La réponse courte
Depuis le 22 août 2026, choisir un prestataire cloud non qualifié SecNumCloud pour héberger des données sensibles de l'État n'est plus un risque réputationnel — c'est un risque juridique. L'arrêté du 12 août 2026, fondé sur l'article 31 de la loi SREN et le décret d'application du 14 avril 2026, donne force obligatoire au référentiel SecNumCloud 3.2 de l'ANSSI dans les marchés publics concernés.
Pour une ESN ou un éditeur logiciel qui vend ou développe des solutions pour des administrations, des OIV, des OSE ou des GIP, cela signifie une chose concrète : l'architecture cloud de vos projets doit s'appuyer sur des composants fournis par un prestataire portant la qualification ANSSI. Les contrats que vous signez à partir d'aujourd'hui doivent intégrer des clauses de réversibilité, de transparence sur la sous-traitance et de protection contre les accès extraterritoriaux non-européens.
Ce que dit l'arrêté du 12 août 2026
Le référentiel SecNumCloud existe depuis 2016 et a été refondu en version 3.2 en 2024. Pendant des années, il constituait une doctrine de l'ANSSI — une liste d'exigences que les administrations étaient encouragées à respecter, sans obligation légale directe. L'arrêté du 12 août 2026 (publié au Journal officiel le 14 août, entrée en vigueur le 22 août) change fondamentalement ce statut.
Pris sur le fondement de l'article 31 de la loi SREN (loi visant à sécuriser et réguler l'espace numérique, promulguée en 2024) et du décret d'application du 14 avril 2026, cet arrêté impose aux organismes dans son périmètre de recourir exclusivement à des prestataires qualifiés par l'ANSSI — ou à des prestataires détenant une certification européenne reconnue équivalente par l'ANSSI — pour le traitement en cloud privé de leurs données les plus sensibles.
La qualification ANSSI ou son équivalent européen doit être attestée avant la passation du marché. Autrement dit, l'exigence entre dans le cahier des clauses techniques particulières (CCTP) et dans les critères de sélection des appels d'offres. Un prestataire non qualifié ne peut plus remporter ce type de marché, quelle que soit la compétitivité de son offre sur le fond.
Qui est concerné — et qui ne l'est pas
L'arrêté cible les organismes traitant des données dont la compromission serait susceptible de porter atteinte à l'ordre public, à la sécurité nationale, à la santé publique, à la vie des personnes ou à des secrets industriels et commerciaux stratégiques. En pratique, cela recouvre :
- Les administrations d'État (ministères, directions, établissements publics administratifs de l'État) traitant des données sensibles dans des environnements cloud privés.
- Les opérateurs d'importance vitale (OIV) — les quelque 250 organisations désignées par l'État dans les douze secteurs d'activité d'importance vitale (énergie, transports, santé, télécommunications, etc.).
- Les opérateurs de services essentiels (OSE), issus du régime NIS1, qui resteront dans le champ jusqu'à l'entrée en vigueur complète de NIS2.
- Les groupements d'intérêt public (GIP) traitant des données d'une sensibilité équivalente.
Les collectivités territoriales (communes, départements, régions) ne relèvent pas directement de cet arrêté. Cependant, les collectivités qui gèrent des données de catégorie sensible — fichiers de population, données sociales, infrastructures de sécurité — ont tout intérêt à anticiper, car la dynamique réglementaire va dans le sens d'une extension progressive du périmètre.
L'offre qualifiée : environ douze prestataires
La rareté de l'offre qualifiée est le principal défi opérationnel que cet arrêté crée. Environ douze prestataires détiennent aujourd'hui la qualification ANSSI SecNumCloud. Parmi eux :
- OVHcloud — premier cloud français certifié, offre IaaS et PaaS en datacenter France.
- Orange Business — cloud managé pour les grands comptes et le secteur public.
- S3NS — coentreprise Google Cloud / Thales, visant la qualification pour des services GCP souverains.
- Cloud Temple — IaaS souverain, historiquement positionné sur les OIV.
- Outscale (Dassault Systèmes) — cloud industriel et souverain.
- Worldline — cloud transactionnel pour la FinTech et le secteur public.
