Le 1er septembre 2026, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) a inscrit OVHcloud sur la liste des prestataires qualifiés SecNumCloud pour son offre de cloud public SNC Cloud Platform. C’est la troisième qualification obtenue par le groupe roubaisien, après Bare Metal Pod et l’offre VMware on OVHcloud. Elle tombe dix jours seulement après l’entrée en vigueur d’un arrêté qui transforme SecNumCloud d’une simple recommandation en une obligation légale pour une partie de l’administration française. Le même jour, un second acteur, Numspot, a décroché sa première qualification IaaS, portant à huit le nombre de fournisseurs reconnus par l’État pour héberger les données les plus sensibles du pays.
Cette double annonce marque un tournant discret mais concret dans la politique de souveraineté numérique française. Pendant des années, le référentiel SecNumCloud est resté un signal de qualité réservé à quelques clients avertis. Il devient désormais un ticket d’entrée obligatoire pour traiter les données de l’État et, bientôt, de secteurs entiers de l’économie. Voici ce que cette bascule change, pour qui, et à quelle vitesse.
Qu’est-ce que la qualification SecNumCloud de l’ANSSI
SecNumCloud est un référentiel technique et juridique publié par l’ANSSI, dont la première version technique remonte à mars 2022 (la version 3.2 étant la révision actuellement appliquée). Il couvre les services IaaS, PaaS et SaaS et impose un niveau de sécurité élevé sur la segmentation des environnements clients, la détection d’intrusion, la journalisation des accès et la gestion des vulnérabilités. Sa particularité, comparée à des référentiels purement techniques comme ISO 27001, tient à ses exigences de souveraineté juridique : le prestataire doit être de droit européen, avoir son siège dans l’Union européenne, disposer d’un capital majoritairement européen et démontrer une autonomie opérationnelle vis-à-vis de toute loi extraterritoriale non européenne, en particulier le Cloud Act américain.
Une qualification SecNumCloud est valable trois ans, sous réserve d’audits de surveillance annuels menés par un organisme évaluateur agréé. Elle sanctionne non seulement la technologie déployée, mais aussi la structure de gouvernance de l’entreprise qui l’exploite, ce qui explique pourquoi des coentreprises américano-françaises comme Bleu ou S3NS doivent redémontrer leur autonomie même lorsqu’elles s’appuient sur des briques technologiques Microsoft ou Google Cloud. Le détail du référentiel et la liste officielle des offres qualifiées sont publiés par l’ANSSI sur son portail cyber.gouv.fr dédié à SecNumCloud.
OVHcloud décroche sa troisième qualification, pour SNC Cloud Platform
SNC Cloud Platform est l’offre de cloud public d’OVHcloud, facturée à l’usage et construite sur des API ouvertes et des standards open source, avec un objectif affiché d’interopérabilité et de réversibilité des données. Sa qualification SecNumCloud, annoncée le 1er septembre 2026, s’ajoute à celle de Bare Metal Pod et de l’offre Hosted Private Cloud powered by VMware, ce qui porte à trois le nombre total d’offres qualifiées chez OVHcloud. C’est, à ce jour, le plus grand nombre de qualifications actives détenues par un seul prestataire en France.
Octave Klaba, fondateur et PDG d’OVHcloud, a présenté cette qualification comme une étape vers une plateforme de cloud public accessible à l’usage et maîtrisée en Europe, en indiquant que le déploiement s’étendrait à l’ensemble des régions européennes du groupe après la France (source : communiqué de presse OVHcloud). Cette annonce intervient dans un contexte financier tendu pour le groupe, qui a déjà fait parler de lui cette année pour une hausse tarifaire spectaculaire sur certaines de ses gammes, documentée dans notre analyse de la hausse de prix de 87 % d’OVHcloud. La qualification SecNumCloud constitue donc à la fois un argument commercial vis-à-vis du secteur public et un moyen de justifier un positionnement tarifaire plus élevé sur une offre différenciée par la conformité.
Numspot qualifié le même jour, une coïncidence qui n’en est pas une
Le même 1er septembre 2026, Numspot a obtenu sa première qualification SecNumCloud pour son offre IaaS, devenant le huitième fournisseur inscrit au catalogue de l’ANSSI. Numspot est détenu par un consortium associant Bouygues Telecom, la Banque des Territoires, Dassault Systèmes et Docaposte, une structure actionnariale pensée dès l’origine pour cocher les cases de souveraineté du référentiel. L’entreprise disposait déjà de certifications ISO 27001 et HDS (hébergeur de données de santé) obtenues plus tôt dans l’année, et sa qualification pour les couches PaaS, incluant Kubernetes et les bases de données managées, est actuellement en cours d’instruction, avec un objectif de fin 2026 ou début 2027.
