Depuis le 22 août 2026, la donne a changé pour les administrations françaises qui hébergent leurs données les plus sensibles dans le Cloud. Un arrêté publié au Journal officiel approuve le référentiel SecNumCloud comme référentiel permettant de répondre aux exigences de sécurité et de protection prévues par le nouveau cadre réglementaire.
Ce basculement juridique, préparé depuis plusieurs années, pose une question concrète pour les administrations, leurs opérateurs et les entreprises qui travaillent avec elles : qui est concerné, à partir de quand, et pour quelles données précisément ?
Ce guide fait le point sur le cadre juridique, le périmètre de l’obligation, la place de SecNumCloud face aux autres référentiels de sécurité, et les perspectives d’évolution de cette doctrine de souveraineté numérique.
Qu'est-ce que SecNumCloud ?
SecNumCloud est le référentiel de qualification des prestataires de services Cloud, élaboré et délivré par l’ANSSI (Agence nationale de la sécurité des systèmes d’information). Créé en 2016, il a connu plusieurs évolutions, la version 3.2 étant aujourd’hui la référence en vigueur.
Un point de vocabulaire important à clarifier d’emblée : SecNumCloud est une qualification, et non une certification au sens où l’entendent ISO 27001 ou HDS. Une qualification ANSSI implique une évaluation par un prestataire d’audit agréé, sur la base de laquelle l’agence délivre elle-même la reconnaissance : un processus plus exigeant et plus encadré qu’une certification délivrée par un organisme accrédité classique.
SecNumCloud atteste concrètement d’un niveau de sécurité technique et organisationnelle élevé, mais aussi et surtout une garantie d’immunité vis-à-vis des législations extraterritoriales étrangères, au premier rang desquelles le Cloud Act américain et le FISA. C’est cette dimension d’indépendance juridique qui distingue SecNumCloud.
Le cadre juridique qui a rendu SecNumCloud obligatoire
Depuis quand SecNumCloud est-il vraiment obligatoire, et pas seulement recommandé ? Existe-t-il des dérogations ? Une certification européenne équivalente peut-elle suffire ?
Ce sont les questions qui reviennent le plus souvent sur ce volet. La réponse tient dans une chronologie précise, construite en trois temps.
L’obligation ne surgit pas de nulle part : elle est l’aboutissement d’une trajectoire amorcée dès 2021, avec la doctrine gouvernementale “Cloud au centre”, qui recommandait déjà aux administrations de recourir à des offres qualifiées pour certaines données sensibles. Trois textes ont ensuite construit, étape par étape, le cadre juridique actuel :
- La loi SREN (2024), dans son article 31, pose le principe d’une obligation de recours à des prestataires qualifiés SecNumCloud pour l’hébergement des données sensibles de l’État.
- Le décret n° 2026-272 du 14 avril 2026 précise les modalités d’application : qui est concerné, ce que recouvre la notion de donnée sensible, et le régime de dérogation applicable.
- L’arrêté du 12 août 2026, publié au Journal officiel le 14 août, approuve officiellement le référentiel SecNumCloud 3.2 comme référentiel technique de mise en œuvre. C’est ce texte qui donne sa force obligatoire à ce qui, jusque-là, restait une bonne pratique fortement recommandée.
Le décret prévoit un régime pour certains projets déjà engagés. Ce n’est pas une facilité commerciale : la dérogation doit être motivée, encadrée, rendue publique selon les conditions prévues, et validée au niveau requis. Elle ne permet pas de neutraliser durablement les exigences de souveraineté et de sécurité.
Cette chronologie mérite d’être comprise dans son ensemble : elle montre une doctrine de souveraineté numérique construite progressivement, chaque texte venant préciser et renforcer le précédent.
Qui est concerné par l'obligation SecNumCloud, et quelles données sensibles sont visées ?
Le périmètre de l’obligation est précis. Sont notamment concernés :
- les administrations centrales de l’État et les services nationaux délocalisés ;
- leurs opérateurs de l’État;
- certains groupements d’intérêt public (GIP) faisant partie du périmètre défini par les textes.
Ces entités sont soumises à l’obligation lorsqu’elles recourent à un prestataire privé pour héberger des données sensibles au sens du décret, c’est-à-dire des données dont la violation porterait atteinte à l’ordre public, à la sécurité publique, ou à la santé publique.
Les collectivités territoriales, sont-elles concernées par l’obligation SecNumCloud ?
Les collectivités territoriales ne sont pas directement visées par le périmètre actuel de l’article 31 de la loi SREN.
Elles peuvent néanmoins choisir de recourir à des offres qualifiées SecNumCloud afin de répondre à leurs propres exigences de sécurité, de souveraineté et de protection des données.
Le cadre réglementaire autour de la souveraineté des achats numériques étant susceptible d’évoluer, ce sujet reste néanmoins à suivre pour les collectivités et leurs DSI.
SecNumCloud face aux autres référentiels
SecNumCloud n’est pas en concurrence avec ISO 27001 ou HDS : ces certifications répondent à des logiques différentes, et une organisation peut tout à fait cumuler plusieurs qualifications ou certifications.
- ISO 27001 est une norme internationale de management de la sécurité de l’information, sans dimension de souveraineté juridique.
- HDS (Hébergeur de Données de Santé) est une certification sectorielle, propre aux données de santé.
- SecNumCloud est une qualification spécifiquement conçue pour les services Cloud, combinant des exigences élevées en matière de sécurité, d’exploitation et de souveraineté.
Au niveau européen, l’EUCS, un schéma de certification Cloud harmonisé, est en discussion depuis plusieurs années pour offrir un équivalent à l’échelle de l’Union. Il reste toutefois en cours de négociation et n’a pas vocation à remplacer SecNumCloud à court terme.
Ce que ça change concrètement pour les acteurs publics et leurs prestataires
Un point mérite d’être clarifié : l’obligation SecNumCloud ne signifie pas que le candidat à un marché public (une agence de développement web ou un éditeur de logiciel métier, par exemple) doit nécessairement être lui-même qualifié de bout en bout.
En revanche, dès lors que le projet touche aux données sensibles de l’État, l’exigence porte sur un maillon précis et non négociable : l’hébergement. Le candidat retenu devra faire héberger ces données sur une infrastructure Cloud qui, elle, possède la qualification SecNumCloud ou une équivalence européenne reconnue par l’ANSSI. C’est cette brique d’infrastructure qui constitue le standard de conformité incontournable.
Conclusion
L’arrêté du 12 août 2026 referme un chantier juridique engagé depuis la loi SREN de 2024 : SecNumCloud n’est plus une bonne pratique recommandée, c’est désormais une condition légale pour l’hébergement des données les plus sensibles de l’État. Le périmètre reste ciblé aujourd’hui, mais la trajectoire est claire.
Aujourd’hui, une dizaine d’offres sont qualifiées SecNumCloud en France, parmi lesquelles l’offre Cloud public d’OUTSCALE.
Pionnier, OUTSCALE a été le premier acteur du Cloud public à obtenir la qualification SecNumCloud en 2019, et dispose également de la certification HDS, permettant d’adresser les besoins des organisations ayant des exigences spécifiques en matière d’hébergement de données de santé.
Découvrez l’infrastructure Cloud souveraine d’OUTSCALE.
