Réponse · Achat
Comment vérifier qu’un fournisseur cloud est vraiment souverain ?
Trois vérifications, dans cet ordre : le contrôle du capital (européen ou non), la juridiction depuis laquelle le support et l’administration interviennent, et la maîtrise des clés de chiffrement. Puis vérifier la qualification SecNumCloud sur le catalogue officiel de l’ANSSI, en contrôlant le périmètre exact et la date de validité.
Ne pas se fier à la plaquette
- La mention « SecNumCloud » sur un document commercial ne dit ni sur quel service porte la qualification, ni si elle est encore valide. Une offre peut être qualifiée pour un service et pas pour un autre.
- La seule source qui fait foi est le catalogue des produits et services qualifiés de l’ANSSI.
Les preuves à exiger dans un appel d’offres
- Le certificat et son périmètre, pas une déclaration.
- L’organigramme capitalistique et l’éventuelle licence de technologie tierce.
- La localisation des équipes de support et les conditions d’accès aux données.
Le guide complet : méthode en 6 étapes, mesures supplémentaires, plan de repli.
Lire le guideVoir aussi : Toutes les réponses · Checklist transferts IA · Comparatif des mécanismes