Le besoin naît presque toujours d'une contrainte écrite : la doctrine « cloud au centre » de l'État pour les données sensibles, la certification HDS pour les données de santé, NIS2, le contrôle des exportations. Le travail commence souvent par le choix d'un fournisseur, parfois par un appel d'offres : quelle offre qualifiée SecNumCloud, pour quels usages, avec quels services réellement disponibles. Viennent ensuite la landing zone, les clés, la sauvegarde, la supervision et la réversibilité.
Le mot souverain recouvre des réalités différentes, et les CV les mélangent. Une région française d'un hyperscaler américain n'est pas qualifiée. SecNumCloud qualifie une offre donnée d'un fournisseur, pour un périmètre de services et une durée limitée. On trouve au catalogue des offres IaaS d'OVHcloud, d'Outscale, de Cloud Temple ou de Worldline, et PREMI3NS de S3NS depuis décembre 2025, alors que Bleu est encore en cours de qualification à l'automne 2026. Les services y sont moins nombreux que sur le cloud public de l'éditeur dont la technologie est reprise.
Trois points font la différence : l'offre qualifiée utilisée, les services remplacés faute de les trouver dans le périmètre, la gestion des clés. Les réponses séparent vite l'expérience vécue de la lecture du référentiel. Le PDF contient un cas de bascule d'une application depuis Azure.
Le cadre réglementaire et les offres à connaître
SecNumCloud 3.2
Le référentiel de l'ANSSI qui qualifie une offre de cloud, en IaaS, PaaS ou SaaS. La version 3.2 ajoute la protection contre le droit extra-européen : fournisseur contrôlé depuis l'Union européenne, données et opérations localisées dans l'UE. La qualification couvre un périmètre de services précis, pour une durée limitée, à vérifier au catalogue de l'ANSSI.
Doctrine « cloud au centre »
La doctrine de l'État sur l'usage du cloud. Sa règle 9 impose, pour les données dont la compromission toucherait l'ordre public, la sécurité publique, la santé des personnes ou la propriété intellectuelle, une offre qualifiée SecNumCloud ou équivalente, immunisée contre les accès d'autorités d'États tiers. Sa règle 10 demande la portabilité.
Offres IaaS qualifiées
OVHcloud, Outscale, Cloud Temple, Worldline ou Cegedim proposent des offres IaaS qualifiées, parfois avec du Kubernetes ou de l'OpenShift managé. Les services managés de haut niveau (bases, files de messages, IA) y sont plus rares que sur un cloud public. L'architecte construit ou fait héberger ce qui manque.
S3NS et Bleu
S3NS (Thales, technologie Google Cloud) et Bleu (Orange et Capgemini, technologie Microsoft) exploitent des technologies d'hyperscalers dans des sociétés de droit français. L'offre PREMI3NS de S3NS est qualifiée SecNumCloud 3.2 depuis décembre 2025, Bleu est en cours de qualification à l'automne 2026. Le catalogue et le calendrier de chaque service se vérifient auprès du fournisseur.
Chiffrement et gestion des clés
Le chiffrement au repos et en transit est attendu partout. La question porte sur qui détient les clés : le fournisseur, le client dans le KMS du fournisseur (BYOK), ou le client hors du cloud, dans son propre HSM (HYOK ou gestion externe des clés). Plus le client garde la main, plus l'exploitation se complique.
HDS et NIS2
La certification HDS est obligatoire pour héberger des données de santé à caractère personnel ; son référentiel de 2024 exige un stockage dans l'Espace économique européen. La directive NIS2 étend les obligations de sécurité à de nombreuses entités. L'architecte traduit ces textes en exigences techniques vérifiables.
Réversibilité et portabilité
La capacité à quitter une offre avec ses données et ses configurations, dans un délai et un format prévus au contrat. Elle se prépare dès la conception : formats ouverts, Terraform ou OpenTofu, Kubernetes, exports de bases testés, clauses de réversibilité.
Sauvegarde, journaux et détection
Sauvegardes, journaux et supervision de sécurité restent dans le périmètre de confiance, ce qui écarte souvent les outils SaaS hébergés hors UE. On y trouve Veeam ou NetBackup, des SIEM opérés en France et des prestataires de détection qualifiés par l'ANSSI (PDIS).
Le poste apparaît chez les organisations qui hébergent des données sensibles au sens de la doctrine de l'État, des données de santé ou des données soumises au contrôle des exportations, et chez les fournisseurs qualifiés eux-mêmes, qui recrutent des architectes pour accompagner leurs clients. Les missions vont de la rédaction d'un appel d'offres à la conception d'une landing zone sur une offre qualifiée, en passant par la migration depuis un cloud public. L'architecte travaille avec le RSSI, le DPO, les achats et le fournisseur. Les profils viennent souvent de la sécurité ou de l'infrastructure on-premise ; ils doivent aussi savoir automatiser.
Les compétences attendues d'un architecte SecNumCloud
- Lecture du référentiel SecNumCloud 3.2
- Choix et comparaison des offres qualifiées
- Chiffrement et gestion des clés (HSM, BYOK, HYOK)
- Landing zone sur offre qualifiée
- Réversibilité et portabilité
- Conformité HDS, NIS2 et contrôle des exportations
Cinq questions sur la qualification, les clés et la sortie
Chaque question vient avec ce qu'une bonne réponse contient et le signal qui doit vous alerter. Pas besoin d'être technique pour les poser : écoutez si le candidat raconte du vécu.
Question 1 · confirmé
Un fournisseur présente sa région France comme « souveraine ». Que vérifiez-vous avant de l'accepter pour des données sensibles ?