Cette double annonce le même jour n’a rien d’un hasard de calendrier. Les deux qualifications ont été délivrées dans la foulée de l’arrêté du 12 août 2026, qui a créé une fenêtre d’opportunité commerciale immédiate pour tout prestataire en mesure de se prévaloir du label au moment où l’obligation légale devenait effective.
Les huit fournisseurs déjà qualifiés SecNumCloud en France
Le catalogue de l’ANSSI, mis à jour au 1er septembre 2026, recense désormais huit fournisseurs disposant d’au moins une offre IaaS qualifiée SecNumCloud. Le tableau ci-dessous récapitule leur situation.
| Fournisseur | Offre(s) qualifiée(s) | Actionnariat / soutien | Statut au 1er sept. 2026 |
|---|---|---|---|
| OVHcloud | Bare Metal Pod, Hosted Private Cloud (VMware), SNC Cloud Platform | Groupe coté, famille Klaba | 3 qualifications actives |
| Numspot | IaaS Numspot | Bouygues Telecom, Banque des Territoires, Dassault Systèmes, Docaposte | 1 qualification (PaaS en instruction) |
| OutScale | IaaS OutScale | Dassault Systèmes | Qualifié |
| Cloud Temple | IaaS Cloud Temple | Actionnariat indépendant | Qualifié |
| Cegedim | IaaS Cegedim (santé) | Groupe Cegedim | Qualifié |
| Worldline | IaaS Worldline | Worldline (paiement) | Qualifié |
| Orange Business Services | IaaS OBS | Groupe Orange | Qualifié |
| Thales (S3NS) | IaaS S3NS | Coentreprise Thales / Google Cloud | Qualifié |
À ces huit fournisseurs s’ajoute Bleu, la coentreprise réunissant Orange, Capgemini et une licence technologique Microsoft Azure, dont la qualification reste en cours d’instruction. Une douzaine de dossiers supplémentaires étaient annoncés en cours d’examen par l’ANSSI en juillet 2026, ce qui laisse attendre de nouvelles entrées au catalogue avant la fin de l’année. Le détail de la double qualification du 1er septembre a été documenté par LeMagIT et par Clubic.
Du décret d’avril à l’arrêté d’août : la fin de la simple recommandation
Le cadre légal qui rend tout cela contraignant repose sur l’article 31 de la loi SREN (loi n° 2024-449, Sécuriser et Réguler l’Espace Numérique). Un premier décret, le décret n° 2026-272 du 14 avril 2026, a précisé le périmètre des organismes concernés : les administrations de l’État, leurs opérateurs, et six groupements d’intérêt public désignés. Un second texte, l’arrêté du 12 août 2026 signé par le Premier ministre Sébastien Lecornu et publié au Journal officiel (JORF n° 0189 du 14 août 2026), a fixé le référentiel SecNumCloud 3.2 comme exigence de référence pour tout prestataire cloud traitant des données de particulière sensibilité pour le compte de l’État.
Ce texte est entré en vigueur le 22 août 2026, une bascule réglementaire relayée notamment par Boursorama. À partir de cette date, le recours à un prestataire qualifié SecNumCloud (ou à une certification européenne reconnue équivalente par l’ANSSI) cesse d’être une bonne pratique conseillée pour devenir une obligation opposable. L’arrêté étend par ailleurs le principe au-delà de la seule sphère étatique, en visant explicitement les secteurs de la santé, de la finance, de l’industrie, de l’énergie et les éditeurs de services travaillant pour le compte de l’administration. Les collectivités territoriales, elles, restent pour l’instant hors du périmètre obligatoire, même si plusieurs guides publics leur recommandent fortement d’anticiper la même trajectoire.
Ce que couvre (et ne couvre pas encore) SNC Cloud Platform
Dans sa version qualifiée, SNC Cloud Platform propose du calcul, du stockage bloc et objet, des serveurs dédiés et des services réseau de base. En revanche, plusieurs briques attendues par les équipes techniques ne sont pas encore couvertes par le périmètre qualifié : Kubernetes managé, les fonctionnalités réseau avancées et les bases de données en tant que service (DBaaS) restent hors du champ de la qualification à ce stade. Pour une organisation qui migre une charge sensible vers OVHcloud, cela signifie que seule une partie de la pile applicative peut aujourd’hui bénéficier du statut SecNumCloud, le reste devant transiter par des composants non qualifiés ou rester hébergé ailleurs.
