Le 6 mai 2026, la Direction des affaires juridiques de Bercy a publié une fiche technique sur la mise en oeuvre de l’article 31 de la loi SREN et du décret du 14 avril 2026. Le sujet paraît technique. Il est pourtant très concret pour les entreprises qui vendent, intègrent ou sous-traitent des services cloud auprès de l’Etat, d’un opérateur public ou d’un groupement d’intérêt public.

La requête « SecNumCloud » est fortement recherchée. Elle traduit une inquiétude simple : faut-il une qualification SecNumCloud pour répondre à un marché public, héberger une application, traiter des données sensibles ou conserver un client public ?

La réponse n’est pas toujours oui. Mais lorsque le projet entre dans le champ de la loi SREN, le contrat cloud doit être audité avant signature. Le risque ne porte pas seulement sur la cybersécurité. Il porte aussi sur la recevabilité de l’offre, la conformité contractuelle, les clauses de réversibilité, l’accès potentiel par des autorités étrangères et la capacité du prestataire à documenter sa chaîne de sous-traitance.

Cet article vise les dirigeants de prestataires cloud, ESN, éditeurs SaaS, intégrateurs et entreprises qui traitent des données sensibles pour un acheteur public.

Ce que change l’actualité du 6 mai 2026

La DAJ a publié une fiche technique consacrée à l’application de l’article 31 de la loi du 21 mai 2024 visant à sécuriser et réguler l’espace numérique. Cette fiche accompagne le décret n° 2026-272 du 14 avril 2026 et des clauses-types destinées aux achats numériques sensibles.

Le texte cible les services d’informatique en nuage fournis par des prestataires privés lorsque des administrations de l’Etat, certains opérateurs ou certains groupements utilisent ces services pour traiter des données d’une sensibilité particulière.

Le point central est le suivant : lorsque le système ou l’application traite ces données sensibles, le service cloud doit présenter des garanties de sécurité et de protection contre les accès non autorisés par des autorités publiques d’Etats tiers. En pratique, la qualification SecNumCloud de l’ANSSI devient la référence de conformité lorsque le marché entre dans ce périmètre.

Source officielle : la fiche DAJ du 6 mai 2026 sur la mise en oeuvre de l’article 31 de la loi SREN.

Qui est concerné par l’obligation SecNumCloud ?

Le premier réflexe consiste à identifier l’acheteur et la donnée.

L’article 31 de la loi SREN vise les administrations de l’Etat, les opérateurs de l’Etat listés dans les documents budgétaires, ainsi que certains groupements d’intérêt public comprenant ces administrations ou opérateurs. Il vise aussi le groupement mentionné à l’article L. 1462-1 du code de la santé publique.

Le second critère est la nature du traitement. Le texte s’applique lorsque le cloud sert à mettre en oeuvre un système ou une application informatique traitant des données d’une sensibilité particulière. Ces données peuvent être personnelles ou non personnelles.

La loi vise notamment :

• les données relevant de secrets protégés par la loi ;
• les données nécessaires à des missions essentielles de l’Etat ;
• les données dont la violation peut porter atteinte à l’ordre public, à la sécurité publique, à la santé, à la vie des personnes ou à la propriété intellectuelle.

Le texte officiel est consultable sur Legifrance : article 31 de la loi n° 2024-449 du 21 mai 2024.

La question à poser avant de répondre à un appel d’offres

Avant de promettre une conformité SecNumCloud, l’entreprise doit poser une question simple : le besoin du client public porte-t-il sur des données d’une sensibilité particulière au sens de la loi SREN ?

Si la réponse est non, SecNumCloud peut rester un avantage commercial ou une exigence contractuelle spécifique, mais l’article 31 n’impose pas nécessairement ce niveau de qualification.

Si la réponse est oui, il faut vérifier trois éléments.

Premier élément : l’offre cloud proposée est-elle elle-même qualifiée ou adossée à une offre qualifiée au sens du référentiel SecNumCloud ? Une simple certification ISO 27001, HDS ou un engagement RGPD ne suffit pas à répondre au même risque juridique.

Deuxième élément : les clauses contractuelles garantissent-elles la protection contre les accès non autorisés par des autorités publiques d’Etats tiers ? C’est souvent ici que les contrats standard des grands fournisseurs deviennent insuffisants.

Troisième élément : le contrat prévoit-il une réversibilité réelle ? Pour un acheteur public, la souveraineté n’a pas beaucoup de valeur si les données, les journaux, les sauvegardes, les clefs, la documentation technique et les dépendances logicielles ne peuvent pas être récupérés dans des conditions praticables.

Prestataire cloud, ESN ou SaaS : les clauses à vérifier

Le sujet n’est pas réservé aux hébergeurs. Un éditeur SaaS, une ESN ou un intégrateur peut être exposé s’il revend, agrège ou exploite une infrastructure cloud pour un client public.

Le contrat doit donc être relu sur plusieurs points.

Il faut d’abord cartographier les données. Le contrat doit identifier les catégories de données traitées, leurs lieux d’hébergement, les traitements réalisés, les accès d’administration, les sauvegardes et les éventuels transferts.

Il faut ensuite vérifier la chaîne de sous-traitance. Beaucoup de prestataires vendent une solution « souveraine » alors que certaines briques critiques restent opérées par des fournisseurs tiers, parfois soumis à des droits extraterritoriaux. Ce point peut fragiliser l’offre.

Il faut aussi contrôler les clauses d’audit. Un acheteur public doit pouvoir vérifier que le prestataire respecte les exigences annoncées. Une clause d’audit trop théorique, limitée aux seules attestations commerciales, peut ne pas suffire.

