Article 31 de la loi SREN : la souveraineté différée

Un texte juridiquement opposable, techniquement inachevé

Près de deux ans après la promulgation de la loi du 21 mai 2024 visant à sécuriser et réguler l'espace numérique, le décret n° 2026-272 du 14 avril 2026, signé par le Premier ministre, rend opposable l'article 31 de cette loi. Le texte impose aux administrations de l'État, à leurs opérateurs et à six groupements d'intérêt public limitativement énumérés de recourir, lorsqu'ils traitent des données d'une sensibilité particulière sur une offre cloud commerciale, à un service qualifié SecNumCloud par l'Agence nationale de la sécurité des systèmes d'information ou bénéficiant d'une certification de l'Union européenne ou d'un État partie à l'espace économique européen d'un niveau au moins équivalent.

La liste des six GIP figure dans le décret. Elle comprend l'Agence du numérique en santé, le Centre d'accès sécurisé aux données, le Centre ressources prévention de la radicalisation, le Collecteur analyseur de données, le GIP Modernisation des déclarations sociales et le système national d'enregistrement de la demande de logement social. Cette énumération est révélatrice. Elle ne vise pas un secteur homogène mais des fonctions de centralisation et de mutualisation qui agrègent, à des fins de recherche, de pilotage statistique ou de simplification déclarative, des flux issus d'organismes très divers. Le décret saisit ces noeuds d'agrégation plutôt que les organismes producteurs des données, qui restent sous leurs régimes propres.

L'article 2 du décret renvoie à un référentiel technique élaboré par l'ANSSI, approuvé par arrêté du Premier ministre, couvrant dix domaines d'exigence allant de la sécurité des systèmes d'information à la localisation de l'hébergement et au contrôle capitalistique du prestataire. Cet arrêté d'approbation n'est pas encore paru à la date de publication des analyses, ce qui produit une situation singulière. L'obligation est juridiquement opposable depuis le 16 avril 2026, mais son standard technique d'évaluation reste celui de SecNumCloud 3.2, sans que ce dernier ait été formellement érigé en référentiel d'application du décret. La fiche technique de la direction des affaires juridiques de Bercy reconnaît implicitement cette mise en abyme normative en orientant les acheteurs publics vers les qualifications existantes.

L'arrêté du même jour organise par ailleurs la dérogation. Son instruction est confiée à la direction interministérielle du numérique, sa validation au Premier ministre. La durée maximale est de dix-huit mois lorsqu'une offre conforme existe en France et permet la migration, et de douze mois renouvelables lorsqu'aucune offre adaptée n'est disponible. Toutes les décisions de dérogation sont publiques. Ce dispositif n'est pas accessoire. Il est structurant.

Du Plan Calcul à SecNumCloud : une trajectoire prise dans sa propre dépendance de sentier

La concomitance d'une opposabilité juridique et d'un dispositif de dérogation institutionnalisé ne s'éclaire qu'à condition de remonter à la trajectoire historique de la souveraineté informatique française. Le parallèle le plus instructif n'est pas la loi informatique et libertés de 1978, qui inaugurait une régulation par autorité indépendante, ni le décret de 2016 sur les hébergeurs de données de santé, qui a banalisé le dispositif par certification, ni même l'enlisement du projet européen GAIA-X depuis 2019. Le précédent qui pèse réellement est le Plan Calcul de 1966-1975.

Approuvé par le général de Gaulle en juillet 1966 sur la base du rapport Ortoli, le Plan Calcul répondait à un choc précis. Au milieu des années 1960, les États-Unis avaient refusé la licence d'exportation d'un ordinateur Control Data destiné au Commissariat à l'énergie atomique pour la mise au point de la bombe à hydrogène, et General Electric venait de prendre le contrôle de la Compagnie des machines Bull. Le Plan finance la Compagnie internationale pour l'informatique, lance l'IRIA en 1967, soutient SPERAC. Il échoue. Il échoue parce que la conception industrielle française d'une souveraineté par construction d'un champion national se heurte à la dynamique d'écosystème des standards et des logiciels qui se joue, à la même époque, aux États-Unis. L'épisode Unidata avec Siemens et Philips, abandonné en 1975, scelle l'incapacité à constituer une réponse de taille européenne.

