De SecNumCloud à EUCS : préparer vos clients au futur cadre cloud européen sans vous exposer
Le schéma européen EUCS va recomposer la qualification cloud. Niveaux d'assurance, exigences de souveraineté, articulation avec…
- EUCS (European Cybersecurity Certification Scheme for Cloud Services) est le futur schéma européen de certification cloud porté par l'ENISA dans le cadre du Cybersecurity Act.
- Le débat majeur a porté sur les exigences de souveraineté du niveau le plus élevé : leur calibrage conditionne directement la valeur de l'accompagnement que vous vendez à vos clients.
- Conseiller un client de "viser EUCS" sur la base d'un cadre encore mouvant est un risque de conseil concret : un client qui investit sur une cible qui se déplace peut se retourner contre vous.
- Déclarer l'activité EUCS à votre assureur et documenter l'état du cadre au jour du conseil sont deux protections essentielles, en complément d'une RC Pro adaptée.
EUCS, SecNumCloud, ISO 27001 : remettre de l'ordre dans les cadres
Vos clients vous posent de plus en plus la question : "Faut-il viser SecNumCloud, attendre EUCS, ou les deux ?" Pour conseiller juste, il faut tenir trois objets distincts.
- ISO/IEC 27001 : norme internationale de management de la sécurité de l'information. Socle, mais ne porte ni exigence de souveraineté ni qualification d'État.
- SecNumCloud 3.2 : référentiel national de l'ANSSI, qui ajoute notamment l'immunité aux lois extraterritoriales et un haut niveau d'exigence technique. C'est aujourd'hui la référence française pour les usages sensibles.
- EUCS : futur schéma européen de certification des services cloud, élaboré par l'ENISA dans le cadre du Cybersecurity Act. Vocation : harmoniser la certification cloud à l'échelle de l'UE, sur plusieurs niveaux d'assurance.
Le point de vigilance : EUCS et SecNumCloud ne sont pas interchangeables, et leur articulation finale dépend de décisions qui se sont précisées progressivement. Conseiller comme si tout était figé serait imprudent.
Le nerf de la guerre : les exigences de souveraineté du niveau le plus élevé
EUCS prévoit plusieurs niveaux d'assurance (typiquement Basic, Substantial, High). Toute la tension réglementaire s'est cristallisée sur le niveau le plus élevé : doit-il intégrer, à l'image de SecNumCloud, des exigences de souveraineté fortes (localisation, immunité aux lois extraterritoriales, contrôle capitalistique) ou se limiter à des exigences techniques de cybersécurité ?
Cette question n'est pas académique pour vous. Si vous accompagnez un cloud provider français qui a investi lourdement pour atteindre la souveraineté SecNumCloud, la valeur de cet investissement au regard d'EUCS dépend directement de la réponse. Un client qui vous entend dire "votre conformité souveraine vous donnera automatiquement le plus haut niveau EUCS" prend un risque si le schéma final en décide autrement. Et vous prenez le risque de conseil correspondant.
Sur un cadre en construction, le bon conseil n'est pas une promesse de résultat : c'est une cartographie honnête des scénarios et de leurs conséquences.
Comment positionner SecNumCloud 3.2 comme un actif transposable
La bonne nouvelle, à transmettre à vos clients : un investissement SecNumCloud 3.2 bien conduit n'est jamais perdu, quelle que soit la trajectoire EUCS. La majorité des contrôles techniques (isolation, chiffrement, gestion des clés, journalisation, gestion des incidents) constituent un socle largement réutilisable. La gouvernance, la cartographie des actifs et la maîtrise de la sous-traitance sont également transposables.
Votre rôle de consultant est de structurer la conformité pour qu'elle soit capitalisable :
- Documenter les contrôles de façon mappable vers d'autres référentiels (matrice de correspondance).
- Distinguer clairement les exigences strictement techniques des exigences politiques/souveraines, qui peuvent diverger entre cadres.
- Maintenir une veille active sur la consolidation d'EUCS et ses actes d'exécution.
