Cloud au centre (Doctrine française)
#Définition Cloud au centre (Doctrine française)
Doctrine cloud française pour l'administration publique, promulguée par la DINUM en juillet 2021, révisée mai 2023, puis durcie en 2024. Impose aux administrations centrales et opérateurs publics de prioriser le cloud (SaaS, PaaS, IaaS) pour leurs SI, avec qualification SecNumCloud ou équivalent ANSSI pour les données sensibles. Pour approfondir, consultez la page service Souveraineté Numérique Responsable.
Côté implémentation, Trois piliers : (1) sécurité (qualification SecNumCloud obligatoire pour données sensibles), (2) immunité juridique (protection contre lois extraterritoriales type CLOUD Act US), (3) performance économique (rationalisation infrastructures). Liste de prestataires qualifiés publiée par l'ANSSI : OVHcloud, Outscale, Cloud Temple, IBM Cloud Pak France.
Le concept de Cloud au centre (Doctrine française) prend tout son sens dans un contexte B2B où chaque décision technique impacte directement le ROI.
#Cloud au centre (Doctrine française) expliqué simplement
Cloud au centre = doctrine qui oblige les administrations publiques françaises à utiliser le cloud, mais PAS n'importe lequel : seulement des prestataires qualifiés par l'ANSSI (donc français/européens majoritairement). C'est une politique de souveraineté numérique qui exclut de facto AWS, Azure et Google Cloud pour les données sensibles publiques. Durcie en 2024 face aux risques d'extraterritorialité juridique des USA (CLOUD Act).
Imaginez que vous dirigez une PME ou une scale-up. C'est exactement ce type de situation que Nehos rencontre chaque semaine chez ses clients.
#Cas d'usage concrets
Exemple de situation : métropole — application de Cloud au centre — Exemple de situation : une métropole fait basculer ses applications d'un cloud public américain vers un hébergeur qualifié SecNumCloud, par étapes et sans interruption de service. La conformité à Cloud au centre est validée par la DSI et devient un argument dans les réponses aux marchés publics. Le calendrier et l'effet sur la facture cloud se chiffrent à partir d'un inventaire des applications.
Exemple de situation : ministère — SI critique migré sous Cloud au centre — Exemple de situation : le système d'information métier critique d'un ministère migre vers un cloud qualifié SecNumCloud. Les lots techniques de la couche applicative peuvent être confiés à des ESN partenaires. La conformité à la doctrine Cloud au centre est auditée par la DINUM, et la mise en production est phasée.
Exemple de situation : mutuelle santé — alignement sur Cloud au centre par effet domino — Exemple de situation : une mutuelle quitte un cloud public américain pour un hébergeur qualifié SecNumCloud. Motivation : s'aligner sur la doctrine Cloud au centre pour rester éligible aux marchés publics de santé. L'argument souveraineté devient un atout commercial dans les réponses aux appels d'offres.
#Cloud au centre (Doctrine française) chez Nehos Groupe
Chez Nehos, on part du terrain. Notre service Souveraineté Numérique Responsable couvre ce périmètre de A à Z.
La méthode Nehos est documentée sur méthode Stack Souveraine Nehos. Chaque mission démarre par un cadrage structuré : objectifs chiffrés, périmètre technique, jalons à 30/60/90 jours. On livre, on mesure, on itère. Pas de slides sans livrable.
#Termes associés
Plusieurs concepts gravitent autour de ce sujet.
- SecNumCloud (qualification ANSSI cloud souverain)
- ANSSI (Agence Nationale Sécurité Systèmes d'Information)
- DINUM (Direction Interministérielle du Numérique)
- Cloud Act US (loi extraterritoriale américaine)
- OVHcloud (hébergeur souverain français)
- Outscale (filiale cloud Dassault Systèmes)
- Cloud Temple (cloud souverain qualifié)
Tous ces termes sont interconnectés. Maîtriser l'un sans comprendre les autres, c'est voir le puzzle sans toutes les pièces.
#Points clés à retenir
Qui est concerné par la doctrine Cloud au centre ? En première ligne : toutes les administrations centrales de l'État français (ministères, agences, secrétariats généraux) et leurs opérateurs publics. La circulaire de mai 2023 a élargi le périmètre aux collectivités territoriales pour leurs SI sensibles, et à tout projet financé sur fonds publics via les plans France Relance et France 2030.
Quelle différence entre SecNumCloud et Cloud au centre ? SecNumCloud est une qualification technique délivrée par l'ANSSI à un fournisseur de cloud — c'est un label produit. Cloud au centre est une doctrine d'État qui impose aux administrations de choisir un cloud qualifié SecNumCloud (ou équivalent) pour leurs données sensibles — c'est une politique publique.