Cette trajectoire produit ce que l'économiste Paul David a formalisé sous le nom de path dependency : les choix initiaux engagent des coûts irréversibles et des verrouillages technologiques qui rendent les bifurcations ultérieures d'autant plus coûteuses. La souveraineté cloud française reproduit ce schéma à un niveau supérieur d'abstraction. Là où le Plan Calcul finançait des machines, SecNumCloud qualifie des prestataires. Le déplacement est significatif. L'objet de la souveraineté n'est plus l'outillage, c'est la condition contractuelle et capitalistique sous laquelle un outillage étranger peut être utilisé. S3NS distribue Google Cloud, Bleu prévoit de distribuer Microsoft Azure et Microsoft 365. La souveraineté est devenue, au sens propre, une qualification juridico-technique appliquée à des technologies dont la France ne maîtrise plus la production.

Lex Informatica

Joel R. Reidenberg, professeur à Fordham Law School, publie en février 1998 dans la Texas Law Review l'article Lex Informatica : The Formulation of Information Policy Rules through Technology (vol. 76, n° 3, pp. 553-593). La thèse centrale est que, dans les environnements en réseau, la loi et la régulation étatique ne sont pas les seules sources de règles. Les capacités techniques, les choix d'architecture, les configurations système et les préférences par défaut imposent eux-mêmes des règles aux participants. Reidenberg propose de nommer Lex Informatica l'ensemble de ces règles formées par la technologie et les standards, à l'instar de la lex mercatoria médiévale formée par les usages marchands transfrontaliers. Pour le décret n° 2026-272, l'apport conceptuel est direct : la conformité opérationnelle se joue dans la rédaction des clauses de réversibilité, du droit applicable, de la localisation des opérateurs admis à intervenir et du contrôle capitalistique du prestataire. C'est dans ce maillage contractuel et technique que se produit, en pratique, la norme de souveraineté, bien davantage que dans la lettre du décret.

La dérogation comme rationalité administrative dominante

Le sociologue Brian Arthur a montré comment de petits avantages cumulatifs peuvent verrouiller un standard. La position acquise par Amazon Web Services, Microsoft Azure et Google Cloud auprès des administrations françaises depuis 2018 illustre ce phénomène. La Cour des comptes a alerté à plusieurs reprises sur l'ampleur des marchés cloud publics conclus avec les hyperscalers américains. Les directions des systèmes d'information ont contracté, intégré, formé. Désinvestir ces engagements suppose des coûts de migration que le décret ne finance pas.

C'est dans ce décalage que se loge la rationalité administrative dominante. Les sociologues John Meyer et Brian Rowan ont décrit en 1977, dans Institutionalized Organizations : Formal Structure as Myth and Ceremony, le phénomène de découplage entre la structure formelle d'une organisation et ses pratiques effectives. La structure formelle affiche la conformité aux mythes rationalisés de l'environnement institutionnel pour maintenir sa légitimité, tandis que les pratiques opérationnelles continuent à suivre les contraintes techniques et économiques propres. Le dispositif de dérogation construit par l'arrêté du 14 avril 2026 organise précisément ce découplage. Il rend possible un affichage de conformité — la dérogation est demandée, instruite par la DINUM, validée par le Premier ministre, publiée — sans rupture immédiate des contrats existants. La durée maximale de dix-huit mois lorsqu'une offre conforme existe, et celle de douze mois renouvelables sinon, ouvre une fenêtre suffisamment large pour absorber l'inertie des projets.

À ce découplage s'ajoute ce que Paul DiMaggio et Walter Powell ont théorisé en 1983 dans The Iron Cage Revisited sous le nom d'isomorphisme coercitif. Lorsqu'une norme est imposée par voie réglementaire, les organisations ne convergent pas vers la conformité substantielle mais vers les formes minimales que la norme rend nécessaires. Pour le décret de 2026, la forme minimale est documentaire. Justifier les arbitrages économiques par écrit, traiter la réversibilité comme un critère d'appel d'offres, documenter le périmètre de données soumises au régime, publier la décision de dérogation. La conformité devient un travail de documentation, ce qui n'est pas sans valeur, mais ce qui n'équivaut pas à une migration effective.

