SecNumCloud 3.2 opposable depuis le 22 août 2026 : ce que l’arrêté change, et pour qui

Q: Un hébergeur français est-il automatiquement à l'abri des lois extraterritoriales ?

Non. La localisation des serveurs ne suffit pas : ce qui compte est le contrôle de la société qui exploite le service, celui de ses actionnaires et la nature de sa chaîne de sous-traitance. Un centre de données implanté en France mais exploité par une entité contrôlée hors Union européenne reste exposé.

Un arrêté publié au Journal officiel le 12 août 2026, entré en vigueur le 22 août, vient de donner force obligatoire au référentiel SecNumCloud 3.2 de l’ANSSI. Il ferme une chaîne juridique ouverte il y a plus de deux ans par l’article 31 de la loi SREN : à partir de maintenant, une administration de l’État qui confie des données d’une sensibilité particulière à un prestataire cloud privé doit choisir un service qualifié — et la conformité n’est plus une intention, elle est attestée ou elle ne l’est pas. Le texte ne s’applique pas aux entreprises. Il ne s’applique pas non plus aux communes, aux départements, à la Région, ni aux hôpitaux. C’est précisément ce qui le rend intéressant pour un dirigeant des Hauts-de-France : l’État vient de publier, gratuitement et en accès libre, le cahier des charges qu’il s’impose à lui-même pour acheter du cloud — au moment exact où, le mardi 1^er septembre 2026, chaque entreprise assujettie à la TVA devra confier l’intégralité de son flux de factures à une plateforme privée.

L’essentiel

Arrêté du 12 août 2026 (NOR : PRMD2617964A), en vigueur depuis le 22 août : il approuve le référentiel d’exigences applicable aux prestataires de services d’informatique en nuage, c’est-à-dire SecNumCloud version 3.2.
Il s’inscrit dans une chaîne de quatre textes : article 31 de la loi SREN (21 mai 2024) → décret n° 2026-272 (14 avril 2026) → arrêté dérogations (14 avril 2026) → arrêté référentiel (12 août 2026).
Champ d’application : administrations de l’État, certains de ses opérateurs et six groupements d’intérêt public nommément listés. Ni les collectivités territoriales, ni les hôpitaux, ni les entreprises privées.
Une dizaine de prestataires sont qualifiés. Le premier par la taille, OVHcloud, a son siège à Roubaix et deux de ses trois zones qualifiées se trouvent dans les Hauts-de-France (Roubaix et Gravelines).
La direction des affaires juridiques de Bercy a publié, le 6 mai 2026, une fiche technique assortie de clauses-types librement réutilisables. C’est le seul cahier des charges cloud écrit par l’État français qu’une PME puisse recopier sans rien payer.

Ce que l’arrêté du 12 août 2026 rend obligatoire, et depuis quand

Le mécanisme est simple, mais il a mis vingt-sept mois à se mettre en place. L’article 31 de la loi n° 2024-449 du 21 mai 2024, dite loi SREN, pose le principe : lorsqu’une administration de l’État traite dans un cloud commercial des données d’une sensibilité particulière, ce service doit garantir la protection de ces données « contre tout accès par des autorités publiques d’États tiers non autorisé par le droit de l’Union européenne ou d’un État membre ». Autrement dit : contre le CLOUD Act américain et ses équivalents. Le principe restait inapplicable tant qu’aucun texte ne disait comment le vérifier. Le décret n° 2026-272 du 14 avril 2026 a fixé les domaines dans lesquels un référentiel élaboré par l’ANSSI déterminerait les exigences — sécurité des systèmes d’information, localisation de l’hébergement, protection contre les accès extraterritoriaux — et a posé que la conformité serait attestée par une qualification délivrée par l’ANSSI, ou par une certification européenne reconnue équivalente. Il manquait le référentiel lui-même. C’est ce que l’arrêté du 12 août apporte : il approuve la version 3.2 de SecNumCloud et la rend opposable. La date de mise en vigueur — le 22 août — n’a pratiquement pas été relevée. Elle mérite pourtant d’être retenue, parce qu’elle transforme un visa de sécurité volontaire, créé par l’ANSSI et utilisé jusque-là comme un argument commercial, en condition d’accès à une catégorie de commande publique. Le cabinet Landot & associés, qui suit le droit de la commande publique, l’a signalé le 17 août sous un titre sans ambiguïté : « Important, notamment pour certains marchés publics ».

