FiveM
Minecraft
Rust
RedM
HytaleDepuis la publication du décret d'application de l'article 31 de la loi SREN, la question revient chez les administrateurs : « dois-je migrer mes serveurs vers un cloud SecNumCloud ? ». La réponse dépend moins de la technique que de votre statut et de la nature des données. Ce guide fait le tri entre l'obligation légale, la bonne pratique et l'exigence contractuelle, pour les administrateurs de VPS Linux comme pour ceux de serveurs dédiés.
En bref
- SecNumCloud est un référentiel de l'ANSSI, qui débouche sur une qualification des prestataires cloud.
- L'article 31 de la loi SREN impose l'usage d'un cloud qualifié pour les données de sensibilité particulière détenues par l'État et certains organismes publics.
- Le décret d'application a été publié au Journal officiel le 16 avril 2026.
- Une entreprise privée n'est pas directement soumise à cette obligation, mais peut l'être indirectement via ses clients publics.
Les termes à connaître
| Terme | Définition |
|---|---|
| SREN | Loi visant à sécuriser et réguler l'espace numérique. Son article 31 traite de l'hébergement de données sensibles dans le cloud. |
| SecNumCloud | Référentiel d'exigences de sécurité de l'ANSSI pour les prestataires de services cloud. |
| Qualification | Reconnaissance délivrée à une offre de cloud précise après audit, sur la base du référentiel. |
| Cloud de confiance | Label commercial et politique publique autour d'offres jugées fiables. Ce n'est pas un synonyme de qualification SecNumCloud. |
| Doctrine « cloud au centre » | Circulaire du 5 juillet 2021 sur l'usage de l'informatique en nuage par l'État. |
| Loi extraterritoriale | Loi d'un pays tiers qui peut permettre à ses autorités d'accéder à des données hébergées hors de son territoire. |
| Données de sensibilité particulière | Notion de l'article 31 : secrets protégés par la loi et données nécessaires aux missions essentielles de l'État. |
| Hébergeur | Prestataire qui met à disposition de ses clients l'infrastructure où tournent leurs sites ou leurs serveurs. |
| Infogérance | Prise en charge, par un prestataire, de tout ou partie de l'exploitation d'un serveur : supervision, mises à jour, sécurité, selon le contrat. |
| Data center | Bâtiment qui regroupe des serveurs, avec alimentation électrique, refroidissement et connexions réseau. Synonyme de datacenter. |
| Haute disponibilité | Architecture qui limite les interruptions de service, par exemple grâce à la redondance de composants ou de sites. |
| Nom de domaine | Adresse lisible qui désigne un site internet ou un service, par exemple exemple.fr. |
| DNS | Service qui traduit un nom de domaine en adresse IP. |
| Adresse IP | Numéro qui identifie une machine sur un réseau. Un serveur peut disposer d'une ou de plusieurs adresses IP. |
| Accès SSH | Connexion chiffrée à distance, qui permet d'administrer un serveur en ligne de commande. |
| FTP | Protocole de transfert de fichiers. En FTP simple, les échanges ne sont pas chiffrés : SFTP et FTPS sont ses variantes sécurisées. |
| Firewall (pare-feu) | Logiciel ou équipement qui filtre les flux réseau selon des règles définies. |
| Panneau de contrôle | Interface web qui sert à gérer un hébergement ou un serveur, comme Plesk. |
| Serveur web | Logiciel qui répond aux requêtes HTTP et sert les pages d'un site web, comme Apache ou Nginx. |
| Hébergement cloud | Ressources d'infrastructure réparties sur plusieurs serveurs physiques et mises à disposition à la demande. |
| Serveur privé | Terme commercial, souvent employé pour désigner un VPS ou un serveur dédié. Son sens dépend du prestataire. |
| Backup (sauvegarde) | Copie des données conservée à part du système qu'elle protège, pour une restauration en cas de perte. |
Qu'est-ce que SecNumCloud ?
SecNumCloud est un référentiel publié par l'ANSSI. Un prestataire qui souhaite être qualifié se soumet à un audit de son offre. Le référentiel couvre notamment :
- la sécurité technique et organisationnelle du service (gestion des accès, journalisation, cloisonnement des clients, gestion des incidents) ;
- la maîtrise de la chaîne de sous-traitance ;
- la localisation et le droit applicable au service et aux données ;
- la protection contre les accès imposés par des législations non européennes.
Point essentiel : la qualification porte sur une offre et non sur une entreprise entière. Un même fournisseur peut avoir une offre qualifiée et d'autres qui ne le sont pas. La liste des offres qualifiées est tenue par l'ANSSI, c'est la seule référence fiable.
Hébergement mutualisé, VPS ou serveur dédié : quelle différence ?
