SecNumCloud, un label pour éviter de confier les clés à n’importe qui
SecNumCloud existe depuis 2016 et sa version actuelle, la 3.2, remonte à mars 2022. Derrière cette appellation très administrative, le principe est assez simple : lorsqu’une organisation place ses données et ses applications chez un fournisseur de cloud, elle doit savoir qui les administre, dans quelles conditions et sous quelles lois. La qualification délivrée par l’Agence nationale de la sécurité des systèmes d’information vérifie à la fois la sécurité technique du service, son organisation, sa chaîne de sous-traitance et son exposition à des législations non européennes.
La localisation des serveurs en France ne suffit donc pas. Un fournisseur peut exploiter des centres de données français tout en restant juridiquement soumis à une maison mère étrangère susceptible de recevoir des demandes d’accès émanant de ses autorités nationales. SecNumCloud ajoute à la cybersécurité des critères de contrôle capitalistique et juridique destinés à réduire cette exposition aux lois extraterritoriales.
Autre précision souvent oubliée : l’ANSSI ne qualifie pas globalement OVHcloud, Orange Business ou n’importe quel autre fournisseur. Elle qualifie une offre déterminée, avec un périmètre précis ; un service hébergé sur une infrastructure SecNumCloud n’hérite pas automatiquement de la qualification.
Toutes les données de l’État ne sont pas concernées
L’arrêté du 12 août 2026, publié au Journal officiel le 14 août et entré en vigueur le 15, approuve officiellement SecNumCloud 3.2 comme référentiel destiné à appliquer l’article 31 de la loi SREN. Pour les services concernés, la conformité est attestée par une qualification de l’ANSSI ou par une certification de l’Union européenne ou de l’Espace économique européen reconnue équivalente par l’agence.
Le périmètre reste cependant ciblé. La loi concerne les administrations de l’État, ses opérateurs et certains groupements d’intérêt public lorsqu’ils recourent à un prestataire privé pour traiter des données particulièrement sensibles. Elle vise notamment les secrets protégés par la loi et les informations nécessaires aux missions essentielles de l’État lorsque leur compromission risque de porter atteinte à l’ordre public, à la sécurité, à la santé, à la vie des personnes ou à la propriété intellectuelle.
Microsoft Azure, AWS ou Google Cloud ne disparaissent donc pas des administrations françaises du jour au lendemain. Un site institutionnel sans donnée particulièrement sensible ne relève pas du même régime qu’un système manipulant des informations stratégiques ; l’obligation dépend de la nature des données et des conséquences de leur compromission.
Une règle déjà présente depuis 2021
L’idée selon laquelle SecNumCloud n’aurait été jusqu’ici qu’une recommandation mérite également d’être nuancée. Dès 2021, la doctrine gouvernementale « Cloud au centre » imposait déjà aux administrations utilisant une offre commerciale pour certaines données sensibles de retenir SecNumCloud ou une qualification européenne d’un niveau équivalent. La version actualisée de cette doctrine emploie toujours une formulation sans ambiguïté : l’offre retenue « devra impérativement » répondre à cette exigence.
La différence réside donc moins dans la découverte d’une nouvelle règle que dans son niveau juridique. Une circulaire du Premier ministre encadrait auparavant les choix internes de l’État ; la loi SREN du 21 mai 2024 a élevé ces exigences au niveau législatif, puis le décret d’avril 2026 et l’arrêté d’août ont apporté le mécanisme réglementaire nécessaire à leur application.
Pourquoi avoir attendu deux ans après la loi ?
Le calendrier montre d’abord un retard très concret. La loi SREN prévoyait la publication de son décret d’application dans les six mois suivant sa promulgation, soit avant la fin novembre 2024. Le texte n’a finalement été publié que le 16 avril 2026, avant que l’arrêté SecNumCloud n’arrive quatre mois plus tard.
