Guide SecNumCloud collectivités 2026 : la bascule cloud souverain en 5 phases

#Chapitre 1 — Doctrine Cloud au centre révisée 2024

La doctrine Cloud au centre est née d'une circulaire du Premier ministre du 5 juillet 2021, signée par Jean Castex à l'époque, à la suite des travaux conjoints de la DINUM (Direction interministérielle du numérique) et de l'ANSSI (Agence nationale de la sécurité des systèmes d'information).

Son ambition : faire du cloud le mode d'hébergement par défaut des SI de l'État et garantir simultanément la souveraineté numérique des données publiques sensibles. Trois ans plus tard, la circulaire du 31 mai 2024, signée par Élisabeth Borne puis confirmée par Gabriel Attal, a précisé et durci le cadre.

#Périmètre obligatoire élargi en 2024

La version 2021 visait essentiellement les administrations centrales et les opérateurs d'importance vitale (OIV). La révision 2024 élargit le périmètre : administrations centrales, opérateurs d'importance vitale, opérateurs de services essentiels au sens NIS2, collectivités territoriales de toute taille dès qu'elles traitent des données sensibles (état civil, social, fiscalité, vidéoprotection, élections, santé scolaire), agences sanitaires, établissements de santé publics, et les opérateurs publics dont l'État détient plus de 50 %.

La circulaire DINUM-ANSSI de septembre 2024 a clarifié l'application : tout nouveau projet d'hébergement, toute reconduction d'un marché public d'infogérance ou de SaaS, toute migration cloud doit désormais privilégier une offre qualifiée SecNumCloud.

#Trois catégories de données et règles d'hébergement

La doctrine distingue trois catégories de données et de traitements. Première catégorie : données sensibles et démarches structurantes — hébergement obligatoire sur offre qualifiée SecNumCloud, sans dérogation possible sauf cas exceptionnels motivés validés par la DINUM. Deuxième catégorie : données et services à usage interne ou peu sensibles — hébergement recommandé sur offre qualifiée, mais une autre solution européenne souveraine est acceptable sous justification.

Troisième catégorie : services et données publiables ou peu critiques — choix libre, hébergement éventuel sur cloud commercial non qualifié toléré. La nuance majeure : pour les collectivités, la plupart des charges relèvent en pratique des catégories 1 et 2.

#Régime de dérogation et tour de vis 2025

La doctrine 2021 ouvrait largement la possibilité d'une dérogation motivée. La pratique récente est plus stricte. Motifs typiques de rejet d'une demande de dérogation : argument économique non documenté, absence de plan de bascule à 24 mois, dépendance à des fonctionnalités cloud spécifiques (par exemple service IA propriétaire AWS Bedrock ou Azure OpenAI) jugée évitable.

Pour aller plus loin sur la doctrine et son périmètre exact, voir la définition Cloud au centre complète dans le glossaire Nehos et le service Souveraineté Numérique Responsable.

#Chapitre 2 — Qualification SecNumCloud ANSSI : 3 niveaux

SecNumCloud est le visa de sécurité que délivre l'ANSSI aux prestataires de services d'hébergement, d'infogérance et de SaaS. Le référentiel actuel, SecNumCloud v3.2, a été publié en mars 2022, complété par des fiches d'interprétation publiées entre 2023 et 2025. Il combine trois familles de critères : techniques, organisationnels et juridiques.

Cette troisième famille est ce qui distingue SecNumCloud de la plupart des certifications internationales : elle exige une immunité juridique aux lois extra-territoriales non européennes — typiquement le CLOUD Act américain (2018) et le FISA 702 (2008, réautorisé en 2024 pour deux ans supplémentaires).

#Niveau initial — porte d'entrée

Le niveau initial vise les usages courants non critiques. Il exige un socle ISO 27001 + ISO 27017 + ISO 27018 enrichi de mesures spécifiques ANSSI : politique de sécurité formalisée, gestion des identités MFA, chiffrement au repos et en transit, journalisation centralisée 12 mois, plan de continuité, plan de reprise. Périmètre couvert : IaaS et certaines briques PaaS.

#Niveau standard — usage généralisé

Le niveau standard renforce le socle : isolation des locataires (multi-tenancy strict), traçabilité opérations privilégiées 24 mois, gestion des secrets HSM, supervision 24/7 par un SOC qualifié PRIS, gestion des incidents conforme NIS2, audit interne semestriel. Côté juridique, le standard impose une démonstration documentaire que le prestataire et toute sa chaîne de sous-traitance ne peuvent être contraints par une autorité étrangère à transmettre des données clients.

