SecNumCloud expliqué aux DSI de collectivités : définition, obligations et prestataires qualifiés

Depuis la publication du décret d’application de la loi SREN en avril 2026, le mot SecNumCloud revient dans presque tous les échanges sur le numérique public : dans les appels d’offres, les réunions DSI ou les discussions sur l’hébergement des données scolaires.

Mais ce que SecNumCloud signifie concrètement, ce qu’il couvre, ce qu’il garantit, à qui il s’impose et comment l’intégrer dans un marché public, reste flou pour beaucoup de collectivités.

Cet article répond à ces questions dans l’ordre : définition, différences avec les autres certifications, état de l’obligation pour les collectivités, prestataires qualifiés en juillet 2026 et intégration dans les marchés publics d’équipement scolaire.

Qu’est-ce que SecNumCloud ?

SecNumCloud est une qualification délivrée par l’ANSSI (Agence nationale de la sécurité des systèmes d’information) aux prestataires de services cloud : IaaS (Infrastructure as a Service), PaaS (Platform as a Service) et SaaS (Software as a Service), qui répondent aux exigences les plus strictes en matière de sécurité et de souveraineté des données.

Le référentiel en vigueur est la version 3.2.a, publiée en 2022. Il couvre plus de 360 critères répartis en 14 thèmes : sécurité technique, sécurité organisationnelle, sécurité opérationnelle, gestion des incidents, continuité de service et, critère décisif, immunité aux législations extraterritoriales.

Ce dernier point distingue fondamentalement SecNumCloud de toutes les autres certifications cloud. Le référentiel impose que le prestataire ne soit soumis à aucune législation extra-européenne, ni en termes de propriété, ni en termes de gouvernance. En pratique, cela signifie qu’un prestataire qualifié SecNumCloud ne peut pas être contraint par le Cloud Act américain, contrairement à une filiale européenne d’un groupe américain, même si ses serveurs sont physiquement en France.

C’est la seule certification cloud qui offre cette garantie documentée et vérifiée en France à ce jour.

SecNumCloud vs ISO 27001 : quelle différence pour une collectivité ?

C’est la confusion la plus fréquente dans les appels d’offres. Un prestataire qui présente une certification ISO 27001 n’est pas pour autant qualifié SecNumCloud. Les deux certifications ne couvrent pas le même périmètre.

ISO 27001 est une norme internationale de management de la sécurité de l’information. Elle atteste qu’une organisation a mis en place un système de management de la sécurité structuré : politiques, procédures, contrôles. Elle ne dit rien sur la localisation des données, l’exposition au Cloud Act ou la souveraineté juridique du prestataire.

SecNumCloud est un référentiel spécifique aux services cloud, conçu par l’ANSSI, beaucoup plus prescriptif sur la souveraineté. Il exige la localisation des données en France, la maîtrise opérationnelle par des entités de droit européen et l’immunité explicite aux lois extraterritoriales. Un prestataire SecNumCloud peut être certifié ISO 27001, mais l’inverse n’est pas vrai.

Pour une collectivité qui cherche à protéger des données d’élèves mineurs des législations étrangères, la certification ISO 27001 seule ne suffit pas. SecNumCloud est le seul label qui garantit cette protection de façon documentée et auditée annuellement.

SecNumCloud est-il obligatoire pour les collectivités ?

La réponse courte : pas encore pour toutes, mais la trajectoire est claire.

Ce qui est obligatoire aujourd’hui. Le décret n° 2026-272 du 14 avril 2026, pris en application de l’article 31 de la loi SREN, rend obligatoire le recours à des prestataires qualifiés SecNumCloud pour les administrations d’État, leurs opérateurs et six groupements d’intérêt public (GIP) désignés lorsqu’ils hébergent des données sensibles au sens du décret. Les collectivités territoriales ne sont pas concernées par ce périmètre à ce stade.

Ce qui arrive. La proposition de loi relative à la sécurisation des marchés publics numériques, telle que revue en commission parlementaire, prévoit d’étendre cette obligation aux collectivités de plus de 30 000 habitants. Le texte est en cours d’examen. S’il est adopté, les DSI des départements, des régions et des grandes agglomérations entreront dans le périmètre de l’obligation SecNumCloud pour leurs données sensibles.

Ce qui est stratégiquement pertinent maintenant. Même sans obligation formelle, intégrer SecNumCloud dans les critères de vos marchés publics d’équipement numérique scolaire présente trois avantages concrets : protéger les données des élèves des législations extraterritoriales dès aujourd’hui, éviter une migration coûteuse dans 18 à 24 mois si l’obligation est étendue aux collectivités, et renforcer la position de la collectivité en cas de contrôle de la CNIL ou d’audit NIS2.

Quels prestataires sont qualifiés SecNumCloud en juillet 2026 ?

En juillet 2026, une dizaine d’offres cloud sont qualifiées SecNumCloud par l’ANSSI. La liste officielle et à jour est disponible sur le site de l’ANSSI. Parmi les acteurs qualifiés ou en cours de qualification figurent OVHcloud, Outscale (Dassault Systèmes), Scaleway, NumSpot et ITS Integra, tous des acteurs de droit européen sans détention majoritaire par un groupe américain.

