Le catalogue de l'ANSSI mis à jour le 15 septembre 2026 recense les offres cloud qualifiées SecNumCloud. Faut-il pour autant viser cette qualification ? Le
La question du cloud de confiance s'est invitée dans de nombreuses entreprises en cette rentrée 2026. Le catalogue officiel de l'ANSSI, mis à jour le 15 septembre 2026, recense les offres qualifiées SecNumCloud, le référentiel français des services cloud de confiance. Parmi les exemples vérifiables figurent la plateforme IaaS de NumSpot, couverte par une décision du 31 juillet 2026, et l'offre IaaS Secure Temple de Cloud Temple. Début septembre, Reuters avait par ailleurs relayé les initiatives d'OVHcloud autour de SecNumCloud.
Un cadre juridique qui se précise
Côté réglementation, le décret pris en application de la loi SREN, daté du 14 avril 2026, constitue selon les analyses juridiques la première obligation forte en droit français en matière de cloud de confiance, avec un référentiel d'exigences et une logique de qualification de type SecNumCloud pour les prestataires concernés. SecNumCloud reste, dans sa version 3.2, la seule qualification européenne intégrant une protection contre les lois extraterritoriales, mais uniquement sur son périmètre qualifié.
Toutes les entreprises doivent-elles viser SecNumCloud ?
Non. Comme le souligne une analyse publiée le 28 septembre 2026, la directive européenne NIS2 ne signifie pas que tout cloud d'entreprise doit être qualifié SecNumCloud. À cette date, la transposition française de NIS2 suivait encore son parcours parlementaire. Pour une PME, la bonne démarche consiste à choisir de façon proportionnée, en fonction de la sensibilité réelle des données et des obligations propres à son secteur.
Les bonnes questions à se poser
Avant de choisir un hébergement, quatre questions aident à décider. Quelles données vais-je héberger, et quelle serait la gravité d'une fuite ? Où sont-elles stockées, et quel droit s'applique à l'hébergeur ? Qui peut y accéder, y compris chez le prestataire ? Comment récupérer mes données et changer de fournisseur si nécessaire ? Cette dernière question, la réversibilité, est souvent négligée alors qu'elle conditionne le pouvoir de négociation de l'entreprise lors du renouvellement du contrat.
Une approche par niveaux
Dans la pratique, beaucoup de PME combinent plusieurs niveaux : un hébergement en France et en Europe pour la majorité des usages, et un niveau de confiance supérieur pour les données les plus sensibles, comme les données de santé, les données financières ou les secrets industriels. Cette approche permet de maîtriser les coûts sans négliger les risques.
Enfin, la qualification d'un prestataire ne dispense jamais l'entreprise de ses propres responsabilités : gestion des accès, sauvegardes, conformité au RGPD et sécurité des postes restent à sa charge.
Être accompagné
Vous voulez faire le point sur votre situation ? Les équipes TICLIC vous accompagnent de l'audit à la mise en œuvre : découvrez notre offre Cloud ou contactez-nous pour un premier échange.
Sources
SecNumCloud et RGPD : guide du cloud souverain en 2026 — Legiscope (2026-09-28)
Cloud souverain : le cadre juridique en 2026 — DonneesPersonnelles.fr (2026-09-02)
OVHcloud et SecNumCloud : ce que le cloud souverain européen signifie pour votre entreprise — Seintec (2026-09-01)