Cloud d'Etat : pourquoi un simple hébergement en France ne

Depuis plusieurs années, l'État français pousse ses administrations et ses opérateurs stratégiques vers un cloud souverain, présenté comme la garantie que des données sensibles échappent aux lois étrangères. Au cœur de ce dispositif se trouve un sigle technique, SecNumCloud, censé faire la différence entre un hébergement simplement localisé en France et un cloud réellement mis à l'abri des ingérences extraterritoriales. Le marché mondial du cloud pèse désormais des sommes vertigineuses, ce qui rend la question de la souveraineté d'autant plus sensible pour les acteurs publics et privés qui doivent choisir un prestataire.

Qu'est-ce que SecNumCloud

Un référentiel piloté par l'ANSSI

SecNumCloud est un référentiel de qualification élaboré par l'Agence nationale de la sécurité des systèmes d'information (ANSSI). Il ne s'agit pas d'un simple label marketing mais d'un cahier des charges technique et juridique que doit remplir un fournisseur de services cloud pour obtenir la qualification. Le référentiel couvre les trois grandes familles de services, l'infrastructure (IaaS), la plateforme (PaaS) et le logiciel (SaaS), avec des exigences adaptées à chaque niveau.

Contrairement à une certification internationale comme ISO 27001, qui vérifie surtout l'existence de processus de sécurité, SecNumCloud ajoute une dimension propre au contexte français : la protection contre les lois extraterritoriales, au premier rang desquelles le Cloud Act américain. Ce texte permet aux autorités des États-Unis d'exiger l'accès à des données stockées par une entreprise américaine ou une de ses filiales, même si les serveurs se trouvent physiquement en Europe.

Le périmètre et les niveaux du référentiel

Le référentiel distingue plusieurs niveaux d'exigence selon la sensibilité des données traitées. Pour le périmètre le plus strict, celui qui vise une immunité complète face aux lois non européennes, l'ANSSI exige que le capital et la gouvernance de l'entité qui exploite le service cloud soient contrôlés par des acteurs européens, sans possibilité pour une maison mère non européenne d'imposer une décision. C'est cette clause qui a poussé les grands éditeurs américains à construire des montages capitalistiques particuliers pour continuer à vendre leurs technologies aux administrations françaises.

Ce que la certification garantit vraiment

L'immunité face au droit américain

Le point central de SecNumCloud, dans sa version révisée, est la clause dite d'immunité. Elle impose qu'aucune entité soumise à une loi extraterritoriale non européenne ne puisse avoir un accès légal aux données hébergées, ni exercer une influence décisive sur l'entreprise qui les héberge. Concrètement, un fournisseur qui souhaite être qualifié doit démontrer que ni son actionnariat, ni ses dirigeants, ni son personnel technique ne peuvent être contraints par une réquisition américaine, chinoise ou de tout autre pays hors Union européenne.

C'est cette exigence qui explique la multiplication d'alliances hybrides sur le marché français : des entreprises technologiques américaines cèdent une licence de leur technologie à une entité française ou européenne, qui exploite ensuite le service de façon autonome. Bleu, coentreprise d'Orange et Capgemini, exploite ainsi une licence de la technologie Microsoft Azure. S3NS, filiale de Thales, fait de même avec la technologie Google Cloud. Ces montages visent précisément à obtenir la qualification SecNumCloud pour des offres qui, sans cela, resteraient exposées au droit américain.

Un tableau des acteurs qualifiés ou candidats

Ce tableau illustre la logique du dispositif : la technologie peut venir d'un géant américain, mais l'exploitation, la gouvernance et l'accès aux données doivent rester entre des mains européennes pour espérer la qualification complète.

Le marché du cloud, un contexte financier qui pèse sur les choix

Une croissance portée par l'intelligence artificielle

Comprendre l'enjeu de SecNumCloud suppose de mesurer la taille du marché sur lequel les acteurs souverains doivent se faire une place. Selon Gartner, les dépenses mondiales des entreprises en services de cloud public ont atteint 723,4 milliards de dollars en 2025, contre 595,7 milliards en 2024, soit une hausse de 21,5 %, et devraient approcher 850 milliards de dollars en 2026. Selon Synergy Research Group, les dépenses en infrastructure cloud ont atteint 143,4 milliards de dollars au seul deuxième trimestre 2026, en hausse de 43 % sur un an, la progression la plus rapide depuis huit ans.

Sur ce marché, la domination des géants américains reste écrasante. Selon les données reprises par Siècle Digital et It for Business à partir de Synergy Research Group, AWS conserve 28 % de part de marché mondiale de l'infrastructure cloud au premier trimestre 2026, devant Microsoft Azure à 21 % et Google Cloud à 14 %. Au même trimestre, la division cloud d'Amazon a généré 37,6 milliards de dollars de chiffre d'affaires, en hausse de 28 %, sa plus forte progression depuis quinze trimestres.

L'argent gaspillé, un argument pour les acheteurs publics

Un autre chiffre alimente les débats sur le choix du prestataire : selon une synthèse sectorielle publiée en septembre 2026, près de 27 % des dépenses cloud mondiales, soit plus de 225 milliards de dollars, partent en gaspillage pur, faute de gouvernance adaptée des ressources louées. Pour un acheteur public français, ce constat renforce l'argument en faveur de fournisseurs qualifiés SecNumCloud, dont les contrats et la gouvernance sont audités, plutôt que de multiplier les abonnements dispersés chez des hyperscalers étrangers.

