1.1. Le décret n° 2026-272 du 14 avril 2026, publié au Journal officiel de la République française du 16 avril 2026, s’inscrit dans le corpus des décrets, arrêtés, circulaires – textes généraux pris par le Premier ministre. Il vise spécifiquement la protection des données d’une sensibilité particulière des administrations, des opérateurs de l’État et des groupements d’intérêt public lorsque ces données sont traitées par un service d’informatique en nuage fourni par un prestataire privé.
1.2. Les publics concernés sont clairement identifiés : il s’agit des services de l’État, des opérateurs de l’État et des groupements d’intérêt public. L’objet du texte est de renforcer la protection des données stratégiques et sensibles des administrations dans le contexte du marché de l’informatique en nuage, en encadrant le recours à un prestataire privé pour l’hébergement et le traitement de ces données.
1.3. Le décret est pris pour l’application de l’article 31 de la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique. Il dresse la liste des groupements d’intérêt public soumis à cet article 31, détermine les mesures, procédures et conditions nécessaires pour assurer la sécurité et la protection des données dans les services d’informatique en nuage fournis par le secteur privé, et précise les conditions de dérogation à l’application de cet article.
1.4. L’entrée en vigueur est immédiate : le décret s’applique le lendemain de sa publication au Journal officiel. Il s’inscrit dans une dynamique de sécurisation et de régulation de l’espace numérique portée par la loi n° 2024-449, en articulation avec les exigences européennes en matière de protection des données et de sécurité des systèmes d’information.
2.1. Le décret se fonde sur plusieurs textes européens structurants. Il mentionne la directive (UE) 2015/1535 du 9 septembre 2015 qui prévoit une procédure d’information dans le domaine des réglementations techniques et des règles relatives aux services de la société de l’information. Cette référence souligne que les exigences imposées aux services d’informatique en nuage s’inscrivent dans un cadre de notification et de transparence vis-à-vis de l’Union européenne.
2.2. Le décret rappelle le règlement (UE) 2016/679 du 27 avril 2016, c’est-à-dire le RGPD, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données. La protection des données d’une sensibilité particulière dans le cloud doit donc être articulée avec les principes de licéité, de sécurité, de confidentialité et de minimisation posés par ce règlement.
2.3. Le texte vise également le règlement (UE) 2023/2854 du 13 décembre 2023 concernant des règles harmonisées portant sur l’équité de l’accès aux données et de l’utilisation des données. Cette référence met en lumière la dimension d’équité de l’accès aux données et de gouvernance des données dans les services d’informatique en nuage, en lien avec la protection des données stratégiques des administrations.
2.4. Sur le plan national, le décret s’appuie sur la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, en particulier ses articles 121 à 124, qui encadrent la protection des données à caractère personnel et les pouvoirs de la Commission nationale de l’informatique et des libertés (CNIL). Il rappelle aussi la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique, dont l’article 31 constitue le pivot du dispositif pour les données d’une sensibilité particulière.
2.5. Le décret mentionne le décret n° 2009-834 du 7 juillet 2009 portant création de l’Agence nationale de la sécurité des systèmes d’information (ANSSI), service à compétence nationale chargé de la sécurité des systèmes d’information. Il renvoie également au décret n° 2015-350 du 27 mars 2015 relatif à la qualification des produits de sécurité et des prestataires de service de confiance pour les besoins de la sécurité des systèmes d’information, qui fournit le cadre de la qualification des services de cloud.
2.6. Le texte prend en compte l’avis de la CNIL du 3 juillet 2025 et la notification n° 2025/0041/FR adressée le 24 janvier 2025 à la Commission européenne, ce qui atteste d’une démarche de conformité procédurale et de coordination avec les autorités de protection des données et les institutions européennes.
3.1. L’article 1er du décret précise les groupements d’intérêt public (GIP) mentionnés au I de l’article 31 de la loi du 21 mai 2024. Ces GIP sont explicitement désignés comme devant respecter les exigences relatives à la protection des données d’une sensibilité particulière lorsqu’ils recourent à un service d’informatique en nuage fourni par un prestataire privé.
3.2. Les GIP concernés sont les suivants : l’agence du numérique en santé, le centre d’accès sécurisé aux données, le centre ressources prévention de la radicalisation, le collecteur analyseur de données, la modernisation des déclarations sociales et le système national d’enregistrement de la demande de logement social. Ces entités gèrent des données stratégiques et des données sensibles dans des domaines tels que la santé, la prévention de la radicalisation, la protection sociale et le logement social.
