Secrecy Care Blog
Find the latest news from Secrecy Care, new products, events, and articles from our experts here.
Find the latest news from Secrecy Care, new products, events, and articles from our experts here.
Publié le 14 avril 2026, le décret n° 2026-272 rend enfin opposable une exigence attendue depuis près de deux ans : le recours à un hébergement cloud qualifié SecNumCloud pour certaines données sensibles de l'État. Pour un établissement public de santé, comprendre précisément qui est visé directement, et qui l'est indirectement, évite à la fois l'excès de prudence et le faux sentiment de ne pas être concerné.
Le décret n° 2026-272 du 14 avril 2026, pris en application de l'article 31 de la loi visant à sécuriser et réguler l'espace numérique (SREN) du 21 mai 2024, impose aux administrations de l'État, à leurs opérateurs et à six groupements d'intérêt public nommément désignés de recourir à un prestataire cloud qualifié SecNumCloud, ou à une certification européenne d'un niveau équivalent, pour héberger leurs données d'une sensibilité particulière. Un point souvent mal restitué dans la presse généraliste : ce décret ne vise pas directement, en tant que catégorie juridique, l'ensemble des hôpitaux publics. Il vise nommément six GIP, parmi lesquels figure l'Agence du Numérique en Santé (ANS). Or l'ANS fixe une bonne partie des référentiels d'interopérabilité et de sécurité que les établissements de santé et les éditeurs privés doivent respecter pour intégrer Mon espace santé ou Pro Santé Connect. C'est ce mécanisme indirect, plutôt qu'une obligation légale directe généralisée à tous les hôpitaux, qui diffuse concrètement l'exigence SecNumCloud dans l'écosystème de la santé publique.
Le décret encadre les services d'informatique en nuage fournis par un prestataire privé lorsqu'ils sont utilisés par une administration de l'État, un de ses opérateurs, ou l'un des six groupements d'intérêt public désignés, pour traiter des données qualifiées de sensibilité particulière selon deux critères cumulatifs : la sensibilité intrinsèque de la donnée, et le risque de préjudice concret en cas de compromission. Un vademecum publié en parallèle par l'État précise cette notion de donnée sensible pour aider les administrations à qualifier leurs propres traitements.
Le texte laisse cependant en suspens une partie des exigences opérationnelles, renvoyées à un futur référentiel de l'ANSSI, ce qui explique que plusieurs analyses juridiques qualifient ce décret d'étape attendue mais encore incomplète, plutôt que de dispositif pleinement stabilisé.
Le décret d'avril 2026 s'inscrit dans une dynamique déjà amorcée par la doctrine dite « cloud au centre », qui recommandait depuis 2021 le recours à SecNumCloud pour les administrations, sans portée contraignante généralisée à l'époque. Depuis, plusieurs jalons ont renforcé la pression sur le secteur santé : la Plateforme des données de santé (Health Data Hub) a annoncé sa migration vers une infrastructure SecNumCloud pour remplacer son hébergement actuel, et, quelques jours après la publication du décret, trois opérateurs supplémentaires de santé numérique ont été formellement inclus dans le périmètre de l'obligation, sur le fondement de l'article 31 de la loi SREN qui permet d'étendre ces exigences à des opérateurs critiques du numérique en santé.
Pour un hôpital public qui n'est pas lui-même l'un des six GIP directement visés, l'effet se fait donc sentir en cascade : par les référentiels que l'ANS impose aux éditeurs avec lesquels il travaille, par les exigences croissantes formulées dans les appels d'offres publics de santé numérique, et par une doctrine administrative de plus en plus explicite selon laquelle l'hébergement souverain n'est plus un choix stratégique mais une trajectoire réglementaire assumée.
Prenons le cas d'un hôpital public qui renouvelle son contrat avec un prestataire cloud pour héberger une partie de ses données sensibles. Ce hôpital n'est pas nommément l'un des six GIP visés par le décret, et n'est donc pas placé sous une obligation légale directe équivalente à celle de l'État. En revanche, s'il souhaite continuer à s'interfacer avec Mon espace santé ou Pro Santé Connect, il doit respecter les référentiels techniques de l'ANS, laquelle est elle-même tenue de recourir à un hébergement SecNumCloud pour les données qu'elle gère. Concrètement, la DSI de l'hôpital a donc tout intérêt à vérifier, lors du renouvellement, si son prestataire actuel dispose déjà d'une qualification SecNumCloud ou d'une certification européenne équivalente, ne serait-ce que pour anticiper une exigence qui se généralise progressivement dans les appels d'offres publics du secteur.