Un arrêté publié au Journal officiel le 14 août dernier, entré en vigueur le 15, change la donne pour le marché français du cloud. En approuvant la version 3.2 du référentiel SecNumCloud de l’Agence nationale de la sécurité des systèmes d’information (ANSSI), le Premier ministre transforme une doctrine jusque-là recommandée en règle d’achat opposable pour l’État. Concrètement, les administrations, certains opérateurs publics et plusieurs groupements d’intérêt public ne pourront désormais plus confier le traitement de leurs données les plus sensibles qu’à des prestataires cloud qualifiés SecNumCloud — sous peine d’illégalité du marché public.
Un décret d’avril, un arrêté d’août
Le texte du 12 août s’inscrit dans une mécanique juridique amorcée plus tôt cette année. L’article 31 de la loi relative à la sécurisation et à la régulation de l’espace numérique (SREN), votée en mai 2024, avait posé le principe d’une protection renforcée des données étatiques « d’une sensibilité particulière » hébergées chez des prestataires privés. Il aura fallu attendre le décret n° 2026-272 du 14 avril 2026 pour que ce principe soit précisé : les services cloud concernés doivent garantir une protection contre tout accès par des autorités publiques d’États tiers non autorisé par le droit de l’Union européenne, validée par une qualification ANSSI ou un équivalent européen reconnu. L’arrêté du 12 août vient clore ce dispositif en désignant précisément quel référentiel fait foi : SecNumCloud, dans sa version 3.2.
Une dérogation transitoire de dix-huit mois maximum est prévue pour les projets déjà engagés, sous la responsabilité du ministre concerné et validation du Premier ministre — un sas destiné à éviter une rupture brutale des services publics numériques déjà hébergés hors de ce cadre.
Un référentiel taillé contre l’extraterritorialité
SecNumCloud n’est pas un nouveau dispositif : l’ANSSI l’a créé en 2017 et l’a fait évoluer à plusieurs reprises. Sa version 3.2 durcit nettement les exigences de souveraineté. Le référentiel impose que le siège social, le centre de décision et l’administration technique des services qualifiés restent localisés dans l’Union européenne. Les participations au capital détenues par des entités extra-européennes sont plafonnées à 24 % à titre individuel et 39 % de manière cumulée, sans droit de veto ni contrôle majoritaire au conseil d’administration — une manière explicite de fermer la porte aux effets du Cloud Act américain, du FISA ou de la loi chinoise sur le renseignement. Le texte exige par ailleurs des tests d’intrusion menés en continu, et non plus lors d’audits ponctuels, ainsi qu’une transparence complète sur les sous-traitants et les accès administrateurs. Plus de 360 critères sont examinés lors de la qualification, répartis sur des dimensions techniques, organisationnelles et juridiques. La version 3.2 anticipe en outre l’arrivée du futur schéma européen de certification cybersécurité du cloud, l’EUCS, dont l’harmonisation avec le cadre français reste un chantier ouvert.
Neuf prestataires qualifiés, une douzaine en lice
À ce jour, neuf prestataires disposent de la qualification SecNumCloud : OVHcloud, 3DS Outscale, Cloud Temple, Orange Business, Cegedim.cloud, Worldline, Oodrive, Whaller et S3NS — coentreprise entre Thales et Google Cloud, qualifiée en décembre 2025, dont la structure capitalistique illustre la logique du référentiel : la technologie peut venir d’un hyperscaler américain, à condition que le contrôle capitalistique et opérationnel reste français. Une douzaine d’autres acteurs, parmi lesquels Bleu — la coentreprise Capgemini-Orange adossée à Microsoft Azure —, Scaleway ou NumSpot, poursuivent leur processus de qualification.
Ce qui se joue pour les hyperscalers
L’enjeu commercial est direct : sans qualification SecNumCloud ou équivalent, les offres cloud pures des géants américains — Microsoft Azure, Amazon Web Services, Google Cloud — se trouvent mécaniquement écartées d’un pan entier de la commande publique française dès lors que des données sensibles sont en jeu. Seules les structures de « cloud de confiance » montées spécifiquement pour répondre à ces critères — via des coentreprises à capital et gouvernance majoritairement français ou européens, comme S3NS ou Bleu — permettent à leurs technologies sous-jacentes d’accéder malgré tout à ce marché. C’est précisément la stratégie que Google et Microsoft ont adoptée en France ces dernières années, anticipant ce basculement réglementaire.
Plusieurs observateurs du secteur soulignent toutefois le délai pris par l’exécutif pour rendre le dispositif pleinement opérant : entre le vote de la loi SREN en mai 2024 et l’entrée en vigueur effective de la contrainte d’achat en août 2026, plus de deux ans se sont écoulés — un temps long au regard de la vitesse à laquelle les administrations ont, dans l’intervalle, contracté avec des solutions non qualifiées. La période de dérogation de dix-huit mois laisse d’ailleurs présager que la bascule complète du parc applicatif de l’État vers des solutions pleinement souveraines ne sera pas achevée avant 2028.
Il n’empêche : pour la première fois, la France dispose d’une règle d’achat cloud pour l’État qui n’est plus une simple recommandation de bonnes pratiques, mais une obligation juridique assortie d’une sanction — l’illégalité du marché public conclu avec un prestataire non conforme. Un signal fort, à quelques semaines de l’examen du budget 2027 où la question des dépenses numériques de l’État sera de nouveau scrutée.
