Secrecy Care Blog
Find the latest news from Secrecy Care, new products, events, and articles from our experts here.
Find the latest news from Secrecy Care, new products, events, and articles from our experts here.
Publié le 14 avril 2026, le décret n° 2026-272 rend enfin opposable une exigence attendue depuis près de deux ans : le recours à un hébergement cloud qualifié SecNumCloud pour certaines données sensibles de l'État. Pour un établissement public de santé, comprendre précisément qui est visé directement, et qui l'est indirectement, évite à la fois l'excès de prudence et le faux sentiment de ne pas être concerné.
Le décret n° 2026-272 du 14 avril 2026, pris en application de l'article 31 de la loi visant à sécuriser et réguler l'espace numérique (SREN) du 21 mai 2024, impose aux administrations de l'État, à leurs opérateurs et à six groupements d'intérêt public nommément désignés de recourir à un prestataire cloud qualifié SecNumCloud, ou à une certification européenne d'un niveau équivalent, pour héberger leurs données d'une sensibilité particulière. Un point souvent mal restitué dans la presse généraliste : ce décret ne vise pas directement, en tant que catégorie juridique, l'ensemble des hôpitaux publics. Il vise nommément six GIP, parmi lesquels figure l'Agence du Numérique en Santé (ANS). Or l'ANS fixe une bonne partie des référentiels d'interopérabilité et de sécurité que les établissements de santé et les éditeurs privés doivent respecter pour intégrer Mon espace santé ou Pro Santé Connect. C'est ce mécanisme indirect, plutôt qu'une obligation légale directe généralisée à tous les hôpitaux, qui diffuse concrètement l'exigence SecNumCloud dans l'écosystème de la santé publique.
Le décret encadre les services d'informatique en nuage fournis par un prestataire privé lorsqu'ils sont utilisés par une administration de l'État, un de ses opérateurs, ou l'un des six groupements d'intérêt public désignés, pour traiter des données qualifiées de sensibilité particulière selon deux critères cumulatifs : la sensibilité intrinsèque de la donnée, et le risque de préjudice concret en cas de compromission. Un vademecum publié en parallèle par l'État précise cette notion de donnée sensible pour aider les administrations à qualifier leurs propres traitements.
Le texte laisse cependant en suspens une partie des exigences opérationnelles, renvoyées à un futur référentiel de l'ANSSI, ce qui explique que plusieurs analyses juridiques qualifient ce décret d'étape attendue mais encore incomplète, plutôt que de dispositif pleinement stabilisé.
Le décret d'avril 2026 s'inscrit dans une dynamique déjà amorcée par la doctrine dite « cloud au centre », qui recommandait depuis 2021 le recours à SecNumCloud pour les administrations, sans portée contraignante généralisée à l'époque. Depuis, plusieurs jalons ont renforcé la pression sur le secteur santé : la Plateforme des données de santé (Health Data Hub) a annoncé sa migration vers une infrastructure SecNumCloud pour remplacer son hébergement actuel, et, quelques jours après la publication du décret, trois opérateurs supplémentaires de santé numérique ont été formellement inclus dans le périmètre de l'obligation, sur le fondement de l'article 31 de la loi SREN qui permet d'étendre ces exigences à des opérateurs critiques du numérique en santé.
Pour un hôpital public qui n'est pas lui-même l'un des six GIP directement visés, l'effet se fait donc sentir en cascade : par les référentiels que l'ANS impose aux éditeurs avec lesquels il travaille, par les exigences croissantes formulées dans les appels d'offres publics de santé numérique, et par une doctrine administrative de plus en plus explicite selon laquelle l'hébergement souverain n'est plus un choix stratégique mais une trajectoire réglementaire assumée.
Prenons le cas d'un hôpital public qui renouvelle son contrat avec un prestataire cloud pour héberger une partie de ses données sensibles. Ce hôpital n'est pas nommément l'un des six GIP visés par le décret, et n'est donc pas placé sous une obligation légale directe équivalente à celle de l'État. En revanche, s'il souhaite continuer à s'interfacer avec Mon espace santé ou Pro Santé Connect, il doit respecter les référentiels techniques de l'ANS, laquelle est elle-même tenue de recourir à un hébergement SecNumCloud pour les données qu'elle gère. Concrètement, la DSI de l'hôpital a donc tout intérêt à vérifier, lors du renouvellement, si son prestataire actuel dispose déjà d'une qualification SecNumCloud ou d'une certification européenne équivalente, ne serait-ce que pour anticiper une exigence qui se généralise progressivement dans les appels d'offres publics du secteur.
Le décret n° 2026-272 est pris en application de l'article 31 de la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et réguler l'espace numérique (SREN), qui distingue deux chantiers : l'article 31, qui encadre les conditions de recours au cloud par le secteur public pour ses données sensibles, et l'article 32, qui a modifié les dispositions du Code de la santé publique relatives à la certification des hébergeurs de données de santé (HDS). Ces deux chantiers avancent en parallèle mais restent juridiquement distincts : un établissement de santé qui respecte ses obligations HDS au titre de l'article 32 ne satisfait pas automatiquement, par cette seule conformité, à une éventuelle exigence SecNumCloud relevant de l'article 31 (source : La Base Lextenso, « Cloud souverain et données sensibles de l'État : le décret du 14 avril 2026 »).
