Un cloud de confiance est un service d'informatique en nuage qui offre, en plus d'un haut niveau de sécurité technique, des garanties juridiques et opérationnelles contre l'accès aux données par des autorités d'États tiers. En France, cette notion s'appuie sur un référentiel concret : la qualification SecNumCloud délivrée par l'ANSSI, qui impose notamment que le prestataire soit soumis au seul droit européen et que les données, y compris techniques, restent localisées dans l'Union 1.
En 2026, le sujet a changé de nature. Ce qui relevait d'une doctrine administrative est devenu une obligation réglementaire pour les administrations de l'État et leurs opérateurs, avec l'entrée en vigueur du décret d'application de l'article 31 de la loi SREN 45. Côté offre, le marché qualifié s'élargit, mais lentement : les qualifications prennent du temps, et toutes les annonces ne sont pas encore suivies d'effets 67.
Cet article clarifie la définition du cloud de confiance, rappelle le cadre applicable au secteur public et dresse un état du marché à la date de rédaction, pour aider les DSI et RSSI à situer leurs propres besoins.
Cloud de confiance, cloud souverain, SecNumCloud : de quoi parle-t-on ?
Les trois expressions sont souvent employées l'une pour l'autre, alors qu'elles ne recouvrent pas la même chose. « Cloud souverain » est un terme politique et commercial, sans définition juridique. « Cloud de confiance » désigne en France une catégorie d'offres répondant à des exigences de sécurité et d'immunité aux lois extra-européennes. SecNumCloud, enfin, est le référentiel de l'ANSSI qui permet de vérifier ces exigences et d'attester qu'une offre les respecte.
La qualification SecNumCloud porte sur un périmètre de service précis, et non sur une entreprise dans son ensemble. Elle est délivrée pour trois ans, sous réserve d'audits de surveillance annuels, puis peut être renouvelée 1. Un même fournisseur peut donc proposer à la fois des services qualifiés et des services qui ne le sont pas : la mention « SecNumCloud » sur une plaquette commerciale ne dit rien du service que vous allez réellement consommer.
Un cloud de confiance se vérifie service par service, jamais sur la seule réputation du fournisseur.
Les deux piliers : sécurité et immunité juridique
Le premier pilier est technique et organisationnel : gestion des accès, chiffrement, journalisation, cloisonnement, sécurité des opérations, continuité. Le second est juridique. Selon l'ANSSI, le prestataire doit être soumis exclusivement au droit de l'Union, ce qui s'apprécie à travers plusieurs critères : siège dans un État membre, actionnariat extra-européen minoritaire, encadrement du recours à des sous-traitants non européens, autonomie d'exploitation 1. Les données des clients, mais aussi les annuaires d'administrateurs et d'utilisateurs, les journaux et les certificats racines doivent être localisés dans l'Union 1.
La doctrine « cloud au centre » et le décret SREN pour le secteur public
La doctrine d'utilisation de l'informatique en nuage par l'État a été formalisée par la circulaire n° 6282/SG du 5 juillet 2021, puis réajustée par la circulaire n° 6404/SG du 31 mai 2023 2. Cette seconde circulaire précise les données « d'une sensibilité particulière » qui doivent être hébergées sur une offre qualifiée SecNumCloud : les données protégées par les secrets prévus aux articles L. 311-5 et L. 311-6 du code des relations entre le public et l'administration, ainsi que les données nécessaires à l'accomplissement des missions essentielles de l'État 3. Les données non sensibles peuvent, elles, être hébergées sur des offres non qualifiées 3.
La loi n° 2024-449 du 21 mai 2024 (dite SREN) a donné une base législative à cette exigence dans son article 31. Le décret n° 2026-272 du 14 avril 2026 en fixe les modalités pour les administrations de l'État, leurs opérateurs et certains groupements d'intérêt public, et un arrêté du même jour encadre la procédure de dérogation 4. La direction des affaires juridiques de Bercy a publié en mai 2026 une fiche technique qui détaille le champ d'application, la mise en conformité par le recours à des offres qualifiées SecNumCloud et des clauses types sur la sécurité, la réversibilité et la souveraineté 4.