#Niveau élevé — données sensibles État

Le niveau élevé est le plus exigeant. Il introduit des contrôles renforcés : chiffrement homomorphique ou équivalent pour les données les plus sensibles, séparation physique des infrastructures, personnel habilité au minimum Confidentiel Défense, locaux de niveau RGS***, et démonstration approfondie de l'absence totale d'exposition aux lois extra-territoriales. Le niveau élevé est typiquement réservé aux charges des ministères régaliens (Intérieur, Justice, Défense, Économie & Finances) et à certains opérateurs sensibles. À fin 2025, seules quelques briques d'OVHcloud et d'Outscale sont qualifiées niveau élevé sur des périmètres spécifiques.

#Comment interpréter le niveau pour une collectivité

En pratique, la plupart des charges d'une collectivité territoriale relèvent du niveau standard. Le niveau initial peut suffire pour des charges périphériques (site web public, formulaires, observatoire territorial). Le niveau élevé est exceptionnellement requis (données de vidéoprotection sensibles, certains volets de la sécurité civile). La règle pratique Nehos : viser le standard comme cible générale et ne monter à l'élevé que pour les charges nécessairement classifiées.

Pour le détail technique du référentiel, voir la définition SecNumCloud complète dans le glossaire Nehos et l'analyse comparée OVHcloud vs AWS.

#Chapitre 3 — Prestataires qualifiés SecNumCloud 2026

À mai 2026, quatre acteurs structurent le marché SecNumCloud français. Présentation factuelle de chaque prestataire avec ses différenciations objectives.

#OVHcloud — la référence française historique

OVHcloud, entreprise française cotée à Paris (OVH, code Euronext OVH), basée à Roubaix, est le premier prestataire à avoir obtenu la qualification SecNumCloud. Périmètre qualifié au niveau standard : Hosted Private Cloud, Bare Metal Pod, certains services Public Cloud sur région SBG (Strasbourg) et région GRA (Gravelines).

Qualification niveau élevé sur certaines briques Hosted Private Cloud depuis 2024. Avantages clés : tarification compétitive, souveraineté juridique pleine (capital français, datacenters France), forte expertise infrastructure historique. Limites identifiées : catalogue PaaS et services managés moins large qu'AWS, écosystème intégration partenaires plus jeune que les hyperscalers US, ergonomie console parfois jugée moins fluide.

#Outscale — filiale Dassault Systèmes, héritage industriel

Outscale (3DS Outscale), filiale 100 % Dassault Systèmes, basée à Saint-Cloud, fournit une offre IaaS souveraine qualifiée SecNumCloud niveau standard. Son ADN industriel et défense lui donne une forte crédibilité auprès des ministères régaliens et des opérateurs publics sensibles.

Avantages clés : intégration native avec les outils Dassault (3DEXPERIENCE, SIMULIA, CATIA), forte traction défense, stack technique compatible AWS (API S3-like, EC2-like) facilitant la migration depuis AWS. Limites identifiées : volume catalogue inférieur à OVHcloud, tarification généralement supérieure à celle d'OVHcloud, présence commerciale collectivités plus discrète.

#Cloud Temple — challenger spécialiste secteur public

Cloud Temple, basée à Lille, qualifiée SecNumCloud niveau standard, s'est positionnée comme spécialiste du secteur public et des opérateurs critiques. Son offre couvre IaaS, PaaS managé, supervision SOC 24/7 et déménagement applicatif clé en main. Avantages clés : connaissance fine du marché collectivités, forte capacité de service managé bout-en-bout, équipes dédiées secteur public.

Limites identifiées : taille plus modeste qu'OVH et Outscale (effectif et volume datacenters), donc moins de redondance géographique, et catalogue PaaS plus restreint.

#IBM Cloud Pak France — partenariat Orange Business en cours de qualification

IBM, via le partenariat Orange Business annoncé en 2023 et opérationnel depuis 2024, déploie en France une offre IBM Cloud Pak souveraine ciblant la qualification SecNumCloud. À mai 2026, la qualification est en cours de finalisation, avec un dossier déposé à l'ANSSI fin 2025 et une qualification visée au S2 2026.

L'offre s'appuie sur des datacenters Orange en France, du personnel français, et une gouvernance contractuelle garantissant l'immunité au CLOUD Act. Avantages clés : richesse catalogue PaaS IBM (Watson IA, OpenShift, intégrations entreprise), force commerciale Orange Business, attractivité pour les grandes collectivités déjà équipées en stack IBM.

