Le 14 avril 2026, le décret n° 2026-272 est entré en vigueur, rendant enfin opposable ce que la loi SREN annonçait depuis mai 2024 : pour certaines organisations publiques, héberger des données sensibles sur un cloud commercial non qualifié SecNumCloud par l’ANSSI n’est plus une option (source : economie.gouv.fr). Un ERP de gestion financière, RH ou logistique qui traite ces données entre de plein droit dans ce périmètre.
Ce n’est pas une révolution : la doctrine “cloud au centre” de 2021 pointait déjà dans cette direction. Mais c’est la première fois qu’une obligation légale chiffrée et datée s’applique concrètement à des choix d’hébergement ERP. Pour un DSI d’administration, d’établissement de santé ou d’opérateur critique, ignorer ce texte serait une faute de gestion. Pour un DSI d’ETI privée, comprendre ce texte permet de prendre une décision d’hébergement informée plutôt que de subir l’anxiété commerciale des vendeurs cloud.
Qu’est-ce que le cloud de confiance, et ce que la loi SREN en fait
La notion de “cloud de confiance” désigne un hébergement cloud dont le prestataire est qualifié SecNumCloud par l’ANSSI et dont les opérations sont imperméables à toute législation extraterritoriale : CLOUD Act américain, loi chinoise sur la cybersécurité, etc. Ce n’est pas la même chose que “cloud souverain” (données hébergées en France) ni que “cloud européen” (datacenter dans l’UE).
La loi SREN (n° 2024-449 du 21 mai 2024, Sécurisation et Régulation de l’Espace Numérique) a posé le principe général. Son article 31 a créé l’obligation pour certaines entités publiques de justifier tout recours à un prestataire cloud commercial traitant leurs données sensibles. Le décret du 14 avril 2026 a donné corps à cette obligation en précisant deux choses :
- Qui est concerné : les administrations d’État, leurs opérateurs, et six groupements d’intérêt public (GIP) spécifiquement désignés dans le texte (dont l’Agence du numérique en santé et le Centre d’accès sécurisé aux données).
- Le délai de mise en conformité : 18 mois si une offre qualifiée conforme est disponible sur le marché au moment de l’obligation. Un an renouvelable si aucune offre adéquate n’existe encore (source : derriennic.com).
Pour les collectivités locales, les établissements de santé qui ne sont pas opérateurs d’État, ou les OIV du secteur privé, le décret SREN ne crée pas d’obligation directe. D’autres textes s’en chargent : NIS 2 pour les opérateurs de services essentiels, la doctrine “cloud au centre” pour les administrations déconcentrées, et la réglementation HDS pour tout hébergement de données de santé.
Les exigences SecNumCloud 3.2 : ce qui exclut concrètement AWS, Azure et GCP
Le référentiel SecNumCloud v3.2 de l’ANSSI impose 197 exigences techniques et organisationnelles. La plus discriminante pour les grands éditeurs cloud américains n’est pas technique : c’est l’exigence d’immunité aux législations extraterritoriales.
Un prestataire qualifié SecNumCloud ne peut pas être contraint par une autorité étrangère de communiquer des données clients sans consentement de ces derniers. Le CLOUD Act américain (2018) donne précisément ce pouvoir aux autorités des États-Unis sur tout prestataire cloud constitué en société américaine, quelle que soit la localisation physique des serveurs. Amazon Web Services, Microsoft Azure et Google Cloud sont des entités américaines. Leurs filiales ou datacenters européens n’échappent pas à cette juridiction.
Résultat : en l’état du droit américain, ces trois hyperscalers ne peuvent pas obtenir la qualification SecNumCloud. L’ANSSI l’a confirmé dans ses communications publiques. Oracle Cloud se trouve dans la même situation. Pour un DSI dont l’organisation entre dans le périmètre SREN, un ERP hébergé sur ces plateformes ne peut pas traiter les données sensibles concernées.
