HDS et SecNumCloud : ça change quoi pour la santé ?

Trois textes entre février et avril 2026, et l’hébergement des données sensibles a pas mal bougé. Pour une infrastructure de santé, reste à savoir ce qui est obligatoire, ce qui est seulement recommandé, et ce qui reste flou (beaucoup de choses, parce que rien n’est simple visiblement …).

Oui je suis d’accord, un peu surprenant comme article sur vBlog, mais je pense qu’il fallait en passer par là quand on s’intéresse au numérique comme moi et qu’on a à cœur de mettre en avant la souveraineté aussi bien en matière de logiciel que d’hébergement cloud. Pas de Rognotudju ici (même si certaines décisions et orientations le mériteraient …), on essaye de rester factuel (pas si simple) et sérieux deux minutes … car c’est important.

Un empilement de textes en quelques mois

Premier texte, la circulaire du Premier ministre n° 6519/SG du 5 février 2026, qui cadre la commande publique numérique de l’État. Elle place la souveraineté en deuxième critère d’achat, juste derrière la performance métier. (Et encore, la souveraineté est un mot qui change de sens suivant avec qui on en discute …)

Deuxième texte, le décret n° 2026-209 du 24 mars 2026, qui durcit l’hébergement des données de santé : stockage exclusivement dans l’Union européenne ou l’Espace économique européen, et un contrat d’hébergement beaucoup plus bavard sur les législations extra-européennes. L’hébergeur doit désormais y lister les réglementations qui pourraient l’obliger à donner accès aux données (au sens du RGPD), les mesures d’atténuation ou de modération prévues, et publier une cartographie des transferts. Le décret est en vigueur depuis le 27 mars 2026, sauf deux points de son article 1er, applicables six mois plus tard, soit fin septembre 2026.

Troisième texte, le décret n° 2026-272 du 14 avril 2026, en vigueur depuis le 17 avril, qui applique l’article 31 de la loi SREN aux données d’une sensibilité particulière (je ne sais pas ce que ça veut dire « particulière », si vous avez une explication, je suis curieux !) traitées par un service d’informatique en « nuage » fourni par un prestataire.

Ce que dit réellement le décret d’avril

Son intitulé est explicite : il vise les administrations, les opérateurs et les groupements d’intérêt public de l’État. Pour les données d’une sensibilité particulière (encore !), il impose un cloud protégé contre tout accès par des autorités d’États tiers non autorisé par le droit de l’Union, ce que démontre en pratique la qualification SecNumCloud de l’ANSSI. Il prévoit aussi une exception pour les contrats en cours non conformes, quand le marché n’offre aucune solution adaptée (article 3, avec des modalités fixées par un arrêté du même jour dixit Jarvis).

Je dubite sur un point (oh là là … figure de style ^^) : certains articles spécialisés affirment que ce décret contraint les établissements de santé publics, alors que le titre officiel et les résumés de la Direction des affaires juridiques de Bercy ne vont pas dans ce sens. Il reste à vérifier, je pense, la liste exacte des GIP et la définition des opérateurs de l’État dans le texte, pour savoir si un établissement de santé en relève par un autre biais.

HDS et SecNumCloud : deux logiques distinctes

Pour rappel, la certification HDS est obligatoire pour tout hébergeur de données de santé. Elle s’appuie sur ISO 27001 et ajoute des exigences sectorielles : traçabilité, réversibilité et, depuis la v2.0 pleinement applicable au 16 mai 2026, stockage des données dans l’Espace économique européen, sous-traitants éventuels de l’hébergeur compris. Elle ne protège pas pour autant contre les lois extraterritoriales comme le CLOUD Act américain.

SecNumCloud couvre justement cet angle mort : immunité extraterritoriale, contraintes d’actionnariat et de gouvernance du prestataire, plus des exigences techniques élevées sur l’isolation, le chiffrement, la maîtrise des clés, la journalisation et l’administration depuis l’Union européenne. Un hébergeur HDS n’est donc pas automatiquement conforme SecNumCloud, et l’inverse est vrai aussi : la qualification ANSSI ne remplace pas la certification HDS.

