Offres qualifiées SecNumCloud

Comparer une offre précise, pas seulement une marque

La qualification SecNumCloud concerne une offre de service et un périmètre définis. Un fournisseur peut commercialiser plusieurs offres dont certaines seulement sont qualifiées. Le tableau ci-dessus distingue donc le fournisseur, le nom du service, son type et l’échéance publiée dans le catalogue ANSSI. Il recense les services qualifiés, sans assimiler les organismes d’évaluation ou les candidats à la qualification à des offres déjà qualifiées.

Le catalogue officiel ANSSI reste la source à consulter avant une décision d’achat. Notre comparaison repose sur son édition du 15 septembre 2026, contrôlée à la date affichée. Pour vérifier une offre, rapprochez le nom commercial du service, la raison sociale de l’opérateur et la décision de qualification. Demandez le détail des fonctionnalités et des environnements couverts, particulièrement si le devis utilise une appellation différente.

Choisir le type de service adapté

• IaaS : ressources d’infrastructure pour lesquelles votre équipe conserve des responsabilités sur les systèmes et applications déployés.
• PaaS : plateforme permettant de déployer des applications avec une partie des composants techniques gérés par le fournisseur.
• CaaS : service de conteneurs, à comparer selon les fonctionnalités effectivement couvertes.
• SaaS : logiciel fourni comme service, pour un usage métier identifié.

Ces catégories facilitent une première sélection, mais ne remplacent pas la lecture du périmètre qualifié. Vérifiez notamment les régions d’hébergement, les services annexes, les sauvegardes, les mécanismes de support et les options que vous souhaitez utiliser. Une option disponible au catalogue commercial n’appartient pas nécessairement au périmètre de la qualification.

Préparer votre cahier des charges cloud

Décrivez les données et traitements à héberger, leurs besoins de disponibilité, les utilisateurs concernés et les intégrations avec votre système existant. Ajoutez les volumes de stockage, les ressources de calcul, les échanges réseau et les contraintes de localisation. Pour une application existante, listez ses dépendances et les adaptations nécessaires à une migration.

Précisez ensuite les exigences d’exploitation : gestion des identités, journalisation, chiffrement, sauvegardes, supervision et réponse aux incidents. L’ANSSI rappelle que la qualification de l’offre ne préjuge pas de la sécurité des applications du client qui y seront hébergées. Vos équipes doivent donc définir les responsabilités restant à leur charge et les mesures à mettre en place.

Comparer le coût complet et la réversibilité

Demandez un devis couvrant l’usage attendu, la migration, les services de support et les opérations récurrentes. Identifiez les coûts de transfert de données, de stockage, de sauvegarde et les engagements de durée. Cet annuaire n’affiche pas de pourcentage standard de surcoût : les modèles tarifaires et les périmètres diffèrent entre offres.

La sortie du service mérite autant d’attention que son démarrage. Faites préciser les formats d’export, les délais de récupération des données, les conditions d’assistance et les modalités de suppression. Pour les applications critiques, prévoyez une procédure de retour arrière, des tests de restauration et des critères d’acceptation avant la bascule.

Vérifier les dates et les responsabilités

Une qualification a un début et une fin de validité publiés dans la décision. Avant de signer, vérifiez son état actuel, le périmètre proposé et les engagements contractuels de votre interlocuteur. Si une décision arrive prochainement à échéance, demandez les informations relatives à son maintien ou à son renouvellement. Une démarche de qualification en cours ne vaut pas décision de qualification.

SecNumCloud peut contribuer à la maîtrise des risques d’un projet d’hébergement sensible. Son recours dépend de vos exigences applicables et de votre analyse de risques ; il ne constitue pas une garantie générale de conformité NIS2. Pour les contrôles techniques complémentaires, consultez les prestataires PASSI, et pour la surveillance des incidents les prestataires PDIS. Le calendrier NIS2 vous aide à structurer les autres étapes de préparation.