Frankreich: SecNumCloud

Was ist SecNumCloud?

SecNumCloud ist eine Qualifizierung der Agence nationale de la sécurité des systèmes d’information (ANSSI) für Cloud-Angebote, die sie als vertrauenswürdig einstuft. Sie gilt für Infrastruktur, Plattformen und Software als Dienst (IaaS, PaaS, SaaS). Grundlage ist ein Referenzrahmen mit technischen, betrieblichen und rechtlichen Anforderungen. Qualifizierte Angebote führt die ANSSI in einem Katalog.

Seit der Version 3.2 des Referenzrahmens (2022) verlangt SecNumCloud ausdrücklich Schutz vor Gesetzen von Staaten außerhalb der EU, die einen Zugriff auf Daten erlauben könnten, etwa den US Cloud Act. Dazu gehören unter anderem:

• Sitz des Anbieters in der EU und Grenzen für Beteiligungen von außerhalb der EU,
• kein Zugriff auf Daten durch Zulieferer oder Dienstleister von außerhalb der EU,
• Betrieb des Dienstes mit eigenen Mitteln und eigenem Personal.

Die ANSSI weist selbst darauf hin: Die Qualifizierung garantiert nicht die Sicherheit der Anwendungen, die ein Kunde darauf betreibt.

Wer muss SecNumCloud nutzen?

Art. 31 des Gesetzes SREN vom 21. Mai 2024 verpflichtet Verwaltungen des Staates, seine Betreiber (opérateurs) und bestimmte Gruppierungen öffentlichen Interesses, für Daten von besonderer Sensibilität Cloud-Dienste zu nutzen, die vor Zugriffen von Behörden aus Drittstaaten geschützt sind. Das Dekret Nr. 2026-272 vom 14. April 2026 setzt das um. Besonders sensibel sind danach insbesondere:

• Daten, die gesetzlich geschützten Geheimnissen unterliegen,
• Daten, die für wesentliche Aufgaben des Staates nötig sind, etwa nationale Sicherheit, öffentliche Ordnung und den Schutz von Gesundheit und Leben.

Für Vorhaben, die schon vor dem Dekret begonnen haben, sind befristete Ausnahmen möglich. Kommunen und andere Gebietskörperschaften nennt Art. 31 nicht.

Was heißt das für KI?

Eine KI, die als Cloud-Dienst sensible Daten des Staates verarbeitet, muss die Anforderungen erfüllen. Das betrifft nicht nur das Hosting, sondern die ganze Kette: Läuft das KI-Modell bei einem anderen Anbieter, etwa über eine Schnittstelle eines US-Unternehmens, gelangen die Daten zu diesem Anbieter.

Weg	Was zu prüfen ist
KI als Cloud-Dienst eines Anbieters	Ist das Angebot SecNumCloud-qualifiziert, einschließlich des KI-Modells?
KI-Plattform in einer qualifizierten Cloud, Modell bei einem Dritten	Verlassen Eingaben die qualifizierte Umgebung?
KI auf einem Server im eigenen Rechenzentrum	Kein Cloud-Dienst eines privaten Anbieters; es gelten Ihre eigenen Sicherheitsvorgaben

Wie geht das mit basebox?

In Frankreich bietet basebox nur den Server an, den die IT Ihres Hauses selbst betreibt; eine HDS-Zertifizierung ist geplant, bis dahin betreibt basebox in Frankreich keine Server, weder aus der Ferne noch im eigenen Rechenzentrum. Unser Hardware-Partner FAST LTA liefert den Server nach Frankreich. Er steht in Ihrem Rechenzentrum, das KI-Modell läuft auf dieser Hardware, auf Wunsch ohne Internetverbindung. Der Server sendet keine Telemetrie, keine Nutzungsstatistik und keine Lizenzabfrage nach außen. basebox hat keinen Zugriff auf Ihre Daten. basebox ist ein deutsches Unternehmen und unterliegt nicht dem US Cloud Act.

Oberfläche und Support gibt es auf Deutsch und Englisch, nicht auf Französisch.

Keine Rechtsberatung: Die Pflichten nach Art. 31 SREN hängen am Referenzrahmen der ANSSI und an Ausnahmen im Einzelfall. Ob Ihre Daten als besonders sensibel gelten, entscheidet Ihre Behörde. Stand der Recherche: 11. Oktober 2026.