Ce que vérifie concrètement un audit SecNumCloud

L'obtention de la qualification ne repose pas sur une simple déclaration du fournisseur. Elle passe par un audit mené par un laboratoire accrédité, qui contrôle notamment :

• la localisation des données et de leur administration en France ou dans l'Union européenne ;
• l'absence de tout lien capitalistique ou hiérarchique permettant à une entité non européenne d'imposer une décision sur l'exploitant ;
• le chiffrement des données au repos et en transit, avec une gestion des clés qui reste sous contrôle européen ;
• la nationalité et l'habilitation du personnel technique ayant un accès privilégié aux infrastructures ;
• la réversibilité du service, c'est-à-dire la capacité du client à récupérer ses données et à changer de prestataire sans blocage technique ;
• le renouvellement de l'audit tous les trois ans, pour vérifier que les engagements initiaux sont toujours respectés.

Ce niveau de contrôle explique pourquoi le nombre de fournisseurs pleinement qualifiés reste restreint face à la masse des offres disponibles sur le marché mondial.

SecNumCloud et la doctrine « cloud au centre »

L'État français a adossé sa doctrine dite du « cloud au centre » à cette qualification : les administrations sont incitées, pour les données les plus sensibles, à choisir en priorité des offres SecNumCloud plutôt que des offres hébergées mais non qualifiées. Cette doctrine ne signifie pas une interdiction totale d'utiliser des services non qualifiés pour toutes les données publiques, mais elle fixe une hiérarchie claire selon la sensibilité des informations traitées, des données personnelles courantes aux données classifiées.

Ce choix politique se heurte cependant à une réalité budgétaire et technique : les hyperscalers américains investissent des sommes que les acteurs européens ne peuvent pas égaler. Les budgets d'infrastructure liés à l'intelligence artificielle des trois géants du secteur devraient dépasser 600 milliards de dollars sur l'exercice 2026, selon les données publiées par Siècle Digital, avec 200 milliards visés par Amazon, 190 milliards par Microsoft et entre 180 et 190 milliards par Alphabet. Aucun acteur français ou européen ne dispose de moyens comparables, ce qui limite la capacité des offres qualifiées SecNumCloud à proposer les mêmes performances en intelligence artificielle que les plateformes américaines.

Cette tension entre exigence de souveraineté et puissance financière des hyperscalers rejoint les débats déjà traités sur la fiabilité réelle des infrastructures physiques du cloud, un sujet documenté dans notre analyse des quatre niveaux de fiabilité des datacenters.

Les limites de la certification

Une garantie technique, pas une garantie absolue

SecNumCloud réduit fortement le risque d'accès extraterritorial aux données, mais ne l'élimine pas totalement dans tous les cas de figure, en particulier pour les offres qui reposent encore sur une licence technologique étrangère malgré une gouvernance française. Le simple fait de stocker des données sur le sol français ne suffit d'ailleurs pas à les protéger, comme l'explique notre article sur le Cloud Act et les limites du datacenter souverain. SecNumCloud va plus loin que la seule localisation géographique, mais son efficacité dépend de la robustesse réelle du montage capitalistique retenu par chaque fournisseur.

Un coût et une lourdeur qui freinent l'offre

Le processus de qualification est long, coûteux et doit être renouvelé régulièrement. Cette lourdeur explique pourquoi une part importante des offres cloud disponibles sur le marché français, y compris chez des acteurs de taille moyenne, ne cherche pas à obtenir la qualification, faute de moyens ou de clientèle suffisamment sensible pour justifier l'investissement.

Questions fréquentes

Qui délivre la certification SecNumCloud ?

La qualification est délivrée par l'ANSSI, l'Agence nationale de la sécurité des systèmes d'information, sur la base d'un audit mené par un laboratoire accrédité indépendant du fournisseur candidat.

SecNumCloud protège-t-il vraiment du Cloud Act américain ?

Oui pour le périmètre le plus strict du référentiel, qui exige que le contrôle capitalistique et la gouvernance du service restent entre des mains européennes, ce qui écarte en théorie toute réquisition fondée sur une loi non européenne.

Quelles entreprises visent le label cloud de confiance en France ?

OVHcloud propose une offre historique fondée sur une technologie française, tandis que Bleu (Orange et Capgemini) et S3NS (Thales) exploitent des licences respectivement de Microsoft Azure et de Google Cloud pour obtenir la qualification tout en restant sous contrôle capitalistique français.

SecNumCloud est-il obligatoire pour toutes les administrations ?

Non. La doctrine « cloud au centre » recommande fortement le recours à des offres qualifiées pour les données les plus sensibles, mais elle ne bannit pas tous les usages de services non qualifiés pour des données moins critiques.

La qualification garantit-elle de meilleures performances techniques ?

Pas nécessairement. Elle porte sur la sécurité, la gouvernance et l'immunité juridique, pas sur la puissance de calcul. Les budgets consacrés à l'infrastructure d'intelligence artificielle par les hyperscalers américains restent très supérieurs à ceux des acteurs qualifiés SecNumCloud, ce qui peut se traduire par des écarts de performance sur certains usages avancés.