Données sensibles de l’État : ce que le décret 2026-272 exige d’un éditeur SaaS

Sources vérifiées le 31 octobre 2026. Prochaine revue à la mise à jour de la doctrine cloud de l’État. Temps de lecture : 9 minutes.

SouverainetéMémoire

Sommaire

1. Quelles données sont visées ?
2. Que doit prouver le service ?
3. Qui doit être qualifié : l’éditeur ou son hébergeur ?
4. Et les projets déjà engagés ?
5. Combien d’offres sont qualifiées ?
6. Comment on en est arrivé là
7. Notre lecture
8. Ce que nous ne savons pas encore
9. Questions fréquentes
10. Ce qui a changé depuis la publication
11. Sources

Prenons un éditeur SaaS de 150 salariés, construit pour l’exemple. Il vend un logiciel de gestion de dossiers à un ministère et à deux de ses opérateurs ; son application tourne dans la région européenne d’un grand fournisseur de cloud. Le ministère lui demande s’il est « SecNumCloud ». Avant de répondre, il faut savoir si les données qu’il traite entrent dans le champ du décret.

Quelles données sont visées ?

Celles qui remplissent deux conditions à la fois (article 31, I et II). Elles relèvent d’abord d’une de ces catégories : les secrets protégés par la loi, notamment au titre des articles L. 311-5 et L. 311-6 du code des relations entre le public et l’administration (le second vise entre autres la vie privée, le secret médical et le secret des affaires), ou les données nécessaires aux missions essentielles de l’État, notamment la sécurité nationale, l’ordre public, la santé et la vie des personnes. Leur violation doit ensuite être susceptible de porter atteinte à l’ordre public, à la sécurité publique, à la santé ou à la vie des personnes, ou à la protection de la propriété intellectuelle. Les données peuvent être personnelles ou non.

Les acheteurs visés sont les administrations de l’État, leurs opérateurs (liste annexée au projet de loi de finances), six groupements d’intérêt public listés à l’article 1er du décret, dont l’Agence du numérique en santé, et le groupement prévu à l’article L. 1462-1 du code de la santé publique. Les collectivités territoriales n’y figurent pas.

La loi demande à ces acheteurs de « veiller » à la conformité du service. Elle ne dit pas qui apprécie la sensibilité des données. Notre lecture. L’obligation pesant sur l’acheteur, c’est à lui de trancher ; l’éditeur doit lui poser la question et garder la réponse par écrit.

Que doit prouver le service ?

Sa conformité à un référentiel élaboré par l’ANSSI et approuvé par arrêté (article 2 du décret). Ce référentiel couvre dix domaines, dont l’organisation de la sécurité et la chaîne de sous-traitance, les ressources humaines, la gestion des incidents et la continuité, l’usage du français, la convention de service (réversibilité, droit applicable), la localisation de l’hébergement et le contrôle du prestataire, y compris la détention de son capital, et la protection des données contre tout accès par des autorités publiques d’un État tiers non autorisé par le droit de l’Union européenne ou les engagements internationaux de la France.

L’arrêté du 12 août 2026 approuve ce référentiel ; sa notice précise qu’il s’agit de la version 3.2 de SecNumCloud. Le décret ne prononce pas ce nom.

Le décret admet deux preuves : une qualification délivrée dans les conditions prévues par le décret n° 2015-350, ou une certification européenne d’un niveau au moins équivalent. L’arrêté précise que cette équivalence doit être reconnue par l’ANSSI. Nous n’avons trouvé aucune certification européenne reconnue à ce titre au 31 octobre 2026.

Le décret ne fixe aucun seuil de capital ; le référentiel traite la question dans un chapitre dédié. La FAQ de l’ANSSI le résume ainsi : les entités tierces localisées hors de l’Union « restent minoritaires ».

Qui doit être qualifié : l’éditeur ou son hébergeur ?

L’offre de l’éditeur. Le décret apprécie la conformité au niveau du service fourni à l’administration, et la FAQ de l’ANSSI est explicite : « Une offre hébergée sur une offre SecNumCloud n’est pas automatiquement qualifiée SecNumCloud elle-même. » L’ANSSI admet une qualification « par composition », qui s’appuie sur une offre d’infrastructure déjà qualifiée, mais elle ne dispense pas l’éditeur d’entrer lui-même dans le processus. Il doit aussi intégrer le risque que son socle perde sa qualification.

L’ANSSI rappelle que la qualification d’une offre « ne préjuge pas du niveau de sécurité » des services d’un client hébergés dessus. Devant une commission d’enquête de l’Assemblée nationale, le 14 avril 2026, la DINUM a insisté sur « la nécessité de savoir quel acteur derrière l’éditeur de logiciel » hébergera les données (compte rendu).