Une bonne réponseSi l'offre précise figure au catalogue des produits et services qualifiés de l'ANSSI, pour quelle version de SecNumCloud, quel périmètre de services et quelle date de fin de validité. La localisation en France ne suffit pas : il regarde qui contrôle le fournisseur, d'où se font le support et l'administration, et si une loi étrangère peut imposer un accès aux données. Il distingue une offre qualifiée d'une offre en cours de qualification.
Signal d'alerte« Les serveurs sont à Paris, donc c'est souverain. »
Question 2 · senior
Vous devez choisir entre une offre IaaS qualifiée et S3NS ou Bleu pour une nouvelle plateforme. Comment comparez-vous ?
Une bonne réponseIl part des services nécessaires (Kubernetes managé, bases, stockage objet, IA) et vérifie pour chacun s'il est dans le périmètre qualifié à date, au-delà du catalogue commercial. Il compare le statut de qualification, l'outillage (Terraform, API), la proximité avec les compétences de l'équipe, le coût et la réversibilité. S3NS et Bleu reprennent des services Google ou Microsoft avec leur propre catalogue et leur propre calendrier ; une offre IaaS demande de construire davantage soi-même.
Signal d'alerte« S3NS, c'est Google Cloud, donc tous les services y sont. »
Question 3 · senior
Le RSSI exige que personne chez le fournisseur ne puisse lire les données. Comment organisez-vous les clés ?
Une bonne réponseIl distingue les clés gérées par le fournisseur, le BYOK (le client importe sa clé dans le KMS du fournisseur, qui peut l'utiliser) et le HYOK ou la gestion externe (la clé reste dans un HSM du client, appelé à chaque usage). Pour cette exigence, la gestion externe dans un HSM maîtrisé par le client, avec des journaux d'accès aux clés. Il cite les limites : latence, HSM devenu critique pour la disponibilité, services incompatibles, données en clair en mémoire pendant le traitement.
Signal d'alerte« Tout est chiffré, donc le fournisseur ne voit rien », sans savoir qui détient les clés.
Question 4 · confirmé
Comment préparez-vous la sortie d'une offre cloud dès la conception ?
Une bonne réponseDes clauses de réversibilité au contrat (délais, formats, assistance, coût), des formats ouverts pour les données, l'infrastructure décrite en Terraform ou OpenTofu, des applications en conteneurs sur Kubernetes, et peu de services propriétaires, chacun noté avec sa solution de remplacement. Il teste un export complet d'une base et une reconstruction sur un autre environnement.
Signal d'alerte« On verra au moment de partir », ou une réversibilité réduite à une clause jamais testée.
Question 5 · senior
Comment montrez-vous au RSSI ou à l'autorité d'homologation que l'architecture respecte les exigences ?
Une bonne réponseUn dossier d'architecture qui relie chaque exigence (référentiel, doctrine, HDS, analyse de risques) au choix technique qui y répond, une analyse EBIOS RM, la matrice de responsabilités avec le fournisseur, les attestations de qualification et des preuves techniques produites par la plateforme (configurations, rapports de scan, journaux). L'homologation du système reste à la charge du client, même sur une offre qualifiée.
Signal d'alerte« L'offre est qualifiée, donc notre système l'est aussi. »
Recevez la fiche d'entretien complète en PDF
La fiche pour mener l'entretien de bout en bout, prête à imprimer ou à partager avec le manager.
- 30 questions sur 6 axes, avec la bonne réponse, le signal d'alerte et la relance
- Le niveau visé pour chaque question
- Une mise en situation de 20 minutes et ce qu'on attend du candidat
- La grille d'évaluation de 1 à 4, axe par axe
Questions courantes sur l'architecte cloud souverain
SecNumCloud, cloud souverain, cloud de confiance : quelle différence ?
SecNumCloud est une qualification de l'ANSSI attribuée à une offre précise après évaluation. Cloud souverain est un terme commercial sans définition réglementaire. Cloud de confiance vient de la stratégie nationale de 2021 et renvoie en pratique à SecNumCloud. Un fournisseur peut se dire souverain sans offre qualifiée, ou avoir une offre qualifiée à côté d'autres qui ne le sont pas. Un bon candidat fait la distinction et sait lire le catalogue de l'ANSSI.
Un architecte cloud public peut-il évoluer vers ce poste ?
Oui, s'il accepte un environnement plus contraint. Sur une offre qualifiée, une partie des services managés manque, et l'architecte doit construire ou faire héberger des briques qu'il consommait toutes faites. Les profils qui réussissent ont une bonne base système, réseau et Kubernetes en plus de la conception cloud. L'entretien montre si la personne sait travailler sans Control Tower ni Azure Policy, avec Terraform, Ansible et des contrôles écrits en code.
Quel test technique pour un architecte SecNumCloud ?
Une étude de cas plutôt qu'un quiz sur le référentiel. Le candidat reçoit une application existante sur un cloud public, avec ses services et ses données, et explique ce qui doit changer pour la porter sur une offre qualifiée : services à remplacer, modèle de clés, supervision, réversibilité. Un candidat expérimenté pose d'abord des questions sur la classification des données et vérifie le périmètre de qualification avant de choisir un fournisseur.
Faut-il exiger une expérience chez un fournisseur qualifié ?
Ce n'est pas nécessaire, et le vivier serait très réduit. Un projet mené côté client sur une offre qualifiée suffit souvent. L'important est d'avoir vécu les contraintes : un service absent du périmètre, une gestion des clés à mettre en place, un dossier d'homologation à fournir. Un profil sécurité ou infrastructure on-premise qui pratique l'automatisation peut aussi convenir, à condition de bien connaître les exigences du référentiel.
Pour structurer vos autres entretiens, consultez aussi nos pages sur les questions d'entretien de recrutement, la méthode de l'entretien structuré et la grille d'évaluation d'entretien.
