SecNumCloud, HDS, ISO 27001 : quelle certification pour quel projet ?

Trois sigles reviennent dans tout appel d’offres cloud sérieux : SecNumCloud, HDS, ISO 27001. On les confond, on les empile, on les exige parfois à tort. Chacun répond à une question différente et ne se substitue pas aux autres. Voici à quoi sert chacun, lequel s’impose selon votre secteur, et comment les combiner sans payer pour un niveau dont vous n’avez pas besoin.

ISO 27001 : la base, pas la garantie de souveraineté

ISO 27001 est une norme internationale de management de la sécurité de l’information. Elle atteste qu’un fournisseur a mis en place un système documenté pour identifier ses risques et les traiter. C’est un socle sérieux, attendu de tout hébergeur professionnel.

Sa limite : elle ne dit rien du droit applicable. Un hébergeur américain peut être parfaitement certifié ISO 27001 tout en restant soumis au Cloud Act. La norme couvre le « comment on sécurise », pas le « qui peut accéder légalement ». Considérez-la comme un prérequis, jamais comme une réponse à la question de la souveraineté.

HDS : obligatoire pour les données de santé

La certification HDS (Hébergeur de Données de Santé) est une obligation légale en France dès que vous hébergez des données de santé à caractère personnel pour le compte de tiers. Elle reprend le socle ISO 27001 et ajoute des exigences propres au secteur, avec un contrôle rattaché au cadre réglementaire de la santé.

Si vous manipulez des données de santé identifiantes, HDS n’est pas une option de confort : c’est la loi.

Éditeurs de logiciels médicaux, plateformes de télésanté, laboratoires : sans hébergeur HDS, vous êtes hors des clous, quelle que soit la qualité technique de votre infrastructure.

SecNumCloud : le plus haut niveau, pour le plus sensible

SecNumCloud est la qualification délivrée par l’ANSSI. Elle vise les offres cloud manipulant des données sensibles et va plus loin que les autres : elle exige des garanties d’immunité aux législations extraterritoriales, donc une protection contre le Cloud Act. C’est le seul des trois qui traite frontalement la question de la souveraineté juridique.

Sovra est opéré sur 3DS Outscale, dont la région cloudgouv est qualifiable SecNumCloud. Cette qualification est requise ou fortement attendue pour l’administration, certains opérateurs d’importance vitale, et les projets touchant à la sécurité nationale.

Comment les combiner selon votre projet

Ces labels s’additionnent selon votre secteur et votre niveau de sensibilité :

• SaaS grand public sans donnée réglementée : ISO 27001 suffit dans la plupart des cas.
• Santé : HDS obligatoire, ISO 27001 en socle.
• Secteur public, défense, OIV : SecNumCloud requis ou vivement recommandé pour les données sensibles.
• Éditeur qui vend au public et au privé régulé : ISO 27001 partout, avec une option SecNumCloud sur le périmètre qui en a besoin.

Ma recommandation

Ne surqualifiez pas par précaution. SecNumCloud a un coût et une contrainte opérationnelle qui ne se justifient que pour les données réellement sensibles. À l’inverse, ne bricolez pas : si la loi impose HDS, aucun montage technique ne vous en dispense. La bonne méthode consiste à segmenter vos charges par niveau de sensibilité, puis à placer chaque segment sur le label strictement nécessaire, avec la possibilité d’activer SecNumCloud là où l’enjeu l’exige.

Un cadrage par charge, croisé avec votre secteur, permet de dimensionner exactement le niveau de certification à financer.<