Cette limitation n’est pas propre à OVHcloud. Le descriptif technique complet de l’offre est disponible sur la page de conformité SecNumCloud d’OVHcloud. Numspot affiche la même trajectoire progressive, avec une couche IaaS déjà qualifiée et une couche PaaS, incluant Kubernetes, encore en cours d’évaluation. Les entreprises qui envisagent une bascule vers un hébergeur souverain doivent donc vérifier précisément quel périmètre technique est couvert par la qualification, et non se fier au seul nom du prestataire.
Pourquoi la France a créé SecNumCloud : dix ans de souveraineté numérique
Le référentiel SecNumCloud trouve son origine dans les débats sur la souveraineté numérique qui ont suivi les révélations d’Edward Snowden sur la surveillance de masse américaine, puis se sont renforcés après l’adoption du Cloud Act aux États-Unis en 2018, un texte qui autorise les autorités américaines à exiger l’accès aux données hébergées par des entreprises américaines, y compris lorsque ces données se trouvent physiquement en Europe. L’ANSSI a construit SecNumCloud comme une réponse technique et juridique à ce risque, en imposant des critères d’indépendance capitalistique et opérationnelle qui vont bien au-delà de la simple localisation géographique des serveurs.
Pendant longtemps, ce référentiel est resté un signal de qualité facultatif, adopté par une poignée d’acteurs pour se différencier sur des appels d’offres publics. La bascule de 2026 change la donne. Pour la première fois, la loi transforme une recommandation en obligation pour une partie substantielle de la commande publique, avec une extension déjà prévue vers des secteurs économiques entiers.
SecNumCloud face aux autres schémas de certification cloud
SecNumCloud n’est pas le seul référentiel de sécurité cloud en circulation en Europe. Il coexiste avec des schémas plus larges, à la portée géographique et aux exigences de souveraineté très différentes.
| Schéma | Portée | Autorité | Exigence de souveraineté | Statut en 2026 |
|---|---|---|---|---|
| SecNumCloud 3.2 | France | ANSSI | Élevée (siège UE, capital majoritairement européen, immunité extraterritoriale) | Obligatoire pour les données sensibles de l’État depuis le 22 août 2026 |
| EUCS | Union européenne | ENISA | Variable selon le niveau visé (Basic, Substantial, High) | Toujours bloqué en négociation entre États membres |
| C5 | Allemagne | BSI | Faible sur la souveraineté, forte sur la sécurité technique | En vigueur, référence du marché allemand |
| ISO/IEC 27001 | International | Organismes accrédités | Aucune exigence de souveraineté | Largement adopté, jugé insuffisant seul pour les marchés sensibles français |
| HDS | France | Organismes certificateurs agréés | Modérée, spécifique aux données de santé | Obligatoire pour l’hébergement de données de santé, cumulable avec SecNumCloud |
Cette comparaison montre pourquoi SecNumCloud occupe une place à part. C’est le seul référentiel qui conditionne explicitement la qualification à la nationalité juridique et capitalistique du prestataire, plutôt qu’à la seule qualité de ses contrôles de sécurité techniques.
Le cas Bleu et S3NS : les coentreprises sous la loupe
Deux dossiers illustrent la tension entre souveraineté affichée et dépendance technologique réelle. S3NS, coentreprise entre Thales et Google Cloud, a déjà obtenu sa qualification SecNumCloud pour son offre IaaS en s’appuyant sur la technologie Google Cloud Platform tout en revendiquant une gouvernance et une exploitation autonomes sur le sol français. Bleu, coentreprise entre Orange, Capgemini et une licence Microsoft Azure, suit une trajectoire comparable mais reste, à ce jour, en cours d’instruction plutôt que formellement qualifiée.
Ces montages soulèvent une question de fond que plusieurs juristes et acteurs du secteur ont posée publiquement : une coentreprise qui repose sur une pile logicielle américaine peut-elle réellement garantir l’immunité vis-à-vis du Cloud Act que SecNumCloud est censé assurer ? L’ANSSI a choisi de répondre au cas par cas, en auditant la gouvernance opérationnelle plutôt qu’en excluant par principe toute technologie d’origine américaine, une approche que certains concurrents purement européens jugent trop conciliante et que d’autres analystes du marché considèrent au contraire comme pragmatique face à la rareté des alternatives technologiques crédibles à cette échelle. Le sujet recoupe directement les débats déjà documentés autour du Cloud and AI Development Act (CADA) porté au niveau européen.
