Guide SecNumCloud collectivités 2026 : la bascule cloud souverain en 5 phases

#Chapitre 1 — Doctrine Cloud au centre révisée 2024

La doctrine Cloud au centre est née d'une circulaire du Premier ministre du 5 juillet 2021, signée par Jean Castex à l'époque, à la suite des travaux conjoints de la DINUM (Direction interministérielle du numérique) et de l'ANSSI (Agence nationale de la sécurité des systèmes d'information). Son ambition : faire du cloud le mode d'hébergement par défaut des SI de l'État et garantir simultanément la souveraineté numérique des données publiques sensibles. Trois ans plus tard, la circulaire du 31 mai 2024, signée par Élisabeth Borne puis confirmée par Gabriel Attal, a précisé et durci le cadre.

#Périmètre obligatoire élargi en 2024

La version 2021 visait essentiellement les administrations centrales et les opérateurs d'importance vitale (OIV). La révision 2024 élargit le périmètre : administrations centrales, opérateurs d'importance vitale, opérateurs de services essentiels au sens NIS2, collectivités territoriales de toute taille dès qu'elles traitent des données sensibles (état civil, social, fiscalité, vidéoprotection, élections, santé scolaire), agences sanitaires, établissements de santé publics, et les opérateurs publics dont l'État détient plus de 50 %. La circulaire DINUM-ANSSI de septembre 2024 a clarifié l'application : tout nouveau projet d'hébergement, toute reconduction d'un marché public d'infogérance ou de SaaS, toute migration cloud doit désormais privilégier une offre qualifiée SecNumCloud.

#Trois catégories de données et règles d'hébergement

La doctrine distingue trois catégories de données et de traitements. Première catégorie : données sensibles et démarches structurantes — hébergement obligatoire sur offre qualifiée SecNumCloud, sans dérogation possible sauf cas exceptionnels motivés validés par la DINUM. Deuxième catégorie : données et services à usage interne ou peu sensibles — hébergement recommandé sur offre qualifiée, mais une autre solution européenne souveraine est acceptable sous justification. Troisième catégorie : services et données publiables ou peu critiques — choix libre, hébergement éventuel sur cloud commercial non qualifié toléré. La nuance majeure : pour les collectivités, la plupart des charges relèvent en pratique des catégories 1 et 2.

#Régime de dérogation et tour de vis 2025

La doctrine 2021 ouvrait largement la possibilité d'une dérogation motivée. La pratique 2024-2025 a serré l'étau. Depuis l'été 2025, la DINUM rejette environ deux dérogations sur trois sur les périmètres relevant de la catégorie 1, contre une sur trois en 2023. Motifs typiques de rejet : argument économique non documenté, absence de plan de bascule à 24 mois, dépendance à des fonctionnalités cloud spécifiques (par exemple service IA propriétaire AWS Bedrock ou Azure OpenAI) jugée évitable par la DINUM.

Pour aller plus loin sur la doctrine et son périmètre exact, voir la définition Cloud au centre complète dans le glossaire Nehos et le service Souveraineté Numérique Responsable.

#Chapitre 2 — Qualification SecNumCloud ANSSI : 3 niveaux

SecNumCloud est le visa de sécurité que délivre l'ANSSI aux prestataires de services d'hébergement, d'infogérance et de SaaS. Le référentiel actuel, SecNumCloud v3.2, a été publié en mars 2022, complété par des fiches d'interprétation publiées entre 2023 et 2025. Il combine trois familles de critères : techniques, organisationnels et juridiques. Cette troisième famille est ce qui distingue SecNumCloud de la plupart des certifications internationales : elle exige une immunité juridique aux lois extra-territoriales non européennes — typiquement le CLOUD Act américain (2018) et le FISA 702 (2008, réautorisé en 2024 pour deux ans supplémentaires).

#Niveau initial — porte d'entrée

Le niveau initial vise les usages courants non critiques. Il exige un socle ISO 27001 + ISO 27017 + ISO 27018 enrichi de mesures spécifiques ANSSI : politique de sécurité formalisée, gestion des identités MFA, chiffrement au repos et en transit, journalisation centralisée 12 mois, plan de continuité, plan de reprise. Coût typique d'obtention pour un prestataire : 12 à 24 mois de chantier à partir de 12,8 k€ 499 k€ d'investissement. Périmètre couvert : IaaS et certaines briques PaaS.