Limites identifiées : qualification non encore acquise à mai 2026, donc statut à confirmer en S2 2026 ; coûts généralement supérieurs aux autres options ; dépendance partenariat Orange-IBM à monitorer dans la durée.

#Grille de choix pour une collectivité

Notre lecture opérationnelle pour une DSI publique. OVHcloud pour le meilleur compromis prix-souveraineté-richesse fonctionnelle sur le standard, avec une forte base installée. Outscale pour les collectivités à forte composante industrielle ou ayant déjà un attachement à l'écosystème Dassault.

Cloud Temple pour les collectivités de taille moyenne cherchant un service managé bout-en-bout. IBM Cloud Pak France pour les grandes collectivités avec une stack IBM héritée et un besoin PaaS-IA fort, sous réserve de la confirmation de qualification S2 2026. Voir l'analyse comparée OVHcloud vs AWS approfondie.

#Chapitre 4 — Articulation avec RGAA, RGESN, AI Act, RGPD, LPM

La bascule SecNumCloud n'est pas un projet isolé. Pour une collectivité, elle s'inscrit dans un patchwork réglementaire dense qui couvre la sécurité, l'accessibilité, l'éco-conception, l'IA, la protection des données et la défense.

#SecNumCloud + RGAA — accessibilité numérique des services publics

Le RGAA (Référentiel général d'amélioration de l'accessibilité) version 4.1 publié en 2023 est obligatoire pour tous les services publics numériques (loi 2005-102, décret 2019-768). En pratique, la bascule SecNumCloud doit s'accompagner d'un audit RGAA sur les applications migrées : la migration n'efface pas les non-conformités d'accessibilité, elle les transporte.

Notre méthode : profiter de la migration pour traiter les écarts RGAA majeurs sur les démarches en ligne, intégrer les exigences RGAA aux clauses de la nouvelle infogérance, exiger du prestataire SecNumCloud qu'il documente la compatibilité RGAA de ses interfaces d'administration. Voir définition RGAA.

#SecNumCloud + RGESN — éco-conception des services numériques

Le RGESN (Référentiel général d'éco-conception des services numériques) publié en 2024 par l'Arcep et l'ADEME est devenu obligatoire pour les administrations dès 2025 (loi REEN 2021-1485). La bascule SecNumCloud est un levier majeur pour l'éco-conception : les datacenters situés en France bénéficient d'un mix électrique très décarboné, et la proximité géographique réduit la latence et l'impact carbone d'usage.

Notre méthode : intégrer les indicateurs RGESN au cahier des charges de la bascule, exiger du prestataire qualifié les attestations PUE et mix énergétique, et profiter de la migration pour traquer les charges fantômes. Voir définition RGESN.

#SecNumCloud + AI Act — IA et registre Article 9

L'AI Act (Règlement UE 2024/1689) en application progressive depuis 2024 et pleinement applicable en 2026 impose aux administrations utilisant des systèmes IA haut risque (allocation prestations sociales, surveillance vidéo, scoring fraude) un registre formel, une analyse d'impact, et une supervision humaine.

La bascule SecNumCloud est l'occasion de cadrer la stratégie IA souveraine de la collectivité : préférer Mistral Le Chat Enterprise (hébergement français qualifié) ou Albert (LLM DINUM open source) à OpenAI ChatGPT ou Anthropic Claude pour les usages internes, négocier des engagements No-CLOUD Act sur les briques IA, intégrer l'IA souveraine au registre AI Act.

#SecNumCloud + RGPD — réduction structurelle du risque transfert hors UE

La CJUE, dans l'arrêt Schrems II (juillet 2020), a invalidé le Privacy Shield et imposé des garanties supplémentaires pour les transferts de données personnelles hors UE. Depuis, la CNIL multiplie les mises en demeure sur les outils américains (Microsoft 365, Google Workspace, AWS) dans le secteur public.

La bascule SecNumCloud apporte une réponse structurelle : les données restent en juridiction UE, hébergées par un prestataire immune au CLOUD Act, ce qui élimine la majorité des risques transfert. Articulation pratique : faire valider la migration par le DPO interne, mettre à jour le registre des traitements RGPD, retirer les analyses d'impact transfert (TIA) devenues sans objet.

