Le 1er septembre 2026, OVHcloud a annoncé que son offre SNC Cloud Platform avait obtenu la qualification SecNumCloud délivrée par l’Agence nationale de la sécurité des systèmes d’information. Lors du contrôle effectué pour cette analyse, la page ANSSI consacrée aux projets en cours de qualification mentionnait encore OVH SAS et le service « SNC Cloud Platform (IaaS, PaaS) ». Cette différence de mise à jour ne permet ni d’écarter l’annonce, ni de traiter un communiqué comme le certificat. Elle impose de vérifier le document de qualification, sa date, sa validité et son périmètre.

Une entreprise peut donc avoir commandé un cloud OVHcloud sans avoir commandé SNC Cloud Platform. Elle peut également combiner un service qualifié avec une sauvegarde, une supervision, un logiciel ou un support placé hors du périmètre évalué. La mention « SecNumCloud » ne remplace ni le bon de commande, ni l’attestation de qualification, ni l’architecture réellement déployée. Lorsque cette qualité a déterminé le choix du client, l’écart entre la promesse et le service fourni peut relever du devoir d’information, de l’obligation de délivrance, de la résolution du contrat et de la réparation du préjudice.

La bonne réaction consiste à identifier le service exact, figer les documents commerciaux et techniques, puis comparer chaque engagement au périmètre publié par l’ANSSI. Cette vérification doit précéder toute migration précipitée. Elle permet de demander une mise en conformité, une réduction du prix, une sortie organisée ou une indemnisation sur des faits mesurables.

I. Comment vérifier que le service cloud acheté est réellement qualifié SecNumCloud ?

A. La qualification vise un service précis, pas tout le catalogue du fournisseur

Le point de départ est la page officielle de suivi des projets SecNumCloud publiée par l’ANSSI. À la date de cette analyse, elle place OVH SAS et « SNC Cloud Platform (IaaS, PaaS) » dans la rubrique des prestations en cours de qualification. Le communiqué d’OVHcloud du 1er septembre 2026 présente pourtant cette offre comme sa troisième qualification, après Bare Metal Pod et VMware on OVHcloud. Le client doit donc réclamer le certificat et contrôler son périmètre avant de présenter son propre environnement comme qualifié.

Ces dénominations doivent être lues littéralement. Le nom du fournisseur, pris isolément, ne prouve rien sur une instance, un abonnement ou une ressource. Le client doit retrouver le nom qualifié dans le devis, le bon de commande, la console, les factures et la documentation d’architecture. Une ligne intitulée « Public Cloud », « Hosted Private Cloud », « stockage objet » ou « sauvegarde managée » ne peut pas être assimilée à SNC Cloud Platform sans document reliant ce produit au périmètre qualifié.

La région compte également. Un service peut être qualifié pour une infrastructure, une implantation et une organisation déterminées, tandis qu’un déploiement européen annoncé pour l’avenir relève d’un autre calendrier. Le communiqué prévoit une extension vers plusieurs régions européennes. Cette feuille de route ne suffit pas à établir que chacune bénéficie déjà du visa français. Une entreprise qui exige une localisation donnée doit obtenir l’identification de la région de production, de la région de secours et des lieux depuis lesquels l’administration du service est assurée.

Le même contrôle s’applique aux composants périphériques. L’application peut fonctionner sur une infrastructure qualifiée tout en envoyant ses journaux vers un outil extérieur, ses sauvegardes vers une autre zone ou ses demandes de support à un sous-traitant distinct. La qualification du socle ne transforme pas automatiquement ces services en prestations qualifiées. L’entreprise doit cartographier le calcul, le stockage, les clés, les sauvegardes, la supervision, le réseau, le support et les interfaces d’administration.

L’article 31 de la loi n° 2024-449 du 21 mai 2024 illustre cette exigence de périmètre. Il vise certains recours de l’État, de ses opérateurs et de groupements publics à un service d’informatique en nuage lorsque des données d’une sensibilité particulière sont traitées. Le texte demande alors des critères de sécurité et de protection contre certains accès d’autorités publiques d’États tiers. Il ne transforme pas toute offre commerciale présentée comme souveraine en service conforme à chaque besoin public ou privé.