- Oodrive — stockage et partage de documents pour les environnements sensibles.
Microsoft travaille sur sa qualification via la joint-venture Bleu (avec Orange et Capgemini), mais la démarche n'est pas encore aboutie. AWS, Google (hors S3NS) et Azure ne disposent pas de qualification directe pour les données les plus sensibles.
La rareté de l'offre crée mécaniquement une pression sur les prix et les délais. Le processus de qualification ANSSI est exigeant : il peut mobiliser une ressource dédiée pendant plusieurs mois et implique des audits approfondis. Cette concentration du marché est un enjeu structurel que les acheteurs publics et leurs partenaires ESN doivent intégrer dès la phase de conception des projets.
Ce que cela impose contractuellement
L'arrêté ne se contente pas de désigner les prestataires éligibles : il introduit des clauses contractuelles obligatoires qui modifient la nature même des marchés cloud publics. Quatre catégories d'obligations nouvelles entrent désormais dans le droit commun de ces contrats :
- Réversibilité des données. Le contrat doit garantir à l'organisme la capacité de récupérer l'intégralité de ses données dans un format exploitable à l'expiration ou à la résiliation du marché, sans dépendance technique forcée vis-à-vis du prestataire. Les modalités et délais de portabilité doivent être explicitement décrits.
- Transparence sur la sous-traitance cloud. Le prestataire titulaire doit déclarer et justifier l'ensemble de ses sous-traitants cloud, et toute modification de cette chaîne doit faire l'objet d'une notification préalable à l'organisme. La qualification SecNumCloud doit être vérifiable à chaque maillon.
- Protection contre les accès non-européens (immunité Cloud Act). Les contrats doivent comporter des garanties contractuelles et techniques contre la communication de données à des autorités étrangères en application d'une loi étrangère à portée extraterritoriale (Cloud Act américain, CLOUD Act britannique, etc.). C'est l'une des exigences les plus structurantes de SecNumCloud 3.2, qui exclut de fait les offres des hyperscalers américains non couverts par une entité juridique qualifiée.
- Localisation géographique des données. Le traitement et le stockage des données concernées doivent être réalisés sur le territoire de l'Union européenne, dans des datacenters dont la gouvernance est garantie indépendante de toute juridiction extraterritoriale.
Ce que cela change pour les ESN et éditeurs
La première conséquence directe pour une ESN ou un éditeur logiciel est architecturale. Si vous concevez ou maintenez une application pour un organisme dans le périmètre de l'arrêté, vous ne pouvez plus choisir librement votre fournisseur de cloud sur la seule base du prix ou de la richesse des services. L'architecture doit être pensée dès le départ avec les contraintes SecNumCloud — ce qui peut impliquer de renoncer à certains services managés des hyperscalers non qualifiés (bases de données gérées, services d'IA cloud, pipelines de CI/CD) et de les remplacer par des équivalents disponibles chez un prestataire qualifié.
La deuxième conséquence est contractuelle. Dans les appels d'offres publics, vous serez de plus en plus souvent interrogé sur la qualification de votre prestataire cloud, sur votre capacité à produire une documentation de réversibilité et sur vos garanties contre les accès extraterritoriaux. Ces critères entrent dans l'évaluation des offres. Préparer ces réponses en avance — et les tester avec de vrais contrats — est un avantage compétitif concret.
La troisième conséquence touche à la conception logicielle. Développer une application souveraine, c'est anticiper dès le code les contraintes de localisation des données, de chiffrement côté client, d'absence de dépendances à des API cloud hors périmètre, et de portabilité. Ce n'est pas un vernis de conformité posé à la fin du projet : c'est une contrainte d'architecture qui s'impose dès les premières décisions techniques. Les équipes habituées à développer « cloud-first » sur AWS ou Azure doivent adapter leurs pratiques pour les projets publics sensibles.
Enfin, pour les éditeurs SaaS qui vendent à des organismes publics, l'obligation peut nécessiter de créer une variante de leur produit hébergée chez un prestataire qualifié — une offre « SecNumCloud edition » distincte de l'offre standard. C'est un investissement qui peut sembler lourd, mais qui ouvre l'accès à un segment de marché public désormais captif pour les acteurs qualifiés.
