L'arrêté du 12 août 2026 portant approbation du référentiel d'exigences relatif aux prestataires de services d'informatique en nuage, publié au Journal officiel du 14 août 2026, approuve la version 3.2 du référentiel SecNumCloud élaboré par l'Agence nationale de la sécurité des systèmes d'information. Il intervient en application de l'article 31 de la loi du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique, dite loi SREN, et du décret du 14 avril 2026 qui en a précisé le champ. Ce décret avait désigné, outre la plateforme des données de santé, six groupements d'intérêt public assujettis, parmi lesquels le système national d'enregistrement de la demande de logement social et l'Agence du numérique en santé. Jusqu'à cet arrêté, l'exigence SecNumCloud ne reposait que sur la doctrine « cloud au centre », dépourvue de valeur contraignante. La question posée aux acheteurs publics est celle du périmètre exact de l'obligation et de ses effets sur les marchés d'hébergement en cours.
La conformité se prouve par la qualification ANSSI ou par une certification européenne reconnue équivalente
L'article 31 de la loi SREN impose aux administrations de l'État, à leurs opérateurs et aux groupements d'intérêt public désignés, lorsqu'ils recourent à un prestataire privé pour héberger des données d'une sensibilité particulière, de retenir un service garantissant la protection contre tout accès par des autorités publiques d'États tiers non autorisé par le droit de l'Union ou d'un État membre. L'arrêté fixe le mode de preuve : la conformité du service est attestée soit par une qualification délivrée par l'ANSSI au titre du référentiel approuvé, soit par une certification délivrée dans l'Union ou l'Espace économique européen et reconnue équivalente par l'ANSSI. La version 3.2 du référentiel maintient les critères d'immunité aux législations extraterritoriales, qui portent sur la localisation des données, le contrôle capitalistique du prestataire et le droit applicable au contrat.
Les données « d'une sensibilité particulière » obéissent à deux critères cumulatifs
Le décret du 14 avril 2026 et le vade-mecum interministériel qui l'accompagne retiennent une lecture en deux temps. La donnée doit relever d'un secret protégé par la loi ou d'une mission essentielle de l'État, et sa compromission doit porter une atteinte concrète et suffisamment caractérisée à l'ordre public, à la sécurité publique, à la santé ou à la vie des personnes, ou à la protection de la propriété intellectuelle. Lorsqu'une partie des données d'un système répond à ces critères, l'ensemble de l'infrastructure est concerné, sauf cloisonnement technique efficace. Les administrations qui avaient engagé des projets avec des prestataires non qualifiés disposent d'un délai de migration de dix-huit mois lorsqu'une offre conforme existe, et peuvent solliciter une dérogation d'un an renouvelable, rendue publique, dans le cas contraire.
Les collectivités territoriales restent hors du champ direct mais subissent l'obligation par ricochet
Les régions, départements, communes et intercommunalités ne sont pas assujettis en tant que tels, mais le sont indirectement. D'une part, lorsqu'ils alimentent ou utilisent un système national assujetti, comme le système d'enregistrement de la demande de logement social, les flux et les interfaces doivent respecter le niveau de sécurité attendu. D'autre part, la proposition de loi d'origine sénatoriale relative à la souveraineté numérique, en cours d'examen à l'Assemblée nationale, prévoit d'étendre l'obligation aux collectivités de plus de 30 000 habitants, aux services départementaux d'incendie et de secours et aux centres de gestion.
Ce que l'arrêté induit pour les acheteurs publics et les maîtres d'ouvrage informatiques
Les services de l'État et leurs opérateurs doivent, pour tout nouveau marché d'hébergement ou de service en nuage, qualifier la sensibilité des données au regard des deux critères, inscrire au cahier des charges l'exigence de qualification SecNumCloud 3.2 ou d'une certification équivalente reconnue par l'ANSSI, et vérifier que le périmètre de la qualification du candidat couvre effectivement le service souscrit. Les contrats en cours doivent être audités pour identifier les prestataires non conformes et déclencher le délai de migration de dix-huit mois. Les clauses de localisation des données, de réversibilité, de maintien de la qualification pendant toute la durée du marché et de résiliation en cas de changement de contrôle du prestataire deviennent indispensables. Les collectivités ont intérêt à adopter la même grille dès maintenant pour leurs données les plus sensibles, chaîne d'alerte des secours ou paie des agents par exemple, afin d'anticiper l'extension législative annoncée.
Références : Arrêté du 12 août 2026 portant approbation du référentiel d'exigences relatif aux prestataires de services d'informatique en nuage (JO du 14 août 2026) ; Décret n° 2026-272 du 14 avril 2026 pris pour l'application de l'article 31 de la loi n° 2024-449 du 21 mai 2024 ; Loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique, article 31.