L’état réel de l’offre SecNumCloud pour les ERP en septembre 2026
Environ 21 offres sont qualifiées SecNumCloud à cette date, selon le registre ANSSI (source : cyber.gouv.fr). Pour un DSI cherchant à héberger un ERP dans ce périmètre, les options concrètes sont les suivantes.
OVHcloud : prestataire le plus mature côté infrastructure qualifiée. L’offre “SAP HANA on VMware” en zone SecNumCloud permet d’y faire tourner SAP S/4HANA. La SNC Cloud Platform propose par ailleurs un catalogue IaaS et bases de données managées qualifié. C’est l’option la plus opérationnelle aujourd’hui pour un ERP SAP ou Odoo auto-hébergé.
S3NS (Thales/Google) : qualification SecNumCloud 3.2 obtenue fin 2025 sur l’offre PREMI3NS, qui proposait 30 services en mi-2026 (source : s3ns.io). La roadmap vers 150 services et l’accès prévu à Vertex AI en font une option à suivre pour des ERP nécessitant des capacités analytiques avancées.
Cloud Temple : IaaS qualifié, positionné sur les secteurs public et défense. Moins de services managés qu’OVHcloud, mais des engagements contractuels adaptés aux marchés publics.
Outscale (Dassault Systèmes) : IaaS orienté industrie et défense. Pertinent pour des ERP industriels déployés chez des sous-traitants de la BITD.
Bleu (Orange/Capgemini, technologie Microsoft Azure) : le jalon J0 de la qualification SecNumCloud a été validé le 17 avril 2025. La disponibilité commerciale était prévue pour le second semestre 2026 au moment de la rédaction de cet article (source : blog.whaller.com). Bleu n’est pas encore qualifié SecNumCloud à ce jour. Cela signifie que Microsoft Dynamics 365 dans un cadre souverain français complet n’est pas encore disponible via cette voie.
Quelles données ERP déclenchent l’obligation SecNumCloud ?
La question que tout DSI doit poser avant de prendre une décision est : “Quelles données traite notre ERP, et lesquelles entrent dans le périmètre des ‘données d’une sensibilité particulière’ au sens du décret SREN ?”
Le décret distingue deux catégories :
- Données couvertes par un secret protégé par la loi : secret défense, secret médical, données couvertes par le secret des affaires pour les OIV, secret de l’instruction.
- Données nécessaires à l’accomplissement des missions essentielles de l’État : sécurité nationale, maintien de l’ordre public, protection de la santé et de la vie des personnes.
Pour un ERP de gestion RH d’un ministère, les données personnelles des agents et leurs habilitations peuvent relever de ces catégories. Pour un ERP financier d’une administration qui gère des marchés défense, les données contractuelles entrent dans ce périmètre. En revanche, un module de reporting budgétaire d’une collectivité locale sur des données de dépenses publiques non sensibles n’y entre pas nécessairement.
Point essentiel à garder à l’esprit : pour 80% des ETI françaises du secteur privé n’ayant pas le statut d’OIV ou d’opérateur d’importance essentielle (OES), SecNumCloud n’est pas une obligation légale pour leur ERP. C’est un choix politique de sécurité. Des organisations anticipent cette exigence pour leurs futurs marchés publics ou pour se préparer à une extension du périmètre réglementaire. Ce n’est pas la même chose qu’une obligation.
Le cas des ERP américains : SAP, Oracle, Workday, Salesforce
Les grands éditeurs d’ERP américains se trouvent dans une situation d’attente structurelle sur la question SecNumCloud.
SAP : disponible sur OVHcloud SecNumCloud via l’offre IaaS (hébergement S/4HANA sur infrastructure qualifiée). Ce n’est pas une offre SaaS “clés en main” : elle requiert une gestion d’infrastructure. SAP travaille avec Capgemini et la roadmap Bleu, mais la qualification n’est pas encore obtenue pour une offre SaaS SAP native en SecNumCloud.
