’une offre cloud ne préjuge pas du niveau de sécurité des services clients qui y sont hébergés. Un hébergeur qualifié peut héberger des applications qui ne le sont pas.
Et si mes données portent la mention Diffusion Restreinte ?
Le cadre change. L’instruction interministérielle n° 901 s’applique, et l’ANSSI préconise pour ces systèmes des offres cloud qualifiées SecNumCloud sur infrastructure dédiée. Il vous faut par ailleurs monter votre propre dossier d’homologation : celle de votre hébergeur ne se transmet pas.
Que doit-on vérifier en priorité chez un éditeur de logiciel ?
Sa capacité à répondre précisément à un questionnaire de sécurité : localisation des données, chiffrement, cloisonnement, durées de conservation, RPO et RTO, liste complète des sous-traitants et clause de réversibilité. Un éditeur qui esquive ces questions est un risque, qualifié ou non.