Un texte publié en plein cœur de l’été change discrètement mais durablement la donne pour le cloud souverain en France. L’arrêté du 12 août 2026, paru au Journal officiel le 14 août et entré en vigueur le 15 août, approuve formellement le référentiel SecNumCloud 3.2 pour les services de l’État, ses opérateurs et les groupements d’intérêt public. Ce qui n’était jusqu’ici qu’une doctrine, la fameuse recommandation « cloud au centre », devient une exigence réglementaire pleinement opposable.
Ce que dit le texte
L’arrêté s’applique aux administrations, opérateurs et GIP de l’État qui traitent, dans un cloud privé, des données dont la compromission toucherait à la sécurité publique, à la santé, à la vie des personnes ou à la protection de la propriété intellectuelle. Pour ces données à sensibilité particulière, la conformité au référentiel doit désormais être attestée soit par une qualification délivrée par l’ANSSI, soit par une certification européenne que l’ANSSI reconnaît comme équivalente.
Ce texte vient parachever un mouvement engagé depuis plusieurs mois. Le décret d’application de l’article 31 de la loi SREN, publié en avril 2026, avait déjà posé le principe d’un hébergement souverain obligatoire pour les données sensibles de l’État. Il manquait l’arrêté du Premier ministre pour rendre le dispositif pleinement opérationnel. C’est désormais chose faite.
Pourquoi ce n’est pas une simple formalité administrative
La différence entre une doctrine et une règle d’achat est considérable. Une doctrine s’invoque, se contourne, se pondère selon les contraintes budgétaires ou calendaires d’un projet. Une règle d’achat opposable, elle, conditionne la légalité même du marché public. Pour les administrations, les opérateurs et les GIP concernés, le choix d’un prestataire cloud non qualifié pour héberger des données sensibles n’est plus un risque réputationnel : c’est un risque juridique.
Cette bascule confirme une tendance de fond que Whaller observe depuis l’origine de son engagement pour le cloud souverain : la qualification SecNumCloud cesse d’être un argument différenciant parmi d’autres pour devenir un prérequis d’accès au marché public sensible. Les éditeurs et hébergeurs qui n’ont pas engagé cette démarche se retrouvent mécaniquement écartés d’un pan entier de la commande publique.
Une clarification qui profite aux acteurs déjà qualifiés
Pour les organisations qui ont fait le choix de la qualification SecNumCloud 3.2, cet arrêté est une bonne nouvelle. Il transforme un avantage concurrentiel en argument de conformité incontournable auprès des acheteurs publics. C’est précisément la position de Whaller DONJON, plateforme collaborative qualifiée SecNumCloud 3.2 par l’ANSSI, conçue dès l’origine pour répondre aux besoins des administrations, des opérateurs d’importance vitale et des entreprises soucieuses de protéger leurs données les plus critiques.
Pour aller plus loin sur la qualification et ses implications concrètes, le blog Whaller propose plusieurs ressources qui éclairent ce mouvement réglementaire, notamment sur la manière dont fonctionne la qualification par composition et sur les enjeux de la doctrine cloud de l’État.
Ce qui reste à surveiller
Deux points méritent l’attention des décideurs IT et RSSI dans les prochaines semaines. D’une part, l’articulation avec le schéma européen EUCS, toujours en négociation à Bruxelles, qui déterminera à terme le niveau d’équivalence reconnu aux certifications européennes. D’autre part, le périmètre exact des données concernées, dont la définition précise conditionnera l’application concrète du texte au sein des administrations et opérateurs visés.
Une chose est certaine : la souveraineté numérique devient une condition pour l’achat public.
0 commentaires