Le mode d'hébergement décrit la façon dont les ressources sont partagées entre les clients. Il ne dit pas, à lui seul, si une offre est qualifiée. Chaque solution répond à un besoin différent, qu'il s'agisse d'un hébergement mutualisé pour un site web, de serveurs virtuels ou d'un serveur dédié :
| Solution | Principe | Ce que cela implique pour vous |
|---|---|---|
| Hébergement mutualisé | Plusieurs clients utilisent le même serveur, avec des ressources partagées. | Vous n'administrez pas le système. La configuration relève de l'hébergeur. |
| VPS (serveur virtuel) | Une machine virtuelle créée par virtualisation sur un serveur physique partagé avec d'autres machines virtuelles. | Vous disposez en général d'un accès root et administrez le système. Le cloisonnement repose sur l'hyperviseur. |
| Serveur dédié | Une machine physique réservée à un seul client. | Vous maîtrisez l'ensemble du système et de ses réglages de sécurité. |
Quelle que soit la solution, le processeur, la RAM, l'espace de stockage et la bande passante se dimensionnent selon votre usage : site internet ou site web sous CMS, base MySQL, messagerie, sauvegardes (backup).
Pour la conformité, le point clé reste la qualification, qui porte sur une offre précise quel que soit le mode d'hébergement. Un serveur dédié n'est pas qualifié du seul fait qu'il est dédié.
Accès et administration : les réglages à connaître
Les serveurs sont hébergés dans un datacenter, mais la part d'administration qui vous revient dépend de votre offre et de votre contrat d'infogérance. Sur un VPS ou un serveur dédié, vous gérez en général plusieurs couches :
- Le nom de domaine et le DNS : le nom de domaine pointe vers une adresse IP grâce aux enregistrements DNS.
- L'accès à distance : l'accès SSH sert à l'administration en ligne de commande. Le FTP sert au transfert de fichiers, et on lui préfère une variante chiffrée.
- Le filtrage réseau : un firewall ne laisse passer que les flux que vous avez autorisés.
- Les logiciels : serveur web, base de données, panneau de contrôle comme Plesk, distribution Linux comme Debian.
- La sauvegarde : un backup doit être conservé à part du serveur qu'il protège.
Ces réglages ne suffisent pas à qualifier une offre. Un panneau de contrôle, un accès FTP ou un firewall ne remplacent pas la qualification SecNumCloud, qui s'applique à l'offre et reste liée à la nature des données.
Ce que dit l'article 31 de la loi SREN
L'article 31 reprend, en les inscrivant dans la loi, les principes de la doctrine « cloud au centre » de 2021. Selon l'analyse publiée par Acteurs Publics, les données visées sont celles dites à « sensibilité particulière », définies de deux façons :
- les secrets protégés par la loi ;
- les données nécessaires à l'accomplissement des missions essentielles de l'État : sécurité nationale, maintien de l'ordre public, protection de la santé et de la vie des personnes.
Ces données doivent être hébergées chez un prestataire disposant de la qualification SecNumCloud. Le texte ne prévoit pas de sanction propre d'après cette même source, ce qui n'enlève rien à l'obligation de conformité ni aux risques de responsabilité en cas d'incident.
Le décret d'application du 16 avril 2026
Le décret a été publié au Journal officiel le 16 avril 2026. Il précise les entités concernées. D'après Acteurs Publics, il liste six groupements d'intérêt public :
- l'Agence du numérique en santé ;
- le Centre d'accès sécurisé aux données ;
- le Centre ressources prévention de la radicalisation ;
- le collecteur analyseur de données ;
- le GIP modernisation des déclarations sociales ;
- le système national d'enregistrement de la demande de logement social.
À ces GIP s'ajoutent les services de l'État qui font appel à des prestataires privés de cloud. En revanche, selon la même source, les GIP rattachés aux collectivités et les opérateurs publics de services numériques ne figurent pas dans le champ. Le Health Data Hub et Renater n'apparaissent pas non plus dans la liste.
Le ministère de l'Économie a également publié une fiche technique sur le champ matériel de l'article et de son décret. Lisez-la directement si vous devez qualifier un traitement précis : les cas limites s'y jouent.
Qui doit héberger sur un cloud qualifié ?
| Profil | Obligation directe ? | À faire |
|---|---|---|
| Services de l'État | Oui, pour les données sensibles | Utiliser une offre qualifiée SecNumCloud |
| Les six GIP listés par le décret | Oui | Idem, avec le régime de dérogation si projet antérieur |
| Collectivités | Pas à ce stade, extension en discussion | Suivre l'évolution du texte |
| Entreprise privée sans client public | Non, par cette loi | Appliquer ses propres exigences de sécurité (RGPD, contrats) |
| Prestataire ou sous-traitant d'une entité concernée | Indirecte, via le contrat | Faire confirmer le périmètre par écrit |
Une extension aux collectivités de plus de 30 000 habitants a été évoquée dans un texte en discussion. Elle n'était pas adoptée à la date de rédaction : ne la traitez pas comme acquise.
