SecNumCloud er det franske cybersikkerhedsagentur ANSSI’s kravsæt for udbydere af cloud og ekstern hosting. En dansk virksomhed kan bruge kvalifikationen som krav til sine mest følsomme systemer og kravsættet som tjekliste over for alle udbydere, men ordningen er fransk, og intet dansk regelsæt henviser til den.
Artiklen bygger på ANSSI’s kravdokument i version 3.2 af 8. marts 2022, læst 9. november 2026. At ordningen kan bruges af en dansk privat virksomhed, er vores læsning. Hvilke krav ordningen stiller til ejerskab, og hvordan den hænger sammen med EU’s arbejde, er beskrevet på digital-suveraenitet.dk.
Hvad ordningen er
Kravsættet hedder på fransk “Prestataires de services d’informatique en nuage (SecNumCloud), référentiel d’exigences”. Det dækker fire slags tjenester: infrastruktur (IaaS), containere (CaaS), platform (PaaS) og software (SaaS). Det bygger på strukturen i ISO 27001’s bilag A og lægger ekstra krav oveni. ANSSI skriver selv, at de to regelsæt derfor ikke er ligeværdige.
En udbyder bliver kvalificeret efter ANSSI’s proces for tillidstjenester. Det betyder, at alle krav i dokumentet er opfyldt for den del af udbuddet, udbyderen har valgt. Kravsættet skelner mellem krav, der kontrolleres, og anbefalinger, der ikke gør.
ANSSI skriver også, at dokumentet kan bruges som god praksis uden for enhver regulering. Det er den åbning, en dansk virksomhed kan bruge.
I Frankrig har ordningen en fast plads hos staten. Statens digitale direktorat, DINUM, kræver i sin cloud-doktrin, at kommercielle cloudtilbud til data af særlig følsomhed har SecNumCloud eller en tilsvarende europæisk kvalifikation. Det er en regel for den franske stat og gælder ikke danske virksomheder.
Kvalifikationen gælder en tjeneste
Det vigtigste for en køber står i kravsættets afsnit 3.2. En kvalificeret udbyder må gerne levere andre tjenester, der ikke er kvalificeret, og kan da ikke påberåbe sig kvalifikationen for dem.
ANSSI’s anbefalinger til kunderne i bilag 2 følger heraf. Vælg udbyderen fra ANSSI’s katalog over kvalificerede udbydere, og kræv, at det står i aftalen, at netop jeres ydelse er kvalificeret. Et navn på listen er altså den første betingelse, og aftaleteksten er den anden. Samme logik gælder for andre certifikater; se ISO 27001 på udbyderens side.
Det, ordningen udelukker
Kapitel 19 er det, der adskiller SecNumCloud fra rene sikkerhedskataloger. Kort fortalt:
- Kundens data og de tekniske data (identiteter, logfiler, adgangsopsætning, certifikater) skal lagres og behandles i EU.
- Administration og overvågning af tjenesten skal ske fra EU. Support til kunden må ske fra et land uden for EU, når opgaverne er beskrevet, og adgangen styres fra EU.
- Aftalen skal følge lovgivningen i en EU-medlemsstat.
- Udbyderens hjemsted skal ligge i EU, og ejere og underleverandører uden for EU er begrænset.
En tjeneste, der drives direkte af en udbyder uden for EU, kan derfor ikke kvalificeres. Konstruktioner, hvor et europæisk selskab driver teknologi fra en amerikansk udbyder, kan derimod godt. S3NS skriver pr. november 2026, at deres tilbud PREMI3NS bygger på Google Clouds teknologi og er kvalificeret efter version 3.2. Den slags løsninger gennemgås i Delos, Bleu og S3NS.
Det, ordningen ikke dækker
Afsnit 3.3.2 er værd at læse, før kvalifikationen bliver et argument i en beslutning:
- Kravsættet giver efter ANSSI’s egne ord ingen stærke tekniske garantier mod, at udbyderen selv får adgang til data, kun aftalemæssige forpligtelser. Vil I være teknisk beskyttet mod udbyderen, skal I selv kryptere med nøgler, I kontrollerer.
- Virtualisering skal ikke regnes for en adskillelse på højde med fysisk adskillelse.
- Ordningen erstatter ikke særlige lovkrav, fx til sundhedsdata.
Sproget
Afsnit 19.3 kræver, at brugerfladerne mindst findes på fransk, og at første niveau af support gives på fransk. Andre sprog er tilladt, og kravsættet siger intet om dansk eller engelsk. Spørg om sprog og åbningstider for jeres egne folk, før I vælger; se support og sprog.
