SecNumCloud et ISO 27001 : ce que le texte exige vraiment

Rédigé et vérifié par la rédaction QuellePlateforme, sous la responsabilité éditoriale de Jordan Berrabah-Albert (JA Studio). Sources officielles DGFiP. Mis à jour le 18/08/2026.

Sur les pages commerciales des plateformes agréées, deux sigles reviennent souvent : ISO 27001 et SecNumCloud. Ils ne désignent pas la même chose et ne s'obtiennent pas de la même façon. Le texte qui encadre l'immatriculation exige les deux, mais il ne les demande pas à la même partie. Voici ce qu'il demande exactement, et comment vérifier une annonce en quelques minutes.

Ce que le texte demande, et à qui

Les conditions d'immatriculation figurent à l'article 242 nonies B de l'annexe II au code général des impôts. Nous avons lu sa version en vigueur depuis le 29 juillet 2026, modifiée par le décret n° 2026-677 du 27 juillet 2026. Consultation du 18 août 2026. Deux points de son I nous intéressent ici.

Le 5° porte sur la plateforme elle-même. Elle produit « l'attestation de certification ISO/IEC/27001 en cours de validité relative à son système d'information ». Le périmètre est décrit largement. Il inclut l'ensemble des infrastructures, outils, services et éléments d'organisation informatique qui contribuent à son activité de facturation. La certification s'accompagne de l'engagement d'exploiter ce système d'information depuis le territoire d'un État membre de l'Union européenne. Elle est délivrée par un organisme accrédité par le Comité français d'accréditation, ou par un équivalent reconnu.

Le même 5° ajoute une phrase qui pèse lourd. « Ces exigences s'entendent pour la plateforme elle-même ainsi que pour l'ensemble des tiers sur lesquels elle peut choisir de s'appuyer dès lors qu'ils ont la possibilité technique d'obtenir les données opérées par le service ». La plateforme s'engage par ailleurs à ce qu'aucun transfert des données hébergées hors de l'Union européenne ne soit possible.

Le 4° porte sur l'hébergeur, pas sur la plateforme. Lorsque la plateforme recourt à un prestataire d'hébergement en nuage, elle fournit « la référence ou la copie de la décision de qualification SecNumCloud délivrée par l'Agence nationale de la sécurité des systèmes d'information en cours de validité la concernant ». Les mots « la concernant » visent le prestataire d'hébergement.

Le texte ne demande donc jamais qu'une plateforme agréée soit elle-même qualifiée SecNumCloud. Il demande la certification ISO 27001 de la plateforme, et la qualification SecNumCloud de son hébergeur lorsqu'elle en a un.

Une qualification en cours n'est pas une faute

Le 4° prévoit explicitement ce cas. « Dans le cas où la procédure de qualification est en cours, ces éléments peuvent être apportés au plus tard lors de la remise du rapport d'audit ». Ce rapport d'audit de conformité est dû dans l'année qui suit la notification du numéro d'immatriculation. Il comporte en annexe les conclusions des audits relatifs à la qualification SecNumCloud et à la certification ISO 27001. Un audit de surveillance suit, au plus tard à l'expiration de la deuxième année.

Être hébergé chez un prestataire dont la qualification est en cours est donc parfaitement régulier au stade de l'immatriculation. Les deux situations coexistent, et elles se disent avec des mots différents. « En cours de qualification » décrit une procédure engagée devant l'ANSSI. « Qualifié » décrit une décision rendue, inscrite au catalogue, avec une date de fin. Savoir laquelle des deux on lit change ce qu'on peut en conclure, sans rien dire de la qualité du service.

La qualification porte sur un service nommé, pas sur une société

L'ANSSI publie un catalogue des produits, services, profils de protection et sites certifiés, qualifiés et agréés. Sa section consacrée aux services d'informatique en nuage donne, pour chaque ligne, le nom du fournisseur, le nom du service, son type, une date de début, une date de fin, le lien vers la décision et un niveau de recommandation. Édition d'août 2026, mise à jour le 13 août 2026, relevée le 18 août : 25 services qualifiés SecNumCloud, portés par 11 fournisseurs.

Un même fournisseur peut avoir plusieurs services qualifiés, et d'autres qui ne le sont pas. La bonne question n'est donc pas de savoir si une société est qualifiée. C'est de savoir quel service précis l'est, et jusqu'à quelle date.

Deux listes coexistent, il faut savoir laquelle on lit

À côté du catalogue, l'ANSSI publie une page des prestataires en cours de qualification. Elle précise que « seuls apparaissent les projets de qualification que les prestataires ont accepté de rendre publics ». Au relevé du 18 août 2026, cette page comptait 16 prestataires.

Les deux listes ne s'excluent pas. Le même jour, quatre fournisseurs figuraient sur les deux à la fois : Cegedim, Cloud Temple, Orange Business et OVH. Ce n'est pas une anomalie. Une nouvelle offre se qualifie séparément de celles qui le sont déjà. Une capture d'écran ne prouve donc rien tant que vous ne savez pas de quelle liste elle vient.

Ce que disent les 25 décisions, lues une par une

Le catalogue renvoie vers la décision de chaque service. Nous les avons toutes ouvertes le 18 août 2026. Vingt-trois se lisent. Les deux autres, celles de Bare Metal Pod chez OVH et de Wimi Documents et co-édition, renvoient une erreur 404. Les liens publiés par le catalogue lui-même ne menaient à aucun fichier ce jour-là.