Côté client, rappelez que la conformité n'est pas la sécurité opérationnelle : un dispositif d'assurance cyber reste nécessaire pour couvrir les incidents réels (intrusion, rançongiciel, fuite), distincts du risque de non-conformité.
Le risque de conseil propre à un cadre mouvant
Accompagner vers un référentiel établi (SecNumCloud 3.2) est un exercice de précision. Accompagner vers un cadre en cours de stabilisation (EUCS) ajoute un risque spécifique : la cible peut se déplacer entre le moment où vous conseillez et le moment où le client récolte. Trois pièges fréquents :
- La promesse d'équivalence automatique entre SecNumCloud et le plus haut niveau EUCS, alors que l'articulation finale relève de décisions européennes.
- Le sur-investissement prématuré : pousser un client à engager des dépenses lourdes sur des exigences EUCS non stabilisées, qui pourraient évoluer.
- Le sous-investissement inverse : déconseiller SecNumCloud "en attendant EUCS" et faire manquer au client des marchés accessibles dès aujourd'hui.
Dans chacun de ces cas, un client déçu peut chercher à engager votre responsabilité. La parade tient en deux temps : un conseil documenté (vous écrivez l'état du cadre au jour J et les hypothèses retenues) et une RC Pro qui couvre l'erreur d'appréciation et finance votre défense.
Déclarer EUCS à votre assureur : le réflexe qui évite l'exclusion
Un point technique d'assurance souvent négligé : votre contrat RC Pro couvre l'activité que vous avez déclarée. Si vous démarrez des missions d'accompagnement EUCS sans l'avoir signalé, vous risquez une contestation de garantie le jour d'un sinistre, l'assureur estimant que l'activité sinistrée n'entrait pas dans le périmètre souscrit.
La bonne pratique est simple : déclarez explicitement l'accompagnement au futur cadre EUCS en complément de SecNumCloud. Chez Insurio, cette activité est couverte sous le même contrat à condition d'être déclarée, ce qui sécurise vos missions sur les deux référentiels sans rupture de garantie. Pensez aussi à ajuster votre plafond si vous montez en gamme de clients (cloud providers stratégiques, opérateurs critiques).
En synthèse : EUCS est une opportunité commerciale réelle pour le consultant SecNumCloud, à condition de conseiller sur un cadre que vous décrivez honnêtement, de documenter vos hypothèses, et d'aligner votre couverture — RC Pro et garantie défense — sur le périmètre réel de vos missions.
Questions fréquentes
Non, ce sont deux cadres distincts. EUCS est le futur schéma européen porté par l'ENISA, tandis que SecNumCloud reste le référentiel national de l'ANSSI. Leur articulation s'est précisée progressivement ; il est prudent de conseiller les clients sur les deux sans présumer d'une équivalence automatique entre eux.
Non. La grande majorité des contrôles techniques (isolation, chiffrement, journalisation, gestion des incidents) et la gouvernance sont transposables vers d'autres référentiels. Votre rôle est de documenter la conformité de façon mappable pour la rendre capitalisable, quel que soit le cadre final retenu.
C'est une promesse à éviter tant que l'articulation entre les deux cadres n'est pas définitivement stabilisée. Promettre une équivalence automatique constitue un risque de conseil : si le schéma final en décide autrement, votre responsabilité peut être engagée. Privilégiez une cartographie honnête des scénarios.
Oui chez Insurio, l'accompagnement au futur cadre EUCS est couvert sous le même contrat que SecNumCloud, à condition de le déclarer. Une activité non déclarée peut entraîner une contestation de garantie en cas de sinistre, d'où l'importance de signaler ce périmètre à votre assureur.
Non. La certification atteste d'un niveau de sécurité organisationnel et technique, mais ne couvre pas le coût d'un incident réel (intrusion, rançongiciel, fuite de données). Pour le client comme pour le consultant, une assurance cyber reste un dispositif distinct et complémentaire de la conformité.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Consultant SecNumCloud — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Consultant SecNumCloud →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.