Cloud souverain : SecNumCloud, offres et choix pour une PME

Guide complet sur le « cloud souverain » : définition, cadre réglementaire français, rôle du référentiel SecNumCloud, critères de choix et panorama des fournisseurs qualifiés selon le catalogue ANSSI (état des sources au 29/09/2026).

Qu’est‑ce que le « cloud souverain » ?

Le « cloud souverain » renvoie à une stratégie nationale visant à garantir un niveau élevé de protection des données sensibles et une maîtrise juridique et opérationnelle des services cloud. En France, cette doctrine s’appuie sur la qualification SecNumCloud portée par l’ANSSI. SecNumCloud définit un cadre de sécurité technique et opérationnelle. Il inclut aussi des exigences juridiques visant à limiter certaines expositions au droit extracommunautaire.

Le terme est parfois employé à des fins marketing. Il faut distinguer la doctrine française, qui s’appuie sur un référentiel formalisé, et des usages commerciaux qui se contentent d’affirmer une « origine » nationale sans détailler les contrôles. La page ANSSI SecNumCloud reste la référence pour vérifier la portée réelle d’une offre.

Encadré méthodologique. La page présente des pistes de lecture. Elle n’est pas un avis juridique. Pour un conseil contractuel ou une décision d’hébergement, il faut consulter un avocat ou un DSI. Les renvois en bas pointent vers les textes et les catalogues officiels.

Pourquoi la France poursuit une stratégie de cloud souverain ?

La stratégie française vise plusieurs objectifs. D’abord, protéger les données sensibles des administrations et de certains opérateurs. Ensuite, réduire les risques d’exposition à des législations étrangères. Enfin, soutenir le développement d’une offre nationale qualifiée.

La loi SREN (loi n°2024-449 du 21 mai 2024) et la stratégie dite « Cloud au centre » encadrent ces objectifs. Elles imposent des obligations pour certaines organisations. L’ANSSI définit les critères et les modalités de dérogation. Les débats et rapports parlementaires récents expliquent le champ d’application et les tensions de mise en œuvre.

La mise en pratique rencontre des contraintes opérationnelles. Plusieurs rapports parlementaires notent que le recours aux offres qualifiées progresse, mais que la transition n’est pas achevée. Les modalités financières, les capacités d’offre et la maturité des intégrations restent des facteurs à considérer par les responsables d’achat.

Le référentiel SecNumCloud : critères et portée

SecNumCloud est le socle français de la doctrine « cloud de confiance ». Le référentiel porte sur des exigences techniques, opérationnelles et juridiques. Il vise à attester qu’un service cloud respecte un niveau de protection élevé pour des données sensibles.

Le référentiel distingue ce qu’il atteste et ce qu’il n’atteste pas. SecNumCloud atteste des contrôles et d’un niveau de protection. Il ne garantit pas une immunité absolue face à toute législation étrangère. Pour les détails, il faut consulter le texte ANSSI et la page catalogue SecNumCloud.

La procédure de qualification figure dans la documentation ANSSI et dans le catalogue public. La page ANSSI précise qui peut demander la qualification et comment elle est instruite. Pour connaître la date et le périmètre d’une qualification, il convient de se référer au catalogue ANSSI et aux communiqués fournisseurs.

Pour qui et pour quelles données ?

La doctrine cible en priorité les administrations et certains opérateurs d’importance vitale. Elle concerne aussi les entrepôts de données particulièrement sensibles, par exemple dans le secteur santé. Les études et documents ministériels citent SecNumCloud comme critère pour l’hébergement de données de santé.

Des modalités de dérogation existent. Les textes précisent les cas où une dérogation peut être accordée et les conditions associées. Les responsables de traitement et les acheteurs publics doivent se référer aux circulaires et aux textes législatifs pour savoir si une obligation s’applique à leur cas.

Chaque décision d’hébergement doit tenir compte de la sensibilité des données, des obligations réglementaires et des risques juridiques liés aux chaînes de sous‑traitance. Un examen contractuel et une analyse de conformité sont des étapes indispensables.

Panorama des fournisseurs qualifiés (comment lire la liste)

L’ANSSI publie un catalogue des services et fournisseurs qualifiés SecNumCloud. Pour connaître la liste officielle et son état, il faut consulter ce catalogue. Les communiqués officiels des fournisseurs complètent les informations du catalogue.

