Une offre qualifiée SecNumCloud apporte des garanties de sécurité techniques, organisationnelles et juridiques sur un service cloud déterminé. Elle constitue un élément important d’un choix d’hébergement sensible. Elle ne rend pas automatiquement conformes au RGPD les traitements que le client y déploie et ne couvre pas indistinctement tous les produits du fournisseur.
Pour décider, le DPO et la DSI doivent rapprocher trois analyses : les règles applicables à l’organisme, la portée exacte de l’offre qualifiée et les risques propres au traitement. En 2026, cette démarche doit intégrer les nouveaux textes d’application de la loi SREN. Les termes « souverain », « européen » ou « de confiance », utilisés dans une présentation commerciale, ne suffisent pas à démontrer que le service commandé répond à ces exigences.
Ce que garantit la qualification, et son périmètre
L’ANSSI présente SecNumCloud comme une qualification d’offres cloud visant notamment la protection des données et traitements sensibles face aux menaces cyber et aux lois extraterritoriales. Elle précise que cette qualification ne préjuge pas du niveau de sécurité du service numérique que le client déploiera sur l’offre. Une application vulnérable ne devient donc pas sûre parce que son infrastructure est qualifiée.
Le périmètre peut concerner une infrastructure, une plateforme ou un logiciel fourni comme service. Les responsabilités du client diffèrent selon ce qui est acheté. Sur une infrastructure, il peut encore devoir maintenir les systèmes, configurer les accès et protéger les applications. Sur un logiciel, il doit notamment maîtriser les utilisateurs, les données importées, les exports et les connexions avec ses autres outils.
La qualification SecNumCloud doit être distinguée d’une certification de système de management. Une comparaison avec ISO 27001 doit porter sur l’objet et le périmètre des évaluations, pas sur une hiérarchie simpliste de logos. Aucune de ces références ne remplace la vérification que l’option, la région, les composants et les modes d’administration retenus figurent dans l’offre effectivement couverte.
Demandez la décision, sa période de validité et ses conditions d’utilisation. Conservez ces pièces avec le devis et la description du service. Si un intégrateur ajoute son administration, une sauvegarde externe ou un outil de support, examinez séparément cette couche. La qualification de l’infrastructure n’est pas une qualification automatique de toute la chaîne commerciale et technique.
Les règles SREN applicables depuis les textes de 2026
L’article 31 de la loi SREN vise les administrations de l’État, les opérateurs mentionnés dans l’annexe au projet de loi de finances et certains groupements d’intérêt public lorsqu’ils recourent à un service cloud fourni par un prestataire privé. Son application dépend de données d’une sensibilité particulière et des conséquences prévues par le texte en cas de violation : atteinte à l’ordre public, à la sécurité publique, à la santé ou à la vie des personnes, ou à la propriété intellectuelle.
La sensibilité particulière comprend notamment certaines données protégées par un secret légal et celles essentielles à des missions de l’État visées par le texte. Ce régime ne s’étend donc pas automatiquement à tout fichier de données personnelles, à chaque collectivité ou à l’ensemble des entreprises. L’article prévoit également son application à la plateforme des données de santé mentionnée au code de la santé publique.
Le décret du 14 avril 2026 précise notamment les GIP concernés et les domaines d’exigence. L’arrêté du 12 août 2026, publié le 14 août et entré en vigueur le lendemain, approuve la version 3.2 du référentiel. Son article 2 prévoit une qualification ANSSI ou une certification de l’Union européenne ou d’un État de l’EEE reconnue équivalente par l’ANSSI. Une certification présentée comme comparable par un vendeur ne suffit pas à établir cette reconnaissance.
Pour un achat public concerné, documentez le raisonnement d’applicabilité et la preuve retenue. La catégorie de l’organisme ne dispense pas d’examiner les données et les conséquences d’une violation. Inversement, considérer un fichier comme peu volumineux ne permet pas d’écarter une sensibilité particulière. Un ensemble limité de données peut présenter des enjeux importants pour une mission publique.
Les projets déjà engagés avant la publication du décret disposent d’un mécanisme de demande de dérogation, pas d’un délai de grâce automatique. La décision ministérielle nécessite la validation du Premier ministre. Lorsqu’une offre acceptable est disponible en France, le plafond de dix-huit mois court depuis sa disponibilité ; à défaut, le décret prévoit une durée d’un an renouvelable jusqu’à cette disponibilité. L’acceptabilité tient au besoin fonctionnel en prenant en considération le coût. Il faut examiner la procédure et la décision du projet, sans déduire une autorisation générale de poursuivre un hébergement non conforme.