Comment se préparer dès maintenant
L'entrée en vigueur immédiate de l'arrêté ne laisse pas de période de grâce pour les nouveaux marchés. Voici les étapes à prioriser :
- Cartographiez vos projets publics en cours et à venir. Identifiez lesquels impliquent des données sensibles pour des organismes dans le périmètre (administrations d'État, OIV, OSE, GIP). Pour chacun, vérifiez si le prestataire cloud actuel est qualifié SecNumCloud 3.2.
- Auditez votre stack cloud. Listez tous les services cloud utilisés dans vos projets publics sensibles — stockage, base de données, messagerie, CI/CD, monitoring. Comparez avec ce que proposent les prestataires qualifiés. Identifiez les gaps et estimez l'effort de migration.
- Préparez vos clauses contractuelles. Faites relire par vos juristes les clauses de réversibilité, de sous-traitance et d'immunité extraterritoriale que vous devrez intégrer dans vos contrats. Ne partez pas d'une feuille blanche : les prestataires qualifiés proposent des templates contractuels compatibles.
- Formez vos équipes d'avant-vente. Les consultants et commerciaux qui répondent aux appels d'offres publics doivent connaître les bases de SecNumCloud 3.2 : périmètre, liste des prestataires qualifiés, critères obligatoires. La question viendra lors de la soutenance.
- Anticipez les délais de migration. Migrer une application d'un cloud non qualifié vers un prestataire qualifié prend du temps — parfois plusieurs mois selon la complexité. Si vous avez des renouvellements de contrats publics à venir, commencez dès maintenant.
Questions fréquentes
Qu'est-ce que SecNumCloud 3.2 ?
SecNumCloud est le référentiel de sécurité de l'ANSSI pour les prestataires de services d'informatique en nuage. La version 3.2, publiée en 2024, renforce notamment les exigences de protection contre les accès extraterritoriaux non-européens (Cloud Act américain) et introduit des critères de réversibilité et de transparence sur la sous-traitance. Depuis le 22 août 2026, l'arrêté du 12 août en fait une exigence légale contraignante pour les achats de cloud sensibles de l'État.
Quels organismes sont concernés par l'obligation SecNumCloud 3.2 ?
L'obligation s'applique aux administrations d'État, aux opérateurs d'importance vitale (OIV), aux opérateurs de services essentiels (OSE) et aux groupements d'intérêt public (GIP) qui traitent des données dont la compromission affecterait l'ordre public, la sécurité, la santé ou des informations stratégiques. Les collectivités territoriales ne sont pas directement concernées par cet arrêté, mais peuvent l'anticiper pour leurs données les plus sensibles.
Combien de prestataires cloud sont qualifiés SecNumCloud ?
Environ douze prestataires détiennent aujourd'hui la qualification ANSSI, parmi lesquels OVHcloud, Orange Business, S3NS (coentreprise Google/Thales), Cloud Temple, Outscale (Dassault Systèmes), Worldline et Oodrive. Microsoft travaille sur la qualification via sa joint-venture Bleu. La rareté de l'offre qualifiée est un enjeu de marché : le processus de qualification est exigeant et peut mobiliser une ressource dédiée pendant plusieurs mois.
Qu'est-ce que cela change pour une ESN qui travaille avec le secteur public ?
Toute ESN qui héberge des données ou développe des applications pour un organisme soumis à l'obligation doit désormais s'assurer que les composants cloud de son architecture sont fournis par un prestataire qualifié SecNumCloud 3.2. Les nouveaux contrats incluent des clauses obligatoires sur la réversibilité des données, la transparence sur la chaîne de sous-traitance cloud et la protection contre les accès non-européens. Ne pas respecter ces exigences expose l'organisme commanditaire à une mise en cause de responsabilité civile.
Sources
Clubic — SecNumCloud 3.2 devient obligatoire pour les données les plus sensibles de l'État (27 août 2026)
Whaller Blog — SecNumCloud 3.2 : une règle d'achat obligatoire pour l'État (24 août 2026)
Kohen Avocats — Référentiel cloud du 12 août 2026 — implications contractuelles (25 août 2026)
Landot Avocats — Évolution du référentiel cloud pour les marchés publics (17 août 2026)