SecNumCloud, HDS, C5 et ENS, fournisseur par fournisseur
La France, l'Allemagne et l'Espagne ont chacune leur propre référentiel de sécurité pour les services cloud, et les acheteurs publics de ces pays en exigent souvent un. Pour deux d'entre eux, l'autorité publie un registre, et nous le lisons. Pour les deux autres, aucun registre n'est lisible : nous ne pouvons relever que ce que le fournisseur affirme lui-même. Les deux types de preuve ne sont jamais mélangés ci-dessous.
| Fournisseur | SecNumCloud (France) | HDS (France, santé) | ENS (Espagne) | C5 (Allemagne) |
|---|---|---|---|---|
| 3DS Outscale | Au registre 1 service ; première échéance 2026-11-30 | Revendiqué | — | — |
| AWS European Sovereign Cloud | — | — | — | Revendiqué |
| Adobe | — | — | Au registre 1 certificat, ALTA ; première échéance 2027-11-21 | Revendiqué |
| Amazon Web Services | — | Revendiqué | Au registre 1 certificat, ALTA ; première échéance 2027-03-23 | — |
| Atlassian | — | — | — | Revendiqué rapport sur demande |
| Bleu | — | Revendiqué | — | — |
| Box | — | Revendiqué certificat publié | — | Revendiqué rapport sur demande |
| Cisco Webex | — | — | Au registre 1 certificat, ALTA ; première échéance 2027-12-23 | — |
| Cloudflare | — | — | Au registre 1 certificat, ALTA ; première échéance 2026-12-23 | Revendiqué |
| CrowdStrike | — | — | Revendiqué, absent du registre | Revendiqué |
| Databricks | — | — | — | Revendiqué |
| DeepL | — | — | — | Revendiqué rapport sur demande |
| ElevenLabs | — | Revendiqué | — | — |
| Figma | — | — | — | Revendiqué |
| Google Cloud | — | — | Au registre 1 certificat, ALTA ; première échéance 2027-10-16 | — |
| Google Workspace | — | — | Au registre 1 certificat, ALTA ; première échéance 2027-10-16 | Revendiqué |
| IONOS Cloud | — | — | — | Revendiqué rapport sur demande |
| Microsoft | — | Revendiqué | Au registre 3 certificats, ALTA ; première échéance 2028-04-24 | Revendiqué |
| MongoDB | — | Revendiqué | Au registre 1 certificat, ALTA ; première échéance 2027-07-07 | — |
| Notion | — | — | — | Revendiqué rapport sur demande |
| OVHcloud | Au registre 3 services ; première échéance 2026-12-29 | Revendiqué | Au registre 1 certificat, ALTA ; première échéance 2027-11-03 | Revendiqué |
| Okta | — | — | Au registre 1 certificat, ALTA ; première échéance 2028-02-10 | Revendiqué |
| OneTrust | — | — | Revendiqué, absent du registre certificat publié | — |
| Oracle Cloud | — | Revendiqué | Au registre 3 certificats, ALTA ; première échéance 2027-12-12 | Revendiqué |
| S3NS | Au registre 1 service ; première échéance 2028-12-17 | Revendiqué | — | — |
| SAP | — | — | Au registre 4 certificats, ALTA ; première échéance 2027-04-07 | — |
| STACKIT | — | — | — | Revendiqué rapport sur demande |
| Salesforce | — | Revendiqué | Au registre 9 certificats, ALTA ; première échéance 2026-12-19 | — |
| Scaleway | — | Revendiqué | — | — |
| Slack | — | — | Au registre 1 certificat, ALTA ; première échéance 2027-11-18 | Revendiqué rapport sur demande |
| Snowflake | — | Revendiqué rapport sur demande | — | — |
| T Cloud Public | — | — | Au registre 1 certificat, ALTA ; première échéance 2027-10-17 | Revendiqué |
| Zendesk | — | Revendiqué | — | — |
| Zoho | — | Revendiqué rapport sur demande | Au registre 1 certificat, MEDIA ; première échéance 2027-05-15 | — |
| Zoom | — | Revendiqué | Au registre 1 certificat, ALTA ; première échéance 2028-04-17 | Revendiqué |
| Zscaler | — | — | Au registre 1 certificat, ALTA ; première échéance 2028-07-31 | — |
« — » signifie que les pages du fournisseur que nous avons lues ne mentionnent pas ce référentiel et, pour SecNumCloud et l'ENS, que le registre ne contient aucune inscription sous les noms recherchés (la marque du fournisseur et ses entités juridiques enregistrées ; chaque fiche fournisseur les indique). Les fournisseurs sans aucune mention ne figurent pas dans le tableau.
SecNumCloud
SecNumCloud est la qualification que l'ANSSI (Agence nationale de la sécurité des systèmes d'information) délivre aux services cloud. Sa version actuelle, 3.2, ajoute des exigences destinées à soustraire le service aux lois extra-européennes, notamment des limites à la part du capital que des entités non européennes peuvent détenir. L'ANSSI publie les services qualifiés dans son catalogue, avec le numéro et les dates de chaque décision.
| Fournisseur | Service qualifié, tel que listé | Qualifié le | Jusqu'au |
|---|---|---|---|
| 3DS Outscale | Outscale IaaS Cloud on Demand | 2023-11-30 | 2026-11-30 |
| OVHcloud | OVH Hosted Private Cloud powered by VMware | 2023-12-28 | 2026-12-29 |
| OVHcloud | OVH Bare Metal Pod | 2025-03-24 | 2028-03-24 |
| OVHcloud | OVH SNC Cloud Platform | 2026-07-31 | 2029-07-31 |
| S3NS | Thales Cloud Sécurisé Cloud de confiance S3NS | 2025-12-17 | 2028-12-17 |
S3NS est une filiale de Thales qui exploite la technologie de Google Cloud ; sa qualification couvre son propre service, pas Google Cloud.