Entreprise privée : construire un choix proportionné
Une entreprise hors du champ de ces dispositions peut retenir une offre SecNumCloud pour protéger des informations sensibles, satisfaire un engagement client ou réduire certains risques. Elle doit expliciter son objectif. « Nous voulons un cloud français » ne précise ni le scénario redouté ni les garanties nécessaires : accès d’une autorité étrangère, compromission d’un compte administrateur, perte de disponibilité ou dépendance excessive à un fournisseur.
Partez d’une classification des informations et des conséquences possibles. Distinguez données personnelles, secrets d’affaires, données publiques et informations soumises à une réglementation particulière. La qualification peut répondre à plusieurs enjeux, mais leur analyse ne se réduit pas au RGPD. Il faut également vérifier les règles sectorielles et contractuelles applicables au projet.
La politique de sécurité peut fixer les situations dans lesquelles une offre qualifiée est requise par l’organisation. Elle devrait aussi définir qui peut valider une exception et sur quelles preuves. Évitez une règle interne absolue immédiatement contournée faute d’offre répondant au besoin ; formulez les exigences, les limites et le circuit de décision avant la consultation des fournisseurs.
NIS2 ne constitue pas une preuve que tout cloud d’entreprise doit être qualifié SecNumCloud. Au 28 septembre 2026, le dossier français de transposition reste dans le parcours parlementaire et l’ordre du jour de l’Assemblée annonce la discussion du projet le 7 octobre. Cette date est une programmation, susceptible d’évoluer, et non une adoption. Les obligations sectorielles déjà applicables doivent être examinées indépendamment.
Ce qui reste à faire pour respecter le RGPD
Vérifier le traitement et la sécurité côté client
Le choix du cloud ne détermine pas la finalité, la base juridique, la durée de conservation ou les destinataires autorisés. Un stockage robuste de données collectées sans fondement ne résout pas ce problème initial. Le client doit aussi expliquer aux personnes les traitements qui les concernent et organiser l’exercice de leurs droits.
L’article 32 du RGPD demande des mesures appropriées aux risques. La décision de qualification peut étayer l’appréciation de certaines garanties du fournisseur. Il reste à examiner le paramétrage du client : authentification, moindre privilège, exposition réseau, gestion des clés, journalisation et sauvegardes. Les mesures du guide d’hygiène ANSSI gardent leur utilité après la migration.
Dans une hypothèse simple, une entreprise migre un espace documentaire sensible vers une offre qualifiée mais conserve des liens de partage publics sans expiration. La menace principale peut alors venir de ces liens, de la réutilisation d’un mot de passe ou d’un export vers un ordinateur mal protégé. L’analyse doit suivre le parcours des données jusqu’aux utilisateurs, sans s’arrêter au centre de données.
Encadrer les prestataires
Lorsque le fournisseur traite des données pour votre compte, l’article 28 exige le cadre écrit pertinent : contrat ou autre acte juridique contraignant relevant du droit de l’Union ou d’un État membre. La qualification ne remplace ni cette formalisation ni la vérification des garanties suffisantes. Le modèle DPA commenté aide à préciser instructions, sécurité, assistance, sous-traitance ultérieure et sortie.
Examinez les intervenants qui ont réellement accès aux données. Une équipe d’assistance ou un service de télémétrie peut relever d’un autre périmètre que l’hébergement principal. Les engagements doivent correspondre à la chaîne complète. Le guide de sous-traitance cloud permet de préparer cette discussion sans supposer qu’une promesse commerciale résume toutes les opérations techniques.
Examiner les flux et les transferts
Une localisation européenne ne suffit pas toujours à répondre aux questions de transfert. Analysez les destinataires, l’assistance distante, les sauvegardes et les communications effectivement réalisées. La qualification apporte des protections dans son périmètre ; elle ne dispense pas d’identifier un flux que le client ajoute ensuite vers un autre service.
Si un transfert du chapitre V existe, déterminez le mécanisme pertinent et ses conditions. Les clauses contractuelles types et, selon la situation, une analyse d’impact du transfert peuvent entrer dans cette démarche. Il serait inexact de présenter SecNumCloud comme une exemption universelle de toute analyse de transfert ou comme une impossibilité absolue de toute demande étrangère.
La comparaison avec un prestataire suisse illustre la nécessité de séparer les questions. La localisation, le droit applicable, le mécanisme de transfert et la qualification d’une offre ne se confondent pas. Le guide RGPD et droit suisse permet d’examiner ce contexte spécifique ; une adéquation en matière de données ne constitue pas une qualification SecNumCloud.