Oracle Cloud ERP : entité américaine soumise au CLOUD Act, non qualifiable SecNumCloud en l’état. Les datacenters d’Oracle en France ne changent pas l’analyse juridique.
Workday et Salesforce : même situation. Ces deux éditeurs proposent des politiques de localisation des données en Europe, qui répondent au RGPD, mais pas à SecNumCloud. La distinction est capitale : héberger en Europe n’est pas la même chose qu’être immunisé contre le CLOUD Act.
Pour un organisme public entrant dans le périmètre SREN qui utilise aujourd’hui Workday ou Oracle en SaaS pour sa paie ou sa finance, la mise en conformité dans le délai de 18 mois passe soit par une migration vers une solution compatible, soit par la démonstration que les données traitées ne relèvent pas des catégories sensibles.
Les solutions ERP qui permettent une architecture compatible
Trois stratégies permettent aujourd’hui d’héberger un ERP dans un cadre SecNumCloud :
Hébergement propre sur infrastructure qualifiée : déployer SAP, Odoo ou Microsoft Dynamics 365 on-premise (ou IaaS) sur OVHcloud SecNumCloud ou Cloud Temple. Cette approche conserve les fonctionnalités de l’éditeur mais transfère la charge opérationnelle d’infrastructure à votre DSI ou à un intégrateur certifié.
Éditeurs français avec engagement contractuel de localisation : Cegid (hébergement France), Divalto, Sylob hébergent leurs solutions sur des infrastructures françaises. La question à poser est : “Êtes-vous qualifié SecNumCloud, ou simplement hébergé en France ?” Ces deux affirmations n’ont pas la même valeur juridique.
Architecture hybride segmentée : les modules ERP traitant des données sensibles (RH, finance, contrats) sur infrastructure qualifiée ; les modules non critiques (analytics, reporting) sur cloud standard. Cette architecture requiert un travail de cartographie des données en amont, souvent négligé mais indispensable.
Cloud de confiance vs cloud souverain : les deux confusions qui coûtent cher
La première confusion : croire qu’un datacenter en France suffit. Azure France Central est à Paris. Les données y sont géographiquement en France. Mais Microsoft Corporation est une entité américaine soumise au CLOUD Act. L’hébergement en France ne confère aucune immunité juridique contre une demande d’accès américaine.
La seconde confusion : croire que “cloud de confiance” et “cloud souverain” sont identiques. Un cloud de confiance (modèle Bleu ou S3NS) utilise une technologie étrangère (Microsoft ou Google) opérée par une entité française. Un cloud souverain (OVHcloud) développe sa technologie en Europe. Pour des données de défense ou classifiées Diffusion Restreinte, seul un cloud souverain à technologie européenne répond aux exigences. Pour des données sensibles non classifiées d’une administration, un cloud de confiance qualifié SecNumCloud est souvent suffisant, quand il est disponible.
Ce que la DSI doit faire maintenant
Pour les organisations dans le périmètre SREN direct : engagez immédiatement une cartographie des données traitées par vos ERP par niveau de sensibilité. C’est cette cartographie qui détermine quels modules entrent dans le périmètre réglementaire. Sans elle, tout dialogue avec un éditeur ou un hébergeur est prématuré.
Pour les organisations hors périmètre SREN (secteur privé, collectivités non désignées) : documentez vos choix d’hébergement actuels. Si vous traitez des données personnelles sensibles ou si vous répondez à des marchés publics impliquant des données de défense, auditez vos contrats cloud à l’aune des exigences SREN. Plusieurs appels d’offres publics commencent à inclure des clauses de conformité SecNumCloud y compris pour des prestataires privés.
La question n’est pas “est-ce que SecNumCloud me concerne ?” mais “quand et dans quel périmètre ?” La réglementation tend à s’élargir, pas à se rétracter.
Pour approfondir les choix d’architecture cloud pour votre ERP, consultez notre guide cloud vs on-premise vs hybride pour les ETI et notre analyse des implications du CLOUD Act pour les DSI européens utilisant Workday.
