Entre le 1er septembre et le 7 octobre 2026, trois offres cloud ont annoncé une qualification SecNumCloud de l’ANSSI : l’IaaS de Numspot, SNC Cloud Platform d’OVHcloud, et Cloud Avenue SecNum Dynamic d’Orange Business. SecNumCloud qualifie une offre, pour une durée limitée. Le mot « souverain », ou « cloud de confiance », ne qualifie rien par lui-même. L’ANSSI l’a rappelé publiquement en janvier 2026, après la qualification de l’offre hybride de S3NS.
Trois offres, trois périmètres
Le 1er septembre 2026, Numspot a annoncé la qualification de son offre IaaS. La partie PaaS reste en cours de démarche. Le prestataire indique que cet IaaS porte aussi les certifications HDS, pour les données de santé, et ISO 27001. Le même jour, OVHcloud a annoncé la qualification de SNC Cloud Platform, présentée comme sa troisième offre qualifiée, après Bare Metal Pod et VMware on OVHcloud. Deux annonces le même jour n’en font pas une seule famille d’offres.
Le 7 octobre 2026, Orange Business a annoncé la qualification de Cloud Avenue SecNum Dynamic. Elle complète Cloud Avenue SecNum, qualifiée en juillet 2025. L’offre nouvelle repose sur des ressources dédiées au client, isolées physiquement, et peut fonctionner en actif/actif entre les centres de Val-de-Reuil et de Chartres. Elle inclut des serveurs GPU dédiés pour l’inférence et l’entraînement. L’offre de 2025 peut cumuler, sur un même environnement, SecNumCloud, ISO 27001 et HDS. Aucune de ces phrases ne qualifie le groupe en bloc. Elle qualifie l’offre nommée, dans le périmètre décrit au catalogue.
Ce que l’arrêté du 12 août rend obligatoire
L’arrêté du 12 août 2026 approuve la version 3.2 du référentiel SecNumCloud. Cette version, datée du 8 mars 2022, ajoute une protection vis-à-vis des législations extra-européennes, dont le CLOUD Act américain. L’arrêté donne au référentiel une portée contraignante pour certains services cloud utilisés par l’État, ses opérateurs et les groupements d’intérêt public, lorsqu’ils traitent des données d’une sensibilité particulière. La qualification dure trois ans. Elle donne lieu à un audit de surveillance annuel. Une modification substantielle de l’offre se déclare à l’ANSSI.
Deux conséquences suivent pour qui lit un appel d’offres. Le catalogue public de l’ANSSI est la seule liste qui fait foi : une offre « en cours de qualification » n’est pas qualifiée. À l’automne 2026, Bleu, la coentreprise de Capgemini et d’Orange, indiquait viser une qualification d’ici la fin de l’année, sans l’avoir obtenue. Et lorsque des données de sensibilités différentes partagent la même infrastructure, les commentaires du texte publiés cet automne rappellent qu’un cloisonnement technique étanche est la condition pour ne pas étendre l’exigence à l’ensemble. Une dérogation motivée existe lorsqu’aucune offre qualifiée ne couvre le besoin. Elle ne transforme pas un hébergement ordinaire en hébergement qualifié.
L’étiquette ne choisit pas l’architecture
Pour un système métier ou un agent, les questions utiles restent celles de la note Souveraineté des données : critères opérationnels. Où les données reposent-elles. Quels sous-traitants voient les contenus, y compris le fournisseur du modèle. Peut-on exporter un jeu complet. L’équipe sait-elle exploiter le choix dans la durée. Une qualification SecNumCloud répond à une partie de ces questions, pour l’offre couverte. Elle ne journalise pas les actions d’un agent, et elle ne nomme pas le responsable d’une écriture.
L’inverse est vrai aussi. Une instance installée chez le client, comme OCTOWISE pour l’énergie du bâtiment, règle la localisation sans prétendre à une qualification que le produit n’affiche pas. Le même discernement vaut pour évaluer un fournisseur d’IA : lire le périmètre contractualisé, pas la plaquette. Le catalogue s’est élargi en septembre et octobre 2026. Il se lit offre par offre.
