En l’espace de quarante-huit heures, deux acteurs français du cloud ont franchi une étape réglementaire décisive. Numspot, le consortium fondé par La Poste, Dassault Systèmes, Bouygues Telecom et la Banque des Territoires, a obtenu de l’ANSSI la qualification SecNumCloud pour son offre d’infrastructure (IaaS). Le même jour, OVHcloud annonçait sa troisième qualification SecNumCloud, pour sa plateforme de cloud public SNC Cloud Platform. Deux annonces distinctes mais un même signal : la course au cloud « de confiance » made in France entre dans une phase plus concrète, alors que l’État vient tout juste de fixer les règles du jeu pour héberger ses données les plus sensibles.
Ce que couvre – et ne couvre pas – la qualification de Numspot
Pour Numspot, la qualification obtenue porte sur la brique de base de son offre : machines virtuelles, stockage et réseau. Les briques plus avancées de type PaaS — Kubernetes, bases de données PostgreSQL et surtout la future plateforme de services d’intelligence artificielle managée — restent en cours d’examen. L’audit correspondant (jalon J2) a été bouclé et attend sa présentation finale devant les instances de qualification ; l’entreprise vise une qualification PaaS complète d’ici la fin de l’année 2026.
Éric Haddad, à la tête de Numspot depuis 2025, présente cette étape comme le fruit d’un repositionnement stratégique de la société, née initialement autour de l’infrastructure d’Outscale : « Nous avons repositionné la plateforme comme hybride et portable » et « redéveloppé notre plateforme pour qu’elle soit nativement SecNumCloud : le développement a précédé l’audit, pas l’inverse. » Sur le choix de l’open source, revendiqué comme un argument de souveraineté à part entière, il est catégorique : « Zéro dépendance aux acteurs américains, cela élimine les problèmes de résilience. »
OVHcloud, troisième qualification et ambition européenne
Chez OVHcloud, l’annonce du 1er septembre porte sur SNC Cloud Platform, une offre de cloud public facturée à l’usage, construite sur des briques open source et dotée d’API interopérables — une architecture que le groupe roubaisien présente en rupture avec les écosystèmes propriétaires fermés. Cette qualification s’ajoute à deux précédentes (Bare Metal Pod et VMware on OVHcloud), portant à trois le nombre d’offres qualifiées SecNumCloud du groupe. OVHcloud indique vouloir étendre cette plateforme qualifiée à ses régions européennes, notamment en Italie, en Allemagne et en Pologne. Octave Klaba, fondateur et dirigeant du groupe, a résumé l’enjeu : « À l’heure où l’IA démultiplie les besoins d’infrastructures de confiance, l’Europe doit s’appuyer sur des technologies qu’elle maîtrise. C’est précisément ce que nous construisons chez OVHcloud. »
Un cadre réglementaire qui vient enfin de se préciser
Ces annonces interviennent quelques mois après la publication, le 14 avril 2026, du décret d’application de l’article 31 de la loi SREN, qui impose aux administrations le recours à des solutions de cloud qualifiées pour héberger leurs données sensibles. Le texte a d’abord ciblé six groupements d’intérêt public — dont l’agence du numérique en santé et le centre national d’accès sécurisé aux données — avant de préciser, via un vademecum, une définition à deux critères de la « donnée sensible » : une protection légale particulière (secret défense, secret médical, secret des affaires) combinée à un risque concret d’atteinte à l’ordre public, à la sécurité ou à la santé. Les organismes concernés disposent d’un délai de dix-huit mois pour migrer vers une offre qualifiée disponible, avec des dérogations renouvelables au-delà. Le champ doit ensuite s’étendre à des secteurs régulés comme la santé, la finance, l’énergie ou les prestataires de la défense.
Numspot et OVHcloud face aux offres hybrides Bleu et S3NS
La qualification SecNumCloud ne s’applique jamais à un fournisseur dans son ensemble, mais à des services précisément délimités — une nuance essentielle pour les acheteurs publics et privés, qui doivent vérifier le périmètre exact couvert avant de confier des charges sensibles à un prestataire. Le marché français du cloud de confiance compte aujourd’hui une dizaine de prestataires qualifiés pour une trentaine de services au total, selon les derniers décomptes disponibles. Il reste toutefois structuré autour de deux philosophies concurrentes. D’un côté, des offres capitalistiquement et technologiquement françaises ou européennes, comme celles de Numspot et OVHcloud, qui misent sur l’open source pour revendiquer une indépendance technologique totale. De l’autre, des offres dites « de confiance » — Bleu, coentreprise d’Orange, Capgemini et Microsoft, et S3NS, coentreprise de Thales et Google Cloud — qui associent capital français et technologies américaines sous licence, une architecture censée répondre aux mêmes exigences réglementaires mais régulièrement questionnée sur sa capacité à garantir une immunité totale face à des législations extraterritoriales comme le Cloud Act américain.
Cette double annonce ne clôt donc pas le débat sur ce que recouvre réellement la souveraineté numérique française : elle marque plutôt l’entrée dans une phase où les qualifications techniques, brique par brique, vont progressivement départager des discours jusqu’ici largement concurrents sur le papier. Pour les administrations et les entreprises des secteurs régulés, qui doivent désormais arbitrer sous contrainte de calendrier, le niveau de maturité réel de chaque offre — au-delà de la seule communication — devient un critère décisif.