Notre lecture. Le référentiel couvre la chaîne de sous-traitance, la localisation de l’hébergement, le contrôle du prestataire et l’accès d’autorités d’États tiers. La voie que décrit l’ANSSI pour un SaaS, la composition, part d’un socle déjà qualifié. Selon nous, un SaaS hébergé chez un fournisseur non qualifié aurait peu de chances d’être qualifié en l’état.

Et les projets déjà engagés ?

Une dérogation est possible pour un projet engagé avant le 16 avril 2026 avec un prestataire non conforme (article 3 du décret). L’administration sollicite le ministre dont relève le projet. Celui-ci transmet la demande à la DINUM, qui l’instruit en deux mois et rend un avis au Premier ministre (arrêté du 14 avril 2026). Le ministre décide dans un délai de deux mois, après validation du Premier ministre.

La dérogation dure au plus dix-huit mois à compter de la date où une offre acceptable est disponible en France ; s’il n’en existe pas, un an renouvelable. Une offre est acceptable si elle est conforme et répond au besoin fonctionnel de l’administration, coût compris. La décision motivée est publiée sur un site du Premier ministre ; nous n’en avons pas trouvé à ce jour.

La loi vise les projets déjà engagés « à la date d’entrée en vigueur du présent article », soit le 23 mai 2024 selon Légifrance. Le décret retient ceux engagés « avant la date de publication » du décret, le 16 avril 2026.

Combien d’offres sont qualifiées ?

Nous n’avons pas pu établir le chiffre exact. Le 14 avril 2026, la DINUM parlait de sept « acteurs » qualifiés, pour davantage d’offres, un acteur pouvant être qualifié pour plusieurs offres. La liste officielle figure dans le catalogue de l’ANSSI, mis à jour au moins une fois par mois. À part, la page de l’ANSSI sur les qualifications en cours affiche quinze offres chez quatorze prestataires, dont une seule en SaaS ; elle ne recense que les projets rendus publics.

La FAQ de l’ANSSI ne donne pas de durée type pour une qualification. Elle décrit l’entrée : prise de contact, dossier, puis un courrier de l’ANSSI annonçant « le jalon J0 ». Ce jalon marque l’entrée officielle dans le processus : le prestataire peut alors en parler publiquement et figurer, s’il le souhaite, parmi les prestataires en cours de qualification. Une fois obtenue, la qualification vaut trois ans, avec des audits annuels de surveillance.

Comment on en est arrivé là

Mémoire

L’exigence existait d’abord comme règle interne à l’État. La circulaire du Premier ministre du 5 juillet 2021, dite « cloud au centre », demandait la qualification SecNumCloud ou une qualification européenne équivalente pour les données sensibles ; elle a été actualisée par la circulaire du 31 mai 2023 (doctrine présentée par la DINUM). La loi du 21 mai 2024 lui a donné une base légale et renvoyé les modalités à un décret attendu sous six mois. Il est paru en avril 2026.

Notre lecture

Le décret ne nomme pas SecNumCloud ; l’arrêté du 12 août 2026 le fait, dans sa notice. La seule alternative à la qualification de l’ANSSI est une certification européenne que l’ANSSI reconnaît équivalente (article 2 de l’arrêté), et nous n’en avons trouvé aucune.

Pour un éditeur, la première question est juridique : client par client, ses données entrent-elles dans le champ ? Pour l’éditeur de notre exemple, si la réponse est oui, il ne peut pas répondre « SecNumCloud » au ministère tant que sa propre offre n’est pas qualifiée.

Ce que nous ne savons pas encore

• Le nombre exact d’offres qualifiées, et d’offres SaaS : nous n’avons pas pu lire la section du catalogue de l’ANSSI qui les liste.
• Ce que dit le vade-mecum de la DINUM sur la sensibilité des données (février 2026), qui traite selon elle de l’hébergeur derrière l’éditeur : nous n’avons pas pu le lire.
• La façon dont l’État traitera un SaaS hébergé chez un fournisseur non qualifié, que les textes que nous avons lus ne tranchent pas expressément.
• Le contenu de la mise à jour de la doctrine cloud annoncée par la DINUM pour l’adapter au décret.
• Le texte officiel de la circulaire du 5 février 2026 sur la commande publique numérique, que nous n’avons pas trouvé publié.

Questions fréquentes

Les collectivités territoriales sont-elles concernées ?

Pas par l’article 31 de la loi SREN : il vise les administrations de l’État, leurs opérateurs et certains groupements d’intérêt public.

Un hébergement en France suffit-il ?

Non. La localisation n’est qu’un des dix domaines du référentiel. S’y ajoutent notamment le contrôle du prestataire, y compris son capital, et la protection contre l’accès d’autorités d’États tiers (article 2 du décret).

Combien de temps dure une qualification ?

La FAQ de l’ANSSI ne donne pas de durée de processus. Une fois obtenue, la qualification vaut trois ans, avec des audits annuels de surveillance.

Ce qui a changé depuis la publication

31 octobre 2026 : publication.