Un arrêté du Premier ministre Sébastien Lecornu fait basculer SecNumCloud 3.2 dans le droit dur : l'exigeante qualification ANSSI devient obligatoire pour héberger les données les plus sensibles de l'État dans le cloud privé, comme l'exige la loi SREN.
La France renforce son cloud souverain avec un arrêté qui impose désormais la qualification SecNumCloud 3.2 à tout prestataire privé traitant des données sensibles de l'État notamment. Publié au Journal officiel le 14 août, le texte approuve la version 3.2 du référentiel technique de l'ANSSI, l'agence de cybersécurité française, jusqu'ici davantage affaire de doctrine que de contrainte réelle. Il s'applique à l'État, mais aussi à ses opérateurs et aux groupements d'intérêt public, dès lors qu'ils confient à un prestataire privé des données jugées particulièrement sensibles, celles dont la compromission menacerait l'ordre public, la santé ou la vie des personnes. Une bascule qui n'est évidemment pas anodine, par les temps qui courent.
Le cloud français vient de basculer dans une nouvelle ère de sécurité
Jusqu'à présent, SecNumCloud n'était qu'une boussole, c'est-à-dire un ensemble de bonnes pratiques solides, recommandées par l'ANSSI, mais que rien n'obligeait vraiment les administrations à suivre à la lettre. L'arrêté du 12 août, en vigueur depuis le 22 août 2026, a changé cette donne en s'appuyant sur deux textes qui préparaient discrètement le terrain depuis plusieurs mois, à savoir la loi SREN de 2024, qui avait posé le principe dans son article 31, puis un décret du 14 avril 2026, qui en a précisé les modalités d'application. L'arrêté arrive au bout de cette chaîne juridique en donnant enfin sa force obligatoire au référentiel technique. Ce qui n'était qu'une bonne pratique recommandée devient une condition légale à part entière, que les administrations ne peuvent plus se permettre d'ignorer.
Dans le détail, le texte cible les données d'une « sensibilité particulière », c'est-à-dire celles dont la violation porterait atteinte à l'ordre public, à la sécurité publique, à la santé, à la vie des personnes ou à la propriété intellectuelle. Pour ces données précises confiées à un cloud privé, une qualification délivrée par l'ANSSI, ou une certification européenne jugée équivalente, devient désormais une obligation, et non plus un simple gage de confiance. Le référentiel technique en lui-même ne bouge pas d'un iota. Il reste celui publié en mars 2022. C'est bien son statut juridique qui change de nature, en glissant d'une recommandation à une exigence pleinement opposable.
Sur LinkedIn, l'ancien député et président de Via Publica Jean-Michel Mis a analysé un texte qui, selon lui, « pose très concrètement la question des dépendances technologiques de l'État ». Une manière de rappeler que derrière la technicité du référentiel, se joue la bataille de l'autonomie numérique française face aux géants étrangers du cloud.
La course à la qualification SecNumCloud va s'intensifier
Ce basculement juridique intervient alors que la course à la qualification SecNumCloud s'intensifie déjà depuis plusieurs mois. Avec S3NS (la filiale de Thales adossée à la technologie de Google Cloud), Orange Business, Wimi (Cloud Solutions), Cegedim, Cloud Temple, Index Education, OVHcloud, Oodrive, Outscale, Whaller et Wordline, la liste des prestataires certifiés reste courte, à peine une grosse dizaine d'acteurs sur l'ensemble du marché français. L'arrêté pourrait accélérer les candidatures, puisque les administrations n'ont, de ce qu'on comprend, plus vraiment la possibilité de temporiser. Parmi la longue liste d'exigences du référentiel, figurent notamment de fortes garanties contre les capitaux extra-européens, un verrou parmi d'autres qui contribue à expliquer pourquoi si peu d'acteurs franchissent la ligne d'arrivée.
Pour Jean-Michel Mis, ce texte compte bien plus qu'il n'y paraît. Jusqu'ici, protéger les données sensibles de l'État dans le cloud reposait sur une ligne de conduite clairement affichée par l'État, mais qu'aucun texte ou loi ne venait vraiment sanctionner en cas de manquement. Avec cet arrêté, la protection change de nature et devient une véritable obligation légale, que l'on peut désormais faire respecter devant un tribunal si besoin. Pour l'ancien député de la Loire, c'est le signe que le débat sur le cloud de confiance a changé d'ère : on ne se contente plus de bonnes intentions affichées, on entre dans le concret, avec des règles précises, vérifiables, et surtout opposables, c'est-à-dire qu'elles peuvent désormais être invoquées et imposées juridiquement à qui ne les respecterait pas.
Reste à voir comment les administrations et opérateurs concernés s'organiseront pour se conformer à cette nouvelle donne réglementaire. Entre la montée en puissance des offres qualifiées et la vigilance accrue sur les dépendances technologiques, SecNumCloud 3.2 s'impose désormais comme un passage quasi obligatoire pour quiconque veut héberger le cloud souverain à la française. Tout le monde ne partage cependant pas cet enthousiasme. Sous le même post, Sébastien Garnault, président du Paris Cyber Summit, a jugé le texte plus habile à soulever des questions qu'à y répondre, rappelant au passage que Washington a, le même jour, relancé de son côté un dispositif favorisant son propre écosystème cyber offensif.
Participer à la discussion
Partagez votre avis avec la communauté Clubic.