La presse spécialisée a couvert des mises à jour récentes du catalogue en septembre 2026, mentionnant des qualifications pour certains fournisseurs. Parmi les noms cités publiquement figurent OVHcloud, Outscale (Dassault Systèmes/3DS Outscale), Thales Cloud Sécurisé, Orange Business Services, Numspot, Cloud Temple et Worldline. Pour vérifier une qualification, consulter la page catalogue de l’ANSSI et le communiqué du fournisseur concerné.

Explainer de lecture. Le catalogue ANSSI indique pour chaque offre le type de service (IaaS, PaaS, SaaS), la date de qualification et le périmètre couvert. Il faut garder à l’esprit que la liste évolue. Toute décision d’achat doit s’appuyer sur la page ANSSI datée et sur la documentation fournie par le candidat fournisseur.

Critères pour choisir un cloud « souverain » (checklist pratique)

Checklist actionnable et non prescriptive :

• Vérifier la présence de la qualification SecNumCloud sur le catalogue ANSSI et la date associée.
• Confirmer la localisation des données et les modalités d’accès à ces données.
• Examiner la propriété de l’entité fournisseur et la chaîne de sous‑traitance.
• Obtenir les engagements contractuels sur la gestion des sous‑traitants et sur les transferts transfrontaliers.
• Demander les éléments permettant d’évaluer la conformité RGPD et les mesures de sécurité opérationnelle.
• Vérifier la documentation technique publiée par le fournisseur et les communiqués de qualification.

Encadré « pièges marketing ». Les mentions « français » ou « hébergé en France » ne garantissent pas le contrôle effectif des données. Il faut exiger les preuves contractuelles et la référence à la qualification ANSSI.

Cas d’usage et recommandations (par secteur)

Administrations / OIV. Se référer à la loi SREN et aux circulaires pour définir les obligations. La qualification SecNumCloud est indiquée comme critère de conformité pour certaines catégories de données.

Santé. Les travaux EMC2 et les études du Health Data Hub pointent SecNumCloud comme critère pertinent pour l’hébergement d’entrepôts de données de santé. Les responsables doivent combiner cette exigence avec les règles applicables au traitement de données de santé.

Entreprises privées. Le choix dépend de la sensibilité des données et des exigences sectorielles. Un audit préalable et une clause contractuelle claire sur la chaîne de sous‑traitance sont recommandés.

Processus d’achat public et documents à demander

Les obligations de l’achat public en matière de données sensibles se réfèrent aux textes législatifs et aux rapports parlementaires. Au stade de l’appel d’offres, demander au fournisseur :

• preuve de la qualification SecNumCloud sur le catalogue ANSSI (avec date);
• description de la localisation des données et des sites couverts;
• liste des sous‑traitants et modalités contractuelles les encadrant;
• documentation technique et preuve des contrôles opérationnels.

Ces éléments servent à évaluer la conformité et la robustesse contractuelle avant attribution.

FAQ / Questions annexes

Ressources et liens officiels

Boîte à outils : consulter en priorité la page catalogue ANSSI SecNumCloud. Consulter la loi SREN (loi n°2024-449 du 21 mai 2024), les rapports et comptes‑rendus parlementaires, le guide numérique.gouv.fr et les études du Health Data Hub et d’EMC2. Pour les annonces de qualification, se référer aux communiqués fournisseurs.

Outil interactif recommandé. Un widget « quel niveau de souveraineté pour mes données ? » peut aider à orienter le choix.

Mise à jour et errata

État des sources au 29/09/2026. La liste des fournisseurs qualifiés évolue. Toute décision doit s’appuyer sur la page ANSSI et sur les communiqués datés des fournisseurs. Prévoir une revue périodique des contenus et un errata lorsqu’une qualification change.

⛔ Ce que l’on ne sait pas

Nous ne publions pas ici le nombre exact et actuel de fournisseurs qualifiés SecNumCloud sans renvoi à la page catalogue ANSSI datée. Nous ne publions pas de parts de marché ni de chiffres de dépenses nationales sans source précise et datée. Nous ne déclarons pas qu’un fournisseur est complètement immunisé face à toute législation étrangère sans citation officielle et avis juridique. Nous ne donnons pas de prix contractuels ou de SLA chiffrés non publiés par les fournisseurs. Nous ne rédigeons pas de fiches fournisseurs détaillées hors communiqués et fiche ANSSI publiés.