Texte	Date	Ce qu’il fait
Loi n° 2024-449, article 31 (loi SREN)	21 mai 2024	Pose l’obligation de protection des données sensibles de l’État contre les accès extraterritoriaux. Prévoit un décret en Conseil d’État.
Décret n° 2026-272	14 avril 2026 (en vigueur le 17 avril)	Fixe la liste des six GIP concernés, les domaines du référentiel, et pose que la conformité est attestée par une qualification ANSSI ou une certification UE/EEE équivalente.
Arrêté du 14 avril 2026	14 avril 2026	Fixe les modalités de la dérogation temporaire prévue à l’article 3 du décret. Avis obligatoire de la DINUM.
Arrêté du 12 août 2026 (NOR : PRMD2617964A)	12 août 2026 (en vigueur le 22 août)	Approuve le référentiel — SecNumCloud 3.2 — et le rend opposable.

Chaîne juridique reconstituée à partir des textes publiés sur Légifrance et de la fiche technique de la direction des affaires juridiques de Bercy. Vérifiée le 30 août 2026.

Qui est concerné — et l’angle mort que le texte laisse grand ouvert

Le champ d’application est plus étroit qu’on ne le lit souvent. L’article 31 vise les administrations de l’État, certains de ses opérateurs, et des groupements d’intérêt public dont la liste a été arrêtée par le décret du 14 avril. Ils sont six.

Les six groupements d’intérêt public listés par le décret n° 2026-272 :

Ce que cette liste dit en creux compte davantage que ce qu’elle dit. Une commune, une communauté urbaine, un département, un conseil régional, un centre hospitalier, une université : aucun n’est soumis à l’article 31. La Métropole Européenne de Lille, le conseil régional des Hauts-de-France, le CHU de Lille, le CHU d’Amiens-Picardie peuvent, à droit constant, continuer d’héberger des données sensibles chez un prestataire non qualifié. Ils y sont encouragés par la circulaire du 5 février 2026 sur la souveraineté numérique dans la commande publique et par la doctrine « cloud au centre », mais ce sont des instruments de politique interne à l’État, pas des obligations opposables à une collectivité.

Le piège de lecture

Plusieurs commentaires ont présenté l’arrêté du 12 août comme rendant SecNumCloud « obligatoire pour les données sensibles ». C’est vrai pour un périmètre précis — l’État, certains opérateurs, six GIP — et faux pour tout le reste. Un prestataire qui vous dirait, cette semaine, que votre entreprise ou votre collectivité est désormais « obligée » de passer sur un cloud qualifié se tromperait, ou vendrait. La bonne question n’est pas « suis-je obligé ? » mais « ai-je un intérêt à exiger contractuellement ce que l’État exige ? ».

Deux critères cumulatifs : pourquoi la plupart des données publiques n’entrent pas dans le champ

Même à l’intérieur du périmètre, l’obligation ne s’applique pas à toutes les données. Elle suppose deux conditions réunies. D’abord la sensibilité : l’article 31 vise les données couvertes par les secrets protégés par la loi, notamment aux articles L. 311-5 et L. 311-6 du code des relations entre le public et l’administration, et les données nécessaires à l’accomplissement des missions essentielles de l’État. Ensuite, et c’est le filtre principal, la conséquence : leur violation doit être susceptible d’engendrer une atteinte à l’ordre public, à la sécurité publique, à la santé ou à la vie des personnes, ou à la protection de la propriété intellectuelle. La direction des affaires juridiques de Bercy insiste sur un point que l’on oublie en réduisant le débat au CLOUD Act : l’accès extraterritorial n’est qu’une des violations possibles. Elle renvoie à la définition de la CNIL, qui englobe la destruction, la perte, l’altération, la divulgation non autorisée et l’accès non autorisé, « d’origine malveillante ou non ». Un prestataire dont l’infrastructure est intégralement française mais qui perd vos sauvegardes a produit une violation de données au même titre qu’un fournisseur soumis à une injonction étrangère.

Le risque à couvrir n’est pas seulement « qui peut lire mes données », c’est aussi « qui peut les rendre indisponibles, et pendant combien de temps ». Les deux se traitent au contrat, pas à la brochure.

