SecNumCloud : l'obligation cloud souverain s'étend à trois nouveaux opérateurs de santé numérique

Moins d’une semaine après la publication du décret n°2026-272 encadrant l’usage du cloud souverain pour les établissements publics de santé, la dynamique réglementaire progresse. Selon TicSanté, trois opérateurs supplémentaires du secteur de la santé numérique sont désormais formellement soumis à l’obligation de recourir à des prestataires cloud titulaires de la qualification SecNumCloud de l’ANSSI.

Un périmètre qui dépasse les seuls établissements publics

Le décret SREN d’avril 2026 visait en priorité les administrations publiques et les établissements de santé (hôpitaux, ARS, GCS). Cette nouvelle étape marque une extension significative : des opérateurs de services en santé numérique — des acteurs privés ou mixtes qui opèrent des plateformes critiques pour le système de soins — entrent à leur tour dans le champ de cette obligation.

Cette évolution était prévue par la loi. L’article 31 de la loi SREN du 21 mai 2024 prévoit que les opérateurs d’importance vitale (OIV) et certains acteurs critiques du numérique en santé puissent être soumis aux mêmes exigences de souveraineté que le secteur public. L’identification formelle de ces trois nouveaux opérateurs constitue une première application concrète de ce principe.

Ce que cela implique pour ces acteurs

Pour chacun de ces trois opérateurs, l’obligation SecNumCloud se traduit par des contraintes opérationnelles immédiates :

• Cartographier leurs services cloud selon la sensibilité des données de santé traitées.
• Sélectionner ou migrer vers des prestataires qualifiés par l’ANSSI (OVHcloud, 3DS OUTSCALE, Numspot…).
• Adapter leurs appels d’offres et contrats pour intégrer les critères de qualification dès la phase de rédaction.
• Garantir la protection contre les lois extraterritoriales, notamment le CLOUD Act américain et le FISA, incompatibles avec les exigences SecNumCloud.

Le calendrier de mise en conformité reste à préciser pour chaque opérateur, mais la jurisprudence réglementaire récente ne laisse guère de doute sur la direction prise.

SecNumCloud : de l’exception à la norme en santé

Cette annonce s’inscrit dans un mouvement de fond. La Plateforme des données de santé (Health Data Hub) a déjà confirmé sa migration vers une infrastructure SecNumCloud d’ici fin 2026, mettant fin à la polémique autour de son hébergement chez Microsoft Azure. Plus largement, l’ensemble de l’écosystème — messageries sécurisées de santé, dossiers patients informatisés, plateformes de télémédecine, entrepôts de données hospitaliers — est désormais orienté vers cette certification comme standard de confiance.

Pour les industriels de la santé numérique non encore engagés dans cette démarche, le signal est sans ambiguïté : SecNumCloud n’est plus un argument différenciant, c’est une condition d’accès au marché public de la santé. Les coûts de migration, réels, méritent d’être anticipés bien en amont des prochains appels d’offres, en particulier dans le cadre des renouvellements de contrats SIH et des projets d’entrepôt de données.

Vers une cartographie complète des acteurs concernés

La publication de ces trois nouveaux noms laisse entendre qu’une cartographie plus complète des opérateurs soumis à l’obligation SecNumCloud est en cours d’élaboration. Les acteurs du secteur attendent désormais une liste exhaustive publiée au Journal officiel, afin de disposer d’une visibilité réglementaire claire pour planifier leurs investissements cloud.

Sources

• Trois opérateurs en santé numérique supplémentaires concernés par le recours à des fournisseurs labellisés SecNumCloud — TicSanté
• Loi n°2024-449 du 21 mai 2024 visant à sécuriser et réguler l’espace numérique (SREN) — Légifrance
• Prestataires de service d’informatique en nuage qualifiés SecNumCloud — ANSSI