Ce que prévoit concrètement le décret
Selon l'analyse publiée par Code-commande-publique.com, le décret est entré en vigueur le 17 avril 2026 5. Les données visées doivent remplir deux conditions cumulatives : relever d'un secret protégé par la loi ou être nécessaires aux missions essentielles de l'État, et présenter, en cas de violation, un risque caractérisé pour l'ordre public, la sécurité, la santé, la vie des personnes ou la propriété intellectuelle 5. Une dérogation temporaire reste possible pour les projets lancés avant le 16 avril 2026, en l'absence d'offre acceptable, après instruction par la DINUM 5.
Les collectivités territoriales ne sont pas directement visées par la circulaire de 2023. Plusieurs commentateurs soulignent toutefois que celles qui traitent l'état civil, les élections, l'action médico-sociale ou la vidéoprotection manipulent des données comparables, et qu'elles ont intérêt à vérifier l'hébergement de leurs éditeurs SaaS 3.
Au-delà du public : qui a besoin d'un cloud de confiance ?
Pour une entreprise privée, le recours à un cloud qualifié n'est pas une obligation générale. Il peut le devenir indirectement : par un marché public qui l'exige, par une chaîne de sous-traitance au profit d'une administration, ou par la nature des données traitées. L'ANSSI a publié en juillet 2024 des recommandations pour l'hébergement dans le cloud des systèmes d'information sensibles, qui couvrent les SI de niveau Diffusion Restreinte, les SI sensibles des opérateurs d'importance vitale (OIV) et des opérateurs de services essentiels (OSE), ainsi que les systèmes d'information d'importance vitale 8. Ces recommandations orientent vers des types d'offres selon la sensibilité des données et le niveau de menace, et rappellent que tous les SI n'ont pas vocation à aller dans le cloud ; les SI classifiés en sont exclus 8.
Pour les ETI et grands comptes, la question pertinente n'est donc pas « faut-il un cloud de confiance ? », mais « pour quels traitements ? ». Une approche par portefeuille, où seuls les périmètres les plus sensibles basculent sur des offres qualifiées, est souvent plus réaliste qu'une bascule globale.
État du marché SecNumCloud à l'automne 2026
Le marché qualifié s'est historiquement construit autour d'acteurs français d'hébergement et d'infogérance. Deux offres très suivies, fondées sur des technologies d'hyperscalers américains exploitées par des entités françaises, ont fait évoluer le paysage.
- S3NS (Thales et Google) : la qualification SecNumCloud 3.2 de l'offre PREMI3NS, couvrant ses composantes IaaS, CaaS et PaaS, a été annoncée le 19 décembre 2025 6.
- Bleu (logiciels Microsoft exploités sur une infrastructure distincte) : selon Next, l'entreprise n'est pas encore qualifiée au 9 octobre 2026 et vise désormais la fin de l'année pour une centaine de services IaaS, PaaS et CaaS, après un jalon J1 franchi vers novembre 2025 7.
- Scaleway : selon la même source, le fournisseur a obtenu son jalon J0 en janvier 2025 avec un objectif de qualification fin 2025, sans annonce de qualification connue à la date de l'article 7.
Ces calendriers rappellent une réalité opérationnelle : entre l'entrée formelle dans le processus (jalon J0, matérialisé par un courrier de l'ANSSI) et la qualification, il s'écoule souvent plus d'un an 16. Un fournisseur « en cours de qualification » ne peut pas être traité comme qualifié dans une analyse de conformité. La liste officielle des produits et services qualifiés publiée par l'ANSSI reste la seule référence opposable 1.
Un service « en cours de qualification » n'est pas un service qualifié : seule la liste de l'ANSSI fait foi.
Comment situer votre organisation : checklist de départ
Avant de consulter le marché, quelques vérifications permettent de cadrer le besoin et d'éviter les choix par défaut.
- Identifier si votre organisation, ou l'un de vos clients publics, entre dans le champ de l'article 31 de la loi SREN et du décret n° 2026-272.