#SecNumCloud + LPM — opérateurs sensibles et OIV

La LPM (Loi de programmation militaire), articles 22 et suivants, encadre la cybersécurité des opérateurs d'importance vitale (OIV) — dont certaines collectivités sensibles (métropoles avec activités sécurité civile critiques, opérateurs eau, énergie territoriaux). La conformité LPM exige une qualification PASSI pour les audits, une supervision SOC niveau qualifié PDIS, et des prestataires d'hébergement répondant à des exigences alignées sur SecNumCloud. En pratique, viser SecNumCloud standard ou élevé couvre par construction la majorité des exigences LPM d'hébergement.

Pour le détail méthodologique de l'articulation multi-régimes, voir la Méthode Stack Souveraine Nehos.

→ Vous évaluez vos options ? Utilisez notre estimateur de budget en ligne pour obtenir une fourchette en 2 minutes, ou consultez nos tarifs détaillés.

#Chapitre 5 — Méthode Nehos Stack Souveraine™ en 5 phases

Notre méthode propriétaire pour basculer le SI d'une collectivité ou d'un opérateur public sur SecNumCloud sans interrompre les services publics ni faire exploser les budgets.

#Phase 1 — Audit existant et cartographie SI (3 à 6 mois)

Objectif : disposer d'une image exhaustive et chiffrée du SI à basculer. Livrables : cartographie des applications hébergées hors France (avec exposition CLOUD Act et FISA 702 documentée), classification des données par sensibilité (DR — Diffusion Restreinte, DCP — Données à Caractère Personnel, données fiscales, données santé HDS, données état civil), cartographie des dépendances applicatives, mesure du PUE et du mix énergétique actuel, estimation budgétaire de la cible souveraine (TCO sur 5 ans), dossier de cadrage soumis à la DINUM et à l'ANSSI.

#Phase 2 — Plan de bascule et choix du prestataire qualifié (3 à 4 mois)

Objectif : choisir le prestataire SecNumCloud cible et arbitrer l'architecture. Livrables : grille comparative des 4 prestataires qualifiés (OVHcloud, Outscale, Cloud Temple, IBM Cloud Pak France), arbitrage niveau de qualification (initial vs standard vs élevé selon charges), architecture cible (IaaS, PaaS, SaaS souverain), plan budgétaire pluriannuel, dossier de consultation des entreprises (DCE) ou avenant marché public, formalisation de la trajectoire avec la doctrine Cloud au centre.

#Phase 3 — Migration progressive vague par vague (10 à 12 mois)

Objectif : exécuter la migration sans interrompre les services aux usagers. Livrables : plan de vagues (typiquement 4 à 6 vagues) — vague 1 applications non critiques (intranet, GED périphérique), vague 2 applications support (paie, RH, comptabilité), vague 3 applications métiers (urbanisme, restauration scolaire, état civil), vague 4 applications sensibles (vidéoprotection, social, fiscalité), tests de bascule à blanc, plans de retour arrière documentés, RPO/RTO contractualisés avec le prestataire qualifié, formation des équipes DSI internes.

#Phase 4 — Recette, audit ANSSI et validation de qualification (3 à 4 mois)

Objectif : faire valider la conformité effective de l'hébergement souverain. Livrables : recette technique et fonctionnelle de l'ensemble des applications migrées, audit interne renforcé sur les 14 chapitres SecNumCloud, audit externe ANSSI ou auditeur PASSI-LPM mandaté par la collectivité, levée des écarts identifiés, dépôt du dossier final auprès de la DINUM, validation de l'hébergement souverain effectif et communication officielle.

#Phase 5 — Exploitation, supervision et amélioration continue (pérenne)

Objectif : sécuriser le run et capitaliser sur la bascule. Livrables : SOC mutualisé 24/7 (assuré par un prestataire qualifié PDIS), procédures de mise à jour et de patching SecNumCloud-compliantes, gestion des incidents conforme NIS2 + LPM, revue annuelle de la qualification SecNumCloud (le référentiel évolue), anticipation des évolutions doctrinales (Cloud au centre, EUCS — schéma de certification cloud européen en cours, AI Act, FIDA). Forfait d'exploitation sur devis, selon la taille de la collectivité.

Voir la Méthode Stack Souveraine Nehos détaillée et le secteur Collectivités et service public.

#Chapitre 6 — Exemples de situation

#Exemple 1 — Une grande métropole : bascule Azure → OVHcloud SecNumCloud

Ces exemples sont des situations types construites pour illustrer la méthode. Ce ne sont pas des cas clients réels et ils ne comportent aucun chiffre de résultat.

