SecNumCloud obligatoire pour l'État : ce que le décret change pour ses fournisseurs

Le recours de l'État à un cloud qualifié SecNumCloud relevait jusqu'ici de circulaires. Le décret n° 2026-272 du 14 avril 2026, pris en application de l'article 31 de la loi SREN, en fait une obligation juridique. Nous nous appuyons ici sur l'analyse publiée par Localtis, le média de la Banque des Territoires.

Qui est concerné

L'obligation vise l'État pour l'hébergement de certaines données sensibles. Le décret y ajoute six groupements d'intérêt public, en plus de la plateforme des données de santé déjà citée par la loi. Parmi eux : l'Agence du numérique en santé, le Centre d'accès sécurisé aux données, le GIP Modernisation des déclarations sociales et le système national d'enregistrement des demandes de logement social.

Les collectivités ne sont pas visées directement. Localtis signale toutefois une proposition de loi, en attente de discussion à l'Assemblée nationale, qui étendrait l'obligation aux collectivités de plus de 30 000 habitants.

Quelles données

Un vademecum publié par l'État précise que deux critères doivent être réunis :

• une sensibilité particulière : des données couvertes par un secret protégé par la loi (défense, médical, affaires, procédures judiciaires, vie privée) ou nécessaires aux missions essentielles de l'État ;
• un risque concret : leur violation porterait atteinte à l'ordre public, à la sécurité, à la santé ou à la vie des personnes, ou à la propriété intellectuelle.

Les exemples donnés aident à situer le curseur. Le cadastre et les notes des élèves ne sont pas concernés. La chaîne d'alerte des secours et la paie des agents publics le sont.

La règle qui surprend

Si une partie des données d'un système remplit ces critères, toutes les données hébergées sur la même infrastructure sont soumises à l'obligation, sauf cloisonnement technique efficace. Un outil qui mélange données banales et données sensibles bascule donc entièrement.

Délais et dérogations

Pour les projets lancés avant le décret avec un prestataire non conforme :

• la migration doit se faire dans un délai de dix-huit mois au maximum si une offre conforme existe en France ;
• à défaut, une dérogation d'un an est possible, renouvelable tant qu'aucune offre adaptée n'est disponible ;
• les décisions de dérogation sont publiques.

La conformité s'atteste par la qualification SecNumCloud ou par une certification européenne équivalente. Sur ce second point, Localtis rapporte que la négociation du schéma européen EUCS n'avait pas abouti en mars 2026, d'après le directeur général de l'ANSSI. Depuis, selon Le Monde Informatique, un arrêté du 12 août 2026 a approuvé la version 3.2 du référentiel SecNumCloud.

Pourquoi une PME doit s'y intéresser

Le décret ne crée aucune obligation pour une entreprise privée dans sa propre gestion. Il pèse en revanche sur celles qui vendent au secteur public. Si votre logiciel, votre chatbot ou votre outil d'analyse traite des données entrant dans le champ, votre client public devra exiger un hébergement qualifié, pour l'application comme pour le modèle d'IA qu'elle appelle.

Trois vérifications à mener :

• Votre chaîne de sous-traitance. Où sont hébergées les données, et où le modèle d'IA est-il exécuté ? Un appel à une API d'IA hébergée hors périmètre qualifié suffit à poser problème.
• Le cloisonnement. Pouvez-vous isoler techniquement les données sensibles du reste, et le démontrer ?
• Vos contrats en cours. Demandez à vos clients publics s'ils s'estiment concernés et sur quel calendrier. Dix-huit mois passent vite pour une migration.

Les limites de cette lecture

Cet article repose sur l'analyse de Localtis, datée du 16 avril 2026, et non sur le texte du décret lui-même. La qualification d'une donnée reste une appréciation au cas par cas, qui appartient à l'administration concernée.

Notre lecture

Pour un éditeur qui vise le secteur public, l'hébergement qualifié devient un critère d'accès au marché, pas un argument commercial parmi d'autres. Mieux vaut anticiper : cartographier ses flux de données et prévoir une version de son produit déployable sur une infrastructure qualifiée, modèle d'IA compris.