Il faut enfin prévoir les incidents. Le contrat doit traiter la notification, la coopération, la conservation des preuves, la limitation des accès d’urgence et les conséquences d’une perte de qualification ou d’un changement de sous-traitant.

Pour un accompagnement plus large sur les contrats commerciaux et numériques, voir la page du cabinet consacrée au droit des affaires.

Peut-on obtenir une dérogation temporaire ?

La loi SREN prévoit une logique de dérogation pour certains projets déjà engagés. Le décret du 14 avril 2026 précise ce régime.

La dérogation ne doit pas être traitée comme une facilité commerciale. Elle doit être motivée, encadrée, rendue publique selon les conditions prévues et validée au niveau requis. Elle ne permet pas de neutraliser durablement les exigences de souveraineté et de sécurité.

En pratique, une entreprise qui compte sur une dérogation doit conserver un dossier précis :

• état du projet avant l’entrée en vigueur du nouveau cadre ;
• absence ou insuffisance d’offre adéquate disponible ;
• mesures compensatoires de sécurité ;
• calendrier de sortie ;
• plan de migration vers une offre conforme lorsque celle-ci devient disponible.

Le décret peut être consulté sur Legifrance : décret n° 2026-272 du 14 avril 2026.

Les erreurs fréquentes dans les contrats cloud sensibles

La première erreur consiste à confondre cloud souverain et marketing souverain. Un hébergement en France ne suffit pas si l’administration, le support, la maison mère ou les sous-traitants peuvent créer un risque d’accès étranger non autorisé.

La deuxième erreur consiste à répondre à un marché public avec une promesse générale de conformité, sans annexer les éléments techniques et juridiques qui la prouvent. En cas de contestation, l’acheteur et le prestataire doivent pouvoir démontrer ce qui a été vérifié.

La troisième erreur consiste à oublier les données non personnelles. La loi SREN ne se limite pas au RGPD. Des données industrielles, stratégiques, opérationnelles ou couvertes par un secret protégé peuvent entrer dans le champ si leur violation crée le risque visé par le texte.

La quatrième erreur consiste à sous-estimer les clauses de sortie. Un contrat conforme au premier jour peut devenir dangereux si la migration est impossible, trop lente ou trop coûteuse.

La cinquième erreur consiste à ne pas prévoir la perte de qualification. Si l’offre cloud change de statut, si un sous-traitant critique change ou si le référentiel évolue, le contrat doit prévoir qui supporte le coût, le délai et la responsabilité de la mise en conformité.

Que faire si le contrat est déjà signé ?

Si le contrat cloud est déjà en cours, il faut éviter deux réflexes opposés : l’attentisme et la résiliation brutale.

La bonne méthode consiste à ouvrir un audit contractuel ciblé.

Il faut relire le périmètre du marché, qualifier les données, identifier les systèmes concernés, lister les sous-traitants, vérifier les clauses d’accès aux données, contrôler la réversibilité et demander les preuves de qualification ou de conformité. Si le contrat est insuffisant, un avenant peut parfois corriger les points faibles.

Si l’écart est plus profond, il faut préparer une trajectoire de mise en conformité. Cela peut inclure une migration, une séparation des traitements sensibles et non sensibles, un chiffrement renforcé, une modification de l’administration technique ou un changement de prestataire.

L’important est de documenter chaque étape. En cas de contrôle, de difficulté d’exécution ou de litige, l’entreprise devra montrer qu’elle n’a pas traité le sujet comme un simple argument commercial.

Paris et Île-de-France : un enjeu direct pour les prestataires numériques

Paris et l’Île-de-France concentrent de nombreux prestataires SaaS, ESN, cabinets de conseil, éditeurs et acheteurs publics. Dans ce contexte, la qualification SecNumCloud peut devenir un critère décisif dans les appels d’offres sensibles, même lorsque le contrat ne porte pas uniquement sur l’hébergement.

Pour une entreprise francilienne, le sujet doit être anticipé avant la réponse à l’appel d’offres. Il faut éviter de découvrir au stade de la négociation que l’infrastructure, les sauvegardes, l’administration ou le support ne répondent pas au niveau attendu.

Un audit rapide peut suffire à distinguer trois situations : contrat hors champ SREN, contrat dans le champ mais régularisable par clauses et preuves, contrat nécessitant une stratégie de migration ou de partenariat avec un prestataire qualifié.

Comment sécuriser la décision en pratique

Avant signature, l’entreprise doit produire une note courte. Cette note doit répondre à cinq questions.

Le client est-il une administration, un opérateur ou un groupement concerné ? Les données sont-elles d’une sensibilité particulière ? L’offre cloud est-elle qualifiée ou équivalente selon le cadre applicable ? Les clauses couvrent-elles les accès étrangers, la sous-traitance, l’audit, les incidents et la réversibilité ? Existe-t-il une dérogation ou une trajectoire de conformité documentée ?

Cette note n’a pas besoin d’être longue. Elle doit être exploitable par le dirigeant, le responsable commercial, le DSI et le juriste. Elle permet surtout d’éviter une réponse commerciale intenable ou un contrat difficile à exécuter.

Besoin d’un avis rapide sur votre dossier.

Le cabinet peut relire un contrat cloud, un appel d’offres ou une clause SecNumCloud afin d’identifier les risques avant signature.

Consultation téléphonique en 48 heures avec un avocat du cabinet, notamment pour les entreprises situées à Paris et en Île-de-France.

Appelez le 06 46 60 58 22 ou utilisez le formulaire de contact du cabinet.