ALTISOCLE

secteur public — administrations, opérateurs de l’état, collectivités, établissements, groupements

Des infrastructures publiques conçues pour rester maîtrisables.

ALTISOCLE accompagne administrations, opérateurs, collectivités et titulaires de marchés sur leurs projets de cloud privé, de souveraineté, d’architecture, de migration et de gouvernance. Nous intervenons directement sous les seuils, en sous-traitance d’un titulaire, ou en cotraitance selon la taille du marché.

Échanger sur un projet public ou un groupementComment nous acheter

ce qui a changé en 2026, avec les textes

SecNumCloud devient obligatoire pour l’État

Décret n° 2026-272 du 14 avril 2026 (article 31 de la loi SREN) et arrêté du 12 août 2026 : les services de l’État, ses opérateurs et six GIP doivent héberger leurs données sensibles sur une offre qualifiée SecNumCloud 3.2 ou équivalente. Les collectivités et les hôpitaux ne sont pas visés à ce jour.

Lire la fiche SREN article 31

La commande publique cloud se matérialise

84 M€ de commandes sur le marché interministériel « Nuage public » en 2025, en hausse de 62 % ; 70 % vers des fournisseurs européens (DINUM, 26 mars 2026).

Le seuil de dispense monte à 60 k€ HT

Depuis le 1er avril 2026, un marché de services sous 60 000 € HT peut être passé sans publicité ni mise en concurrence préalable (décret n° 2025-1386).

NIS2 : la loi n’est pas votée

Le projet de loi Résilience a été retiré de l’ordre du jour de l’Assemblée en octobre 2026. L’ANSSI diffuse le Référentiel Cyber France comme document de travail ; nous parlons de « préparer NIS2 », pas d’y être conforme.

Trois façons de travailler avec un petit cabinet, dans les règles.

Nous ne cherchons pas à remplacer les grands titulaires. Nous apportons l’expertise senior qu’il leur manque, ou que vous pouvez acheter directement sous les seuils.

sous 60 k€ ht

Commande directe

Audit, assessment VMware ou blueprint entrent dans le seuil de dispense de procédure. L’acheteur choisit une offre pertinente, sans fractionner le besoin, et conserve la trace de son choix.

Devis sous 48 h, pièces du dossier fournisseur jointes d’office.

au-dessus des seuils

Sous-traitance d’un titulaire

Déclaration DC4, acceptation et agrément des conditions de paiement, paiement direct par l’acheteur dès 600 € TTC. Le titulaire garde la relation ; nous apportons l’architecture, la migration ou la gouvernance.

Partenariats déclarés, documentation au format du titulaire.

groupements

Cotraitance via PLACE

La bourse à la cotraitance de la plateforme des achats de l’État permet de constituer un groupement, consultation par consultation. Nous y proposons le lot expertise cloud privé et réversibilité.

PLACE devient obligatoire pour l’État d’ici 2030 (loi du 26 mai 2026).

  • Avance

    Minimum 30 % pour une PME sur un marché de l’État au-delà de 50 k€ HT et deux mois d’exécution.

  • Paiement

    30 jours pour l’État et les collectivités, 50 jours pour les établissements publics de santé.

  • Références

    Leur absence ne peut à elle seule éliminer un candidat (article R2142-14). Nous fournissons extraits de livrables et méthode publiée.

  • Chiffre d’affaires exigible

    Plafonné à 1,5 fois le montant du marché depuis 2026 : un jeune cabinet peut candidater.

dossier fournisseur

Les pièces, prêtes avant qu’on nous les demande.

Un acheteur public n’a pas à courir après un fournisseur. Les pièces sont tenues à jour et envoyées avec chaque proposition.

qualifications : ce que nous disons, ce que nous ne disons pas

SecNumCloud qualifie une offre d’hébergement, pas un cabinet.

Nous concevons des architectures pouvant s’appuyer sur des offres qualifiées SecNumCloud lorsque le niveau de sensibilité et les exigences du projet le nécessitent. Une solution hébergée sur une offre qualifiée ne devient pas qualifiée par héritage : l’ANSSI le rappelle, nous aussi. Même règle pour HDS en santé.

Nous vérifions le catalogue ANSSI à chaque réponse. Deux qualifications arrivent à échéance fin 2026 (Outscale le 30 novembre, OVHcloud Hosted Private Cloud VMware le 29 décembre) : un détail qui change une réponse à appel d’offres.

offres qualifiées secnumcloud, catalogue anssi du 16 octobre 2026

  • Cegedim
  • Cloud Solutions, Wimi
  • Cloud Temple
  • Ecritel
  • Index Education
  • NumSpot
  • OVHcloud
  • Oodrive
  • Orange Business
  • Outscale
  • Thales S3NS
  • Whaller
  • Worldline

en cours de qualification, publiés par l’anssi

  • Scaleway
  • Bleu
  • Free Pro
  • Adista
  • Scalingo
  • et autres

Pour l’exploitation sécurisée, deux prestataires sont qualifiés PAMS à ce jour : Cloud Temple et I-Tracing. Nous travaillons avec eux ou vos équipes pour le RUN, jamais à leur place sur ce périmètre.

fiche pratique — loi sren, article 31 — à jour au 19 octobre 2026

Article 31 de la loi SREN : ce que l’État doit héberger sur une offre SecNumCloud.