Trois exemples vérifiés dans le catalogue de septembre 2026
Le catalogue officiel ANSSI, mis à jour le 15 septembre 2026, et les décisions individuelles permettent de vérifier les exemples suivants. Cette sélection illustre la lecture des périmètres ; elle ne classe pas les fournisseurs et ne constitue pas une liste exhaustive.
Cloud de confiance S3NS, fourni par Thales Cloud Sécurisé, figure dans la décision du 17 décembre 2025. Elle vise les types IaaS, PaaS et CaaS et prévoit une validité de trois ans, sous les conditions indiquées. Présenter encore cette offre comme seulement en attente de qualification serait donc inexact au jour de cette vérification. Cela ne qualifie pas indistinctement toutes les offres d’un groupe ou de ses partenaires.
La plateforme des services cloud Numspot, de type IaaS, est couverte par la décision du 31 juillet 2026, valable trois ans. Son annexe limite notamment le périmètre aux accès utilisateurs par navigateur ; les applications mobiles et clients lourds ne sont pas couverts. Une démonstration commerciale doit donc être rapprochée du mode d’accès réellement prévu, pas uniquement du nom de la plateforme.
IAAS – Secure Temple, fourni par Cloud Temple, fait l’objet de la décision du 31 juillet 2026, valable jusqu’au 30 mai 2028. L’annexe couvre les accès par navigateur ou API et exclut les accès par applications. Elle exclut aussi les services d’infogérance ou services managés fournis en complément. Cette distinction peut modifier directement la portée d’une offre intégrée proposée au client.
Avant de signer, consultez à nouveau les décisions et leur état. Une qualification peut évoluer ; une date lue dans un article n’est pas une vérification contractuelle actuelle. Faites confirmer par écrit la correspondance entre la référence commandée, ses options et le service couvert. Pour une condition ambiguë, obtenez une clarification précise avant d’en faire une hypothèse de conformité.
Préparer la migration et comparer les coûts
Une comparaison budgétaire utile part d’un même besoin : capacité, disponibilité attendue, stockage, sauvegarde, support, administration et sortie. Aucun pourcentage universel de surcoût ne permet de comparer correctement deux offres. Un tarif d’infrastructure plus faible peut être accompagné d’un travail d’administration plus important ou de fonctionnalités qui imposent une adaptation de l’application.
Séparez les coûts récurrents et ceux du changement. Examinez la reprise des données, la modification des composants, les tests, la formation, la période de coexistence et les prestations de sortie. Demandez ce que le devis inclut réellement. Un engagement de réversibilité contractuel reste difficile à utiliser si personne n’a vérifié le format exporté et la capacité du service cible à le reprendre.
Le pilote doit porter sur un parcours représentatif, avec des données de test adaptées. Vérifiez les habilitations, l’exploitation, les restaurations et la continuité. Précisez les critères d’acceptation avant le pilote : autrement, une démonstration fonctionnelle réussie pourrait masquer une exigence de sécurité ou de reprise non satisfaite.
La décision de mise en service peut s’appuyer sur une homologation de sécurité lorsqu’elle est requise ou choisie par l’organisation. Elle doit intégrer les risques résiduels du système complet. Prévoyez aussi qui suit la validité de la qualification, les changements de service et les informations du fournisseur pendant le contrat.
Questions fréquentes
Tout cloud français est-il qualifié SecNumCloud ?
Non. Le pays d’implantation, le siège social et la qualification sont des informations différentes. Cherchez le service exact dans les sources officielles et examinez la décision, ses conditions et sa validité. Une démarche de qualification annoncée ne vaut pas décision obtenue.
SecNumCloud suffit-il pour la conformité RGPD ?
Non. Le client conserve ses obligations concernant le traitement, les personnes, les accès, la conservation et les flux. La qualification apporte des garanties dans un périmètre défini, à articuler avec l’analyse de risques, le contrat et les choix techniques du client.
L’article 31 SREN impose-t-il toujours exclusivement SecNumCloud ?
Il faut d’abord vérifier les organismes, les données et les conséquences visés. Dans ce champ, l’arrêté de 2026 prévoit la qualification ANSSI ou une certification européenne ou d’un État de l’EEE reconnue équivalente par l’ANSSI. L’existence d’une telle reconnaissance doit être prouvée pour la certification invoquée ; elle ne se présume pas.