- Recenser les traitements susceptibles de contenir des données d'une sensibilité particulière au sens de la circulaire de 2023 et du décret.
- Pour chaque fournisseur envisagé, vérifier dans la liste de l'ANSSI le périmètre exact du service qualifié (IaaS, CaaS, PaaS, SaaS) et sa date de qualification.
- Exiger la liste des sous-traitants et des lieux d'hébergement et d'administration, y compris pour le support.
- Prévoir des clauses de réversibilité dès le contrat, en vous appuyant sur les clauses types de la fiche DAJ si vous êtes acheteur public.
- Documenter les cas où une dérogation est sollicitée, avec un calendrier de sortie.
Conclusion
Le cloud de confiance est désormais une catégorie juridiquement définie pour une partie du secteur public, et un repère de plus en plus utilisé dans le privé pour les données sensibles. SecNumCloud en est l'instrument de preuve, à condition de lire la qualification au niveau du service. Le marché progresse, mais à un rythme dicté par la durée des audits : les feuilles de route doivent intégrer cette contrainte plutôt que parier sur des annonces. C'est sur ce travail de cadrage, de classification et de choix d'offres que DATASWING accompagne les DSI et RSSI.
— Questions fréquentes
Ce qu'on nous demande souvent
Quelle est la différence entre cloud de confiance et cloud souverain ?+
Le cloud souverain n'a pas de définition juridique : c'est un terme politique et commercial. Le cloud de confiance désigne en France des offres qui combinent un haut niveau de sécurité et une immunité aux lois extra-européennes, vérifiées par la qualification SecNumCloud de l'ANSSI. C'est ce second critère, documenté et audité, qui compte dans un marché public ou une analyse de risques.
Les entreprises privées sont-elles obligées d'utiliser un cloud SecNumCloud ?+
Non, il n'existe pas d'obligation générale pour le secteur privé. L'obligation de l'article 31 de la loi SREN vise les administrations de l'État, leurs opérateurs et certains groupements d'intérêt public. Une entreprise peut toutefois y être soumise indirectement, par un marché public, une sous-traitance pour l'administration ou la nature de ses données, notamment si elle est OIV ou OSE.
Comment savoir si une offre cloud est réellement qualifiée SecNumCloud ?+
Consultez la liste des produits et services qualifiés publiée par l'ANSSI, et non la seule communication du fournisseur. Vérifiez le périmètre exact du service qualifié, par exemple IaaS ou PaaS, et la date de qualification, valable trois ans avec audits annuels. Un service en cours de qualification, même au jalon J1, n'est pas qualifié.
Depuis quand le décret SREN sur le cloud est-il en vigueur ?+
Le décret n° 2026-272 du 14 avril 2026, pris pour l'application de l'article 31 de la loi SREN, est entré en vigueur le 17 avril 2026 selon les analyses publiées. Il impose aux administrations de l'État et à leurs opérateurs un cloud conforme au référentiel SecNumCloud pour les données d'une sensibilité particulière, avec une dérogation temporaire encadrée.
— Sources
Références citées
Les textes réglementaires et documentations évoluent : vérifiez la version en vigueur avant toute décision. Cet article n'est pas un avis juridique.
- [1]
-
[2]
Cloud : quand l'État décide d'avoir la tête dans les nuages… (suite) ↗Landot & associés · 2023-06
-
[3]
L'État précise la notion de données sensibles à héberger dans un cloud certifié ↗Banque des Territoires (Localtis) · 2023-06
-
[4]
Nouvelle fiche technique sur la mise en oeuvre de l'article 31 de la loi du 21 mai 2024 visant à sécuriser et réguler l'espace numérique ↗Ministère de l'Économie – Direction des affaires juridiques · 2026-05
-
[5]
Publication du décret relatif à la loi SREN et mise à jour de la fiche DAJ ↗Code-commande-publique.com · 2026-05
-
[6]
S3NS obtient la qualification SecNumCloud par l'ANSSI ↗Next · 2025-12
- [7]
- [8]