HDS (hébergement de données de santé)
En France, un prestataire qui héberge des données de santé à caractère personnel pour le compte de tiers, comme des établissements ou des professionnels de santé, doit être certifié HDS (hébergeur de données de santé). L'Agence du Numérique en Santé publie la liste des hébergeurs certifiés, mais son site répond aux lecteurs automatisés par un CAPTCHA, que nous ne résolvons pas : nous ne pouvons donc pas la vérifier. 16 fournisseurs revendiquent la certification HDS sur leurs propres pages : 3DS Outscale, Amazon Web Services, Bleu, Box, ElevenLabs, Microsoft, MongoDB, OVHcloud, Oracle Cloud, S3NS, Salesforce, Scaleway, Snowflake, Zendesk, Zoho et Zoom. Vérifiez la liste officielle avant de vous fier à l'un d'eux.
ENS (Espagne)
L'Esquema Nacional de Seguridad (décret royal 311/2022) s'applique au secteur public espagnol et aux fournisseurs dont les systèmes le servent. Un organisme accrédité certifie chaque système dans l'une des trois catégories, BÁSICA, MEDIA ou ALTA, et le CCN (Centro Criptológico Nacional) publie chaque certificat de conformité dans son registre. Un certificat couvre les systèmes d'information qu'il désigne, pas toute l'entreprise : chaque ligne ci-dessous est un certificat et son périmètre, cité tel que publié.
- Au registre, sans mention sur les pages du fournisseur que nous avons lues : Cisco Webex, Google Cloud, Google Workspace, SAP, Salesforce et T Cloud Public. Notre lecture de leurs pages de conformité n'a relevé aucune mention de l'ENS ; le certificat figure pourtant au registre.
- Revendiqué, mais aucun certificat sous les noms recherchés : CrowdStrike et OneTrust. Un certificat peut être détenu par une société du groupe sous un autre nom ; la fiche fournisseur indique les noms recherchés.
- Le certificat de Slack est délivré à sa maison mère, Salesforce, Inc., et désigne les services Slack.
C5 (Allemagne)
C5 est le catalogue de critères de conformité pour le cloud du BSI, l'office fédéral allemand de la sécurité informatique. Un auditeur indépendant contrôle le fournisseur selon ce catalogue et lui remet un rapport d'attestation, pas un certificat. Le BSI ne supervise pas ces audits et indique dans sa FAQ qu'il ne tient aucune liste des attestations. Pour C5, la seule preuve est donc la parole du fournisseur, et le rapport lui-même, que le fournisseur a en général intérêt à communiquer à ses clients. 20 fournisseurs du registre en revendiquent une : AWS European Sovereign Cloud, Adobe, Atlassian, Box, Cloudflare, CrowdStrike, Databricks, DeepL, Figma, Google Workspace, IONOS Cloud, Microsoft, Notion, OVHcloud, Okta, Oracle Cloud, STACKIT, Slack, T Cloud Public et Zoom.
Chaque déclaration, avec le type de rapport et la version indiqués par le fournisseur et la page où nous l'avons lue, figure sur la page BSI C5 (en anglais).
Échéance dans les quatre mois
Une inscription au registre porte une date de fin ; le renouvellement relève du fournisseur. Celles-ci arrivent à échéance en premier :
| Fournisseur | Référentiel | Périmètre | Jusqu'au |
|---|---|---|---|
| 3DS Outscale | SecNumCloud | Outscale IaaS Cloud on Demand | 2026-11-30 |
| Salesforce | ENS | Los sistemas de Información que soportan los servicios de Corporate Services ubicados en Centros de Datos externalizados en Reino Unido… | 2026-12-19 |
| Salesforce | ENS | Los sistemas de Información que soportan el servicio de Marketing Cloud Advertising on Hyperforce ubicado en Centros de Datos… | 2026-12-19 |
| Salesforce | ENS | Los sistemas de Información que soportan el servicio de Marketing Cloud Engagement ubicado en Centros de Datos externalizados en Alemania… | 2026-12-19 |
| Salesforce | ENS | Los sistemas de Información que soportan los servicios de Mulesoft enumerados en las páginas del Anexo del presente Certificado y ubicados… | 2026-12-19 |
| Salesforce | ENS | Los sistemas de Información que soportan los servicios de Salesforce Services enumerados en las páginas del Anexo del presente Certificado… | 2026-12-19 |
| Salesforce | ENS | Los sistemas de Información que soportan los servicios de Salesforce Services on Hyperforce enumerados en las páginas del Anexo del… | 2026-12-19 |
| Cloudflare | ENS | Los Sistemas de Información que soportan los servicios de Cloudflare, Inc. enumerados en la página del Anexo del Certificado y ubicados en… | 2026-12-23 |
| OVHcloud | SecNumCloud | OVH Hosted Private Cloud powered by VMware | 2026-12-29 |
Comment ces données sont lues
Le catalogue de l'ANSSI et le registre du CCN sont lus tels que leurs auteurs les publient, sans modèle d'IA intermédiaire, et relus chaque semaine. Le rapprochement d'une inscription avec un fournisseur se fait sur sa marque, ses entités juridiques enregistrées et son site web, et une personne le vérifie avant publication ; le certificat d'une société du groupe pour un autre service n'est pas attribué au fournisseur. Les déclarations proviennent des pages de confiance et de conformité du fournisseur, comme sur chaque fiche. Dernière lecture : 2026-11-09. La méthode complète est décrite sur la page méthode (en anglais).