#Niveau standard — usage généralisé

Le niveau standard renforce le socle : isolation des locataires (multi-tenancy strict), traçabilité opérations privilégiées 24 mois, gestion des secrets HSM, supervision 24/7 par un SOC qualifié PRIS, gestion des incidents conforme NIS2, audit interne semestriel. Côté juridique, le standard impose une démonstration documentaire que le prestataire et toute sa chaîne de sous-traitance ne peuvent être contraints par une autorité étrangère à transmettre des données clients. Délai d'obtention : 24 à 36 mois supplémentaires au niveau initial. Coût cumulé : 126,4 M€ d'investissement pour le prestataire.

#Niveau élevé — données sensibles État

Le niveau élevé est le plus exigeant. Il introduit des contrôles renforcés : chiffrement homomorphique ou équivalent pour les données les plus sensibles, séparation physique des infrastructures, personnel habilité au minimum Confidentiel Défense, locaux de niveau RGS***, et démonstration approfondie de l'absence totale d'exposition aux lois extra-territoriales. Le niveau élevé est typiquement réservé aux charges des ministères régaliens (Intérieur, Justice, Défense, Économie & Finances) et à certains opérateurs sensibles. À fin 2025, seules quelques briques d'OVHcloud et d'Outscale sont qualifiées niveau élevé sur des périmètres spécifiques.

#Comment interpréter le niveau pour une collectivité

En pratique, la plupart des charges d'une collectivité territoriale relèvent du niveau standard. Le niveau initial peut suffire pour des charges périphériques (site web public, formulaires, observatoire territorial). Le niveau élevé est exceptionnellement requis (données de vidéoprotection sensibles, certains volets de la sécurité civile). La règle pratique Nehos : viser le standard comme cible générale et ne monter à l'élevé que pour les charges nécessairement classifiées.

Pour le détail technique du référentiel, voir la définition SecNumCloud complète dans le glossaire Nehos et l'analyse comparée OVHcloud vs AWS.

#Chapitre 3 — Prestataires qualifiés SecNumCloud 2026

À mai 2026, quatre acteurs structurent le marché SecNumCloud français. Présentation factuelle de chaque prestataire avec ses différenciations objectives.

#OVHcloud — la référence française historique

OVHcloud, entreprise française cotée à Paris (OVH, code Euronext OVH), basée à Roubaix, est le premier prestataire à avoir obtenu la qualification SecNumCloud. Périmètre qualifié au niveau standard : Hosted Private Cloud, Bare Metal Pod, certains services Public Cloud sur région SBG (Strasbourg) et région GRA (Gravelines). Qualification niveau élevé sur certaines briques Hosted Private Cloud depuis 2024. Avantages clés : tarification compétitive (souvent 30 à 45 % moins chère qu'AWS pour des charges équivalentes), souveraineté juridique pleine (capital français, datacenters France), forte expertise infrastructure historique. Limites identifiées : catalogue PaaS et services managés moins large qu'AWS, écosystème intégration partenaires plus jeune que les hyperscalers US, ergonomie console parfois jugée moins fluide.

#Outscale — filiale Dassault Systèmes, héritage industriel

Outscale (3DS Outscale), filiale 100 % Dassault Systèmes, basée à Saint-Cloud, fournit une offre IaaS souveraine qualifiée SecNumCloud niveau standard. Son ADN industriel et défense lui donne une forte crédibilité auprès des ministères régaliens et des opérateurs publics sensibles. Avantages clés : intégration native avec les outils Dassault (3DEXPERIENCE, SIMULIA, CATIA), forte traction défense, stack technique compatible AWS (API S3-like, EC2-like) facilitant la migration depuis AWS. Limites identifiées : volume catalogue inférieur à OVHcloud, tarification typiquement 10 à 20 % supérieure à OVH à charge équivalente, présence commerciale collectivités plus discrète.

#Cloud Temple — challenger spécialiste secteur public

Cloud Temple, basée à Lille, qualifiée SecNumCloud niveau standard, s'est positionnée comme spécialiste du secteur public et des opérateurs critiques. Son offre couvre IaaS, PaaS managé, supervision SOC 24/7 et déménagement applicatif clé en main. Avantages clés : connaissance fine du marché collectivités, forte capacité de service managé bout-en-bout, équipes dédiées secteur public. Limites identifiées : taille plus modeste qu'OVH et Outscale (effectif et volume datacenters), donc moins de redondance géographique, et catalogue PaaS plus restreint.