Tre måder at bruge den i en dansk virksomhed
Som krav til de mest følsomme systemer. Kan I bruge en fransk eller fransktalende udbyder, kan en kvalificeret ydelse stå som krav i kravarket for de få systemer, hvor ejer, lokalisering og administration fra EU vejer tungest.
Som tjekliste til alle udbydere. Aftalekravene i afsnit 19.1 kan lånes direkte: en klausul om tilbagelevering af alle jeres data i dokumenterede formater eller via dokumenterede grænseflader, oplysning om tilgængelighed, oplysning om sikkerhedskopiering, oplysning om fjernadgang til administration og support, og sletning ved aftalens ophør med varsel. Afsnit 19.6 giver desuden et krav om skriftlig besked inden for en måned ved ændringer, der påvirker ejerskab eller jurisdiktion. Sæt dem ind i jeres krav på én side.
Som spørgsmål til en udbyder uden kvalifikation. ANSSI anbefaler i afsnit 3.3.1, at kunden beder en ikke-kvalificeret udbyder om en liste over de krav, ydelsen ikke opfylder. Det er et enkelt spørgsmål, og svaret siger meget.
Eksempler pr. november 2026
ANSSI’s katalog over kvalificerede tjenester kunne ikke læses ved opslaget 9. november 2026, fordi siden afviser automatiske opslag. Eksemplerne her er udbydernes egne oplysninger. Tjek altid kataloget selv.
- OVHcloud skriver i registreringsdokumentet for 2025, at tjenesten Hosted Private Cloud blev kvalificeret i 2021, og at Bare Metal Pod er kvalificeret efter version 3.2. Se OVHcloud efter samme målestok.
- S3NS oplyser, at PREMI3NS er kvalificeret efter version 3.2.
- Scaleway oplyser, at kvalifikationen er under bedømmelse. Se Scaleway efter samme målestok.
- Bleu oplyser, at kvalifikationen er i gang.
Rækkefølgen er alfabetisk inden for de to grupper og er ingen rangering.
Ordningen og EU
EU’s fælles ordning EUCS er ikke vedtaget, og arbejdet med den skal genoptages ifølge Kommissionen. Forslaget til CADA lader nationale ordninger gælde, indtil en europæisk findes. Om SecNumCloud dermed vil tælle i EU, afhænger af den endelige tekst. Det er et forslag. Se EUCS.
Hvad det kræver, og hvad det koster at lade være
At læse kapitel 19 og bilag 2 og omsætte dem til krav tager en arbejdsdag for en, der kender jeres aftaler. At bede udbyderne om svar og læse dem tager nogle dage mere. Bruger I en kvalificeret ydelse, skal I regne med franske vilkår, ofte fransk support og et mindre udvalg af tjenester.
Lader I være, mister I et færdigt sæt krav, der er gennemprøvet hos en myndighed. Posten er tiden til at skrive tilsvarende krav selv, og risikoen for at tro, at et navn på listen dækker en ydelse, der ikke er kvalificeret.
Det skal I lade være med
- At læse udbyderens navn på listen som en kvalificeret ydelse · aftalen skal sige det om netop jeres ydelse.
- At regne kvalifikationen for kryptering · ANSSI skriver selv, at beskyttelsen mod udbyderen er aftalemæssig.
- At kræve SecNumCloud for alle systemer · udvalget er lille og fransk, og de fleste systemer kan klare sig med andre krav.
Det skal valget kunne vise
- ☐ Hvilke systemer der skal have SecNumCloud som krav, og hvorfor.
- ☐ ANSSI’s katalog slået op, med dato.
- ☐ Aftaletekst, der siger, at ydelsen er kvalificeret.
- ☐ Svar fra udbydere uden kvalifikation om de krav, de ikke opfylder.
- ☐ Jeres egen kryptering, hvor beskyttelse mod udbyderen er nødvendig.
Kilder
- ANSSI: Prestataires de services d’informatique en nuage (SecNumCloud), référentiel d’exigences, version 3.2, 8. marts 2022, afsnit 1.1, 3, 4, 19 og bilag 2, læst 9. november 2026.
- DINUM: Doctrine d’utilisation de l’informatique en nuage par l’État, læst 9. november 2026.
- S3NS: forside, læst 8. november 2026.
- Scaleway: Security and compliance, læst 8. november 2026.
- Bleu: forside, læst 8. november 2026.
- OVHcloud: Universal Registration Document 2025, s. 10 og 15.
Senest gennemgået: november 2026.
Næste skridt
Vælg de to eller tre systemer, hvor ejer og administration fra EU vejer tungest, og læg kravene fra kapitel 19 ind i kravarket for dem.
Læs også: C5 og C3A · ISO 27001 på udbyderens side
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
