Article 31 de la loi SREN : ce que l’État doit héberger sur une offre SecNumCloud.
Depuis le décret n° 2026-272 du 14 avril 2026 et l’arrêté du 12 août 2026, les services de l’État, ses opérateurs et six groupements d’intérêt public doivent héberger leurs données sensibles sur une offre qualifiée SecNumCloud 3.2 ou reconnue équivalente. Voici qui est concerné, quelles données, quelle dérogation et quelle preuve.
1. Les textes
- Article 31 de la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique (SREN).
- Décret n° 2026-272 du 14 avril 2026, pris pour son application.
- Arrêté du 12 août 2026 (JO du 14 août 2026) approuvant le référentiel SecNumCloud 3.2, en vigueur depuis la mi-août 2026.
2. Qui est concerné
- Les services de l’État et les opérateurs de l’État.
- Six GIP : Agence du numérique en santé (ANS), Centre d’accès sécurisé aux données (CASD), CRPR, Collecteur analyseur de données, GIP-MDS, SNE (logement social).
- Pas visés à ce jour : les collectivités territoriales et les hôpitaux. Une proposition de loi, en attente, viserait régions, départements, communes et EPCI de plus de 30 000 habitants et SDIS.
3. Quelles données : deux critères cumulatifs
- Une sensibilité particulière : données relevant d’un secret protégé par la loi ou nécessaires aux missions essentielles de l’État ;
- et une violation susceptible de porter atteinte à l’ordre public, à la sécurité publique, à la santé ou à la vie des personnes, ou à la propriété intellectuelle.
- Exemples cités : la paie des agents et la chaîne d’alerte des secours sont concernées ; le cadastre, les notes des élèves et le contrôle de légalité ne le sont pas (Localtis, 16 avril 2026).
4. Ce qui est exigé, et la preuve
- Un hébergement sur une offre qualifiée SecNumCloud 3.2 par l’ANSSI.
- Ou une offre disposant d’une certification d’un autre État de l’Union européenne ou de l’EEE reconnue équivalente.
- La preuve est la qualification ANSSI ou cette certification européenne : une déclaration du fournisseur ne suffit pas.
5. La dérogation des « 18 mois »
- Elle ne fixe pas un délai général de bascule : elle concerne les projets déjà engagés avant le décret.
- Durée : au plus 18 mois, comptés à partir de la disponibilité d’une offre qualifiée répondant au besoin.
- Sans offre disponible : dérogation d’un an, renouvelable. Les décisions de dérogation sont rendues publiques.
6. Ce que la fiche ne dit pas
- Une application hébergée sur une offre qualifiée ne devient pas qualifiée par héritage.
- SecNumCloud qualifie une offre d’hébergement, pas un cabinet : ALTISOCLE conçoit des architectures qui peuvent s’y appuyer, sans revendiquer de qualification.
- Catalogue ANSSI du 16 octobre 2026 : 13 fournisseurs, 30 services. Deux qualifications arrivent à échéance fin 2026 (Outscale le 30 novembre, OVHcloud Hosted Private Cloud VMware le 29 décembre).