// CLUBIC — MONDO
La norme de sécurité SecNumCloud 3.2 devient obligatoire pour les données les plus sensibles de l'État
Un arrêté du Premier ministre Sébastien Lecornu fait basculer SecNumCloud 3.2 dans le droit dur : l'exigeante qualification ANSSI devient obligatoire pour héberger les données les plus sensibles de l'État dans le cloud privé, comme l'exige la loi SREN.
La France renforce son cloud souverain avec un arrêté qui impose désormais la qualification SecNumCloud 3.2 à tout prestataire privé traitant des données sensibles de l'État notamment. Publié au Journal officiel le 14 août, le texte approuve la version 3.2 du référentiel technique de l'ANSSI, l'agence de cybersécurité française, jusqu'ici davantage affaire de doctrine que de contrainte réelle. Il s'applique à l'État, mais aussi à ses opérateurs et aux groupements d'intérêt public, dès lors qu'ils confient à un prestataire privé des données jugées particulièrement sensibles, celles dont la compromission menacerait l'ordre public, la santé ou la vie des personnes. Une bascule qui n'est évidemment pas anodine, par les temps qui courent.
Jusqu'à présent, SecNumCloud n'était qu'une boussole, c'est-à-dire un ensemble de bonnes pratiques solides, recommandées par l'ANSSI, mais que rien n'obligeait vraiment les administrations à suivre à la lettre. L'arrêté du 12 août, en vigueur depuis le 22 août 2026, a changé cette donne en s'appuyant sur deux textes qui préparaient discrètement le terrain depuis plusieurs mois, à savoir la loi SREN de 2024, qui avait posé le principe dans son article 31, puis un décret du 14 avril 2026, qui en a précisé les modalités d'application. L'arrêté arrive au bout de cette chaîne juridique en donnant enfin sa force obligatoire au référentiel technique. Ce qui n'était qu'une bonne pratique recommandée devient une condition légale à part entière, que les administrations ne peuvent plus se permettre d'ignorer.
Dans le détail, le texte cible les données d'une « sensibilité particulière », c'est-à-dire celles dont la violation porterait atteinte à l'ordre public, à la sécurité publique, à la santé, à la vie des personnes ou à la propriété intellectuelle. Pour ces données précises confiées à un cloud privé, une qualification délivrée par l'ANSSI, ou une certification européenne jugée équivalente, devient désormais une obligation, et non plus un simple gage de confiance. Le référentiel technique en lui-même ne bouge pas d'un iota. Il reste celui publié en mars 2022. C'est bien son statut juridique qui change de nature, en glissant d'une recommandation à une exigence pleinement opposable.
Sur LinkedIn, l'ancien député et président de Via Publica Jean-Michel Mis a analysé un texte qui, selon lui, « pose très concrètement la question des dépendances technologiques de l'État ». Une manière de rappeler que derrière la technicité du référentiel, se joue la bataille de l'autonomie numérique française face aux géants étrangers du cloud.
Ce basculement juridique intervient alors que la course à la qualification SecNumCloud s'intensifie déjà depuis plusieurs mois. Après S3NS (la filiale de Thales adossée à la technologie de Google Cloud), Orange Business ou encore Wimi, pour ne citer qu'eux, la liste des prestataires certifiés reste courte, à peine une grosse dizaine d'acteurs sur l'ensemble du marché français. L'arrêté pourrait accélérer les candidatures, puisque les administrations n'ont, de ce qu'on comprend, plus vraiment la possibilité de temporiser. Parmi la longue liste d'exigences du référentiel, figurent notamment de fortes garanties contre les capitaux extra-européens, un verrou parmi d'autres qui contribue à expliquer pourquoi si peu d'acteurs franchissent la ligne d'arrivée.
Pour Jean-Michel Mis, ce texte compte bien plus qu'il n'y paraît. Jusqu'ici, protéger les données sensibles de l'État dans le cloud reposait sur une ligne de conduite clairement affichée par l'État, mais qu'aucun texte ou loi ne venait vraiment sanctionner en cas de manquement. Avec cet arrêté, la protection change de nature et devient une véritable obligation légale, que l'on peut déso