Délais et dérogations
Pour les organismes qui avaient lancé un projet cloud non conforme avant la publication du décret, un régime de dérogation existe, d'après Acteurs Publics :
- le ministre de tutelle dispose de deux mois pour répondre à la demande ;
- si une solution conforme existe sur le marché, l'organisme a 18 mois à compter de son apparition pour se mettre en conformité ;
- si aucune solution n'est identifiée, la dérogation vaut un an et est renouvelable jusqu'à ce qu'une solution conforme apparaisse.
Et si vous êtes une entreprise privée ?
Vous n'êtes pas visé directement, mais trois situations peuvent tout de même vous ramener à SecNumCloud :
- Vous travaillez pour une entité publique concernée. L'appel d'offres ou le contrat peut exiger un hébergement qualifié, y compris pour vos sous-traitants.
- Vous êtes concerné par NIS 2. Ce n'est pas la même logique : NIS 2 impose des mesures de gestion du risque, pas un cloud qualifié. Voyez notre article sur NIS 2 et la loi Résilience.
- Vos clients demandent des garanties de souveraineté. C'est un argument commercial, pas une obligation légale.
Dans tous les cas, SecNumCloud n'est pas le seul levier. Le RGPD, les clauses contractuelles et la localisation des données en Europe restent vos obligations de base. Sur la réversibilité et les frais de sortie, voyez aussi le Data Act, et pour le contexte politique le débat sur le cloud souverain.
Comment vérifier qu'une offre est bien qualifiée
- Consultez la liste des offres qualifiées sur le site de l'ANSSI, pas le site commercial du prestataire.
- Vérifiez que l'offre précise que vous achetez figure sur cette liste, et pas seulement l'entreprise.
- Contrôlez le périmètre de la qualification : certaines offres ne couvrent qu'une partie des services.
- Demandez où sont hébergées les données, qui administre l'infrastructure et quels sous-traitants interviennent.
- Faites figurer l'exigence dans le contrat, avec la clause de perte de qualification.
Attention aux formulations proches mais différentes : « hébergé en France », « souverain » ou « cloud de confiance » ne valent pas qualification SecNumCloud.
Précision sur nos offres : cet article ne prétend pas que les services ElypseCloud soient qualifiés SecNumCloud. Si votre cadre l'impose, vérifiez la liste de l'ANSSI avant tout choix.
Sécurité d'un serveur hors périmètre SREN
Si vous n'avez pas d'obligation de qualification, vous pouvez quand même élever le niveau de sécurité de vos serveurs avec des mesures concrètes. Un hébergement en datacenter à Paris, avec une protection anti-DDoS, répond à une partie des attentes de localisation et de disponibilité. Pour le reste, la sécurité dépend de votre configuration :
- durcir l'accès avec les premiers réglages d'un serveur dédié ;
- chiffrer les données et les sauvegardes envoyées hors site ;
- filtrer les flux avec un firewall, journaliser et surveiller les accès, par exemple avec Wazuh ;
- garder la maîtrise physique de votre matériel avec le housing en datacenter.
Les sauvegardes ElypseCloud sont proposées en option : prévoyez-les explicitement dans votre architecture. Pour un accès root et une maîtrise complète du système, un VPS Linux ou un serveur dédié convient, au choix selon la charge.
Checklist pour un admin
- Identifiez votre statut : État, GIP listé, collectivité, entreprise ou sous-traitant.
- Classez vos données : sont-elles des secrets protégés ou nécessaires aux missions essentielles de l'État ? Pensez aux bases de données (MySQL, par exemple), aux messageries et aux sites sous CMS, qui contiennent souvent des données personnelles.
- Cartographiez où elles sont hébergées aujourd'hui, et chez quel prestataire.
- Comparez avec la liste ANSSI des offres qualifiées.
- Si l'écart existe, étudiez la dérogation et planifiez la migration.
- Documentez tout : décision, périmètre, contrats.
À retenir
La loi SREN ne transforme pas SecNumCloud en obligation universelle. Elle l'impose aux données sensibles de l'État et de certains organismes listés, avec un régime de dérogation transitoire. Pour les autres, c'est un critère de choix parmi d'autres. Restez attentif au texte étendant le champ aux collectivités, et vérifiez toujours les listes officielles plutôt que les promesses marketing.