Le CASD et le GIP-MDS : deux modèles de mutualisation à l'épreuve

L'analyse opérationnelle gagne à se concentrer sur deux des six GIP listés, dont les modèles d'agrégation sont les plus instructifs. Le Centre d'accès sécurisé aux données, créé en 2010 à l'initiative de l'Insee et transformé en GIP en 2019, héberge des données fiscales, des données du ministère de la Justice, de l'Éducation nationale, de l'Agriculture, ainsi que des cohortes de santé et les données PMSI de l'ATIH. Son architecture, articulée autour d'une boîte d'accès sécurisée nommée SD-Box et d'une infrastructure centrale étanche, a été conçue pour le confinement de données très détaillées dans une « bulle sécurisée ». Le CASD revendique une certification RGPD au titre de l'article 42 du règlement européen, une certification ISO 27001 et ISO 27701, ainsi que la conformité au référentiel de sécurité des données de santé. Pour cet acteur, l'obligation d'hébergement souverain ne change pas la doctrine technique. Elle modifie la grille d'éligibilité des prestataires auxquels le CASD pourrait éventuellement externaliser tout ou partie de capacités, ce qui jusqu'ici n'a pas été son modèle.

Le GIP Modernisation des déclarations sociales offre un cas plus instructif encore parce qu'il a été conçu, dès 2000, comme une plateforme de mutualisation interorganismes. Il regroupe les organismes de protection sociale, les fédérations de prévoyance, et associe organisations patronales et confédérations syndicales. Il exploite le portail net-entreprises.fr, lequel comptait fin 2024 plus de trois millions de déclarants inscrits et trente-huit millions de télédéclarations annuelles. Il a assuré la maîtrise d'ouvrage opérationnelle de la Déclaration sociale nominative, généralisée en 2017, puis l'intégration du prélèvement à la source en 2019, puis l'extension à la fonction publique entre 2020 et 2022. Le précédent est important. Le GIP-MDS a démontré qu'une mutualisation interorganismes, gouvernée par une assemblée générale et un conseil d'administration mêlant représentants des financeurs et représentants consultatifs de la direction de la sécurité sociale et du contrôle d'État, peut produire un service public numérique national à l'échelle d'un système d'information critique. C'est ce type de gouvernance qui pourrait, à terme, fournir un modèle d'achat cloud souverain mutualisé entre régimes, indépendamment de tout choix capitalistique d'un prestataire particulier. Cette piste n'est pas formellement explorée par le décret, mais elle est compatible avec sa logique.

Les quatre autres GIP visés relèvent de logiques distinctes que l'analyse n'a pas vocation à développer ici. L'Agence du numérique en santé pilote des services socles spécifiques au champ sanitaire. Le Centre ressources prévention de la radicalisation, le Collecteur analyseur de données et le système national d'enregistrement de la demande de logement social opèrent dans des champs sectoriels où les volumétries et les contraintes contractuelles sont sans commune mesure avec celles d'un opérateur comme le GIP-MDS.

Le marché contractuel comme véritable producteur de norme

C'est à ce stade que le concept de Lex Informatica prend son plein effet analytique. Le décret renvoie à un référentiel ANSSI qui reprend très largement les exigences de SecNumCloud 3.2. Or ces exigences ne sont pas, pour l'essentiel, des prescriptions techniques inédites. Elles imposent des conditions contractuelles et capitalistiques. La version 3.2 du référentiel exige que le siège social et le capital du prestataire soient situés sur le territoire de l'Union européenne, et que les capitaux extra-européens ne dépassent pas vingt-quatre pour cent du capital social et des droits de vote, directs ou indirects. Elle impose une immunité aux lois extraterritoriales — au premier rang desquelles le CLOUD Act américain et la section 702 du FISA. Elle exige une localisation contrôlée des opérateurs autorisés à intervenir sur les infrastructures. Ces exigences sont des règles produites par la combinaison du texte technique, des clauses contractuelles types et des choix d'architecture. Elles sont, au sens de Reidenberg, le coeur de la Lex Informatica applicable.