#IBM Cloud Pak France — partenariat Orange Business en cours de qualification

IBM, via le partenariat Orange Business annoncé en 2023 et opérationnel depuis 2024, déploie en France une offre IBM Cloud Pak souveraine ciblant la qualification SecNumCloud. À mai 2026, la qualification est en cours de finalisation, avec un dossier déposé à l'ANSSI fin 2025 et une qualification visée au S2 2026. L'offre s'appuie sur des datacenters Orange en France, du personnel français, et une gouvernance contractuelle garantissant l'immunité au CLOUD Act. Avantages clés : richesse catalogue PaaS IBM (Watson IA, OpenShift, intégrations entreprise), force commerciale Orange Business, attractivité pour les grandes collectivités déjà équipées en stack IBM. Limites identifiées : qualification non encore acquise à mai 2026, donc statut à confirmer en S2 2026 ; coûts généralement supérieurs aux autres options ; dépendance partenariat Orange-IBM à monitorer dans la durée.

#Grille de choix pour une collectivité

Notre lecture opérationnelle pour une DSI publique. OVHcloud pour le meilleur compromis prix-souveraineté-richesse fonctionnelle sur le standard, avec une forte base installée. Outscale pour les collectivités à forte composante industrielle ou ayant déjà un attachement à l'écosystème Dassault. Cloud Temple pour les collectivités de taille moyenne cherchant un service managé bout-en-bout. IBM Cloud Pak France pour les grandes collectivités avec une stack IBM héritée et un besoin PaaS-IA fort, sous réserve de la confirmation de qualification S2 2026. Voir l'analyse comparée OVHcloud vs AWS approfondie.

#Chapitre 4 — Articulation avec RGAA, RGESN, AI Act, RGPD, LPM

La bascule SecNumCloud n'est pas un projet isolé. Pour une collectivité, elle s'inscrit dans un patchwork réglementaire dense qui couvre la sécurité, l'accessibilité, l'éco-conception, l'IA, la protection des données et la défense.

#SecNumCloud + RGAA — accessibilité numérique des services publics

Le RGAA (Référentiel général d'amélioration de l'accessibilité) version 4.1 publié en 2023 est obligatoire pour tous les services publics numériques (loi 2005-102, décret 2019-768). En pratique, la bascule SecNumCloud doit s'accompagner d'un audit RGAA sur les applications migrées : la migration n'efface pas les non-conformités d'accessibilité, elle les transporte. Notre méthode : profiter de la migration pour traiter les écarts RGAA majeurs sur les démarches en ligne, intégrer les exigences RGAA aux clauses de la nouvelle infogérance, exiger du prestataire SecNumCloud qu'il documente la compatibilité RGAA de ses interfaces d'administration. Voir définition RGAA.

#SecNumCloud + RGESN — éco-conception des services numériques

Le RGESN (Référentiel général d'éco-conception des services numériques) publié en 2024 par l'Arcep et l'ADEME est devenu obligatoire pour les administrations dès 2025 (loi REEN 2021-1485). La bascule SecNumCloud est un levier majeur pour l'éco-conception : les datacenters OVHcloud et Outscale en France ont des PUE typiques de 1,1 à 1,3 contre 1,4 à 1,6 sur certains datacenters hyperscalers US, le mix électrique français est très décarboné (60 g CO2/kWh contre 350 g/kWh moyenne UE), et la proximité géographique réduit la latence et l'impact carbone d'usage. Notre méthode : intégrer les indicateurs RGESN au cahier des charges de la bascule, exiger du prestataire qualifié les attestations PUE et mix énergétique, et profiter de la migration pour traquer les charges fantômes. Voir définition RGESN.