Depuis le décret n° 2026-272 du 14 avril 2026 et l’arrêté du 12 août 2026, les services de l’État, ses opérateurs et six groupements d’intérêt public doivent héberger leurs données sensibles sur une offre qualifiée SecNumCloud 3.2 ou reconnue équivalente. Voici qui est concerné, quelles données, quelle dérogation et quelle preuve.

Version imprimable de la ficheDécret n° 2026-272 sur Légifrance

1. Les textes

  • Article 31 de la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique (SREN).
  • Décret n° 2026-272 du 14 avril 2026, pris pour son application.
  • Arrêté du 12 août 2026 (JO du 14 août 2026) approuvant le référentiel SecNumCloud 3.2, en vigueur depuis la mi-août 2026.

2. Qui est concerné

  • Les services de l’État et les opérateurs de l’État.
  • Six GIP : Agence du numérique en santé (ANS), Centre d’accès sécurisé aux données (CASD), CRPR, Collecteur analyseur de données, GIP-MDS, SNE (logement social).
  • Pas visés à ce jour : les collectivités territoriales et les hôpitaux. Une proposition de loi, en attente, viserait régions, départements, communes et EPCI de plus de 30 000 habitants et SDIS.

3. Quelles données : deux critères cumulatifs

  • Une sensibilité particulière : données relevant d’un secret protégé par la loi ou nécessaires aux missions essentielles de l’État ;
  • et une violation susceptible de porter atteinte à l’ordre public, à la sécurité publique, à la santé ou à la vie des personnes, ou à la propriété intellectuelle.
  • Exemples cités : la paie des agents et la chaîne d’alerte des secours sont concernées ; le cadastre, les notes des élèves et le contrôle de légalité ne le sont pas (Localtis, 16 avril 2026).

4. Ce qui est exigé, et la preuve

  • Un hébergement sur une offre qualifiée SecNumCloud 3.2 par l’ANSSI.
  • Ou une offre disposant d’une certification d’un autre État de l’Union européenne ou de l’EEE reconnue équivalente.
  • La preuve est la qualification ANSSI ou cette certification européenne : une déclaration du fournisseur ne suffit pas.

5. La dérogation des « 18 mois »

  • Elle ne fixe pas un délai général de bascule : elle concerne les projets déjà engagés avant le décret.
  • Durée : au plus 18 mois, comptés à partir de la disponibilité d’une offre qualifiée répondant au besoin.
  • Sans offre disponible : dérogation d’un an, renouvelable. Les décisions de dérogation sont rendues publiques.

6. Ce que la fiche ne dit pas

  • Une application hébergée sur une offre qualifiée ne devient pas qualifiée par héritage.
  • SecNumCloud qualifie une offre d’hébergement, pas un cabinet : ALTISOCLE conçoit des architectures qui peuvent s’y appuyer, sans revendiquer de qualification.
  • Catalogue ANSSI du 16 octobre 2026 : 13 fournisseurs, 30 services. Deux qualifications arrivent à échéance fin 2026 (Outscale le 30 novembre, OVHcloud Hosted Private Cloud VMware le 29 décembre).

sources

Fiche d’information, à jour au 19 octobre 2026. Elle ne constitue pas un avis juridique ; vérifiez le texte en vigueur avant toute décision.

Trois situations que nous rencontrons, et ce que nous y faisons.

service de l’état, projet engagé sur un cloud non qualifié

Préparer la bascule dans la dérogation

Le décret prévoit une dérogation pour les projets engagés avant avril 2026, limitée à dix-huit mois après la disponibilité d’une offre conforme. Nous cartographions les données réellement sensibles, cloisonnons ce qui peut l’être et planifions la migration vers une offre qualifiée.

collectivité ou établissement de santé, hors obligation

Choisir volontairement un niveau de maîtrise

Vous n’êtes pas visés par le décret, mais vos élus, votre DPO et vos usagers posent les mêmes questions. L’audit fixe le niveau de maîtrise à atteindre, HDS en santé, et la réversibilité à exiger de vos prestataires.

titulaire de marché, groupement en constitution

Apporter le lot expertise cloud privé

Vous répondez à un marché qui exige une compétence OpenStack, Proxmox ou réversibilité que vous n’avez pas en interne. Nous rejoignons votre réponse en sous-traitance déclarée ou en cotraitance, avec le dossier fournisseur prêt.

Documentation, réversibilité, transparence des sous-traitants : ce que nous laissons derrière nous.

Échanger sur un projet public ou un groupementVoir le dossier fournisseur