Quelles conséquences pour une infrastructure de santé ?

Pour un établissement public de santé, ce n’est pas une obligation généralisée, mais la pression monte depuis quelques mois. HDS reste le socle obligatoire. SecNumCloud devient la référence pour les données les plus sensibles (dossier patient ?), poussé par la circulaire de février et par le Health Data Hub, dont la migration vers Scaleway (retenu le 23 avril 2026) est attendue entre fin 2026 et début 2027. Delsol Avocats lit d’ailleurs la circulaire comme une réaffirmation de l’exigence SecNumCloud pour les données de santé (article retrouvé par Jarvis, je ne passe pas mon temps à lire des articles juridiques, je vous rassure :)), mais son périmètre reste la commande publique de l’État (hors santé donc ?). Un collectif d’éditeurs de logiciels de santé a de son côté demandé à l’État de préciser que SecNumCloud n’est pas une obligation générale. Le flou existe bel et bien et ça discute pas mal en ce moment …

Côté budget, il faut nuancer. Les chiffres que j’ai trouvés varient : 12 % de plus chez OVHcloud sur du VMware hébergé, de 20 à 50 % selon les services (le détail est dans l’article de Silicon.fr, en Références). Les raisons : moins de mutualisation, des exigences de sécurité plus lourdes et un catalogue de services souvent plus restreint. Reste à voir si les offres qualifiées facturées à l’usage changeront la donne.

Pistes de réflexion

Pour une DSI hospitalière, les questions concrètes ressemblent plutôt à ça. Quelles données relèvent d’une sensibilité particulière, et lesquelles peuvent rester chez un hébergeur HDS classique ? Quelle stratégie de réversibilité prévoir si un contrat doit migrer ? Et comment absorber le surcoût, ainsi qu’un catalogue de services réduit, avec une offre qualifiée … on a déjà beaucoup de mal à supporter le HDS aujourd’hui …

Le dilemme du cloud de confiance

Une question traverse tout le débat : que veut dire « souverain » quand la technologie reste américaine ? S3NS, coentreprise de Thales et Google détenue majoritairement par Thales, a obtenu la qualification SecNumCloud 3.2 en décembre 2025 pour son offre PREMI3NS, avec plus de 60 clients revendiqués. Bleu, coentreprise de Capgemini et Orange adossée à Microsoft, vise la même qualification, mais l’échéance a glissé : prévue au premier semestre 2026, elle est désormais annoncée pour la fin d’année (Next, 9 octobre 2026).

Les critiques pointent la soumission de Google aux lois extraterritoriales américaines, dont le CLOUD Act et le FISA. Le directeur général de l’ANSSI, Vincent Strubel, a répondu dans un billet de clarification : pour lui, SecNumCloud reste un outil de cybersécurité, fondé sur une évaluation standardisée des risques et près de 1 200 exigences, pas un label de souveraineté au sens politique (d’ailleurs … qu’est-ce que ça veut dire aujourd’hui ? personne n’est vraiment d’accord sur la définition).

Pour un établissement de santé, la question devient très concrète : la qualification suffit-elle à votre besoin, ou vous faut-il une technologie européenne de bout en bout ? Ça dépend des données concernées, et du degré de dépendance que vous êtes prêt à accepter envers un éditeur extra-européen.

Si vous avez déjà confronté ces textes à un vrai contrat d’hébergement, je suis preneur de vos retours … il y a un autre choix : ne pas se poser la question et intégrer SecNumCloud comme condition numéro 1 à tout appel d’offres … et on retombe inéluctablement sur la question du choix …

Références

Voici les sources consultées (par moi et par Jarvis), pour vous permettre de vous faire votre propre idée en complément de mon interprétation. C’est dense, pour dire le moins … d’ailleurs ne dit on pas ça et là que nul n’est censé ignorer la loi… mais encore faut-il que la loi soit intelligible …. mouarf ! Donc merci Jarvis !