La règle du capital : 24 % et 39 %, les deux chiffres qui décident de tout

Ce que le référentiel 3.2 ajoute de plus structurant n’est pas technique, c’est capitalistique. Il impose au prestataire un siège social et un capital situés sur le territoire de l’Union européenne, et plafonne la participation d’entités tierces hors Union européenne : 24 % au maximum pour une entité prise isolément, 39 % de manière collective, capital social comme droits de vote. À quoi s’ajoutent, du côté technique, plus de trois cent soixante exigences auditées par un prestataire d’audit qualifié PASSI. Ce seuil est la raison pour laquelle le débat sur le cloud souverain se règle rarement par un déménagement de serveurs. Une filiale européenne d’un groupe américain peut installer ses machines à Marseille ou à Dunkerque : tant que le contrôle capitalistique reste hors Union, la qualification est hors d’atteinte, sauf montage juridique dédié — ce que quelques acteurs ont précisément entrepris de construire. Le référentiel 3.2 introduit par ailleurs un « principe de composition » qui permet à un éditeur de faire qualifier son seul logiciel dès lors qu’il s’appuie sur une infrastructure déjà qualifiée : c’est la voie ouverte aux éditeurs français de logiciels métier, y compris régionaux.

Exigence structurante de SecNumCloud 3.2	Contenu
Siège et capital	Situés sur le territoire de l’Union européenne.
Participation extra-UE	≤ 24 % pour une entité isolée, ≤ 39 % de façon collective (capital et droits de vote).
Volume d’exigences	Plus de 360 exigences, auditées par un prestataire qualifié PASSI.
Analyse de risque	Démarche structurée intégrant virtualisation, défauts de cloisonnement et sous-traitance.
Principe de composition	Un éditeur peut faire qualifier son logiciel seul s’il repose sur une infrastructure déjà qualifiée.
Portée de la qualification	Attachée à un service, une architecture et un périmètre donnés — jamais à une entreprise dans son ensemble.

Synthèse établie à partir des analyses publiées du référentiel 3.2 (LeMagIT, Numspot, Oodrive) et de la page cloud de cyber.gouv.fr. Le référentiel lui-même est publié par l’ANSSI.

« Accompagnement vers l’obtention du visa SecNumCloud », intervention de Philippe Bron (ANSSI) aux Cloud Days. Vidéo hébergée sur la chaîne d’OUTSCALE (Dassault Systèmes), lui-même prestataire qualifié : l’intervenant est l’agence, le canal de diffusion est un acteur du marché.

Une dizaine de prestataires qualifiés — et le premier a son siège à Roubaix

Le référentiel devient opposable ; encore faut-il qu’il existe des offres qualifiées. Elles sont peu nombreuses. Les relevés du catalogue de l’ANSSI publiés cet été font apparaître une dizaine de noms : Cegedim, Cloud Temple, Index Education, Oodrive, Orange Business, Outscale, OVHcloud, S3NS, Whaller, Worldline. Un décompte de juillet 2026 en retenait neuf ; l’écart tient à la granularité — la qualification porte sur un service et un périmètre, pas sur une entreprise — et nous le publions plutôt que de trancher. Pour les Hauts-de-France, un fait mérite d’être posé sans emphase : OVHcloud a son siège à Roubaix. Le groupe a annoncé, le 9 janvier 2024, l’ouverture d’une zone dédiée à ses produits SecNumCloud dans son centre de données de Gravelines, venant compléter les zones existantes de Roubaix et de Strasbourg, et le renouvellement de sa qualification au niveau 3.2 pour son offre Hosted Private Cloud. Deux des trois zones qualifiées de l’opérateur sont donc situées dans la région. Le communiqué mentionnait alors plus de quatre-vingts clients sur ces offres. Cette annonce a deux ans et demi : ce n’est pas une nouveauté, et nous ne la présentons pas comme telle. Ce qui est nouveau, c’est que depuis le 22 août, cette qualification n’est plus seulement un argument de vente — elle est la clé d’un segment de marché public que l’État vient de fermer aux autres.

Statut	Acteurs recensés
Qualifiés (relevés du catalogue ANSSI, été 2026)	Cegedim, Cloud Temple, Index Education, Oodrive, Orange Business, Outscale, OVHcloud, S3NS, Whaller, Worldline
Qualification en cours (démarches rendues publiques)	Adista, Bleu, Cegedim.cloud, Cloud Solutions (Wimi), Ecritel, Free Pro, GIP Mipih
Zones qualifiées d’OVHcloud	Roubaix (59), Gravelines (59), Strasbourg (67) — annonce du 9 janvier 2024

Méthode, et ses limites

Cette liste est un relevé de relevés : nous n’avons pas pu interroger directement le catalogue de l’ANSSI depuis notre poste de vérification. Elle doit être recoupée sur cyber.gouv.fr avant tout usage contractuel.
Une qualification porte sur un service précis. « OVHcloud est qualifié » est un raccourci : c’est une offre déterminée, sur un périmètre déterminé, qui l’est.
Les listes de candidatures en cours ne sont publiées que lorsque le prestataire accepte de rendre sa démarche publique. Le tableau ci-dessus est un plancher, pas un inventaire.

