NOS ENGAGEMENTS
Qualification SecNumCloud : la situation d'Hexagone et d'Interstis Solutions
De nos jours la sécurité est devenue un sujet préoccupant et le nombre de cyberattaques ne cesse de croître. L’un des meilleurs moyens pour assurer la sauvegarde de vos données est aujourd’hui le cloud. C’est dans un objectif de sécurité et de simplicité d’utilisation qu’Interstis Solutions a fait le choix d’un environnement qualifié SecNumCloud grâce à son partenariat avec 3DS Outscale (Dassault Systèmes). Aussi, l'entreprise Interstis Solutions a officiellement intégré la liste, très sélective, des éditeurs en cours de qualification SecNumCloud.
Mis à jour le 23/09/2026
L'essentiel
- Hexagone, la suite collaborative éditée par Interstis Solutions, est hébergée en France sur l'offre de 3DS Outscale (Dassault Systèmes), qualifiée SecNumCloud par l'Agence Nationale de la Sécurité des Systèmes d'Information (ANSSI).
- Interstis Solutions a engagé Hexagone, sa suite collaborative, dans le processus de qualification SecNumCloud de l'ANSSI. Hexagone est donc en cours de qualification (J0 atteint), et non qualifiée à ce jour.
- Un service hébergé sur une offre qualifiée SecNumCloud n'hérite pas de la qualification : il doit suivre son propre processus auprès de l'ANSSI. C'est la démarche qu'Interstis Solutions a engagée.
Hexagone est-elle qualifiée SecNumCloud ?
Non. Hexagone est en cours de qualification SecNumCloud. Interstis Solutions, éditeur de la suite, a engagé la démarche auprès de l'ANSSI, l'autorité qui délivre cette qualification et a récemment rejoint la liste des éditeurs en cours de qualification.
Hexagone est en revanche hébergée sur une offre qualifiée : celle de 3DS Outscale, filiale cloud de Dassault Systèmes, qualifiée SecNumCloud par l'ANSSI. Les données des utilisateurs d'Hexagone sont stockées et traitées en France.
Ces deux faits sont distincts et nous tenons à ne pas les confondre. L'ANSSI le formule ainsi : une offre hébergée sur une offre SecNumCloud n'est pas automatiquement qualifiée SecNumCloud elle-même. Tant que le processus n'est pas achevé, Interstis Solutions n'affiche ni le Visa de sécurité ANSSI, ni la mention « qualifié SecNumCloud ».
Qu'est-ce que la qualification SecNumCloud ?
SecNumCloud est un référentiel d'exigences publié par l'ANSSI en 2016, dont la version en vigueur est la 3.2. Il permet de qualifier des prestataires de services cloud — IaaS, PaaS, SaaS et CaaS — qui démontrent un haut niveau de sécurité et de confiance. La qualification prend la forme d'un Visa de sécurité ANSSI, valable trois ans et suivi par des audits annuels de surveillance.
Ce n'est ni un service ni un label auto-déclaré : c'est un processus d'évaluation conduit par un centre d'évaluation agréé, sous le contrôle de l'ANSSI.
La version 3.2 du référentiel ajoute des exigences d'immunité au droit extra-européen. Concrètement, le prestataire doit démontrer :
- un siège social établi dans un État membre de l'Union européenne ;
- une capitalisation où les entités hors UE restent minoritaires ;
- la maîtrise du recours à des sociétés tierces hors UE ;
- une autonomie d'exploitation continue du service ;
- une indépendance vis-à-vis des ingérences.
S'y ajoutent des exigences de localisation : le stockage et le traitement des données, les annuaires de comptes d'administration et d'utilisateurs, ainsi que les données techniques doivent être localisés sur le territoire de l'Union européenne.
Selon l'ANSSI, la qualification permet de résister à la menace isolée ou hacktiviste, à la menace cybercriminelle de bon niveau, et à une injonction fondée sur des lois extraterritoriales portant atteinte à la disponibilité, la confidentialité ou l'intégrité du service.
Quelle différence entre un hébergement qualifié et une application qualifiée ?
| Type d'offre | Ce qui est qualifié | Ce qui ne l'est pas |
|---|---|---|
| Une offre IaaS qualifiée | L'infrastructure d'hébergement | Les applications que des tiers y déploient |
| Une offre SaaS qualifiée | Le service applicatif, dans son périmètre évalué | Les usages que le client en fait |
L'ANSSI prévoit toutefois un mécanisme adapté à ce cas : la qualification par composition. Un éditeur de SaaS qui s'appuie sur une offre IaaS déjà qualifiée voit le socle « détouré » de son évaluation, celle-ci portant principalement sur la convention de service passée avec le fournisseur. La charge d'évaluation est réduite, mais la démarche reste entière : l'éditeur doit s'inscrire officiellement dans le processus de qualification pour obtenir le Visa.
C'est exactement la voie suivie par Interstis Solutions pour Hexagone, sur le socle qualifié de 3DS Outscale.
Qui délivre la qualification SecNumCloud ?
L'ANSSI. La qualification est prononcée au terme d'un processus d'évaluation conduit par un centre d'évaluation agréé, placé sous le contrôle de l'agence, puis suivie par des audits annuels.
Interstis Solutions a engagé Hexagone dans ce processus. Pour le détail des étapes, le référentiel applicable et l'état du marché, le site de l'ANSSI fait autorité :
Que change une qualification en cours pour un acheteur public ?