Deux offres dites « hybrides » dominent les arbitrages que les administrations vont conduire dans les dix-huit prochains mois. S3NS, filiale de Thales en partenariat avec Google Cloud, a obtenu la qualification SecNumCloud 3.2 le 17 décembre 2025 pour son offre PREMI3NS, qualification annoncée par l'ANSSI comme la première à couvrir simultanément l'infrastructure, la plateforme et les conteneurs. L'entreprise a annoncé lors de son sommet du 17 février 2026 quinze nouveaux services au premier semestre, et l'arrivée prévue de services managés supplémentaires dont Vertex AI au second semestre. Bleu, coentreprise de Capgemini et Orange adossée à Microsoft, a validé le jalon J0 le 17 avril 2025 et le jalon J1 le 17 septembre 2025, avec une disponibilité commerciale visée au second semestre 2026. Outre ces deux offres, le marché qualifié comprend Outscale, OVHcloud, Cloud Temple, Orange Business avec Cloud Avenue SecNum, Worldline, Oodrive et quelques autres, pour un nombre total de prestataires effectivement qualifiés qui se situe selon les sources entre sept et neuf en mars 2026, et douze candidatures supplémentaires en cours d'instruction.

Ce paysage explique la fragilité de l'articulation européenne. Le directeur général de l'ANSSI, Vincent Strubel, a reconnu en mars 2026, lors de la journée « L'État dans le nuage », que les négociations sur le niveau « High+ » du schéma européen de certification des services cloud — l'European Cybersecurity Certification Scheme for Cloud Services, ou EUCS — n'avaient pas abouti, les exigences de souveraineté capitalistique et d'immunité extraterritoriale n'ayant pas été retenues à ce niveau par les partenaires européens. La référence du décret à « une certification de l'UE ou d'un État partie à l'espace économique européen d'un niveau au moins équivalent » reste donc en partie virtuelle. Cela laisse, à court terme, SecNumCloud seul opérationnel comme standard de conformité, ce qui aligne le marché français sur les seuls prestataires que la qualification française a validés.

Les chiffres-clés du décret

Texte : décret n° 2026-272 du 14 avril 2026, publié au Journal officiel le 16 avril 2026, pris pour l'application de l'article 31 de la loi n° 2024-449 du 21 mai 2024.

Périmètre : administrations de l'État, leurs opérateurs, et six GIP nommément listés (ANS, CASD, Centre ressources prévention de la radicalisation, Collecteur analyseur de données, GIP-MDS, SNE de la demande de logement social).

Standard de conformité : qualification SecNumCloud délivrée par l'ANSSI, ou certification européenne d'un niveau au moins équivalent. Le référentiel ANSSI promis par l'article 2 attend son arrêté d'approbation par le Premier ministre.

Dérogation : instruction par la DINUM, validation par le Premier ministre, durée maximale de dix-huit mois lorsqu'une offre conforme existe, ou douze mois renouvelables sinon. Publication obligatoire de toutes les décisions.

Référentiel SecNumCloud 3.2 : plus de 360 exigences de conformité, validité de la qualification de trois ans, audit de surveillance tous les dix-huit mois, capitaux extra-européens limités à vingt-quatre pour cent.

État du marché qualifié en mars 2026 : entre sept et neuf prestataires qualifiés selon les sources, douze candidatures en cours. Marché français SecNumCloud estimé par l'Observatoire SecNumCloud de la CyberTaskForce à 18 millions d'euros, potentiel européen à 600 millions d'euros.

Offres « hybrides » : S3NS PREMI3NS qualifié SecNumCloud 3.2 le 17 décembre 2025, Bleu jalon J1 validé en septembre 2025, qualification visée au premier semestre 2026.

Conclusion : une hypothèse vérifiable à douze mois

Le décret n° 2026-272 produit une opposabilité juridique sans son outillage technique, et il l'accompagne d'un dispositif de dérogation institutionnalisé. La combinaison est cohérente avec ce que la sociologie des organisations enseigne. Une obligation coercitive imposée à des organisations massivement engagées dans des contrats existants ne produit pas, à court terme, une convergence substantielle. Elle produit un travail documentaire et contractuel. C'est dans ce travail que la Lex Informatica de Reidenberg trouve son terrain. Les clauses de réversibilité, de localisation, de contrôle capitalistique et de droit applicable deviennent le lieu réel de production de la norme de souveraineté, en aval du texte législatif.

