Aller au contenu
FRENDécrivez votre besoin

Cloud souverain et SecNumCloud : ce que ça change pour vos données

Être hébergé en Europe ne suffit pas à protéger vos données des lois étrangères. Ce qu’est un cloud souverain, ce que garantit SecNumCloud, qui est qualifié, qui doit l’être, et comment migrer sans tout réécrire.

Par Publié le 3 octobre 2026

Un cloud souverain est un cloud dont les données ne relèvent que du droit européen : ni le prestataire ni ses actionnaires ne peuvent être contraints par une autorité hors de l’Union de livrer vos données. En France, la référence est SecNumCloud, la qualification que l’ANSSI délivre aux offres cloud qui respectent son référentiel de sécurité, y compris ses exigences de protection contre les lois extra-européennes.

La nuance compte : un centre de données situé en Europe ne suffit pas. Ce qui décide, c’est qui contrôle le prestataire et de quel droit il dépend.

Cloud souverain : de quoi parle-t-on ?

Le Cloud Act américain, adopté en mars 2018, permet aux autorités des États-Unis d’exiger d’un prestataire américain les données qu’il contrôle, où qu’elles soient stockées. Une entreprise dont les données sont hébergées en Europe par un prestataire soumis à ce droit reste donc exposée à une demande étrangère.

Le sujet est d’autant plus présent que le marché est concentré : selon Synergy Research Group (juillet 2025), les fournisseurs européens détiennent environ 15 % du marché européen du cloud, contre 70 % pour Amazon, Microsoft et Google réunis.

SecNumCloud, la qualification de l’ANSSI

SecNumCloud qualifie une offre précise d’un prestataire, pour une durée limitée, et non l’entreprise entière. Son référentiel en vigueur, la version 3.2 du 8 mars 2022, ajoute aux exigences de sécurité une protection contre les lois extra-européennes :

  • le siège, l’administration centrale et le principal établissement du prestataire sont dans l’Union européenne ;
  • les actionnaires hors Union ne détiennent pas plus de 24 % du capital et des droits de vote chacun, ni plus de 39 % ensemble, et n’ont ni droit de veto ni majorité dans les organes de direction ;
  • les données sont stockées et traitées dans l’Union, et le service est administré depuis l’Union.

Qui est qualifié aujourd’hui ?

Le catalogue de l’ANSSI daté du 15 septembre 2026 compte notamment, pour l’infrastructure et les plateformes : OVHcloud (trois offres), Outscale, Cloud Temple, NumSpot et S3NS, dont l’offre PREMI3NS est qualifiée depuis le 17 décembre 2025. Plusieurs éditeurs de logiciels en ligne y figurent aussi. Bleu et Scaleway sont en cours de qualification à cette date.

La liste évolue : avant de choisir, on vérifie le catalogue officiel, et la qualification de l’offre précise qu’on compte utiliser.

Votre organisation en a-t-elle besoin ?

Pour l’État, c’est une obligation. La doctrine « cloud au centre » (circulaire du 31 mai 2023) impose SecNumCloud, ou une qualification européenne au moins équivalente, pour les données sensibles des administrations. La loi SREN du 21 mai 2024 (article 31) a étendu cette exigence aux opérateurs de l’État et à certains groupements publics qui traitent des données d’une sensibilité particulière, et son décret d’application du 14 avril 2026 est en vigueur depuis le 17 avril 2026.

Pour une entreprise privée, c’est un choix, guidé par la sensibilité des données, les exigences de vos propres clients et celles de votre secteur. Toutes vos données n’ont pas besoin du même niveau : on classe d’abord, on choisit ensuite.

À l’échelle européenne, le schéma de certification du cloud (EUCS) n’est toujours pas adopté, et son projet de mars 2024 avait retiré l’exigence de souveraineté. SecNumCloud reste donc la référence en France.

Ce que ça change : services disponibles, coûts, réversibilité

  • Les services : le catalogue d’une offre qualifiée est plus restreint que celui d’un grand cloud public ; on vérifie que les briques dont vous avez besoin (bases de données, conteneurs, stockage) y sont.
  • Les coûts : ils se comparent offre par offre, sur votre usage réel, plutôt qu’au prix catalogue.
  • La réversibilité : une architecture fondée sur des conteneurs, de l’infrastructure décrite en code et des formats ouverts permet de changer de prestataire si votre situation change.

L’IA souveraine : vos agents et vos modèles en Europe

Les mêmes questions se posent pour l’IA : où tournent les modèles, où passent les données que les agents consultent, où sont gardés leurs journaux. Une plateforme d’agents peut être hébergée sur un cloud européen ou qualifié, avec des modèles choisis en conséquence, sans dépendre d’un fournisseur unique. Notre page Plateforme agentique détaille cette approche, et notre article sur l’IA agentique explique ce qu’est un agent.

Migrer sans tout réécrire

  • Classer vos données et vos applications selon leur sensibilité.
  • Choisir une cible par classe : un cloud qualifié pour ce qui l’exige, un cloud européen ou public pour le reste.
  • Poser une landing zone sur la cible : comptes, identités, connectivité et règles de sécurité, décrits en code.
  • Migrer par vagues, avec un retour arrière possible à chaque bascule.

Nos offres Un hébergement souverain et Une migration vers le cloud suivent ces étapes, et la page Socle cloud présente nos missions sur le sujet.

Questions fréquentes

SecNumCloud, c’est quoi ?

Une qualification délivrée par l’ANSSI à une offre cloud précise, qui respecte un référentiel d’exigences de sécurité et de protection contre les lois extra-européennes.

Un cloud européen est-il forcément souverain ?

Non. Il faut regarder qui contrôle le prestataire, d’où le service est administré et de quel droit il dépend. Un prestataire européen détenu ou piloté depuis l’étranger peut rester exposé à des lois extra-européennes.

« Cloud de confiance » et SecNumCloud, c’est pareil ?

Presque. La stratégie nationale pour le cloud de mai 2021 a introduit la notion de cloud de confiance en s’appuyant sur SecNumCloud, et l’ANSSI présente aujourd’hui SecNumCloud comme la façon de reconnaître les offres de confiance. Le terme figure aussi dans le nom commercial de certaines offres.

Bleu et S3NS sont-ils qualifiés SecNumCloud ?

Au 15 septembre 2026, l’offre PREMI3NS de S3NS est qualifiée, depuis le 17 décembre 2025 ; Bleu est en cours de qualification. Vérifiez le catalogue de l’ANSSI au moment de votre choix.

Sources

Faits et chiffres vérifiés le 3 octobre 2026.