Le référentiel opérationnel encore attendu de l'ANSSI devrait préciser dans les prochains mois les modalités concrètes d'application du décret, réduisant la marge d'interprétation qui subsiste aujourd'hui. Parallèlement, l'extension déjà engagée à des opérateurs de santé numérique privés ou mixtes suggère que le périmètre de l'obligation SecNumCloud continuera de s'élargir progressivement, plutôt que de rester cantonné aux six GIP initialement désignés.
Pour les établissements de santé, cette trajectoire renforce l'intérêt d'anticiper des critères de sélection de prestataires alignés sur les exigences de souveraineté à venir, plutôt que d'attendre une éventuelle extension légale directe pour agir.
Message clé : le décret SREN du 14 avril 2026 ne transforme pas chaque hôpital public en sujet de droit directement soumis à SecNumCloud, mais il installe, via l'Agence du Numérique en Santé, un canal de diffusion indirect qui rend cette exigence de plus en plus incontournable dans l'écosystème de la santé publique.
Pour une DSI hospitalière, la bonne question n'est pas "sommes-nous légalement obligés dès aujourd'hui", mais "à quelle vitesse cette exigence va-t-elle s'imposer dans nos appels d'offres et nos référentiels métier".
Un hôpital public est-il directement soumis au décret n° 2026-272 ? Pas en tant que catégorie générale : la contrainte légale directe vise l'État, ses opérateurs et six groupements d'intérêt public nommément désignés, dont l'Agence du Numérique en Santé.
Pourquoi l'inclusion de l'ANS dans le décret concerne-t-elle les hôpitaux ? Parce que l'ANS fixe les référentiels d'interopérabilité que les établissements et éditeurs doivent respecter pour intégrer des services comme Mon espace santé ou Pro Santé Connect, ce qui diffuse indirectement l'exigence SecNumCloud.
SecNumCloud remplace-t-il la certification HDS ? Non, ce sont deux référentiels distincts relevant de deux articles différents de la loi SREN (article 31 pour le cloud souverain, article 32 pour la certification HDS), qui peuvent se cumuler.
Microsoft, AWS ou Google Cloud peuvent-ils être qualifiés SecNumCloud ? Pas sous la forme de leurs offres cloud mondiales classiques, en raison de leur soumission à un droit extraterritorial ; certains groupes contournent cet obstacle via des coentreprises de droit français ou européen.
Une dérogation à l'obligation SecNumCloud est-elle possible ? Oui dans certains cas, mais elle doit être motivée et documentée, notamment en cas d'absence d'offre adéquate disponible, et ne peut pas être utilisée comme facilité commerciale durable.
Le décret est-il déjà pleinement applicable dans le détail ? Pas totalement : une partie des exigences opérationnelles est renvoyée à un futur référentiel de l'ANSSI, ce qui laisse encore certaines marges d'interprétation aux acteurs concernés.
Le décret n° 2026-272 du 14 avril 2026 rend obligatoire, pour l'État, ses opérateurs et six GIP dont l'Agence du Numérique en Santé, le recours à un hébergement cloud qualifié SecNumCloud pour les données sensibles. Sans viser directement l'ensemble des hôpitaux publics, ce texte diffuse une exigence de souveraineté qui se propage à travers les référentiels de l'ANS et les appels d'offres publics de santé numérique, dans un mouvement qui devrait continuer à s'étendre dans les prochaines années.
Pour une DSI ou un DPO d'établissement public de santé : ne partez pas du principe que ce décret ne vous concerne pas parce que votre établissement n'est pas nommément désigné, mais vérifiez plutôt comment les référentiels de l'ANS et les exigences de vos appels d'offres évoluent en conséquence.
« Le décret SREN ne vise pas chaque hôpital nommément, mais il diffuse l'exigence SecNumCloud à travers l'Agence du Numérique en Santé. » « Un hébergement localisé en France ne suffit pas : la qualification SecNumCloud formalise des garanties qui vont au-delà de la seule géographie du serveur. » « La souveraineté numérique en santé n'est plus un choix stratégique, c'est une trajectoire réglementaire déjà engagée. »
Imaginez une nouvelle règle de sécurité imposée uniquement aux gestionnaires d'un grand réseau de magasins, mais qui, de fait, oblige aussi tous les petits fournisseurs voulant continuer à livrer ce réseau à respecter les mêmes standards de conditionnement. Le décret SREN fonctionne un peu ainsi : il vise directement l'État et quelques grands organismes, mais son effet se propage à tous ceux qui doivent continuer à "livrer" leurs données selon les référentiels de ces organismes.
Sur le plan technique, l'enjeu pour une DSI hospitalière consiste à cartographier précisément où et comment ses données transitent par des services dépendant, directement ou indirectement, des référentiels de l'ANS, et à évaluer la maturité SecNumCloud de ses prestataires cloud actuels et futurs. Le décret rappelle une distinction technique importante : une offre "cloud souverain" purement marketing, reposant sur une simple localisation géographique des serveurs en France, ne suffit pas si la maison mère, le support technique ou la chaîne de sous-traitance du prestataire créent un risque d'accès non autorisé depuis l'étranger. Les équipes techniques doivent donc exiger, au-delà de la localisation, une documentation précise sur la structure juridique du prestataire, ses éventuelles coentreprises de droit français ou européen (à l'image des montages mis en place par certains grands fournisseurs cloud américains pour répondre à cette exigence), et le périmètre exact couvert par une éventuelle qualification SecNumCloud déjà obtenue.