Pour une entreprise privée qui n’entre pas directement dans ce champ, SecNumCloud peut néanmoins devenir une qualité contractuelle déterminante. Un donneur d’ordre peut l’imposer dans son appel d’offres. Un établissement de santé, une banque, un industriel ou un éditeur travaillant avec l’administration peut en faire une condition de son propre dispositif de conformité. Dans ce cas, la qualification n’est pas une formule publicitaire accessoire. Elle devient un élément du résultat attendu.

L’article 1103 du Code civil énonce que « les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits ». Le contrat doit donc indiquer si le prestataire promet un service qualifié, un service en cours de qualification, un hébergement répondant seulement à certaines exigences du référentiel ou une simple trajectoire de migration. Ces quatre engagements ne produisent pas les mêmes effets.

Lorsque le contrat reste vague, l’article 1166 du Code civil impose une prestation « de qualité conforme aux attentes légitimes des parties en considération de sa nature, des usages et du montant de la contrepartie ». Une présentation commerciale centrée sur SecNumCloud, un prix correspondant à une zone de confiance et des échanges qui font de la qualification une condition de décision peuvent donc éclairer l’attente légitime du client.

La vérification finale tient dans une matrice. Pour chaque ressource, elle rapproche le nom commercial, l’identifiant technique, la région, le niveau de service, la sauvegarde, le support, les sous-traitants et la mention figurant sur la liste ANSSI. Si une case reste sans preuve, l’entreprise ne doit pas conclure que son système entier est qualifié. Elle doit demander un document précis.

B. Les documents à conserver déterminent l’issue d’une contestation

Le dossier utile commence avant la signature. Il comprend l’appel d’offres, le cahier des charges, les réponses du fournisseur, les présentations commerciales, les courriels, le devis, le bon de commande, les conditions particulières et les annexes de sécurité. Il faut y ajouter la version des conditions générales acceptée, car une page web actuelle ne prouve pas le contenu contractuel applicable à une commande ancienne.

L’article 1112-1 du Code civil oblige la partie qui connaît une information déterminante pour le consentement de l’autre à la lui communiquer lorsque celle-ci l’ignore légitimement ou fait confiance à son cocontractant. Le texte ajoute : « Il incombe à celui qui prétend qu’une information lui était due de prouver que l’autre partie la lui devait, à charge pour cette autre partie de prouver qu’elle l’a fournie. » La question n’est donc pas seulement de savoir ce que le commercial a dit. Il faut établir pourquoi le statut SecNumCloud était décisif et ce que le fournisseur savait du besoin.

La cour d’appel de Bordeaux a rappelé ces règles dans un litige concernant Microsoft Azure et Power BI. Elle a indiqué que les informations déterminantes présentent « un lien direct et nécessaire avec le contenu du contrat ou la qualité des parties ». Elle a ensuite rouvert les débats, sans statuer sur la responsabilité, afin que les parties discutent le devoir de conseil et une éventuelle perte de chance d’éviter le dommage (CA Bordeaux, 5 mai 2026, n° 24/02155).

Dans un projet SecNumCloud, le client doit donc conserver les preuves de son besoin. Un courriel indiquant que l’offre est choisie pour répondre à un marché public, héberger des données sensibles ou satisfaire une politique interne aura davantage de portée qu’une référence générale à la souveraineté. Les questions posées avant commande sont tout aussi utiles : le service exact est-il qualifié, dans quelle région, avec quelles options, jusqu’à quelle date et selon quel certificat ?

Après la commande, il faut exporter la configuration. Les captures doivent faire apparaître l’URL, la date, le compte, le projet, la région et l’identifiant du service. Les factures, tickets de support, journaux de déploiement et rapports d’audit permettent de relier l’offre contractuelle à l’environnement utilisé. Une capture isolée d’une page marketing ne suffit pas si elle ne désigne pas la ressource litigieuse.

La charge de la preuve suit aussi l’article 1353 du Code civil : « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » Le client doit établir l’engagement invoqué et l’écart. Le prestataire doit pouvoir démontrer ce qu’il a livré, les informations communiquées et les éventuelles limites acceptées.

