Données sensibles : SecNumCloud passe de la doctrine à la loi

Le 14 août 2026, le Journal officiel a publié l’arrêté du 12 août qui fait du référentiel SecNumCloud 3.2 (France · ANSSI) la règle pour les données « d’une sensibilité particulière » de l’État. Il complète le décret n° 2026-272 du 14 avril 2026, pris pour l’article 31 de la loi SREN. Ministères, opérateurs et groupements d’intérêt public qui confient ces données à un cloud commercial doivent désormais choisir une offre qualifiée, ou une certification européenne reconnue équivalente. Pour les projets déjà engagés : 18 mois au plus pour migrer quand une offre conforme existe en France.

Pendant cinq ans, le « cloud de confiance » est resté une doctrine. Il devient une condition de légalité pour l’État. Pour tous les autres, la confusion persiste entre deux labels : HDS et SecNumCloud ne répondent pas à la même question.

Ce qui est déjà acté

• Article 31 de la loi SREN (France · Parlement) : la loi n° 2024-449 du 21 mai 2024 impose à l’État de protéger ses données les plus sensibles contre les accès d’autorités extra-européennes.
• Décret n° 2026-272 (France · Premier ministre) du 14 avril 2026 : il vise les administrations de l’État, leurs opérateurs, la plateforme des données de santé et six autres GIP, dont l’Agence du numérique en santé et le GIP Modernisation des déclarations sociales.
• Arrêté du 12 août 2026 (France · Premier ministre) : il approuve le référentiel SecNumCloud 3.2 ; la preuve passe par une qualification de l’ANSSI ou une certification de l’UE ou de l’EEE que l’agence reconnaît équivalente.
• Doctrine « cloud au centre » (France · DINUM) : circulaire du 5 juillet 2021, remplacée par celle du 31 mai 2023. Le cloud est la règle par défaut, et les données particulièrement sensibles exigent une offre qualifiée, « immunisée contre tout accès non autorisé par des autorités publiques d’État tiers ».
• Nouveau référentiel HDS (France · ministère de la Santé) : arrêté du 26 avril 2024, publié le 16 mai 2024, applicable aux nouvelles certifications depuis le 16 novembre 2024. Les données sont hébergées exclusivement dans l’EEE ; l’hébergeur informe ses clients des accès possibles depuis des pays tiers et publie une cartographie de ses transferts. Les hébergeurs déjà certifiés avaient jusqu’au 16 mai 2026 pour s’y conformer.
• Décret n° 2026-209 (France · Premier ministre) du 24 mars 2026, pris pour l’article 32 de la loi SREN : depuis fin septembre 2026, le code de la santé publique impose lui-même de stocker les données de santé dans l’UE ou l’EEE. Un accès à distance depuis un pays tiers reste possible, sur décision d’adéquation ou avec les garanties appropriées du RGPD ; le contrat doit alors citer les lois extra-européennes applicables et les risques résiduels.
• Offres qualifiées SecNumCloud (France · ANSSI, selon les fournisseurs), entre autres : Outscale (version 3.2 depuis décembre 2023), Cloud Temple, OVHcloud (trois offres, dont son cloud public le 1er septembre 2026), Orange Business (juillet 2025, puis une deuxième offre annoncée le 7 octobre 2026), S3NS, filiale de Thales sur technologie Google (17 décembre 2025) et NumSpot pour son offre d’infrastructure (septembre 2026).

Ce qui reste en cours

• Bleu (France · Capgemini et Orange, technologie Microsoft) : jalon J0 franchi en avril 2025, J1 en novembre 2025 ; la qualification est visée pour la fin 2026, selon la presse spécialisée en octobre. Environ une centaine de services Azure sont concernés ; Microsoft 365 viendra ensuite.
• Les dérogations (France · Premier ministre) : sans offre conforme en France, un an renouvelable ; toutes les décisions sont publiques.
• Les collectivités (France · Assemblée nationale) : le décret ne les vise pas. Une proposition de loi étendrait l’obligation aux régions, départements, communes et intercommunalités de plus de 30 000 habitants ; adoptée par le Sénat le 17 décembre 2025 et par la commission des lois de l’Assemblée le 25 février 2026, elle n’avait toujours pas été discutée en séance au 2 novembre 2026.
• Le référentiel HDS 2.1 (France · ANS) : il doit traduire le décret de mars 2026 dans la certification. L’agence annonçait une publication en octobre 2026 et une application trois mois plus tard ; au 2 novembre 2026, nous n’avons pas trouvé trace de sa publication.
• L’échelon européen (UE · Commission européenne et ENISA) : en mars 2026, selon l’ANSSI, les négociations sur un niveau du schéma EUCS équivalent à SecNumCloud n’avaient pas abouti ; nous y revenons le 20 novembre.

Le vrai enjeu : qualifier un service, pas un fournisseur

Un nom de fournisseur ne prouve rien. OVHcloud compte trois offres qualifiées dans un catalogue bien plus large ; NumSpot l’est pour l’infrastructure, pas encore pour sa plateforme applicative. La qualification porte sur un service précis, dans des centres de données précis, et c’est ce périmètre qu’il faut lire dans le contrat.

Le calendrier compte autant. S3NS a mis 17 mois entre l’acceptation de son dossier (jalon J0) et sa qualification ; Bleu en est à plus de 18 mois. Un projet public qui compte sur une qualification future prend donc un risque de planning, alors que le délai de migration est plafonné.

Trois points de vigilance

1. HDS n’est pas SecNumCloud. La certification HDS (article L. 1111-8 du code de la santé publique) garantit un hébergement sécurisé, un stockage dans l’UE ou l’EEE et la transparence sur les accès extra-européens. Elle n’interdit pas ces accès, s’ils sont encadrés par le RGPD. Pour la plateforme des données de santé, que la loi cite expressément, l’hébergement doit cumuler les deux.

2. Une donnée sensible contamine son infrastructure. Selon le vademecum de l’État, si une partie des données d’un système remplit les critères, toutes celles de la même infrastructure basculent, sauf cloisonnement technique efficace. La paie des agents publics est concernée ; le cadastre ne l’est pas.

3. Les dérogations ont une fin. Un projet engagé avant le décret avec un prestataire non conforme dispose de 18 mois au plus si une offre conforme existe en France. Pour un grand système, c’est à peine le temps d’un appel d’offres et d’une migration.

Ce qu’une organisation doit faire

1. Classer les données système par système, avec les deux critères cumulatifs du vademecum : une sensibilité particulière et une atteinte grave en cas de violation.
2. Recenser les contrats cloud en cours : offre, qualification, centres de données, échéance, et besoin éventuel de dérogation.
3. Exiger le périmètre qualifié par écrit : visa de sécurité de l’ANSSI, liste des services et des sites couverts.
4. Vérifier le certificat HDS de chaque hébergeur de données de santé selon le référentiel de 2024, avec sa cartographie des transferts hors EEE, et le contrat mis à jour depuis le décret de mars 2026.
5. Prévoir un plan B si l’offre retenue n’est pas encore qualifiée à la date de signature.
6. Écrire la réversibilité dans le contrat : conditions de fin, export des données, ressources provisionnées dès le lancement, comme l’exige la doctrine.
7. Suivre les deux textes en attente : l’extension aux collectivités et le schéma européen.

Un label se vérifie au périmètre près : le nom du fournisseur ne suffit pas.

La question à poser lundi matin

À votre DSI : « Pour chacune de nos applications sensibles, quel service exact est qualifié, dans quel centre de données, et jusqu’à quand court notre dérogation ? »