Le référentiel SecNumCloud a changé de statut cet été, et ce n'est pas un ajustement mineur. L'arrêté du 12 août 2026, publié au Journal officiel et en vigueur depuis le 22, appuyé sur l'article 31 de la loi SREN et le décret du 14 avril 2026, fait passer la qualification ANSSI d'une simple recommandation à une obligation légale pour les données sensibles de l'État et de ses opérateurs. L'exigence gagne du terrain : santé, finance, industrie. Dans la foulée, le 1er septembre, OVHcloud a annoncé la qualification de SNC Cloud Platform, son cloud public à l'usage, et Numspot celle de son IaaS le même jour.
Un cloud public qui entre enfin dans le périmètre qualifié
Le signal de marché mérite d'être lu correctement. Jusqu'ici, le cloud qualifié SecNumCloud, c'était surtout des environnements dédiés, des serveurs nus, du cloud privé. Voir une offre de cloud public en libre-service, facturée à la consommation et pilotée par API, décrocher la qualification, ça répond à une demande précise. Les administrations et les secteurs régulés veulent retrouver l'expérience du cloud public qu'ils connaissent ailleurs, sans renoncer à la conformité qu'on leur impose désormais. La bascule réglementaire de l'été a transformé une envie en contrainte.
Le piège du périmètre
C'est là que tout se joue. La qualification est délivrée par l'ANSSI à un service précis, après audit de sa sécurité, de sa gouvernance et de son immunité aux droits extra-européens. Un fournisseur n'est jamais qualifié SecNumCloud dans son ensemble. Jamais. Une ligne intitulée cloud public, stockage objet ou sauvegarde managée ne peut pas être assimilée à l'offre qualifiée sans un document reliant explicitement ce produit au périmètre validé. Détail qui compte : à la date des annonces, certaines pages de suivi de l'ANSSI plaçaient encore l'offre concernée en cours de qualification, la décision étant publiée après l'annonce du prestataire, avec le délai habituel de l'agence.
Ce que la DSI doit vérifier avant d'engager des données
La conséquence est concrète pour toute organisation soumise à ces obligations. Présenter son propre environnement comme qualifié sur la seule foi d'un communiqué de presse, c'est s'exposer à un écart de conformité le jour d'un contrôle. La bonne pratique tient en trois gestes. Réclamer le certificat. Contrôler le service exact, la région et la version couverts. Vérifier que le contrat reflète bien le périmètre annoncé. Le nom du fournisseur ne prouve rien. Seule la preuve du périmètre exact du service consommé fait foi.