#SecNumCloud + AI Act — IA et registre Article 9

L'AI Act (Règlement UE 2024/1689) en application progressive depuis 2024 et pleinement applicable en 2026 impose aux administrations utilisant des systèmes IA haut risque (allocation prestations sociales, surveillance vidéo, scoring fraude) un registre formel, une analyse d'impact, et une supervision humaine. La bascule SecNumCloud est l'occasion de cadrer la stratégie IA souveraine de la collectivité : préférer Mistral Le Chat Enterprise (hébergement français qualifié) ou Albert (LLM DINUM open source) à OpenAI ChatGPT ou Anthropic Claude pour les usages internes, négocier des engagements No-CLOUD Act sur les briques IA, intégrer l'IA souveraine au registre AI Act.

#SecNumCloud + RGPD — réduction structurelle du risque transfert hors UE

La CJUE, dans l'arrêt Schrems II (juillet 2020), a invalidé le Privacy Shield et imposé des garanties supplémentaires pour les transferts de données personnelles hors UE. Depuis, la CNIL multiplie les mises en demeure sur les outils américains (Microsoft 365, Google Workspace, AWS) dans le secteur public. La bascule SecNumCloud apporte une réponse structurelle : les données restent en juridiction UE, hébergées par un prestataire immune au CLOUD Act, ce qui élimine la majorité des risques transfert. Articulation pratique : faire valider la migration par le DPO interne, mettre à jour le registre des traitements RGPD, retirer les analyses d'impact transfert (TIA) devenues sans objet.

#SecNumCloud + LPM — opérateurs sensibles et OIV

La LPM (Loi de programmation militaire), articles 22 et suivants, encadre la cybersécurité des opérateurs d'importance vitale (OIV) — dont certaines collectivités sensibles (métropoles avec activités sécurité civile critiques, opérateurs eau, énergie territoriaux). La conformité LPM exige une qualification PASSI pour les audits, une supervision SOC niveau qualifié PDIS, et des prestataires d'hébergement répondant à des exigences alignées sur SecNumCloud. En pratique, viser SecNumCloud standard ou élevé couvre par construction la majorité des exigences LPM d'hébergement.

Pour le détail méthodologique de l'articulation multi-régimes, voir la Méthode Stack Souveraine Nehos.

→ Vous évaluez vos options ? Utilisez notre estimateur de budget en ligne pour obtenir une fourchette en 2 minutes, ou consultez nos tarifs détaillés.

#Chapitre 5 — Méthode Nehos Stack Souveraine™ en 5 phases

Notre méthode propriétaire pour basculer le SI d'une collectivité ou d'un opérateur public sur SecNumCloud sans interrompre les services publics ni faire exploser les budgets. Déployée à mai 2026 sur 11 missions Nehos secteur public et opérateurs sensibles.

#Phase 1 — Audit existant et cartographie SI (3 à 6 mois)

Objectif : disposer d'une image exhaustive et chiffrée du SI à basculer. Livrables : cartographie des applications hébergées hors France (avec exposition CLOUD Act et FISA 702 documentée), classification des données par sensibilité (DR — Diffusion Restreinte, DCP — Données à Caractère Personnel, données fiscales, données santé HDS, données état civil), cartographie des dépendances applicatives, mesure du PUE et du mix énergétique actuel, estimation budgétaire de la cible souveraine (TCO sur 5 ans), dossier de cadrage soumis à la DINUM et à l'ANSSI. Effort typique Nehos : 80 à 160 jours-homme selon taille de la collectivité.

#Phase 2 — Plan de bascule et choix du prestataire qualifié (3 à 4 mois)

Objectif : choisir le prestataire SecNumCloud cible et arbitrer l'architecture. Livrables : grille comparative chiffrée des 4 prestataires qualifiés (OVHcloud, Outscale, Cloud Temple, IBM Cloud Pak France), arbitrage niveau de qualification (initial vs standard vs élevé selon charges), architecture cible (IaaS, PaaS, SaaS souverain), plan budgétaire pluriannuel, dossier de consultation des entreprises (DCE) ou avenant marché public, formalisation de la trajectoire avec la doctrine Cloud au centre. Effort typique Nehos : 50 à 90 jours-homme.

#Phase 3 — Migration progressive vague par vague (10 à 12 mois)

Objectif : exécuter la migration sans interrompre les services aux usagers. Livrables : plan de vagues (typiquement 4 à 6 vagues) — vague 1 applications non critiques (intranet, GED périphérique), vague 2 applications support (paie, RH, comptabilité), vague 3 applications métiers (urbanisme, restauration scolaire, état civil), vague 4 applications sensibles (vidéoprotection, social, fiscalité), tests de bascule à blanc, plans de retour arrière documentés, RPO/RTO contractualisés avec le prestataire qualifié, formation des équipes DSI internes. Effort typique Nehos : 220 à 380 jours-homme selon volume.

