OVHcloud haalt SecNumCloud-kwalificatie voor zijn publieke cloud

OVHcloud heeft voor zijn publieke cloud SNC Cloud Platform de SecNumCloud-kwalificatie van de Franse cyberautoriteit ANSSI binnengehaald, en rolt dat platform daarna uit over zijn Europese regio's, te beginnen bij Italië, Duitsland en Polen.

Voor wie in Nederland nu een platformkeuze maakt, verandert er aan de regels niets en aan het aanbod wel iets. SecNumCloud is een Franse kwalificatie, geen Nederlandse of Europese verplichting, dus niemand hier hoeft er morgen aan te voldoen. Wat er bij komt is een Europese publieke cloud die op de zwaarste soevereiniteitsmeetlat van dit moment is getoetst en die je per verbruik afrekent. Wat er niet bij komt is een Nederlandse variant: Nederland staat niet in de uitrolvolgorde, terwijl OVHcloud in Amsterdam al een locatie voor zijn publieke cloud heeft.

Wat er binnen de gekwalificeerde omgeving valt

De kwalificatie geldt niet voor OVHcloud als bedrijf, maar voor één aanbod met een precies afgebakende perimeter. Dat is de belangrijkste zin voor een inkoper: een leverancier is nooit "SecNumCloud", een specifieke dienst is dat.

Binnen die perimeter zitten nu rekenkracht, block- en objectopslag, dedicated servers en netwerkdiensten. Beheerde Kubernetes, fijnmazige netwerkregie en databases-as-a-service ontbreken voorlopig, tekent LeMagIT aan. Draait je applicatie op een beheerd Kubernetes-cluster met een beheerde Postgres ernaast, dan past die vandaag dus niet volledig in het gekwalificeerde deel. Je kunt de infrastructuurlaag verplaatsen, de beheerde diensten erboven nog niet.

Het is de derde SecNumCloud-kwalificatie voor OVHcloud, na Bare Metal Pod en VMware on OVHcloud. Nieuw is de vorm: dit is de publieke cloud, met facturering op verbruik, open API's en open-source standaarden, waar de eerdere twee op geïsoleerde of private omgevingen sloegen.

Waarom Frankrijk de lat legt

SecNumCloud is een veiligheidsvisum van ANSSI dat rust op meer dan 360 eisen op technisch, organisatorisch en juridisch vlak. De juridische eisen doen er voor een Nederlandse koper het meest toe: ze zijn bedoeld om een omgeving te leveren waarop alleen Europese wetgeving van toepassing is, buiten het bereik van de Amerikaanse Cloud Act en FISA 702.

De timing is geen toeval. Artikel 31 van de Franse SREN-wet en het uitvoeringsbesluit van 14 april 2026 verplichten de Franse staat en zijn uitvoeringsorganisaties om gevoelige data bij gekwalificeerde clouddiensten onder te brengen, en het referentiel SecNumCloud 3.2 werd half augustus officieel goedgekeurd. Daarmee is de kwalificatie van een marketingargument een toegangsbewijs geworden voor een deel van de markt.

Het aanbod loopt navenant vol. Numspot, de alliantie van Docaposte, Bouygues Telecom, Dassault Systèmes en Banque des Territoires, kreeg op dezelfde dag zijn eerste kwalificatie voor zijn IaaS-laag. Daarmee staat de teller op ten minste acht gekwalificeerde infrastructuuraanbieders, waaronder OutScale, Orange Business, Cloud Temple en Worldline.

De keuze tussen Europese techniek en beheerde diensten

OVHcloud is niet de eerste met een gekwalificeerde publieke cloud. S3NS, de joint venture van Thales en Google Cloud, kreeg op 19 december 2025 SecNumCloud 3.2 voor PREMI3NS en presenteert dat aanbod met een van de breedste reeksen beheerde diensten in een vertrouwde cloudomgeving.

Daar zit het echte keuzeprobleem. PREMI3NS geeft je vandaag meer beheerde diensten, maar draait op Google-technologie onder Franse licentie en beheer. SNC Cloud Platform draait op Europese techniek van een Europese eigenaar, maar met een smallere set diensten binnen de perimeter. Beide voldoen aan hetzelfde referentiel; ze verschillen in wat je erop kunt bouwen en op wiens technologiestapel je verder gaat.

Wat een Nederlandse inkoper hiermee kan

De druk om die afweging te maken komt hier niet uit Parijs, maar van de eigen toezichthouders. ACM, AFM, AP, DNB en RDI riepen op 10 juli 2026 gezamenlijk op om de afhankelijkheid van een klein aantal niet-Europese IT-leveranciers af te bouwen en bij elke aanschaf harde eisen te stellen aan open standaarden en overstapbaarheid. Een SecNumCloud-kwalificatie is geen bewijs dat je daaraan voldoet, maar wel de meest concrete meetlat die er op dit moment ligt.

Er zit een wrange plooi in. Het Nederlandse ontwerp voor de overheidscloud draait om een containerplatform dat voldoet aan de Haven-standaard, dus om een specifieke Kubernetes-configuratie. Precies die beheerde Kubernetes-laag zit nog buiten de gekwalificeerde perimeter van OVHcloud. Wie beide sporen serieus neemt, bouwt de komende jaren dus op een omgeving waar de soevereiniteitsstempel en de gewenste techniek elkaar nog niet overlappen.

Het patroon dat Nederland achteraan de rij staat is ook niet nieuw. Bij STACKIT, de soevereine cloud van de Schwarz Gruppe, wordt een Nederlands gebied in de datacenters van KPN pas medio 2027 verwacht, terwijl het aanbod tot die tijd via Duitse en Oostenrijkse regio's loopt.

De verschuiving die deze kwalificatie markeert is daarmee vooral een verschuiving in de vraag die je stelt. Niet meer alleen waar de data staat en wiens vlag op het datacenter hangt, maar welke diensten precies binnen de gekwalificeerde perimeter vallen. Die perimeter groeit per aanbod en per land, in een volgorde die Franse wetgeving bepaalt en waar Nederland voorlopig buiten valt.