Les documents publics ne donnent pas une cause unique à ce décalage, mais plusieurs éléments l’éclairent. Le projet de décret n’a été transmis à la Commission européenne qu’à la fin janvier 2025, après l’expiration du délai fixé par la loi. Bruxelles devait examiner si les exigences françaises risquaient de créer un obstacle disproportionné au marché européen des services numériques ; la période d’examen s’est achevée le 28 avril 2025 sans opposition de la Commission.
Le sujet révèle une tension plus large entre souveraineté nationale et marché unique européen. La France défend depuis plusieurs années l’ajout de critères d’immunité aux législations extra-européennes dans la future certification européenne du cloud, sans réussir jusqu’ici à imposer complètement cette approche. La Cour des comptes relevait encore en 2025 que SecNumCloud n’était ni consacré comme standard européen ni écarté, laissant subsister un débat sur sa compatibilité avec les règles du marché intérieur.
Une souveraineté encore coûteuse et parfois contraignante
Une difficulté beaucoup plus concrète se trouve du côté de l’offre disponible. En juillet 2025, la Cour des comptes recensait seulement seize services SecNumCloud opérés par neuf entreprises, tout en soulignant le coût et la complexité élevés de la procédure de qualification. Le marché s’est étoffé depuis, mais l’écart fonctionnel avec les gigantesques catalogues proposés par les hyperscalers reste un enjeu pour certaines administrations.
La souveraineté a également un prix. La Cour des comptes estime, « selon les sources », le surcoût des offres SecNumCloud entre 25 % et 40 % par rapport aux offres non qualifiées d’un même prestataire. Elle souligne aussi que certains services clés en main peuvent manquer dans les environnements qualifiés et nécessiter des développements supplémentaires, augmentant encore le coût total d’un projet.
Un cas étudié au ministère de l’Éducation nationale illustre le dilemme. Pour un projet de gestion des ressources humaines, le ministère estimait qu’aucune offre respectant à la fois ses besoins fonctionnels et l’ensemble des exigences SecNumCloud n’était disponible ; une solution développée sur mesure aurait nécessité, selon son estimation, quatre à cinq ans de travail et un investissement environ quatre fois supérieur à l’option SaaS retenue. L’épisode montre pourquoi une exigence juridiquement simple devient beaucoup plus compliquée lorsqu’elle rencontre les réalités d’un grand système d’information.
Les dérogations seront le véritable thermomètre
Le législateur et le gouvernement ont prévu cette difficulté. Les projets engagés avant le décret avec un fournisseur non conforme doivent demander une dérogation lorsqu’ils entrent dans le périmètre de la loi ; l’absence d’offre SecNumCloud répondant au besoin fonctionnel à un coût acceptable peut justifier cette exception. Lorsqu’une solution adaptée existe, la dérogation est limitée à dix-huit mois ; dans le cas contraire, elle peut être accordée pour un an et renouvelée jusqu’à l’apparition d’une offre acceptable.
Surtout, ces décisions doivent être motivées et rendues publiques. Leur nombre et leurs justifications donneront probablement une meilleure mesure de l’efficacité du dispositif que le seul décompte des offres qualifiées : peu de dérogations suggérerait que le marché répond désormais aux besoins publics, tandis qu’une multiplication des exceptions révélerait les limites fonctionnelles ou économiques de la souveraineté imposée par le droit.
L’arrêté d’août 2026 marque donc moins une révolution qu’un aboutissement. Après la doctrine administrative de 2021, la loi de 2024 et le décret de 2026, l’État dispose enfin d’un cadre complet pour protéger certaines de ses données contre les risques techniques, mais aussi contre les dépendances juridiques étrangères. Le prochain débat se jouera dans les appels d’offres, les budgets et les dérogations : la souveraineté numérique française entre désormais dans sa phase la plus concrète, celle où il faut l’acheter, la déployer et parfois accepter de renoncer à certains services.
Antoine GARCIA