Impact sur le marché du cloud souverain français
L’extension du périmètre obligatoire aux secteurs de la santé, de la finance, de l’industrie et de l’énergie change mécaniquement la taille du marché adressable par les huit fournisseurs qualifiés. Une entreprise qui traite des données de santé devait déjà composer avec la certification HDS, mais elle doit désormais aussi vérifier si son hébergeur cloud sous-jacent est qualifié SecNumCloud dès lors qu’elle travaille avec l’administration ou opère dans un secteur régulé visé par l’arrêté du 12 août 2026.
Ce resserrement de l’offre autour de huit fournisseurs, dont trois offres appartiennent au seul groupe OVHcloud, crée un risque de concentration que plusieurs observateurs du marché commencent à pointer. À court terme, les prestataires déjà qualifiés bénéficient d’un avantage concurrentiel réel sur les nouveaux appels d’offres publics, pendant que la douzaine de dossiers en cours d’instruction chez l’ANSSI détermineront si ce marché s’élargit rapidement ou reste durablement resserré autour d’un petit nombre d’acteurs.
Ce que ça change pour les entreprises et administrations concernées
Pour une direction des systèmes d’information qui héberge déjà des données sensibles chez un prestataire non qualifié, la nouvelle obligation impose un audit rapide de conformité. Trois questions se posent concrètement. Le prestataire actuel figure-t-il, ou figurera-t-il prochainement, au catalogue ANSSI ? Le périmètre technique qualifié couvre-t-il l’ensemble de la charge applicative concernée, ou seulement une partie comme c’est le cas pour Kubernetes chez OVHcloud et Numspot ? Enfin, quel est le délai de migration réaliste si un changement de prestataire s’avère nécessaire avant les prochaines échéances sectorielles ?
Les organismes publics et GIP explicitement visés par le décret d’avril 2026 n’ont techniquement plus le choix depuis le 22 août. Les entreprises des secteurs santé, finance, industrie et énergie, elles, disposent encore d’une fenêtre de transition, mais l’expérience du décret d’avril montre que l’administration a tendance à resserrer le calendrier d’application plus vite que prévu.
L’expansion européenne d’OVHcloud : Italie, Allemagne, Pologne
OVHcloud a indiqué vouloir déployer SNC Cloud Platform dans l’ensemble de ses régions européennes de cloud public, avec l’Italie, l’Allemagne et la Pologne citées comme prochaines étapes après la France. Chaque déploiement devra toutefois se conformer au cadre réglementaire national applicable, puisque SecNumCloud reste un référentiel français sans reconnaissance automatique dans les autres États membres. C’est précisément ce défaut d’harmonisation que le schéma européen EUCS était censé résoudre.
Cette stratégie place OVHcloud en position de tester si un référentiel national fort, une fois éprouvé sur son marché domestique, peut servir de modèle exportable vers d’autres pays européens en quête de leurs propres garanties de souveraineté, à l’image des initiatives déjà engagées par Google face à AWS sur le terrain du cloud souverain ou du cloud souverain européen déployé par AWS.
Comparaison avec le blocage persistant du schéma européen EUCS
Le schéma européen de certification cloud (EUCS), porté par l’ENISA, était censé harmoniser les exigences de sécurité cloud à l’échelle de l’Union et réduire la fragmentation entre référentiels nationaux. Plusieurs analyses publiées durant l’été 2026 confirment que les négociations autour d’EUCS restent bloquées, notamment sur la question de savoir si un niveau de certification élevé doit inclure, comme le fait SecNumCloud, des critères de souveraineté capitalistique, ou se limiter à des exigences techniques neutres vis-à-vis de la nationalité du prestataire.
Ce blocage renforce, à court terme, le rôle de SecNumCloud comme référence de facto pour les acteurs français et pour les entreprises européennes qui cherchent une alternative éprouvée en l’absence de consensus au niveau de l’Union. Il alimente aussi un débat plus large sur la fragmentation réglementaire du cloud en Europe, où chaque grand État tend à faire émerger son propre référentiel, SecNumCloud en France, C5 en Allemagne, faute d’accord européen.
Ce qu’il faut anticiper d’ici fin 2026 et 2027
- De nouvelles qualifications SecNumCloud sont attendues avant la fin de l’année 2026, avec Bleu et une extension de Cloud Temple parmi les dossiers les plus avancés selon les informations disponibles mi-2026.