L'hypothèse vérifiable que cette analyse propose est la suivante. Si la dérogation devient le mode principal d'application du décret, le volume cumulé des demandes de dérogation publiées sur le registre tenu sous la responsabilité de la DINUM dépassera, à douze mois — soit en avril 2027 — le nombre de migrations effectives documentées vers une offre qualifiée SecNumCloud auprès des six GIP visés et de leurs opérateurs. À l'inverse, une trajectoire de souveraineté substantielle se traduirait par une montée en charge mesurable des contrats S3NS PREMI3NS et Bleu, et par un nombre de migrations effectives supérieur au nombre de dérogations actives.

L'indicateur observable est précis. Il s'agit du ratio entre, d'une part, le nombre de dérogations publiées au titre de l'article 3 du décret et, d'autre part, le nombre de marchés notifiés à un prestataire qualifié SecNumCloud par les six GIP listés et leurs opérateurs principaux. Ces deux séries sont publiques, l'une parce que le décret l'exige, l'autre parce qu'elle ressort des données essentielles de la commande publique. À ratio supérieur à un, la dérogation aura confirmé son statut de rationalité dominante. À ratio inférieur à un, la souveraineté sera devenue, au sens substantiel et non plus seulement formel, opposable.

Note méthodologique

Cette analyse a été conduite à partir des sources institutionnelles primaires disponibles à la date de rédaction (Légifrance, fiche technique de la direction des affaires juridiques de Bercy, vade-mecum DINUM, communications de l'ANSSI) et de la presse spécialisée. Plusieurs ambiguïtés factuelles méritent d'être signalées. Le nombre exact de prestataires SecNumCloud qualifiés en avril 2026 varie selon les sources entre sept et neuf, l'Observatoire SecNumCloud de la CyberTaskForce retenant le chiffre de sept qualifications actives au moment de sa publication en décembre 2025 et l'inventaire Legiscope évoquant neuf qualifications actives en mars 2026. Cette divergence tient à la datation de renouvellements et à l'inclusion ou non de périmètres SaaS spécialisés. L'arrêté d'approbation du référentiel ANSSI prévu par l'article 2 du décret n'était pas paru à la date des sources consultées, ce qui a été pris comme un fait établi mais demanderait une vérification ultérieure sur Légifrance. L'analyse a fait le choix éditorial de mobiliser un seul parallèle historique de fond — le Plan Calcul — et de ne mentionner les autres précédents qu'en passant, conformément aux règles de cohérence imposées. Les six GIP listés ont été traités de manière différenciée, le CASD et le GIP-MDS faisant l'objet d'un développement analytique en raison de leur intérêt comme modèles d'agrégation, les quatre autres n'étant cités que factuellement.

Sources

Sources primaires institutionnelles

Décret n° 2026-272 du 14 avril 2026 relatif à la protection des données d'une sensibilité particulière des administrations, opérateurs et groupements d'intérêt public de l'État traitées par un service d'informatique en nuage fourni par un prestataire privé, Journal officiel, 16 avril 2026, https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000053900789

Arrêté du 14 avril 2026 relatif aux modalités de dérogation prévue par l'article 3 du décret n° 2026-272 du 14 avril 2026.

Loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique, article 31.

Fiche technique de la direction des affaires juridiques, ministère de l'Économie, https://www.economie.gouv.fr/daj/publication-du-decret-dapplication-de-larticle-31-de-la-loi-sren-relatif-la-protection-des-donnees-dune-sensibilite-particuliere-de-letat

Vade-mecum sur la sensibilité des données au sens de l'article 31 de la loi SREN, DINUM, https://www.numerique.gouv.fr/offre-accompagnement/reference-vade-mecum-sensibilite-donnees/

Circulaire n° 6282-SG du 5 juillet 2021 relative à la doctrine d'utilisation de l'informatique en nuage par l'État (« Cloud au centre », Jean Castex).