3.3. En intégrant ces GIP dans le champ de l’article 31 de la loi n° 2024-449, le décret renforce la protection des données d’une sensibilité particulière au sein de structures qui jouent un rôle central dans la gestion des données publiques et dans la numérisation des services de l’État. La protection des données sensibles en cloud privé devient ainsi un enjeu transversal pour ces organismes.
4.1. L’article 2 du décret institue un référentiel élaboré par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et approuvé par arrêté du Premier ministre. Ce référentiel détermine les exigences à respecter au titre du deuxième alinéa du I de l’article 31 de la loi du 21 mai 2024 pour assurer la sécurité et la protection des données d’une sensibilité particulière traitées par un service d’informatique en nuage fourni par un prestataire privé.
4.2. Le référentiel fixe un niveau d’exigence requis en fonction de la sensibilité particulière des données concernées et des risques présentés par leur traitement. Il couvre un ensemble de domaines structurants pour la sécurité des systèmes d’information et la protection des données dans le cloud, en lien direct avec la souveraineté numérique de l’État et la sécurisation des services de l’État.
4.3. Le premier domaine concerne l’organisation de la sécurité de l’information et de l’exploitation du service, ainsi que la gestion des risques, y compris au niveau de la chaîne de sous-traitance. Il s’agit de garantir une gouvernance de la sécurité robuste, intégrant les prestataires et les sous-traitants impliqués dans la fourniture du service d’informatique en nuage.
4.4. Le deuxième domaine porte sur la gestion des ressources humaines pour les personnels impliqués dans la fourniture du service, avec notamment la mise en œuvre d’un plan de formation concernant la sécurité de l’information adapté au service. La sensibilisation et la formation des équipes sont ainsi érigées en exigences pour la protection des données sensibles.
4.5. Le troisième domaine vise la gestion des relations avec les tiers participant à la mise en œuvre du service. Les relations contractuelles, les obligations de sécurité et les engagements de confidentialité doivent être encadrés pour l’ensemble des acteurs intervenant dans la chaîne de valeur du cloud.
4.6. Le quatrième domaine concerne la gestion des équipements mettant en œuvre le service, incluant des mesures de sécurité physique et environnementale. La protection des infrastructures, des centres de données et des équipements est un élément clé de la sécurité des services d’informatique en nuage.
4.7. Le cinquième domaine est centré sur la sécurité des systèmes d’information, avec des mesures de cryptologie, de contrôle d’accès aux données du service et de gestion des identités des utilisateurs participant à la mise en œuvre du service. La cryptologie, la gestion des identités et des droits d’accès sont essentielles pour la protection des données d’une sensibilité particulière.
4.8. Le sixième domaine traite de la gestion des incidents concernant la sécurité de l’information et de la continuité de l’activité. Les prestataires de cloud doivent être en mesure de détecter, de traiter et de documenter les incidents de sécurité, tout en assurant la continuité des services pour les administrations et les opérateurs de l’État.
4.9. Le septième domaine impose l’utilisation de la langue française. Cette exigence linguistique participe à la maîtrise des conditions contractuelles, à la compréhension des engagements de sécurité et à la lisibilité des documents pour les acteurs publics français.
4.10. Le huitième domaine définit les clauses obligatoires de la convention de service. Ces clauses portent notamment sur le principe de réversibilité, permettant la récupération des données et ses modalités techniques de mise en œuvre, ainsi que sur le droit applicable à la convention. La réversibilité est un élément central pour éviter les situations de dépendance technologique et pour garantir la maîtrise des données par les administrations.
4.11. Le neuvième domaine concerne la localisation de l’hébergement des données du service, les conditions de transfert de ces données vers un État tiers, la localisation du siège ou du principal établissement du prestataire et les modalités de son contrôle, notamment via la détention directe ou indirecte de son capital social et de ses droits de vote. Cette exigence vise à encadrer la localisation des données et la gouvernance des prestataires pour renforcer la souveraineté numérique.
4.12. Le dixième domaine impose la protection des données du service contre tout accès par des autorités publiques d’un État tiers non autorisé par le droit de l’Union européenne ou par les engagements internationaux de la France. Il s’agit de prévenir les ingérences étrangères et de garantir que les données d’une sensibilité particulière ne puissent être consultées en dehors du cadre juridique européen et français.