Contexte — Une grande métropole française. SI hybride avec la majorité des charges sur Microsoft Azure West Europe, une partie sur datacenters internes, le reste chez des prestataires SaaS divers (Salesforce, Workday, Google Workspace). Pression triple : (1) la circulaire DINUM-ANSSI imposant la bascule des charges sensibles, (2) une mise en demeure CNIL sur l'usage de Microsoft 365 pour les écoles, (3) un refus de subvention motivé par un hébergement Azure non souverain.

Diagnostic Phase 1 — Cartographie des applications, classées en sensibles, DCP et non critiques. Mesure de l'exposition au CLOUD Act sur les charges Azure et du PUE actuel. Estimation du TCO souverain sur 5 ans comparé à la trajectoire Azure inchangée.

Plan de bascule Phase 2 — Comparaison OVHcloud / Outscale / Cloud Temple / IBM Cloud Pak France. Choix d'OVHcloud SecNumCloud standard (régions SBG et GRA) pour la grande majorité des charges, avec montée au niveau élevé visée sur les charges de vidéoprotection. Marché public attribué via dialogue compétitif. Architecture cible : Hosted Private Cloud + Public Cloud (PaaS managé) + Object Storage compatible S3.

Migration Phase 3 (12 mois) — 5 vagues. Vague 1 (mois 1-3) intranet, GED périphérique, formulaires citoyens — sans incident. Vague 2 (mois 3-6) paie agents, RH, comptabilité — un incident de re-bascule sur le module paie, résolu en 4h grâce au plan de retour arrière. Vague 3 (mois 6-9) urbanisme, restauration scolaire, état civil — recette concluante.

Vague 4 (mois 9-12) applications sensibles social, fiscalité locale, vidéoprotection — recette renforcée avec auditeur PASSI externe. Vague 5 (mois 12) résidus Azure et activation des connecteurs FranceConnect.

Recette Phase 4 — Audit interne sur les 14 chapitres SecNumCloud, levée des écarts, audit externe par un auditeur PASSI-LPM mandaté. Dépôt du dossier à la DINUM puis validation officielle.

Résultats visés — Un coût d'hébergement maîtrisé par rapport à la trajectoire Azure inchangée, un audit ANSSI validé, un PUE amélioré, la levée de la mise en demeure CNIL et le déblocage de subventions. On mesure ces points à chaque étape de la mission, avant de décider d'aller plus loin.

#Exemple 2 — Une mutuelle santé HDS : bascule cloud public US → Outscale

Contexte — Une mutuelle santé mutualiste. Charges critiques sur AWS (US-East et Irlande), tableaux de remboursement et données de santé concernées par l'agrément HDS (Hébergement de Données de Santé). Pression : exigence HDS articulée avec SecNumCloud pour les organismes publics complémentaires, position de la CNIL sur les transferts hors UE renforcée.

Méthode et résultat visé — Méthode Nehos Stack Souveraine™ déployée par vagues. Choix d'Outscale SecNumCloud standard pour son orientation industrielle et sa compatibilité AWS (API S3-like, EC2-like) qui facilite la migration. Bascule des charges HDS et sensibles en premier, puis des autres charges. Audits HDS et SecNumCloud validés à l'issue de la mission, et baisse du coût d'hébergement à mesurer par rapport à la trajectoire AWS inchangée.

Pour un cadrage adapté à votre collectivité, parlons-en.

#Chapitre 7 — Argument commercial : la souveraineté comme critère en commande publique

#La souveraineté comme avantage compétitif en commande publique

Un enseignement contre-intuitif : la bascule SecNumCloud, loin d'être un simple poste de coût, peut devenir un argument commercial sur les appels d'offres publics inter-collectivités. Dans un groupement de commandes, la collectivité qui dispose déjà d'une architecture SecNumCloud opérationnelle et auditée est mieux placée pour porter les marchés mutualisés.

#Où la souveraineté pèse dans les marchés mutualisés

Les marchés concernés sont typiquement la mutualisation de SI métier (urbanisme, vidéoprotection, restauration scolaire, GED), la mutualisation d'infrastructures (hébergement, SOC mutualisé, sauvegarde) et la mutualisation d'une IA souveraine (déploiement de Mistral Le Chat Enterprise pour les agents d'un groupement).

#Les critères différenciants en commission d'appel d'offres

Quatre critères différenciants sont de plus en plus valorisés par les jurys de commande publique. Premier : preuve documentaire de la qualification SecNumCloud du prestataire et de la conformité Cloud au centre. Deuxième : capacité à présenter un audit ANSSI ou PASSI validé sur l'infrastructure existante.