Circulaire n° 6404/SG du 31 mai 2023, actualisation de la doctrine « Cloud au centre » (Élisabeth Borne), https://www.legifrance.gouv.fr/circulaire/id/45446

ANSSI, liste des prestataires qualifiés SecNumCloud, https://cyber.gouv.fr/offre-de-service/solutions-certifiees-et-qualifiees/services-de-securite-evalue/solutions-en-cours-de-qualification/prestataires-secnumcloud/

GIP Modernisation des déclarations sociales, présentation institutionnelle, https://www.gip-mds.fr/

Centre d'accès sécurisé aux données, gouvernance et missions, https://www.casd.eu/en/le-centre-dacces-securise-aux-donnees-casd/gouvernance-et-missions/

Cadres théoriques

Reidenberg, Joel R., Lex Informatica : The Formulation of Information Policy Rules through Technology, Texas Law Review, vol. 76, n° 3, février 1998, pp. 553-593, https://ir.lawnet.fordham.edu/faculty_scholarship/42/

Meyer, John W. et Rowan, Brian, Institutionalized Organizations : Formal Structure as Myth and Ceremony, American Journal of Sociology, vol. 83, n° 2, 1977, pp. 340-363.

DiMaggio, Paul J. et Powell, Walter W., The Iron Cage Revisited : Institutional Isomorphism and Collective Rationality in Organizational Fields, American Sociological Review, vol. 48, n° 2, 1983, pp. 147-160.

David, Paul A., Clio and the Economics of QWERTY, American Economic Review, vol. 75, n° 2, 1985, pp. 332-337, et Arthur, W. Brian, Competing Technologies, Increasing Returns, and Lock-In by Historical Events, Economic Journal, vol. 99, n° 394, 1989, pp. 116-131, pour la dépendance de sentier.

Parallèles historiques

Mounier-Kuhn, Pierre-Éric, L'Informatique en France, de la seconde guerre mondiale au Plan Calcul. L'émergence d'une science, Paris, PUPS, 2010.

Brulé, Jean-Pierre, L'Informatique malade de l'État, Paris, Les Belles-Lettres, 1993.

Presse spécialisée et observatoires

Banque des Territoires / Localtis, « SecNumCloud : six GIP assujettis, les données sensibles enfin définies », Olivier Devillers, 16 avril 2026, https://www.banquedesterritoires.fr/secnumcloud-6-gip-assujettis-les-donnees-sensibles-enfin-definies

L'Usine Digitale, « Cloud souverain : Voici les nouvelles règles du jeu pour héberger les données sensibles de l'État, avec deux ans de retard », https://www.usine-digitale.fr/cybersecurite/cloud-souverain-voici-les-nouvelles-regles-du-jeu-pour-heberger-les-donnees-sensibles-de-letat-avec-deux-ans-de-retard.OVFXWGNHYNGQZNMZGINRFOHJBU.html

L'Usine Digitale, « Cloud souverain : 7 acteurs déjà qualifiés, 12 en cours, pour un marché évalué à 18 millions d'euros », https://www.usine-digitale.fr/cybersecurite/cloud-souverain-7-acteurs-deja-qualifies-12-en-cours-pour-un-marche-evalue-a-18-millions-deuros.OMP42JDJ5NB6NKRRO3CKVZ7EFA.html

L'Usine Digitale, « Cloud de confiance : Bleu passe le jalon J1 pour la qualification SecNumCloud 3.2 », https://www.usine-digitale.fr/article/cloud-de-confiance-bleu-passe-le-jalon-j1-pour-la-qualification-secnumcloud-3-2.N2241512

Acteurs Publics, « Données sensibles : très attendu, le décret Sren précise qui devra passer par un cloud SecNumCloud », https://acteurspublics.fr/articles/letat-clarifie-enfin-la-liste-des-entites-concernees-par-la-loi-sren/

Acteurs Publics, « L'État affine sa doctrine cloud pour sortir du flou sur la définition des données sensibles », https://acteurspublics.fr/articles/letat-affine-sa-doctrine-cloud-pour-sortir-du-flou-sur-la-definition-des-donnees-sensibles/

INCYBER NEWS, « S3NS décroche la certification SecNumCloud 3.2 », https://incyber.org/article/s3ns-decroche-certification-secnumcloud-3-2/

Thales Group, « S3NS receives SecNumCloud qualification : a turning point for trusted cloud solutions », https://www.thalesgroup.com/en/news-centre/insights/group/s3ns-receives-secnumcloud-qualification-turning-point-trusted-cloud

Observatoire SecNumCloud, CyberTaskForce, décembre 2025.