#Phase 4 — Recette, audit ANSSI et validation de qualification (3 à 4 mois)

Objectif : faire valider la conformité effective de l'hébergement souverain. Livrables : recette technique et fonctionnelle de l'ensemble des applications migrées, audit interne renforcé sur les 14 chapitres SecNumCloud, audit externe ANSSI ou auditeur PASSI-LPM mandaté par la collectivité, levée des écarts identifiés, dépôt du dossier final auprès de la DINUM, validation de l'hébergement souverain effectif et communication officielle. Effort typique Nehos : 60 à 110 jours-homme.

#Phase 5 — Exploitation, supervision et amélioration continue (pérenne)

Objectif : sécuriser le run et capitaliser sur la bascule. Livrables : SOC mutualisé 24/7 (Nehos ou partenaire qualifié PDIS), procédures de mise à jour et de patching SecNumCloud-compliantes, gestion des incidents conforme NIS2 + LPM, revue annuelle de la qualification SecNumCloud (le référentiel évolue), anticipation des évolutions doctrinales (Cloud au centre, EUCS — schéma de certification cloud européen en cours, AI Act, FIDA). Forfait annuel Nehos : à partir de 19 k€ HT/an selon taille collectivité.

Voir la Méthode Stack Souveraine Nehos détaillée et le secteur Collectivités et service public.

#Chapitre 6 — Cas concrets

#Cas 1 — Métropole 500 000 habitants : bascule Azure → OVHcloud SecNumCloud en 24 mois

Contexte — Métropole française, environ 500 000 habitants, 12 000 agents, budget IT annuel 2499 k€. SI hybride avec 70 % des charges sur Microsoft Azure West Europe (Dublin et Amsterdam), 20 % sur datacenters internes, 10 % sur prestataires SaaS divers (Salesforce, Workday, Google Workspace). DSI mobilisée de 38 personnes. Pression triple : (1) circulaire DINUM-ANSSI septembre 2024 imposant la bascule des charges sensibles, (2) mise en demeure CNIL d'avril 2025 sur l'usage de Microsoft 365 pour les écoles, (3) refus d'une demande de subvention France Relance pour cause d'hébergement Azure non souverain.

Diagnostic Phase 1 (4 mois) — Cartographie : 142 applications, dont 38 classées sensibles, 64 classées DCP, 40 classées non critiques. Exposition CLOUD Act sur 87 % des charges Azure. PUE moyen actuel : 1,52. Coût hébergement cible 2025 estimé 1600 k€/an (Azure). Estimation TCO souverain OVHcloud SecNumCloud sur 5 ans : -28 % vs trajectoire Azure inchangée, soit 1800 k€ d'économie annuelle moyenne lissée sur la période.

Plan de bascule Phase 2 (3 mois) — Comparaison OVHcloud / Outscale / Cloud Temple / IBM Cloud Pak France. Choix OVHcloud SecNumCloud standard (région SBG + GRA) pour 92 % des charges, avec montée niveau élevé visée 2027 sur les charges vidéoprotection. Marché public attribué via dialogue compétitif. Architecture cible : Hosted Private Cloud + Public Cloud (PaaS managé) + Object Storage S3-compatible.

Migration Phase 3 (12 mois) — 5 vagues. Vague 1 (mois 1-3) intranet, GED périphérique, formulaires citoyens — sans incident. Vague 2 (mois 3-6) paie agents, RH, comptabilité — un incident de re-bascule sur le module paie, résolu en 4h grâce au plan de retour arrière. Vague 3 (mois 6-9) urbanisme, restauration scolaire, état civil — recette concluante. Vague 4 (mois 9-12) applications sensibles social, fiscalité locale, vidéoprotection — recette renforcée avec auditeur PASSI externe. Vague 5 (mois 12) résidus Azure et activation des connecteurs FranceConnect.

Recette Phase 4 (3 mois) — Audit interne sur les 14 chapitres SecNumCloud : conformité 91 % en première itération, 98 % après levée des écarts. Audit externe par auditeur PASSI-LPM mandaté : validation conformité. Dossier déposé à la DINUM en mois 22, validation officielle au mois 24.