Capacité n’est pas qualification : 45 milliards d’euros annoncés dans la région, zéro qualification à la clé

La région vit depuis dix-huit mois au rythme des annonces d’implantation de centres de données. SoftBank, au sommet Choose France 2026, a annoncé un investissement dont l’essentiel se déploie dans les Hauts-de-France, sur le port de Dunkerque, sur le site d’une ancienne centrale thermique à Bouchain et au Bosquel dans la Somme. Data4 prépare un site de très grande capacité à Escaudain. Nebius a retenu l’ancienne usine Bridgestone de Béthune. Un opérateur français, Azur Data Center, projette un site sur le même foncier béthunois. Ces projets construisent de la capacité. Ils ne construisent pas, en eux-mêmes, de la souveraineté au sens du référentiel — et la règle des 24 % et 39 % explique pourquoi. Un opérateur dont le capital est majoritairement extra-européen ne peut pas obtenir la qualification pour l’exploitation de ces sites, quelle que soit leur localisation en France. Le mégawatt installé à Bouchain et le service qualifié SecNumCloud relèvent de deux marchés distincts, qui se recoupent peu. C’est un point que les débats locaux sur l’eau, l’électricité et l’emploi laissent souvent de côté.

Projet annoncé	Site	Éligible à SecNumCloud en l’état ?
SoftBank (Japon)	Dunkerque (59), Bouchain (59), Le Bosquel (80)	Non — contrôle capitalistique hors UE
Data4	Escaudain (59)	À vérifier au cas par cas — un exploitant de centre de données n’est pas nécessairement fournisseur du service qualifié
Nebius (Pays-Bas)	Béthune (62), ancien site Bridgestone	À vérifier — siège UE, mais aucune démarche de qualification rendue publique à notre connaissance
Azur Data Center	Béthune (62)	À vérifier — aucune démarche rendue publique à notre connaissance
OVHcloud	Roubaix (59), Gravelines (59)	Oui — zones qualifiées SecNumCloud 3.2 (annonce du 9 janvier 2024)

Les montants et périmètres des projets sont ceux annoncés publiquement par leurs porteurs et n’ont pas été audités. La colonne d’éligibilité est une lecture de la règle capitalistique du référentiel 3.2, pas une position de l’ANSSI.

« Pourquoi la qualification SecNumCloud devient capitale », chaîne de ZDNet.fr. Mise en perspective journalistique du visa de sécurité et de son poids sur le marché français.

Ce qu’une PME peut en faire : les clauses-types de Bercy sont publiques et gratuites

C’est le point le plus directement actionnable, et le moins commenté. Le 6 mai 2026, la direction des affaires juridiques de Bercy a publié une fiche technique sur la mise en œuvre de l’article 31, complétée par des clauses-types indépendantes du CCAG TIC, destinées à renforcer la sécurité, la réversibilité et la souveraineté des achats numériques. Elles s’adressent aux acheteurs publics. Elles sont publiées sous licence ouverte Etalab et téléchargeables par n’importe qui. Une PME de cinquante salariés ne rédigera pas un marché public. Mais elle signe, chaque année, des contrats SaaS qu’elle ne négocie pas : logiciel de paie, CRM, ERP métier, hébergement de site, et désormais plateforme de facturation électronique. Face à un éditeur, la question « pouvez-vous accepter ces quatre clauses ? » est une question qui se pose. La réponse — ou le refus — est en soi une information sur le fournisseur.

Point contractuel	Ce que l’État exige de son prestataire	La question à poser à votre éditeur
Localisation	Hébergement des données du service localisé, exigence fixée par le référentiel	Dans quel pays, et dans quel centre de données précisément, sont stockées mes données et mes sauvegardes ?
Extraterritorialité	Protection contre tout accès par une autorité d’un État tiers non autorisé par le droit de l’UE	Votre société, votre maison mère ou l’un de vos sous-traitants est-il soumis à une législation extraterritoriale ?
Réversibilité	Clause de réversibilité et modalités techniques de récupération des données	Dans quel format, dans quel délai et à quel prix récupère-t-on l’intégralité des données à la fin du contrat ?
Chaîne de sous-traitance	Capacité du prestataire à documenter sa chaîne de sous-traitance	Qui sont vos sous-traitants, et vous engagez-vous à me notifier tout changement avant qu’il intervienne ?
Droit applicable	Droit applicable au contrat expressément désigné	Quel droit régit ce contrat, et devant quelle juridiction se règle un litige ?

