SecNumCloud 4.0 impose la souveraineté opérationnelle à tous les clouds hébergeant des données sensibles — le référentiel change tout en septembre 2026

1er septembre 2026, SecNumCloud 4.0, trois piliers : l’ANSSI publie la version définitive du référentiel qui redéfinit la qualification cloud en France. La version 3.2 suffisait à cocher une case dans un appel d’offres public. La version 4.0 transforme la qualification SecNumCloud en standard de souveraineté numérique exigible pour tout hébergement de données sensibles — publiques comme privées.

Ce qui change n’est pas une mise à jour incrémentale. C’est un changement de paradigme : le cloud de confiance ne se limite plus à la sécurité technique. Il impose désormais une indépendance structurelle vis-à-vis des législations extraterritoriales.

Ce que SecNumCloud 4.0 exige concrètement

Le référentiel est structuré en trois axes de contrôle qui vont bien au-delà de l’audit de sécurité classique :

1. Protection contre le droit extraterritorial

Le fournisseur cloud doit démontrer qu’aucune loi étrangère — y compris le Cloud Act américain (2018) ou le FISA 702 — ne peut contraindre la divulgation de données hébergées. Concrètement :

• La maison mère et l’ensemble des sociétés contrôlantes doivent être de droit européen.
• Les clés de chiffrement doivent être détenues et gérées exclusivement par une entité européenne, sans aucun accès technique possible depuis une filiale extra-européenne.
• Le contrat de service doit inclure une clause de résistance aux injonctions extraterritoriales opposable en justice.

Ce premier pilier exclut de facto toute offre cloud opérée par une filiale européenne d’un hyperscaler américain, quelle que soit la localisation des datacenters. AWS Europe (Luxembourg) ou Google Cloud France ne peuvent pas se qualifier SecNumCloud 4.0 en l’état.

2. Indépendance capitalistique et gouvernance autonome

Le fournisseur doit prouver qu’aucun actionnaire extra-européen ne peut imposer une décision stratégique contraire aux exigences de souveraineté. Cela inclut :

• Une structure de gouvernance avec un comité de surveillance indépendant, majoritairement composé de résidents européens.
• L’absence de golden share ou de droit de veto détenu par une entité extra-européenne.
• Un plan de continuité capitalistique décrivant la procédure en cas de changement de contrôle.

3. Transparence de la chaîne d’approvisionnement logicielle (SBOM)

Tout logiciel déployé dans l’infrastructure qualifiée doit être documenté par un SBOM (Software Bill of Materials) au format SPDX 3.0 ou CycloneDX 1.6. Le SBOM doit inclure :

• Toutes les dépendances, directes et transitives, avec leur version et leur origine.
• Les CVE connues affectant chaque composant, avec le statut de correction.
• La provenance de build (attestation SLSA niveau 2 minimum).

L’ANSSI s’aligne ici sur le Cyber Resilience Act européen et sur l’Executive Order 14028 américain — les trois textes convergent vers l’obligation de SBOM d’ici 2027.

Les acteurs en lice

Le marché français des clouds qualifiés SecNumCloud 3.2 compte aujourd’hui une petite dizaine d’acteurs : Outscale (Dassault Systèmes), Cloud Temple, OVHcloud, Scaleway, Numergy, 3DS Outscale, Bleu (Capgemini/Orange en partenariat avec Microsoft). Tous devront repasser la qualification sous le nouveau référentiel.

Le cas Bleu est emblématique. Cette coentreprise entre Capgemini, Orange et Microsoft ambitionne de fournir un cloud Azure techniquement identique à l’offre américaine, mais opéré en France par des entités françaises. SecNumCloud 4.0 va tester la solidité du modèle : Bleu pourra-t-il démontrer l’absence totale d’accès technique de Microsoft Corp. aux données hébergées, tout en maintenant la compatibilité avec l’écosystème Azure ?

OVHcloud, de son côté, a annoncé en juin 2026 avoir déposé son dossier de qualification 4.0 pour son offre Hosted Private Cloud. Avec une structure 100 % européenne, OVHcloud part avec un avantage structurel sur l’axe « extraterritorialité » — mais devra démontrer la maturité de sa chaîne SBOM sur l’ensemble de son infrastructure.

En face, Amazon Web Services a officialisé en mars 2026 le lancement de l’AWS European Sovereign Cloud, un cloud physiquement et logiquement séparé de ses régions commerciales globales, opéré par du personnel basé en Europe et soumis à une entité juridique allemande. AWS n’a pas annoncé de demande de qualification SecNumCloud 4.0 — mais la structure créée coche plusieurs cases du nouveau référentiel.

Le calendrier qui contraint les DSI

Le calendrier réglementaire donne le tempo :

• Septembre 2026 : entrée en vigueur de SecNumCloud 4.0 pour les nouvelles demandes de qualification.
• Septembre 2027 : fin de validité des qualifications 3.2 existantes. Tous les fournisseurs devront avoir migré vers la version 4.0.
• 2027 : entrée en application progressive du Cyber Resilience Act, qui impose le SBOM à tous les produits logiciels commercialisés dans l’UE.
• Octobre 2027 : échéance de transposition de la directive NIS3 en droit français, qui étend les obligations de sécurité aux services cloud.

Pour un DSI qui gère des données de santé, des données de défense ou des informations couvertes par le secret des affaires, le message est clair : si votre contrat cloud actuel arrive à échéance en 2027, vous devez intégrer SecNumCloud 4.0 dans votre appel d’offres dès maintenant.

Verdict : ce qui change pour vous

La qualification SecNumCloud 4.0 n’est pas un débat franco-français. Dans un contexte où le Data Act, le Cyber Resilience Act et NIS3 redessinent simultanément le paysage réglementaire européen, elle devient un cas d’école de ce que la souveraineté numérique peut imposer à une chaîne d’approvisionnement cloud.

• Si vous hébergez des données de santé, de défense ou de recherche critique : exigez SecNumCloud 4.0 dans vos prochains appels d’offres. La conformité 3.2 sera caduque dans 13 mois.
• Si vous utilisez un hyperscaler américain pour des données sensibles : évaluez l’AWS European Sovereign Cloud et l’offre Bleu comme alternatives transitoires. Mais ne signez pas d’engagement triennal sans clause de sortie SecNumCloud.
• Si vous développez un logiciel destiné au marché européen : commencez à produire vos SBOM au format CycloneDX dès maintenant. C’est un prérequis pour entrer dans la chaîne d’approvisionnement des clouds qualifiés, et ce sera obligatoire pour tous les logiciels commercialisés dans l’UE dès 2027.

Le 1er septembre 2026, le cloud de confiance cesse d’être une promesse marketing. Il devient un standard auditable, opposable, et mesurable.

---

Références

• ANSSI, « SecNumCloud — Référentiel d’exigences V4.0 », publication prévue septembre 2026
• ANSSI, « SecNumCloud V3.2 », janvier 2024 — https://cyber.gouv.fr/
• Parlement européen, « Cyber Resilience Act — Règlement (UE) 2024/2847 », décembre 2024
• AWS, « Annonce de l’AWS European Sovereign Cloud », mars 2026
• OVHcloud, « Point d’étape qualification SecNumCloud 4.0 », communiqué de presse, juin 2026