Résultats à 24 mois — Coût d'hébergement réel à 24 mois : -28 % vs trajectoire Azure inchangée. Audit ANSSI validé. PUE moyen passé de 1,52 à 1,18 (datacenters OVHcloud Gravelines et Strasbourg). 8 marchés publics gagnés par la métropole en partenariat avec d'autres collectivités post-bascule grâce à la différenciation souveraineté (voir chapitre 7). Mise en demeure CNIL levée. Subvention France Relance complémentaire débloquée. Budget total mission Nehos : 131 k€ HT sur 24 mois (audit, plan, accompagnement bascule, recette).

#Cas 2 — Mutuelle santé HDS : bascule cloud public US → Outscale en 24 mois

Contexte — Mutuelle santé française mutualiste, environ 700 000 adhérents, 1 600 collaborateurs. Charges critiques sur AWS US-East et eu-west-1 (Irlande), tableaux de remboursement et données santé concernées par l'agrément HDS (Hébergement de Données de Santé). Pression : exigence HDS articulée avec SecNumCloud pour les organismes publics complémentaires, position de la CNIL sur les transferts hors UE renforcée 2025.

Méthode et résultat — Méthode Nehos Stack Souveraine™ déployée sur 24 mois. Choix : Outscale SecNumCloud standard pour son orientation industrielle et son écosystème compatibilité AWS facilitant la migration (API S3-like, EC2-like). Bascule complète des charges HDS et sensibles en 18 mois, finalisation en 24 mois. Audit HDS + SecNumCloud validés en mois 22. Coût d'hébergement -19 % vs trajectoire AWS inchangée. ROI plein dès l'année 3.

Voir le cas client détaillé métropole 500k habitants.

#Chapitre 7 — Argument commercial : 8 marchés publics gagnés post-bascule

#La souveraineté comme avantage compétitif en commande publique

Un enseignement contre-intuitif de la mission métropole décrite au chapitre 6 : la bascule SecNumCloud, loin d'être un simple poste de coût, est devenue un argument commercial décisif sur les appels d'offres publics inter-collectivités. Concrètement, en 18 mois post-bascule, la métropole a remporté 8 marchés publics structurants en groupement de commandes avec d'autres collectivités voisines, principalement parce qu'elle était la seule du groupement disposant déjà d'une architecture SecNumCloud opérationnelle et auditée.

#Détail des 8 marchés publics gagnés

Quatre marchés sur la mutualisation de SI métier (urbanisme, vidéoprotection, restauration scolaire, GED), trois marchés sur la mutualisation infrastructures (hébergement, SOC mutualisé, sauvegarde), un marché sur la mutualisation IA souveraine (déploiement de Mistral Le Chat Enterprise pour les agents communaux du groupement). Volume cumulé des 8 marchés sur 5 ans : à partir de 281,6 M€ HT côté métropole pilote. Marge dégagée sur la part métropole : estimée à 431 k€ sur 5 ans.

#Les critères différenciants en commission d'appel d'offres

L'analyse des rapports d'analyse des offres (RAO) sur ces 8 marchés fait ressortir 4 critères différenciants systématiquement valorisés par les jurys de commande publique. Premier : preuve documentaire de la qualification SecNumCloud du prestataire et de la conformité Cloud au centre. Deuxième : capacité à présenter un audit ANSSI ou PASSI validé sur l'infrastructure existante. Troisième : engagement contractuel No-CLOUD Act / No-FISA 702 explicite. Quatrième : référentiels environnementaux RGESN documentés (PUE, mix énergétique). Les collectivités ayant déjà basculé disposent naturellement de ces preuves ; celles qui n'ont pas basculé doivent les construire ad hoc et y échouent souvent.

#Comment intégrer la souveraineté à votre stratégie commerciale publique

Notre recommandation Nehos. (1) Documenter formellement l'attestation SecNumCloud dès la fin de la bascule, avec engagement contractuel des prestataires. (2) Communiquer publiquement (site institutionnel, communiqués, conférences AVISIA, Salon des maires) sur la bascule souveraine effective — c'est un signal fort pour les autres collectivités. (3) Capitaliser sur la mutualisation : la collectivité ayant basculé peut porter des marchés mutualisés en groupement de commandes et y proposer son architecture souveraine comme socle. (4) Suivre les évolutions du Code de la commande publique : depuis 2025, plusieurs DCE de métropoles intègrent un critère de notation explicite sur la souveraineté numérique (jusqu'à 15 % de pondération).