Chaque décision lue porte une annexe intitulée « Conditions d'utilisation du service ». Vingt-deux des vingt-trois y limitent la façon dont on accède au service. Une seule n'impose rien de tel. Trois rédactions coexistent.

• Neuf décisions précisent que l'accès se fait par un navigateur web, et que « l'accès des utilisateurs au service via des applications mobiles n'est pas couvert par la qualification ». Ce sont les quatre services d'Index Education, les trois d'Oodrive, Hosted Private Cloud chez OVH et IaaS Cloud on Demand chez Outscale.
• Sept décisions, tous les services Wimi de Cloud Solutions, reprennent la même règle en l'étendant aux « applications mobiles ou clients lourds ».
• Six décisions autorisent l'accès « via un navigateur web ou des API », et excluent l'accès « via des applications ». Ce sont Cegedim, les deux services de Cloud Temple, Cloud Avenue SecNum chez Orange Business Services, Whaller et Worldline. Ces six ajoutent une seconde exclusion, celle de l'infogérance et des services managés fournis en complément.
• Une décision, celle de Cloud de confiance S3NS chez Thales Cloud Sécurisé, ne comporte qu'une recommandation et aucune restriction d'accès.

Voici la rédaction complète de la décision n° 918 du 30 mai 2025, pour le service « IAAS - SECURE TEMPLE » de Cloud Temple.

• « Les utilisateurs du service n'accèdent au service que via un navigateur web ou des API ; l'accès des utilisateurs au service via des applications n'est pas couvert par la qualification. »
• « Les services de type infogérance ou services managés pouvant être fournis par CLOUD TEMPLE en complément du service IAAS - SECURE TEMPLE n'entrent pas dans le périmètre de la présente décision de qualification. »

Une application posée sur une infrastructure qualifiée n'est donc presque jamais couverte par la qualification de cette infrastructure. C'est pourquoi « hébergé chez un prestataire qualifié SecNumCloud » et « qualifié SecNumCloud » ne disent pas la même chose.

Ce n'est le défaut de personne. Une qualification SecNumCloud porte sur un service d'informatique en nuage, et l'ANSSI en fixe elle-même le périmètre. Une plateforme de facturation n'est pas l'objet que ce référentiel qualifie. Un éditeur peut donc être hébergé chez un prestataire qualifié, en tirer un vrai bénéfice de sécurité, et n'avoir aucune qualification à son nom. L'exception S3NS rappelle l'autre moitié de la règle : une qualification se lit décision par décision, jamais par analogie avec une autre.

Vérifier une annonce en trois minutes

• Ouvrez le catalogue de l'ANSSI et cherchez le nom du service, pas celui de la société. Notez la date de fin et le numéro de décision.
• Si ce nom n'y figure pas, regardez la page des prestataires en cours de qualification. Une présence à cet endroit signifie que la procédure est engagée, rien de plus.
• Ouvrez la décision par son numéro. Lisez son objet, ses dates, puis son annexe de conditions d'utilisation. Si le lien du catalogue ne répond pas, comme c'était le cas pour deux services le 18 août 2026, demandez la décision au prestataire.
• Pour la certification ISO 27001, demandez l'organisme certificateur, le numéro de certificat, l'échéance et le périmètre couvert. Sans ces quatre éléments, un logo reste invérifiable, ce qui ne veut pas dire qu'il est faux.

Trois questions à poser à un prestataire

• Sur quel service d'informatique en nuage, nommé, votre plateforme est-elle hébergée, et quel est le numéro de la décision de qualification ?
• Votre certification ISO 27001 couvre-t-elle l'ensemble des éléments qui contribuent à l'émission, à la transmission et à la réception des factures ?
• À quelle date votre rapport d'audit de conformité a-t-il été remis à l'administration, et un audit de surveillance est-il déjà programmé ?

Ces trois questions n'ont rien d'hostile. Elles reprennent ce que le texte demande déjà à toute plateforme immatriculée, et un interlocuteur qui suit son dossier y répond sans difficulté. Si la réponse tarde, elle remonte souvent à un service technique. Reposez-la plutôt que d'interpréter le silence.

Ce que nous publions sur nos fiches

Nous ne reprenons pas une mention de sécurité que nous ne pouvons pas recouper dans un registre public. Quand un éditeur annonce une qualification et que le nom du service reste introuvable, nous l'écrivons ainsi : la source publique ne permet pas de vérifier. Nous ne contestons pas, et nous n'affirmons pas davantage. Notre méthode et notre page de transparence détaillent cette règle. La distinction entre solution compatible et plateforme immatriculée est traitée sur notre page opérateur de dématérialisation ou plateforme agréée.

Sources

Sources officielles relevées le 18 août 2026 : article 242 nonies B de l'annexe II au code général des impôts, version en vigueur depuis le 29 juillet 2026 ; catalogue des produits, services, profils de protection et sites certifiés, qualifiés, agréés de l'ANSSI, édition d'août 2026 mise à jour le 13 août 2026 ; page Prestataires de services d'informatique en nuage (SecNumCloud) de l'ANSSI ; les 25 décisions de qualification liées depuis ce catalogue, ouvertes une par une, dont la décision n° 918/ANSSI/SDE/NP du 30 mai 2025. Deux d'entre elles étaient inaccessibles ce jour-là.

Questions fréquentes