Un rapport amiable peut participer à cette preuve, mais il gagne à être corroboré. Dans un litige relatif à un site internet inutilisable, la cour d’appel de Versailles a retenu des audits techniques non contradictoires parce qu’ils avaient été soumis au débat et concordaient avec les courriels, une attestation et la documentation de l’éditeur. Elle a jugé que « le manquement fautif de la société Sapiens à son obligation de délivrance conforme est ainsi caractérisé » (CA Versailles, 5 mars 2025, n° 22/06503).

Cette décision montre aussi qu’un document intitulé « réception » n’établit pas nécessairement la conformité. La cour a relevé que « la signature par la société Atelier de famille du procès-verbal de réception le 5 décembre 2017 ne saurait exonérer la société Sapiens de sa responsabilité », car la procédure contractuelle de recette n’avait pas été respectée et des anomalies subsistaient. Pour un cloud, la mise en production, le paiement d’une facture ou l’absence de réserve immédiate ne remplacent donc pas la recette prévue au contrat.

Si la qualification a été présentée de façon inexacte, l’intention doit être distinguée de l’erreur. L’article 1137 du Code civil définit le dol comme l’obtention du consentement par des manœuvres ou des mensonges et vise aussi la dissimulation intentionnelle d’une information déterminante. Une page obsolète, une confusion interne ou une formulation imprécise ne caractérisent pas automatiquement un dol. Les dates de mise à jour, les échanges et la connaissance réelle du vendeur doivent être établis.

L’entreprise doit enfin archiver la source officielle. La liste ANSSI peut évoluer. Il faut conserver la page consultée, la date, l’intitulé du service, le certificat ou l’attestation disponible et les limites du périmètre. Cette archive permet de distinguer une qualification acquise après la commande, une offre encore en évaluation et un service déjà qualifié au moment du consentement.

II. Quels recours si la promesse SecNumCloud ne correspond pas au service fourni ?

A. Mise en conformité, réduction du prix ou résolution dépendent de la gravité de l’écart

La première démarche n’est pas une résiliation immédiate. Elle consiste à notifier l’écart avec une pièce pour chaque affirmation. La lettre identifie le service commandé, la mention SecNumCloud invoquée, l’environnement réellement livré, la source ANSSI et la conséquence opérationnelle. Elle demande au prestataire de confirmer son analyse et de proposer un calendrier de correction sans interrompre les données ou les applications.

L’article 1217 du Code civil offre plusieurs sanctions lorsque l’engagement n’a pas été exécuté ou l’a été imparfaitement : suspension, exécution forcée, réduction du prix, résolution et réparation. Ces mesures peuvent se cumuler lorsqu’elles sont compatibles. Le choix dépend de l’utilité restante du service et de la possibilité réelle de le rendre conforme.

Si le prestataire peut déplacer les ressources vers SNC Cloud Platform, reprendre les sauvegardes, adapter les outils de supervision et fournir les justificatifs attendus, l’exécution en nature peut préserver le projet. Le calendrier doit toutefois préciser les interruptions, les tests, les coûts et le maintien du niveau de sécurité pendant la migration. Une promesse de correction sans environnement cible ni date vérifiable ne suffit pas.

Une réduction du prix peut convenir lorsque le service reste exploitable mais ne possède pas la qualité payée pendant une période déterminée. Elle suppose de distinguer le prix de l’infrastructure, les options de conformité, l’accompagnement, la migration et les services périphériques. Le client doit éviter un pourcentage arbitraire. Il peut comparer les tarifs, le coût d’une mise en conformité ou la valeur d’une option facturée sans contrepartie.

La résolution devient pertinente lorsque la qualification constituait une condition du projet et que l’écart prive la prestation de son utilité. L’article 1224 du Code civil prévoit qu’elle résulte d’une clause résolutoire, d’une notification du créancier en cas d’inexécution suffisamment grave ou d’une décision de justice. La notification unilatérale exige une préparation prudente, car le prestataire pourra discuter la gravité du manquement.