5.1. Le décret prévoit que la conformité d’un service d’informatique en nuage fourni par un prestataire privé aux exigences du référentiel est attestée par une qualification ou par une certification. Cette exigence de qualification ou de certification constitue un mécanisme de garantie de sécurité pour les administrations et les opérateurs de l’État.
5.2. La qualification est attribuée dans les conditions prévues par le chapitre III du décret du 27 mars 2015 relatif à la qualification des produits de sécurité et des prestataires de service de confiance pour les besoins de la sécurité des systèmes d’information. Ce cadre permet de s’assurer que les prestataires de cloud respectent un niveau d’exigence élevé en matière de sécurité.
5.3. À défaut de qualification nationale, une certification de l’Union européenne ou d’un État partie à l’Espace économique européen d’un niveau au moins équivalent peut attester de la conformité du service. Le décret reconnaît ainsi des certifications européennes ou de l’EEE, à condition qu’elles garantissent un niveau de sécurité comparable à celui exigé par le référentiel élaboré par l’ANSSI.
5.4. Ce dispositif de qualification et de certification contribue à la protection des données sensibles en cloud privé en imposant des standards de sécurité vérifiables et en facilitant l’évaluation des prestataires par les administrations et les opérateurs de l’État.
6.1. L’article 3 du décret organise un régime de dérogation pour les administrations, les opérateurs de l’État ou les groupements mentionnés à l’article 1er qui ont engagé un projet relevant de l’article 31 de la loi du 21 mai 2024 avant la publication du décret, en recourant à un service d’informatique en nuage fourni par un prestataire privé non conforme aux exigences définies à l’article 2.
6.2. Dans ce cas, l’entité concernée doit solliciter une dérogation auprès du ministre dont relève le projet, selon des modalités fixées par un arrêté du Premier ministre qui précise notamment le contenu du dossier de demande. Cette procédure permet de gérer la transition entre des solutions de cloud existantes et les nouvelles exigences de sécurité.
6.3. Le ministre dont relève le projet décide, dans un délai de deux mois, d’accorder ou non la dérogation, après validation par le Premier ministre, selon des modalités fixées par le même arrêté. Le délai de deux mois encadre la prise de décision et évite une incertitude prolongée pour les projets en cours.
6.4. Lorsque une offre de services d’informatique en nuage acceptable pour le projet concerné est disponible en France, la dérogation est accordée pour une durée maximum de dix-huit mois à compter de la date à laquelle cette offre est disponible en France. À défaut d’une telle offre, la dérogation est accordée pour une durée d’un an renouvelable jusqu’à ce qu’une offre acceptable soit disponible.
6.5. Une offre de services d’informatique en nuage conforme aux exigences définies à l’article 2 est considérée comme acceptable si elle répond au besoin fonctionnel de l’administration ou de l’organisme concerné pour son projet, en prenant en considération son coût. Le décret articule ainsi les impératifs de sécurité avec les besoins fonctionnels et les contraintes budgétaires des acteurs publics.
6.6. La décision accordant ou refusant la dérogation est rendue publique avec sa motivation sur un site internet relevant du Premier ministre. Cette publicité renforce la transparence et la responsabilité dans l’octroi de dérogations au régime de protection des données d’une sensibilité particulière.
7.1. L’article 4 du décret confie la mise en œuvre du texte au ministre de l’économie, des finances et de la souveraineté industrielle, énergétique et numérique et au ministre de l’action et des comptes publics, chacun pour ce qui le concerne. Ces ministres sont chargés de l’exécution du décret, qui sera publié au Journal officiel de la République française.
7.2. Le décret est signé par le Premier ministre, Sébastien Lecornu, et contresigné par le ministre de l’économie, des finances et de la souveraineté industrielle, énergétique et numérique, Roland Lescure, ainsi que par le ministre de l’action et des comptes publics, David Amiel. Cette signature atteste de l’engagement du gouvernement en faveur de la protection des données sensibles en cloud privé et de la sécurisation des services de l’État.
7.3. En articulant les exigences de sécurité des systèmes d’information, la protection des données d’une sensibilité particulière, la qualification des prestataires de cloud et un régime de dérogation encadré, le décret n° 2026-272 constitue un instrument central pour sécuriser les services de l’État dans le marché de l’informatique en nuage, tout en préservant la souveraineté numérique et la conformité au droit européen.
Approfondir ce sujet :