Un cas particulier mérite d’être mentionné : Bleu, la coentreprise entre Capgemini et Orange qui opère une infrastructure basée sur les technologies Microsoft Azure, a validé son premier jalon de qualification en avril 2025. Sa disponibilité commerciale est prévue au second semestre 2026. Ce projet illustre une tendance : des acteurs cherchent à rendre accessibles des technologies américaines dans un cadre SecNumCloud, en les opérant via des entités de droit français totalement isolées de l’infrastructure globale de Microsoft.

Une douzaine de candidats supplémentaires sont en cours de qualification à différents stades. La liste s’allonge, ce qui signifie que le marché SecNumCloud gagne en profondeur et que les options pour les collectivités se multiplient progressivement.

Par ailleurs, le schéma européen EUCS (European Cybersecurity Certification Scheme for Cloud Services), qui devait harmoniser ces exigences à l’échelle de l’Union européenne, reste bloqué en négociation. SecNumCloud demeure donc la seule référence opérationnelle en France pour la souveraineté cloud en 2026.

Ce que SecNumCloud garantit concrètement sur les données scolaires

Pour une collectivité qui gère un parc d’équipements scolaires, choisir un prestataire qualifié SecNumCloud produit des effets très concrets sur la protection des données des élèves.

Immunité au Cloud Act. Les données hébergées chez un prestataire SecNumCloud ne peuvent pas faire l’objet d’une demande d’accès des autorités américaines via le Cloud Act. C’est la garantie que les données des élèves mineurs restent hors de portée des juridictions étrangères. Pour comprendre en détail cette exposition, voir notre article sur les obligations Cloud Act, RGPD et CNIL des collectivités.

Conformité RGPD renforcée. SecNumCloud répond aux exigences de l’article 32 du RGPD sur la sécurité des traitements, et sa localisation en France écarte les problèmes liés aux transferts de données hors UE identifiés par l’arrêt Schrems II de la Cour de justice de l’Union européenne en 2020.

Défendabilité en cas de contrôle. En cas de contrôle CNIL ou d’audit NIS2, pouvoir produire le contrat avec un prestataire qualifié SecNumCloud est une preuve de diligence documentée. C’est la différence entre une posture de conformité subie et une posture choisie.

Attention cependant : SecNumCloud sécurise l’hébergement, mais n’exonère pas la collectivité de ses propres obligations RGPD. Le registre des traitements, les contrats de sous-traitance et la gestion des droits des personnes concernées restent à la charge de la collectivité, même avec un prestataire qualifié SecNumCloud.

Comment intégrer SecNumCloud dans un marché public d’équipement scolaire

C’est la question la plus pratique pour un DSI. Intégrer SecNumCloud dans un marché public ne signifie pas l’exiger comme condition absolue d’éligibilité, ce qui serait trop restrictif compte tenu du nombre encore limité de prestataires qualifiés. Cela signifie l’intégrer comme critère de scoring ou comme exigence minimale pour les données les plus sensibles.

Dans le cahier des charges, trois niveaux de formulation sont possibles selon le degré d’exigence souhaité. Exigence stricte : « Le prestataire doit être qualifié SecNumCloud ou démontrer une qualification en cours auprès de l’ANSSI. » Exigence pondérée : « La qualification SecNumCloud ou équivalente fera l’objet d’une note de 10 points sur 100 dans l’évaluation des offres. » Exigence fonctionnelle : « Le prestataire doit démontrer l’immunité de sa solution aux législations extraterritoriales, notamment le Cloud Act américain. »

Dans les critères d’évaluation, la qualification SecNumCloud peut être intégrée dans le critère « valeur technique » ou « sécurité des données » avec une pondération adaptée au niveau de sensibilité des données concernées. Pour des données d’élèves mineurs, une pondération de 10 à 15% sur ce critère est cohérente avec les enjeux.

Dans les clauses contractuelles, le décret SREN de 2026 a introduit la notion d’« offre acceptable ». Une offre est jugée acceptable si elle répond au besoin fonctionnel tout en tenant compte de son coût. Cela oblige à documenter votre analyse de marché et à justifier, le cas échéant, pourquoi une offre non qualifiée SecNumCloud a été retenue.

Conclusion

SecNumCloud n’est pas une contrainte bureaucratique de plus. C’est la réponse concrète à une question que tout DSI de collectivité devrait se poser : est-ce que mes données scolaires sont à l’abri des législations étrangères ?

Aujourd’hui, SecNumCloud n’est pas encore obligatoire pour les collectivités. Mais la trajectoire réglementaire est claire, le marché des prestataires qualifiés s’élargit, et les collectivités qui intègrent ce critère dans leurs marchés maintenant se donnent une longueur d’avance sur une obligation qui arrive.

SecNumCloud concerne l’hébergement des données ; pour le choix de l’outil de gestion du parc lui-même, voir notre guide MDM ou UEM souverain pour les collectivités.

Pour aller plus loin et rejoindre une communauté de DSI de collectivités qui partagent leurs retours d’expérience sur le numérique scolaire souverain, rejoignez le Club DSI UNOWHY.