Dans l’affaire Acta contre OGI, la solution SaaS de paie n’avait pas atteint les performances définies lors de la consultation. La cour a retenu que « la société OGI n’a donc pas satisfait à son obligation de résultat de délivrance d’un logiciel conforme » alors qu’elle connaissait l’environnement et les attentes de sa cliente. Elle a confirmé la résolution et la restitution de 109 995,94 euros, tout en refusant des surcoûts dont le lien de causalité n’était pas établi (CA Paris, 3 juin 2022, n° 20/09351).

Cette distinction est transposable. L’absence de qualification ne justifie une résolution totale que si elle touche l’obligation déterminante et rend le service inutile pour le projet contractuel. Si l’entreprise utilisait déjà l’environnement pour des données ordinaires et peut poursuivre une partie de son activité, une résiliation pour l’avenir, une réduction du prix ou une migration partielle peuvent mieux correspondre à l’exécution réelle.

L’article 1229 du Code civil règle les restitutions. Lorsque les prestations n’ont d’utilité que par l’exécution complète du contrat, les parties restituent ce qu’elles ont reçu. Lorsque l’utilité s’acquiert au fur et à mesure, aucune restitution n’est due pour les périodes correctement exécutées avant la dernière prestation sans contrepartie. Un contrat cloud à exécution successive appelle donc une chronologie précise.

La mise en demeure doit aussi protéger la continuité. Avant toute rupture, l’entreprise exporte ses données, vérifie les sauvegardes, teste leur restauration et recense les dépendances. Elle évite de suspendre un paiement sans analyser la clause contractuelle et le risque de coupure. Une contestation juridiquement fondée peut devenir économiquement désastreuse si la preuve disparaît avec le compte.

Le guide du cabinet sur la loi SREN et les contrats cloud sensibles complète cette analyse pour les vérifications avant signature. Les entreprises confrontées à une hausse de licence ou à un non-renouvellement peuvent également consulter notre analyse du dossier Broadcom–VMware. Le présent sujet reste différent : il porte sur l’identité du service qualifié et la preuve d’un écart après la commande.

B. L’indemnisation exige un dommage direct, prouvé et rattaché au manquement

L’article 1231-1 du Code civil prévoit des dommages-intérêts en raison de l’inexécution ou du retard, sauf force majeure. La facture d’un service concurrent ne suffit pourtant pas à établir tout le préjudice. L’entreprise doit prouver que la dépense découle de l’écart SecNumCloud et qu’elle n’aurait pas été exposée dans l’exécution normale du contrat.

Les postes peuvent comprendre l’audit du périmètre, la migration non prévue, le double hébergement pendant la bascule, la reconfiguration des applications, les tests, la restauration, la sécurisation temporaire et certains frais de réponse au donneur d’ordre. Une perte de marge, une perte de marché ou un dommage d’image exigent des éléments plus précis : contrat perdu, décision du client, calendrier, montant et lien avec la qualification annoncée.

La décision Acta rappelle ce filtre. La résolution a été admise, mais les dépenses de maintenance de l’ancien outil, les réunions internes et les ressources supplémentaires n’ont pas toutes été indemnisées, faute de lien de causalité suffisamment caractérisé. Une entreprise doit donc séparer le coût de la migration normale vers un nouveau cloud du surcoût provoqué par la promesse inexacte.

Dans l’affaire Claranet, un incident avait rendu des sauvegardes comptables inutilisables. La cour d’appel de Versailles a retenu que le prestataire « n’a pas été en mesure de restaurer une sauvegarde opérationnelle, ce qui a généré une indisponibilité durable du service ». Elle a toutefois appliqué la clause limitant l’indemnité à trois mois de facturation, car cette clause ne contredisait pas l’obligation essentielle de disponibilité fixée à 99,5 % (CA Versailles, 19 mai 2022, n° 20/05106).

Une clause limitative ne disparaît donc pas à chaque manquement. Elle doit être lue avec l’obligation essentielle, le plafond, les exclusions, la définition des dommages indirects et le régime applicable. Dans l’affaire Acta, la cour a au contraire écarté un plafonnement parce qu’il aurait vidé de sa substance l’obligation essentielle de livrer un progiciel performant. La différence tient au contrat, au résultat promis et à l’intensité de l’échec.

