NumSpot passe la première étape du visa SecNumCloud pour son obtention en 2026

Après Scaleway il y a quelques jours, c'est NumSpot – offre de cloud portée par Docaposte (La Poste), Bouygues Telecom, Dassault Systèmes et la Banque des Territoires – qui annonce l'acceptation de sa demande de qualification "SecNumCloud" par l'Agence nationale de la sécurité des systèmes d'information (Anssi). Ce visa de sécurité atteste du plus haut niveau de sécurisation et de robustesse des données pour un fournisseur de cloud. On peut parler de "cloud souverain" ou "cloud de confiance". 

Fin du processus : début 2026

La procédure se compose de quatre étapes : J0, qui correspond à l'acceptation de la demande de qualification ; J1, l'acceptation de la stratégie d'évaluation ; J2, l'acceptation des travaux d'évaluation ; J3, la décision de qualification. NumSpot pense boucler ce processus à "l'horizon du premier trimestre 2026". 

Dans le cadre du visa SecNumCloud, l'Anssi ne qualifie pas une entreprise mais une offre. C'est ainsi que pour cette première étape, NumSpot a soumis pour qualification "les services Compute (VMs, stockages et réseaux) et ObjectStorage (type S3), ainsi que la solution de gestion d'identité (IAM)" proposés via l'offre IaaS d'Outscale, filiale cloud de Dassault Systèmes. "En fonction de l’avancée de la procédure de qualification (...)", NumSpot souhaite déposer un dossier de qualification sur "la couche PaaS de son offre de services cloud". 

Lancement de la commercialisation au premier trimestre 2025

La co-entreprise n'attend pas d'être qualifiée pour proposer ses services au secteur public et aux entreprises du secteur privé ayant des données sensibles. Elle a ainsi annoncé en novembre 2024 que dès le premier trimestre 2025, elle allait lancer "une première version d'une plateforme de cloud computing public". Plus précisément, la plateforme - actuellement testée en version bêta - intégrera "des services d'infrastructure (IaaS) et des services de plateforme (PaaS) managés", précisent les partenaires. Ils affirment que c'est la première fois que "des services de PaaS managés autour de conteneurs (Red Hat OpenShift, Kubernetes) et de bases de données sont disponibles sur un cloud public souverain visant la qualification de confiance".

Au second semestre 2025, NumSpot promet "des fonctions de montées de version en automatique" et une disponibilité en "multi-zones", c'est-à-dire "plusieurs régions cloud en France". La fonctionnalité d'autoscaling (mécanique de passage à l’échelle automatique) des services autour des données et des conteneurs est quant à elle prévue en 2026. L’offre de services d’observabilité sera renforcée sur 2025 et 2026 en offrant aux utilisateurs dans un premier temps des tableaux de bord puis une solution d'observabilité as a service, ajoute NumSpot.

Multiplier les qualifications

Adossé sur l'infrastructure d'Outscale, NumSpot possède pas ce biais plusieurs qualifications, telles que le label "hébergeur de données de santé" (HDS) et ISO 27001. L'entreprise a été qualifiée ISO 27036 (la sécurité de l'information dans les relations avec les fournisseurs) en 2024. Elle sera proposée à reconduction au premier semestre 2025.

NumSpot rejoint Scaleway, Free Pro, S3NS et SFR Business qui ont tous passé le J0 de l'Anssi. Récemment, c'est Cegedim.cloud qui a annoncé avoir décroché la qualification SecNumCloud dans sa version 3.2. Ils poursuivent tous le même objectif : répondre aux attentes du marché en matière d'hébergement de données sensibles dans le secteur public et le secteur privé. En effet, cette certification permet d'assurer une imperméabilité aux lois extraterritoriales, en particulier celles américaines, ainsi que de se protéger des intrusions malveillantes. 

Dans l'attente de l'issue des négociations sur l'EUCS

Il reste à voir quelle issue auront les négociations sur le schéma européen de certification cloud (European Union Cybersecurity Certification Scheme for Cloud Services, EUCS). En fonction de l'intégration ou non d'un critère de non-soumission aux lois étrangères, il pourrait anéantir le visa de sécurité français et ouvrir la porte à la qualification des offres des hyperscalers (Amazon Web Services, Google Cloud Platform, Microsoft Azure).