Quels sont les prestataires qualifiés Cloud au centre en 2026 ? La liste officielle ANSSI à date 2026 tient en quatre noms : OVHcloud (offre Hosted Private Cloud SecNumCloud et Bare Metal Pod), 3DS Outscale (filiale Dassault Systèmes), Cloud Temple, et IBM Cloud Pak France pour certains périmètres applicatifs. Les offres « de confiance » Bleu (Capgemini-Orange-Microsoft) et S3NS (Thales-Google) restent annoncées mais non qualifiées.
Applications Concrètes
« Exemple de situation : une métropole fait basculer ses applications d'un cloud public américain vers un hébergeur qualifié SecNumCloud, par étapes et sans interruption de service. La conformité à Cloud au centre est validée par la DSI et devient un argument dans les réponses aux marchés publics. Le calendrier et l'effet sur la facture cloud se chiffrent à partir d'un inventaire des applications. »
« Exemple de situation : le système d'information métier critique d'un ministère migre vers un cloud qualifié SecNumCloud. Les lots techniques de la couche applicative peuvent être confiés à des ESN partenaires. La conformité à la doctrine Cloud au centre est auditée par la DINUM, et la mise en production est phasée. »
« Exemple de situation : une mutuelle quitte un cloud public américain pour un hébergeur qualifié SecNumCloud. Motivation : s'aligner sur la doctrine Cloud au centre pour rester éligible aux marchés publics de santé. L'argument souveraineté devient un atout commercial dans les réponses aux appels d'offres. »
Questions & réponses
Questions fréquentes sur Cloud au centre
En première ligne : toutes les administrations centrales de l'État français (ministères, agences, secrétariats généraux) et leurs opérateurs publics. La circulaire de mai 2023 a élargi le périmètre aux collectivités territoriales pour leurs SI sensibles, et à tout projet financé sur fonds publics via les plans France Relance et France 2030. Par effet domino, les opérateurs d'importance vitale (OIV), opérateurs de services essentiels (OSE) au titre de NIS2, et les acteurs régulés (banque DORA, santé HDS) s'y conforment de fait pour rester éligibles aux marchés publics. On vous le dit franchement : si vous répondez à des appels d'offres publics en 2026, vous êtes concerné, même si vous n'êtes pas administration.
SecNumCloud est une qualification technique délivrée par l'ANSSI à un fournisseur de cloud — c'est un label produit. Cloud au centre est une doctrine d'État qui impose aux administrations de choisir un cloud qualifié SecNumCloud (ou équivalent) pour leurs données sensibles — c'est une politique publique. Autrement dit : SecNumCloud répond à « quel cloud est souverain ? », Cloud au centre répond à « qui doit utiliser un cloud souverain et quand ? ». Les deux fonctionnent en tandem : Cloud au centre fixe l'obligation, SecNumCloud fournit la liste des fournisseurs qui y répondent.
La liste officielle ANSSI à date 2026 tient en quatre noms : OVHcloud (offre Hosted Private Cloud SecNumCloud et Bare Metal Pod), 3DS Outscale (filiale Dassault Systèmes), Cloud Temple, et IBM Cloud Pak France pour certains périmètres applicatifs. Les offres « de confiance » Bleu (Capgemini-Orange-Microsoft) et S3NS (Thales-Google) restent annoncées mais non qualifiées. La liste évolue, vérifiez toujours sur le site ANSSI avant un appel d'offres — la qualification peut être suspendue ou retirée, ce qui s'est déjà produit sur des périmètres précis.
Non pour les données sensibles, c'est l'objet même de la doctrine. Tant qu'AWS, Microsoft Azure et Google Cloud restent soumis au Cloud Act américain via leurs sociétés mères, ils ne peuvent pas obtenir la qualification SecNumCloud exigée par Cloud au centre. Pour les données non sensibles (sites web institutionnels publics, contenus déjà ouverts), ils restent utilisables sous conditions. La nuance importe : Cloud au centre n'interdit pas les hyperscalers américains en bloc, elle interdit leur usage pour les données dont la fuite vers une juridiction étrangère poserait problème — ce qui couvre, en pratique, l'essentiel des SI métiers d'une administration.
Trois jalons à retenir. 2024 : durcissement de la circulaire avec extension explicite aux collectivités territoriales et conditionnement des financements France 2030 à la conformité Cloud au centre. 2025 : tous les nouveaux SI sensibles des administrations centrales doivent être nativement déployés sur cloud qualifié, plus de dérogations « hyperscaler temporaire ». 2027 : objectif de bascule complète du parc existant sensible vers SecNumCloud, avec audits DINUM annuels et plans de remédiation publics. Concrètement, les DSI publiques qui n'ont pas démarré leur plan de migration aujourd'hui se retrouveront en non-conformité à terme — et c'est précisément le créneau sur lequel nous accompagnons nos clients.