Troisième : engagement contractuel No-CLOUD Act / No-FISA 702 explicite. Quatrième : référentiels environnementaux RGESN documentés (PUE, mix énergétique). Les collectivités ayant déjà basculé disposent naturellement de ces preuves ; celles qui n'ont pas basculé doivent les construire ad hoc.

#Comment intégrer la souveraineté à votre stratégie commerciale publique

Notre recommandation Nehos. (1) Documenter formellement l'attestation SecNumCloud dès la fin de la bascule, avec engagement contractuel des prestataires. (2) Communiquer publiquement (site institutionnel, communiqués, conférences AVISIA, Salon des maires) sur la bascule souveraine effective — c'est un signal fort pour les autres collectivités.

(3) Capitaliser sur la mutualisation : la collectivité ayant basculé peut porter des marchés mutualisés en groupement de commandes et y proposer son architecture souveraine comme socle. (4) Suivre les évolutions du Code de la commande publique : depuis 2025, plusieurs DCE de métropoles intègrent un critère de notation explicite sur la souveraineté numérique.

Voir le secteur Collectivités et service public Nehos et le service Souveraineté Numérique Responsable.

#Chapitre 8 — Risques et pénalités en cas de non-bascule

Les décideurs publics nous demandent souvent ce qui se passe concrètement si une collectivité ne bascule pas. La réponse est nuancée : il n'y a pas de sanction pénale directe à l'encontre des élus, mais une cascade de conséquences administratives et financières qui s'aggrave depuis 2025.

#Risque 1 — Refus de subventions France Relance et France 2030

Les dossiers de subvention numérique (France Relance, France 2030 volet IA et cloud) peuvent intégrer un critère de conformité Cloud au centre. Une collectivité dont l'hébergement n'est pas souverain peut voir son dossier refusé ou pénalisé : vérifiez les critères de chaque appel à projets.

#Risque 2 — Exclusion des appels d'offres publics interministériels et mutualisés

Des cahiers des charges d'achats mutualisés peuvent intégrer un critère explicite d'hébergement souverain. Concrètement, une collectivité hébergée sur AWS ou Azure pour ses charges sensibles peut se voir exclure de groupements de commandes mutualisés.

#Risque 3 — Sanctions CNIL et mises en demeure publiques

La CNIL a renforcé ses contrôles sur l'usage des outils américains dans le secteur public. Des collectivités ont reçu des mises en demeure pour l'usage de Microsoft 365 ou Google Workspace sur des traitements sensibles (notamment écoles et services sociaux). Les sanctions possibles sont celles du RGPD, avec publicité de la décision.

#Risque 4 — Notification incident NIS2 et ANSSI sans réponse adaptée

La Directive NIS2, transposée en France en octobre 2024, impose aux collectivités classées entités essentielles ou importantes une notification d'incident à l'ANSSI sous 24h. Une collectivité dont l'hébergement non souverain est compromis par une action extra-territoriale (réquisition CLOUD Act, FISA 702) se trouve dans l'impossibilité matérielle de notifier conformément, faute de visibilité sur le périmètre concerné. L'ANSSI a publié en 2025 des recommandations explicites pour anticiper ce scénario par la bascule SecNumCloud.

#Risque 5 — Risque réputationnel et confiance citoyenne

L'enjeu réputationnel est sous-estimé. Plusieurs collectivités ont fait face en 2025 à des polémiques locales — relayées par la presse régionale, La Gazette des communes, des syndicats d'agents publics — sur l'hébergement non souverain des données des administrés. La bascule SecNumCloud désamorce structurellement ce risque et constitue un argument politique pour l'équipe municipale ou départementale en place.

#ROI de la bascule vs coût du statu quo

Mise en perspective. Le coût d'une bascule SecNumCloud bout-en-bout dépend de la taille de la collectivité : il est chiffré sur devis, en 48 h après un premier échange. À mettre en regard des subventions refusées, des marchés mutualisés perdus, des sanctions CNIL possibles et du risque réputationnel (non chiffrable mais réel).

L'hébergement souverain peut aussi réduire les coûts récurrents par rapport à une trajectoire cloud public inchangée : la comparaison se fait dans le TCO sur 5 ans produit pendant la phase 1.

Pour cadrer votre situation, voir le service Souveraineté Numérique Responsable et le secteur Collectivités et service public Nehos.

Photos : Mikhail Nilov, Ron Lach, cottonbro studio sur Pexels.