La Cour de cassation encadre aussi les clauses qui diminuent des protections impératives. Dans un litige concernant un fournisseur de communications électroniques, elle a jugé qu’une clause soumettant l’opérateur à une obligation générale de moyens contrevenait au régime légal de responsabilité de plein droit et devait être réputée non écrite (Cass. 1re civ., 13 mars 2024, n° 22-12.345). Cette décision ne transforme pas un hébergeur cloud en opérateur soumis au même texte. Elle rappelle qu’une qualification contractuelle ne peut neutraliser une règle impérative applicable au service concerné.

La preuve doit également résister à l’hypothèse adverse. Dans une affaire de migration de données, la cour d’appel de Lyon a rejeté les demandes du client après avoir relevé que le prestataire avait remis les copies demandées et que le nouveau prestataire avait commencé tardivement le transfert. Elle a constaté qu’« à aucun moment les appelantes ne démontrent que la société Admicom a refusé de répondre aux demandes relatives aux transferts de données » (CA Lyon, 22 mai 2025, n° 21/08139).

Cette solution invite à dater chaque demande. Le client conserve le ticket d’export, la réponse, le format fourni, les erreurs, les relances et les essais de restauration. Il documente le rôle de son intégrateur et du nouveau prestataire. Si la migration échoue pour une cause extérieure au service initial, le fournisseur pourra opposer cette rupture du lien causal.

Une expertise peut devenir nécessaire lorsque le litige porte sur l’identité technique du service, la région, les sous-traitants, la sauvegarde ou les journaux. Avant tout procès, une mesure d’instruction peut être envisagée pour préserver des preuves susceptibles de disparaître. La demande doit désigner les éléments recherchés et leur utilité. Elle ne doit pas servir à obtenir sans limite les secrets de sécurité du prestataire.

Le choix de la juridiction dépend du contrat, de la qualité des parties et de la clause attributive. Les échanges précontentieux doivent préserver les délais sans déclencher une coupure non maîtrisée. Pour une entreprise située à Paris ou en Île-de-France, l’analyse doit aussi identifier le tribunal compétent, la procédure adaptée et l’urgence réelle. Notre page consacrée au droit des affaires présente les missions du cabinet pour la négociation et le contentieux contractuels.

La stratégie la plus sûre suit un ordre simple. L’entreprise fige les preuves. Elle demande la confirmation écrite du périmètre. Elle mesure l’écart et ses conséquences. Elle propose une correction avec une date. Elle prépare ensuite une solution de sortie, sans confondre la pression juridique et la continuité technique. Ce dossier permettra de négocier un avenant, une migration, une réduction du prix ou une indemnité sur une base vérifiable.

Conclusion

L’annonce faite le 1er septembre 2026 autour de SNC Cloud Platform attire l’attention sur l’offre française de cloud de confiance. Elle ne dispense pas les clients de vérifier ce qu’ils ont réellement commandé. SecNumCloud s’attache à un service et à un périmètre établis par un document de qualification. Le nom du fournisseur, la mention « souverain » ou une feuille de route européenne ne suffisent pas à couvrir tous les produits, toutes les régions et tous les composants.

Le contrat doit relier le besoin au service qualifié. Le dossier de preuve doit ensuite relier ce service à l’environnement déployé. Devis, bon de commande, conditions particulières, certificat, identifiants techniques, régions, sauvegardes, tickets et journaux permettent d’établir l’engagement, l’écart et sa date. Sans cette chaîne, la contestation restera générale.

Si l’écart est confirmé, le remède dépend de l’utilité restante du service. Une mise en conformité peut préserver le projet. Une réduction du prix peut compenser une exécution imparfaite. Une résolution suppose un manquement suffisamment grave, particulièrement lorsque la qualification était la condition déterminante du contrat. L’indemnisation exige enfin un dommage direct et chiffré, distinct des coûts normaux d’une migration.

Besoin d’un avis rapide sur votre dossier.
Le cabinet propose une consultation téléphonique sous 48 heures avec un avocat. Vous pouvez appeler le 06 46 60 58 22 ou utiliser le formulaire de contact du cabinet.