# strubel-secnumcloud-anssi-linkedin-2026-01-06

## Veille

SecNumCloud ANSSI - cualificación de seguridad en la nube, riesgos de extraterritorialidad, ofertas híbridas

## Titre Article

SecNumCloud en (pas si) bref

## Date

2026-01-06

## URL

https://www.linkedin.com/pulse/secnumcloud-en-pas-si-bref-vincent-strubel-505ge/

## Keywords

SecNumCloud, ANSSI, cualificación, nube soberana, ciberseguridad, CLOUD Act, extraterritorialidad, datos sensibles, ofertas híbridas, localización de datos, GDPR

## Authors

Vincent Strubel

## Ton

Perfil: artículo educativo de LinkedIn, registro experto pero accesible, perspectiva de autoridad institucional (director de ANSSI).
Estilo: tono didáctico estructurado con una FAQ integrada. Organización en secciones temáticas claras que cubren definición, riesgos, limitaciones y preguntas frecuentes. Uso de metáforas concretas ("casa con contraventanas blindadas pero puerta cerrada por una cortina"). Equilibrio entre rigor técnico y accesibilidad. Aclaración de malentendidos persistentes. Público objetivo: CIOs, CISOs, responsables de TI, profesionales de la nube.

## Pense-betes

- **Contexto**: la cualificación SecNumCloud de una oferta "híbrida" (tecnología estadounidense operada por un proveedor europeo) generó debates
- **Definición**: cualificación de ANSSI que certifica un nivel de seguridad elevado para usos sensibles del Estado francés y de las empresas
- **Marco de referencia**: más de 1200 requisitos verificados en el proceso de evaluación
- **Riesgo de extraterritorialidad**: protección frente a la CLOUD Act y las leyes FISA estadounidenses
- **Kill switch**: el proveedor europeo no puede verse obligado a cortar los servicios por sanciones/restricciones a la exportación
- **Requisitos capitalísticos**: sede social y capitalización europeas, inaccesibilidad de los datos a subcontratistas no europeos
- **Limitación clave**: "SecNumCloud no significa la ausencia de dependencia" - imposible bifurcar (fork) toda la pila desde Linux
- **Localización en la UE**: obligatoria - somete la infraestructura al derecho europeo, facilita la intervención de CERT-FR
- **Ciberataques**: principal amenaza cubierta por una fuerte segregación, administración aislada, cifrado sistemático
- **Riesgo humano**: todo un capítulo de gestión de RR.HH. para que ningún empleado pueda comprometer el servicio sin ser detectado
- **Soberanía**: 3 retos (no ser una víctima fácil, aplicar las propias reglas, libertad de elección) - SecNumCloud aborda los dos primeros
- **Ofertas híbridas**: satisfacen exactamente los mismos requisitos que las demás ofertas cualificadas
- **Metáfora**: criterios puramente capitalísticos o técnicos por sí solos = una casa con contraventanas blindadas y rejas pero con una cortina por puerta

## RésuméDe400mots

Vincent Strubel, Director General de ANSSI, publicó un artículo aclaratorio en LinkedIn tras los debates suscitados por la cualificación SecNumCloud de una oferta de nube "híbrida" que utiliza tecnología estadounidense operada por un proveedor europeo.

SecNumCloud es una cualificación emitida por ANSSI que certifica que un servicio en la nube presenta un nivel de seguridad elevado adaptado a los usos sensibles del Estado francés y de las empresas. El proceso de evaluación verifica más de 1200 requisitos que cubren riesgos técnicos, jurídicos y organizativos.

En cuanto al derecho extraterritorial, SecNumCloud garantiza que los datos no estén sujetos a disposiciones no europeas frente a las cuales los clientes no tendrían recurso alguno. El requisito de un proveedor europeo (sede social y capitalización), la inaccesibilidad de los datos a subcontratistas no europeos y la autonomía operativa protegen contra las intimaciones en virtud de la CLOUD Act o de las leyes FISA estadounidenses. El escenario del "kill switch" también está cubierto: un proveedor europeo cualificado no puede verse obligado a cortar sus servicios por sanciones o restricciones a la exportación.

Strubel reconoce, no obstante, una limitación importante: "SecNumCloud no significa la ausencia de dependencia". Ningún actor puede "bifurcar (fork) y mantener en autarquía la totalidad de la pila tecnológica de la nube, desde el núcleo Linux hasta Openstack". Un corte del acceso a proveedores no europeos provocaría una degradación progresiva de la seguridad.

La localización de los datos dentro de la Unión Europea es obligatoria, lo que somete la infraestructura física al derecho europeo y facilita la intervención de CERT-FR y otros servicios estatales en caso de incidente.

A nivel técnico, los ciberataques constituyen "la amenaza más tangible que pesa sobre los usos sensibles de la nube". El marco de referencia impone una fuerte segregación entre clientes, una cadena de administración aislada, una gestión segura de las actualizaciones y un cifrado sistemático de los datos. El riesgo humano está cubierto por todo un capítulo dedicado a la gestión de los recursos humanos.

En respuesta a las preguntas más frecuentes, Strubel precisa que las ofertas híbridas satisfacen exactamente los mismos requisitos que las demás ofertas cualificadas. Utiliza una metáfora esclarecedora: tener únicamente criterios capitalísticos o únicamente criterios técnicos sería como tener una casa "con contraventanas blindadas y rejas en las ventanas, pero cuya puerta estuviera cerrada por una cortina".

SecNumCloud aborda dos de los tres retos de la soberanía digital (no ser una víctima fácil, aplicar las propias reglas) pero no crea soluciones tecnológicas alternativas. Es una herramienta de ciberseguridad formalizada, no una política industrial.

## GrapheDeConnaissance

- Vincent Strubel —dirige→ ANSSI (ORGANISATION, 0.98)
- ANSSI —a_créé→ SecNumCloud (CONCEPT, 0.98)
- SecNumCloud —mesure→ plus de 1 200 exigences vérifiées (MESURE, 0.95)
- SecNumCloud —résout→ risque extraterritorial (CLOUD Act, FISA) (CONCEPT, 0.95)
- siège social et capitalisation européens —fait_partie_de→ SecNumCloud (CONCEPT, 0.93)
- localisation des données en UE —fait_partie_de→ SecNumCloud (CONCEPT, 0.93)
- Vincent Strubel —affirme_que→ « SecNumCloud ne signifie pas l'absence de dépendance » (CITATION, 0.9)
- Vincent Strubel —affirme_que→ les offres hybrides satisfont exactement les mêmes exigences que les autres offres qualifiées (AFFIRMATION, 0.92)
- SecNumCloud —résout→ 2 des 3 enjeux de souveraineté numérique (CONCEPT, 0.88)
- localisation des données en UE —permet→ CERT-FR (CONCEPT, 0.85)

---
Canonical: https://www.thekb.eu/es/fiches/strubel-secnumcloud-anssi-linkedin-2026-01-06/