Ce qu'une démarche en cours apporte : une architecture conçue pour répondre aux exigences du référentiel 3.2, une trajectoire de mise en conformité auditée, et un hébergement déjà assuré sur une offre qualifiée. Pour un acheteur, c'est un signal de pérennité — la solution ne sera pas disqualifiée au prochain renouvellement de marché.
Ce qu'elle n'apporte pas : les garanties contractuelles attachées à la qualification effective. Une entité soumise à une obligation réglementaire de recourir à une offre qualifiée SecNumCloud ne peut pas s'appuyer sur une démarche en cours pour y satisfaire.
L'ANSSI rappelle par ailleurs que le recours à une offre qualifiée ne dispense pas le client de sa propre analyse de risques et de son homologation de sécurité : la qualification ne préjuge pas du niveau de sécurité du service numérique que le client héberge dessus.
Interstis Solutions, éditeur d'Hexagone et 3DS Outscale, une histoire longue
Le choix d'un hébergeur n'a jamais été pour nous une décision d'infrastructure. C'est une décision de confiance, et nous l'avons prise en 2021 — bien avant que la souveraineté numérique ne devienne un argument commercial.
Nous cherchions un partenaire français, capable de tenir des exigences de sécurité que peu de nos clients formulaient encore, et prêt à s'inscrire dans la durée. 3DS Outscale, filiale cloud de Dassault Systèmes, répondait à ces critères.
Ce partenariat a façonné la manière dont Hexagone est construite. Aligner la suite sur les exigences du référentiel SecNumCloud n'a pas été un chantier de rattrapage : c'est la continuité d'une architecture pensée dès l'origine pour un hébergement souverain, sur une infrastructure elle-même qualifiée. Aujourd'hui, nous sommes nous-mêmes engagés dans le processus de qualification et avons intégré la liste, très sélective, des éditeurs officiellement en cours de qualification.
SecNumCloud, ISO 27001, SOC 2 : quelles différences ?
SecNumCloud
ISO/IEC 27001
SOC 2
Les trois ne s'excluent pas. Le référentiel SecNumCloud est structuré sur les chapitres de l'annexe A d'ISO/IEC 27001, et un prestataire peut cumuler SecNumCloud, ISO 27001 et, pour les données de santé, la certification HDS.
Au niveau européen, le schéma de certification EUCS, auquel la France contribue en portant les critères SecNumCloud, n'est pas finalisé à ce jour.
Questions fréquentes
Hexagone est-elle qualifiée SecNumCloud ?
Non. Hexagone, la suite collaborative éditée par Interstis Solutions, est en cours de qualification SecNumCloud auprès de l'ANSSI. Elle est hébergée sur l'offre de 3DS Outscale, qui est elle-même qualifiée SecNumCloud. Toutefois, Interstis Solutions figure officiellement, pour la suite Hexagone, dans la liste des éditeurs en cours de qualification SecNumCloud.
Où sont hébergées les données d'Hexagone ?
En France, sur l'infrastructure de 3DS Outscale, filiale cloud de Dassault Systèmes, qualifiée SecNumCloud par l'ANSSI.
Que signifie « en cours de qualification SecNumCloud » ?
Cela signifie que l'ANSSI a accepté la demande de qualification de l'offre et que le processus d'évaluation est engagé. La qualification n'est acquise qu'au terme de ce processus, qui comprend des audits conduits par un centre d'évaluation agréé. L'ANSSI publie sur son site les offres qualifiées et les projets de qualification rendus publics.
Une application hébergée sur un cloud SecNumCloud est-elle qualifiée SecNumCloud ?
Non. L'ANSSI précise qu'une offre hébergée sur une offre qualifiée SecNumCloud n'est pas automatiquement qualifiée elle-même. Elle doit être soumise à son propre processus de qualification pour obtenir le Visa de sécurité.
Qu'est-ce que la qualification par composition ?
C'est le mécanisme prévu par l'ANSSI pour un éditeur de SaaS ou de PaaS qui s'appuie sur une offre déjà qualifiée SecNumCloud. Le socle qualifié est « détouré » de l'évaluation, ce qui réduit la charge d'audit, mais l'éditeur doit tout de même s'inscrire officiellement dans le processus de qualification.
Hexagone peut-elle répondre à un marché public exigeant SecNumCloud ?
Une entité soumise à une obligation de recourir à une offre qualifiée SecNumCloud ne peut pas s'appuyer sur une démarche en cours pour y satisfaire. Pour les marchés qui n'imposent pas cette exigence, l'hébergement d'Hexagone sur une offre qualifiée et son engagement dans le processus constituent des éléments de réponse. Contactez nos équipes pour l'analyse de votre cas.
Quelle différence entre SecNumCloud et ISO 27001 ?
SecNumCloud est une qualification délivrée par l'ANSSI qui porte sur une offre de cloud précise et impose la localisation des données dans l'Union européenne ainsi qu'une immunité au droit extra-européen. ISO/IEC 27001 est une certification internationale portant sur un système de management de la sécurité de l'information, sans exigence de localisation.
Combien de temps la qualification SecNumCloud est-elle valable ?
Trois ans, sous réserve du respect des engagements du prestataire, avec des audits annuels de surveillance. Le prestataire peut ensuite en demander le renouvellement.