Aucune de ces cinq questions ne suppose une compétence juridique. Toutes se posent par écrit, avant signature, et la trace de la réponse vaut plus que la réponse elle-même.

Le rendez-vous du 1er septembre, ou le moment exact où ces clauses servent

Deux jours après la publication de cet article, le mardi 1^er septembre 2026, la réforme de la facturation électronique entre en application. Toute entreprise assujettie à la TVA, quelle que soit sa taille, doit être en mesure de recevoir une facture électronique ; l’obligation d’émission ne concerne pour l’instant que les grandes entreprises et les entreprises de taille intermédiaire, les PME et micro-entreprises disposant d’un an supplémentaire. Pour recevoir, il faut avoir choisi une plateforme agréée et être déclaré dans l’annuaire central : le portail public de facturation n’émet ni ne reçoit lui-même. Concrètement, chaque entreprise du pays est en train de confier à un opérateur privé la totalité de son flux de facturation — c’est-à-dire son chiffre d’affaires, ses clients, ses fournisseurs, ses conditions de règlement et ses volumes. Nous avons dénombré la semaine dernière, dans l’analyse de la liste officielle des plateformes agréées, deux plateformes seulement domiciliées dans les Hauts-de-France. Aucune de ces plateformes n’est tenue d’être qualifiée SecNumCloud : le référentiel de l’arrêté du 12 août ne s’applique pas à elles. D’où la convergence : au moment précis où une PME confie ses données commerciales les plus complètes à un tiers dont la solidité juridique n’est pas garantie par le régime d’agrément, l’État publie le questionnaire qu’il utilise pour ses propres achats. Le rapprochement des deux textes est de notre fait ; il n’a été opéré, à notre connaissance, par aucune source consultée.

La vérification en vingt minutes, avant mardi :

Ce que nous ne savons pas

Zones d’ombre assumées à la date du 30 août 2026 :

Questions fréquentes

Mon entreprise est-elle obligée de passer sur un cloud qualifié SecNumCloud depuis le 22 août 2026 ?

Non. L’arrêté du 12 août 2026 rend le référentiel opposable aux administrations de l’État, à certains de ses opérateurs et à six groupements d’intérêt public listés par le décret n° 2026-272. Aucune entreprise privée n’entre dans ce champ. En revanche, rien n’interdit d’exiger contractuellement d’un fournisseur les garanties que l’État exige des siens.

Une collectivité territoriale des Hauts-de-France est-elle concernée ?

Pas au titre de l’article 31 de la loi SREN, qui vise l’État, certains de ses opérateurs et six GIP nommés. Une commune, une intercommunalité, un département, la Région ou un hôpital ne sont pas soumis à l’obligation. La circulaire du 5 février 2026 sur la souveraineté numérique dans la commande publique et la doctrine « cloud au centre » les orientent en ce sens, sans créer d’obligation opposable.

Qu’est-ce qui change concrètement dans SecNumCloud 3.2 par rapport aux versions antérieures ?

Les évolutions les plus structurantes portent sur la souveraineté capitalistique — siège et capital dans l’Union européenne, participation extra-européenne plafonnée à 24 % pour une entité isolée et 39 % de façon collective — sur une analyse de risque plus exigeante intégrant la virtualisation et la sous-traitance, et sur un « principe de composition » permettant à un éditeur de faire qualifier son logiciel s’il s’appuie sur une infrastructure déjà qualifiée.

Ma plateforme de facturation électronique doit-elle être qualifiée SecNumCloud au 1^er septembre 2026 ?

Non. L’immatriculation comme plateforme agréée relève d’un régime distinct, porté par la direction générale des finances publiques, et n’emporte pas d’exigence de qualification SecNumCloud. Les deux dispositifs sont indépendants. C’est une raison de poser soi-même, par écrit, les questions de localisation, de réversibilité et de sous-traitance avant de signer.

Un hébergeur français est-il automatiquement à l’abri des lois extraterritoriales ?

Non, et c’est précisément l’objet de la règle capitalistique. La localisation des serveurs ne suffit pas : ce qui compte est le contrôle de la société qui exploite le service, celui de ses actionnaires et la nature de sa chaîne de sous-traitance. Un centre de données implanté en France mais exploité par une entité contrôlée hors Union européenne reste exposé.

Sources — tous les liens ont été contrôlés le 30 août 2026. Les montants d’investissement des projets de centres de données sont ceux annoncés par leurs porteurs et n’ont pas été audités.

À lire également sur Synapse