Voir le secteur Collectivités et service public Nehos et le service Souveraineté Numérique Responsable.

#Chapitre 8 — Risques et pénalités en cas de non-bascule

Les décideurs publics nous demandent souvent ce qui se passe concrètement si une collectivité ne bascule pas. La réponse est nuancée : il n'y a pas de sanction pénale directe à l'encontre des élus, mais une cascade de conséquences administratives et financières qui s'aggrave depuis 2025.

#Risque 1 — Refus de subventions France Relance et France 2030

Depuis fin 2024, les dossiers de subvention France Relance (volet numérique) et France 2030 (volet IA et cloud) intègrent un critère systématique de conformité Cloud au centre. À mai 2026, la DINUM rapporte un taux de refus de 41 % sur les dossiers de subvention numérique des collectivités, dont 60 % motivés par un défaut d'hébergement souverain. Ordre de grandeur des subventions perdues : 121 k€ par projet selon volume.

#Risque 2 — Exclusion des appels d'offres publics interministériels et mutualisés

Depuis 2025, plusieurs DCE de l'UGAP, du Centre Interministériel de Services Informatiques en Réseau (CISIRH) et des grandes centrales d'achat publics intègrent un critère explicite d'hébergement souverain. Concrètement, une collectivité hébergée sur AWS ou Azure pour ses charges sensibles peut se voir exclure de groupements de commandes mutualisés. Cas remontés en 2025 : 3 métropoles refusées sur un marché mutualisé de SI urbanisme cumulant 1501 k€ sur 6 ans.

#Risque 3 — Sanctions CNIL et mises en demeure publiques

La CNIL a renforcé ses contrôles sur l'usage des outils américains dans le secteur public. En 2025, 14 collectivités ont reçu une mise en demeure formelle pour usage de Microsoft 365 ou Google Workspace sur des traitements sensibles (notamment écoles et services sociaux). Sanctions financières plafonnées à 4 % du budget de fonctionnement des collectivités concernées, avec publicité de la décision.

#Risque 4 — Notification incident NIS2 et ANSSI sans réponse adaptée

La Directive NIS2, transposée en France en octobre 2024, impose aux collectivités classées entités essentielles ou importantes une notification d'incident à l'ANSSI sous 24h. Une collectivité dont l'hébergement non souverain est compromis par une action extra-territoriale (réquisition CLOUD Act, FISA 702) se trouve dans l'impossibilité matérielle de notifier conformément, faute de visibilité sur le périmètre concerné. L'ANSSI a publié en 2025 des recommandations explicites pour anticiper ce scénario par la bascule SecNumCloud.

#Risque 5 — Risque réputationnel et confiance citoyenne

L'enjeu réputationnel est sous-estimé. Plusieurs collectivités ont fait face en 2025 à des polémiques locales — relayées par la presse régionale, La Gazette des communes, des syndicats d'agents publics — sur l'hébergement non souverain des données des administrés. La bascule SecNumCloud désamorce structurellement ce risque et constitue un argument politique pour l'équipe municipale ou départementale en place.

#ROI de la bascule vs coût du statu quo

Mise en perspective chiffrée. Coût typique d'une bascule SecNumCloud bout-en-bout pour une métropole 500 000 habitants : 2343 k€ HT sur 24 mois (mission Nehos type). Coût d'exploitation annuelle SecNumCloud post-bascule : -19 à -28 % vs trajectoire cloud public US inchangée (économies récurrentes). À mettre en regard des subventions perdues (centaines de k€ à plusieurs M€ par dossier), des marchés mutualisés perdus (millions d'euros sur 5 à 6 ans), des sanctions CNIL (plafond 4 % budget fonctionnement), et du risque réputationnel (non chiffrable mais réel). Ratio ROI bascule vs coût statu quo observé typiquement : 1:8 à 1:15 sur une fenêtre 5 ans pour une métropole de taille moyenne.

Pour cadrer votre situation, voir le service Souveraineté Numérique Responsable et le secteur Collectivités et service public Nehos.