Cloud souverain : SecNumCloud, obligations réelles et état du cadre européen

Un cloud souverain est une offre dont les données, l’exploitation technique et le contrôle capitalistique du fournisseur échappent à toute juridiction extra-européenne. La distinction avec un cloud simplement hébergé en Europe n’est pas rhétorique : elle détermine si un État tiers peut légalement exiger l’accès à vos données. Depuis l’arrêté du 12 août 2026, la question a quitté le registre du débat pour celui de l’obligation opposable. Cette page réunit le cadre applicable, ce que la qualification garantit réellement, et l’état d’un dossier européen bloqué, dans le prolongement de notre couverture cloud et infrastructure.

Les trois niveaux de souveraineté

C’est la distinction que les argumentaires commerciaux entretiennent dans le flou, et celle qu’une direction informatique doit poser avant toute consultation.

Les offres estampillées frontière de données européenne relèvent du niveau 2. Le progrès est réel, mais l’administration reste assurée par des salariés d’un groupe soumis à un droit tiers. Seul le niveau 3 répond à la question posée par le CLOUD Act et le FISA.

Définition. La souveraineté d’une offre cloud désigne l’impossibilité juridique, pour une autorité extra-européenne, d’obtenir un accès aux données hébergées ou d’imposer une interruption de service, sans qu’un recours de droit européen puisse s’y opposer.

Ce que la qualification SecNumCloud garantit

Le référentiel de l’ANSSI, dans sa version 3.2 publiée en 2022, impose plus de 360 exigences techniques et organisationnelles, auditées par un prestataire qualifié PASSI. Il reste le seul dispositif européen à intégrer un critère d’immunité aux législations extraterritoriales.

Les deux exigences qui font la différence : le siège social du prestataire doit être établi dans l’Union, et le contrôle capitalistique ne doit pas permettre à une entité soumise à un droit tiers d’imposer un accès aux données. C’est une qualification d’État, valable trois ans, avec un audit de surveillance à dix-huit mois.

Ce qu’elle n’est pas : une certification privée, ni un équivalent renforcé d’ISO 27001 ou d’HDS. Ces référentiels traitent la sécurité de l’information et l’hébergement de données de santé. Ils ne disent rien de la juridiction applicable.

Qui est réellement soumis à l’obligation

C’est le point sur lequel la confusion est la plus fréquente, y compris chez des prestataires qui l’entretiennent.

Le cadre français

La doctrine dite Cloud au centre, posée par circulaire du Premier ministre en 2023, orientait déjà les administrations vers les offres qualifiées pour leurs données sensibles. Elle relevait de l’instruction, pas de la contrainte juridique.

Deux textes ont changé cela. Le décret pris en application de la loi SREN, le 14 avril 2026, a introduit la première obligation contraignante en droit français. L’arrêté du 12 août 2026, publié au Journal officiel le 14 août et entré en vigueur le 15, approuve formellement le référentiel pour les services de l’État, ses opérateurs et les groupements d’intérêt public.

Les régimes dérogatoires

Ils existent et sont bornés dans le temps. Jusqu’à dix-huit mois lorsqu’une offre jugée acceptable existe en France. Un an renouvelable lorsqu’aucune offre ne couvre le besoin exprimé. La dérogation est accordée par le ministre compétent après validation du Premier ministre.

Le cas des entreprises privées

Aucune obligation directe. Mais deux effets indirects pèsent lourd. L’accès à la commande publique sensible devient conditionné : un éditeur ou un hébergeur non qualifié se retrouve mécaniquement écarté d’un pan entier du marché. Et la qualification s’installe comme critère de sélection dans les secteurs régulés, notamment pour les entités soumises aux obligations de conformité NIS2 qui traitent des données critiques.

L’état du dossier européen

Le schéma de certification EUCS devait harmoniser ces exigences à l’échelle de l’Union. Le critère de souveraineté en a été retiré faute de compromis, la position française s’étant retrouvée isolée à mesure que l’Allemagne s’éloignait de l’idée d’une immunité juridique opposable. L’adoption a été reportée sans nouvelle échéance.

La Commission a présenté le 3 juin 2026 un projet de Cloud and AI Development Act qui réintroduit, pour la commande publique cette fois, un cadre de souveraineté à quatre niveaux allant de la simple localisation européenne jusqu’au contrôle capitalistique du fournisseur. Le texte reprend, presque à l’identique, les exigences écartées du schéma de certification deux ans plus tôt.

La conséquence pratique : tant que ce dossier n’est pas tranché, il n’existe pas d’équivalent européen pleinement opérationnel. Le référentiel national reste la seule référence disponible, ce qui place les organisations multi-pays devant un problème d’harmonisation sans solution à court terme.

Les offres qualifiées

Une dizaine d’offres sont qualifiées à ce jour. Parmi les acteurs présents : Outscale, filiale de Dassault Systèmes, OVHcloud sur plusieurs offres, Cloud Temple, Oodrive, Worldline, Cegedim, Orange Business et ITS Integra.

Le cas de S3NS mérite d’être posé à part. Cette coentreprise associant Thales et Google Cloud illustre un modèle intermédiaire : technologie sous licence américaine, mais exploitation et contrôle opérés depuis la France par une entité de droit français. Le montage répond aux exigences du référentiel tout en donnant accès à un catalogue de services que les acteurs strictement européens n’égalent pas.

La liste officielle tenue par l’ANSSI fait foi. Elle évolue au rythme des qualifications et des renouvellements, et c’est elle qui doit être consultée avant toute consultation, pas les mentions figurant dans les documents commerciaux.

Le Cloud souverain SecNumCloud compte 8 offres qualifiées et une candidature (Bleu) en cours d’instruction, selon cyber.gouv.fr et sources concordantes de septembre 2026.

Instruire le sujet en interne

Quatre étapes, dans cet ordre :

1. Classifier les données avant de consulter. Toutes n’appellent pas le même niveau. Le travail de classification conditionne le périmètre soumis à l’obligation et évite de payer une souveraineté inutile sur des données publiques.

2. Vérifier le niveau réel de chaque offre existante. Pour chaque fournisseur en place, déterminer lequel des trois niveaux est atteint. L’exercice révèle presque toujours des écarts entre ce qui a été vendu et ce qui est contractuellement garanti.

3. Documenter les écarts et la trajectoire. Y compris pour les périmètres qui resteront non souverains, avec la justification correspondante. C’est une pièce de conformité autant qu’une protection.

4. Anticiper le coût de sortie. Une bascule vers une offre qualifiée suppose une migration dont le coût dépend directement du niveau de dépendance accepté auparavant auprès des grands fournisseurs mondiaux.

Explorer le cluster

Cette page fait partie de notre couverture des architectures cloud et infrastructures d’entreprise : hyperscalers, souveraineté, coûts, migration et datacenters.

iTPro+ : recevez chaque semaine les analyses d’architecture et les évolutions réglementaires qui concernent les directions informatiques.