Ce que disent les textes
La doctrine de l’État, dite « cloud au centre », a été fixée par une circulaire du 5 juillet 2021 et actualisée par une circulaire du 31 mai 2023. Elle fait de l’informatique en nuage le mode d’hébergement par défaut des nouveaux projets de l’État, et précise que les données d’une sensibilité particulière, lorsqu’elles sont confiées à une offre commerciale, doivent l’être à une offre protégée contre l’accès d’autorités étrangères, ce que vise la qualification SecNumCloud de l’ANSSI.
La loi du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique (loi SREN) a donné une base législative à ce principe dans son article 31. Son décret d’application a été publié au Journal officiel le 16 avril 2026, il précise notamment la liste des entités concernées, parmi lesquelles certains groupements d’intérêt public.
Les collectivités territoriales ne relèvent pas de ce texte dans sa rédaction initiale. Une proposition de loi examinée au Parlement en 2026 vise à étendre ces exigences aux plus grandes d’entre elles, son issue n’était pas connue à la date de mise à jour de cette page.
Ce résumé ne remplace pas la lecture des textes ni l’avis de votre service juridique. Les seuils et les listes d’entités évoluent.
Quatre questions à régler, que le texte s’applique ou non
1. Quelles sont nos données sensibles ?
La règle ne vise pas toutes les données. Encore faut-il savoir lesquelles sont concernées : données de santé, données relevant de secrets protégés par la loi, données nécessaires à des missions essentielles. Sans classification, deux erreurs guettent : tout surprotéger, à un coût intenable, ou ne rien protéger faute d’avoir tranché. La page gouvernance des données décrit la démarche.
2. Où sont-elles aujourd’hui ?
La réponse est rarement connue avec certitude. Les logiciels en ligne souscrits par les directions métiers, les sauvegardes, les outils collaboratifs, les sous-traitants de sous-traitants : la donnée voyage. La cartographie des applications et de leurs hébergeurs est le seul moyen d’y voir clair.
3. Que disent nos contrats ?
Localisation des données et des équipes d’administration, droit applicable, chaîne de sous-traitance, engagements de disponibilité, et surtout conditions de sortie. Un contrat muet sur la restitution des données laisse l’organisation à la merci du prestataire le jour où elle veut partir.
4. Avons-nous déjà essayé de sortir ?
Une clause de réversibilité n’a de valeur que testée. Demander une fois, en cours de contrat, une extraction complète des données dans un format exploitable révèle souvent des surprises : formats propriétaires, délais, facturation supplémentaire.
Choisir un mode d’hébergement par famille de données
| Famille | Exemples | Orientation |
|---|---|---|
| Sensibilité particulière | Santé, sécurité, secrets protégés, données indispensables aux missions essentielles | Hébergement interne, opérateur public, ou offre qualifiée |
| Personnelles courantes | Agents, usagers, état civil, scolarité | Offre conforme au RGPD, hébergée dans l’Union, avec garanties contractuelles fortes |
| Courantes | Documents de travail non sensibles, sites d’information | Offre du marché, avec réversibilité |
| Publiques | Données ouvertes | Le critère est la disponibilité, non la confidentialité |
Grille indicative, à adapter aux obligations propres à chaque organisation, notamment l’hébergement des données de santé.
Le coût complet d’un hébergement
Le prix affiché n’est qu’une partie du coût. S’y ajoutent la migration, l’adaptation des applications, la montée en compétence des équipes, la supervision, et le coût de sortie. Une comparaison honnête entre un hébergement interne et une offre en nuage se fait sur cinq ans, sortie comprise. La page budget numérique donne la méthode du coût complet.
La bonne question n’est pas « faut-il aller dans le nuage ? » mais « pour quelles données, chez qui, et comment en revient-on ? ». Elle se traite avec une classification des données, une cartographie des hébergements et un registre des contrats.
Dans la méthode DYNAMAP SI
Classer, localiser, puis réviser à chaque échéance de contrat : trois phases de la méthode encadrent les choix d’hébergement.
- 1Phase 1 · Analyse de l’existant : inventorier les actifs, les processus et les risques tels qu’ils sont réellement.
- 3Phase 3 · Cartographies et points de vue : relier processus, données, logiciels et infrastructures dans des vues lisibles par chaque public.
- 5Phase 5 · Adaptation et révisions continues : réviser régulièrement la trajectoire selon les résultats et le contexte.
La méthode appliquée au secteur public · Le framework complet sur dynamap.fr
Pour approfondir : les livres de la collection
Souveraineté numérique, souveraineté d’entreprise
Dépendances technologiques, lois extraterritoriales, verrouillage par les fournisseurs, architectures de confiance, logiciel libre, trajectoire sur trois ans. L’ouvrage est dédié à la revue SERVIR et aux anciens élèves de l’ENA et de l’INSP.
Manuel de gouvernance de la donnée
Un programme de gouvernance de la donnée de bout en bout : rôles, qualité, cycle de vie, sécurité, conformité, culture. Le socle pour concilier protection des données personnelles, ouverture des données publiques et projets d’intelligence artificielle.
Toute la collection est présentée sur la page livres sur le système d’information.
Sources et références
- Acteurs publics, « Données sensibles : très attendu, le décret Sren précise qui devra passer par un cloud SecNumCloud » (16 avril 2026)
- Banque des Territoires, « L’État précise la notion de données sensibles à héberger dans un cloud certifié » (circulaire du 31 mai 2023)
- Assemblée nationale, rapport n° 2522 sur l’extension aux collectivités des exigences de protection des données sensibles
Yann-Eric Devars
Architecte d’entreprise · créateur du framework DYNAMAP SI
Fondateur de Solve DSI, il accompagne depuis près de dix ans des organisations dans la cartographie et la gouvernance de leur système d’information. Il publie sur LinkedIn ses analyses sur les systèmes d’information publics ; les échanges entre pairs y sont ouverts.