- La qualification PaaS de Numspot, incluant Kubernetes et les bases de données managées, devrait aboutir fin 2026 ou début 2027, ce qui comblerait l’un des principaux angles morts actuels du marché souverain.
- L’expansion de SNC Cloud Platform vers l’Italie, l’Allemagne et la Pologne testera la capacité d’OVHcloud à répliquer un argument de conformité française sur des marchés où d’autres référentiels nationaux, comme C5 en Allemagne, font déjà autorité.
- La pression sur les coentreprises Bleu et S3NS devrait s’intensifier à mesure que l’extension sectorielle de l’obligation SecNumCloud (santé, finance, industrie, énergie) élargit le nombre de clients pour lesquels la question de l’indépendance vis-à-vis du Cloud Act devient contractuellement déterminante.
- Sans déblocage des négociations sur l’EUCS au niveau européen, d’autres États membres pourraient être tentés de renforcer leurs propres référentiels nationaux plutôt que d’attendre un consensus à vingt-sept, ce qui accentuerait la fragmentation du marché cloud européen plutôt que de la réduire.
Ce mouvement réglementaire s’inscrit dans une trajectoire plus large de durcissement de la conformité numérique en France, aux côtés d’autres obligations à venir comme l’obligation post-quantique fixée par l’ANSSI dès 2027. Les directions des systèmes d’information devront de plus en plus composer avec un empilement d’exigences de conformité cloud, cryptographique et sectorielle, plutôt qu’avec un référentiel unique.
Questions fréquentes
Qu’est-ce que la qualification SecNumCloud ?
C’est un référentiel de sécurité et de souveraineté délivré par l’ANSSI aux prestataires cloud qui répondent à des exigences techniques strictes et à des critères de gouvernance juridique européenne, incluant la protection contre les lois extraterritoriales comme le Cloud Act américain.
SecNumCloud est-il obligatoire pour toutes les entreprises françaises ?
Non. Depuis le 22 août 2026, l’obligation s’applique aux administrations de l’État, à leurs opérateurs et à six groupements d’intérêt public désignés. Elle s’étend aussi à des secteurs réglementés comme la santé, la finance, l’industrie et l’énergie, mais les collectivités territoriales et la majorité des entreprises privées ne sont pas directement contraintes.
Combien de fournisseurs cloud sont qualifiés SecNumCloud en septembre 2026 ?
Huit fournisseurs disposent d’au moins une offre IaaS qualifiée : OVHcloud (trois offres), Numspot, OutScale, Cloud Temple, Cegedim, Worldline, Orange Business Services et Thales via S3NS. Bleu reste en cours de qualification.
SNC Cloud Platform d’OVHcloud couvre-t-il Kubernetes ?
Non, pas encore. La qualification actuelle couvre le calcul, le stockage bloc et objet, les serveurs dédiés et les services réseau de base. Kubernetes managé, les fonctionnalités réseau avancées et les bases de données en tant que service restent hors du périmètre qualifié à ce stade.
Quelle est la différence entre SecNumCloud et EUCS ?
SecNumCloud est un référentiel français porté par l’ANSSI, déjà en vigueur et rendu obligatoire pour une partie de l’administration depuis août 2026. EUCS est un projet de schéma européen porté par l’ENISA, censé harmoniser les exigences de sécurité cloud à l’échelle de l’Union, mais dont les négociations restent bloquées depuis plusieurs années, notamment sur l’inclusion de critères de souveraineté capitalistique.
Les coentreprises Bleu et S3NS peuvent-elles obtenir SecNumCloud malgré leur technologie américaine ?
S3NS, coentreprise entre Thales et Google Cloud, a déjà obtenu sa qualification IaaS. Bleu, coentreprise entre Orange, Capgemini et une licence Microsoft Azure, reste en cours d’instruction. L’ANSSI évalue ces dossiers au cas par cas, en auditant la gouvernance opérationnelle plutôt qu’en excluant systématiquement toute technologie d’origine américaine.
Combien de temps dure une qualification SecNumCloud ?
Trois ans, sous réserve d’audits de surveillance annuels menés par un organisme évaluateur agréé pour vérifier le maintien du niveau de sécurité et de conformité de l’offre qualifiée.
OVHcloud va-t-il proposer SNC Cloud Platform en dehors de la France ?
Oui. Le groupe a annoncé vouloir étendre cette offre à l’ensemble de ses régions de cloud public en Europe, avec l’Italie, l’Allemagne et la Pologne citées comme prochaines étapes, chaque déploiement devant se conformer au cadre réglementaire local applicable.
