Cloud de confiance : définition

Pourquoi est-ce important ?

Le mot « confiance » rassure, mais seul ce qui est vérifié garantit quelque chose. Savoir ce que recouvre l'expression permet de distinguer une offre qualifiée par l'ANSSI, l'Agence nationale de la sécurité des systèmes d'information, d'un simple argument commercial.

L'enjeu est devenu réglementaire. Le décret n° 2026-272 du 14 avril 2026 impose aux administrations de l'État, à ses opérateurs et à six groupements d'intérêt public un service cloud conforme à un référentiel de sécurité pour leurs données d'une sensibilité particulière. L'arrêté du 12 août 2026 a fixé ce référentiel : SecNumCloud en version 3.2. Les organismes déjà engagés ailleurs peuvent obtenir une dérogation, de 18 mois au plus quand une offre conforme existe en France.

Comment ça fonctionne ?

Un label annoncé, une qualification appliquée

Le communiqué du 17 mai 2021 présentait trois piliers : le label cloud de confiance, la politique « Cloud au centre » de l'administration et une stratégie industrielle. Le label devait être octroyé aux fournisseurs et offrir un « double niveau de sécurisation », juridique et technique. Le texte assumait aussi d'autoriser des entreprises alliant actionnariat européen et technologies étrangères sous licence.

Dans les faits, la garantie vérifiable est la qualification SecNumCloud. Son chapitre 19.6, « Protection vis-à-vis du droit extra-européen », exige un siège dans l'Union et plafonne la part du capital et des droits de vote détenue par des entités non européennes à 24 % pour chacune et 39 % au total (source : référentiel SecNumCloud 3.2 de l'ANSSI, 8 mars 2022). Un sous-traitant non européen ne doit pas avoir la possibilité technique d'obtenir les données du service. Le guide Cloud souverain : définition détaille ces exigences et la doctrine de l'État.

Ce que dit le catalogue de l'ANSSI

Relevé GadGeek sur le catalogue de l'ANSSI mis à jour le 15 septembre 2026 : 27 services sont qualifiés SecNumCloud, chez 12 fournisseurs. Un seul d'entre eux porte « cloud de confiance » dans son nom : « Cloud de confiance S3NS », du fournisseur Thales Cloud Sécurisé. Sur la liste des prestataires en cours de qualification figure un second : « Cloud de Confiance Bleu », de Bleu SAS. Les deux sont des offres hybrides, fondées sur une technologie américaine.

Exemple concret

S3NS se présente comme une société de droit français entièrement contrôlée par Thales, alliée à Google Cloud. Son offre PREMI3NS a obtenu la qualification SecNumCloud 3.2 le 17 décembre 2025, valable jusqu'au 17 décembre 2028 selon le catalogue de l'ANSSI. Selon S3NS, le service est opéré exclusivement par ses salariés dans des centres de données situés en France, et les technologies de Google transitent par une zone de quarantaine où S3NS les analyse avant de les déployer.

Bleu, détenue à 100 % par Capgemini et Orange, donne accès à Microsoft Azure et Microsoft 365 grâce à un partenariat technologique avec Microsoft (source : communiqué de Bleu, 17 avril 2025). Elle a annoncé le 17 avril 2025 la validation du jalon J0, l'entrée formelle dans le processus de qualification. Au catalogue du 15 septembre 2026, elle ne figure pas parmi les services qualifiés.

Cloud de confiance face au cloud souverain

Le cloud de confiance règle deux questions : où sont les données, et quel droit s'applique à l'opérateur. Le cloud souverain, expression sans définition officielle, y ajoute souvent une troisième : la maîtrise européenne de la technologie elle-même. Une offre qualifiée bâtie sur Google ou Microsoft peut être de confiance au sens de l'État sans être souveraine au sens strict.

Notre lecture : pour des données sensibles, une offre hybride qualifiée vaut mieux qu'un cloud « hébergé en France » sans qualification, car ses garanties sont auditées. Mais elle laisse au fournisseur américain la feuille de route, les mises à jour et la licence. Si c'est ce que vous voulez éviter, cherchez une offre qualifiée bâtie sur une technologie européenne.

Qui contrôle un cloud de confiance ?

• Les données : l'opérateur qualifié, établi dans l'Union. Le fournisseur de la technologie ne doit pas pouvoir y accéder techniquement, journaux et identités des administrateurs compris. C'est la réponse de SecNumCloud au CLOUD Act.
• Le logiciel : le fournisseur de la technologie, s'il est étranger. Il décide des évolutions ; l'opérateur filtre et déploie.
• La continuité : SecNumCloud exige que l'opérateur garde une « autonomie d'exploitation continue », c'est-à-dire la capacité de maintenir le service par ses propres compétences ou en faisant appel à deux sociétés tierces au moins.

Ces offres visent les organisations. Pour un particulier ou une petite structure, la même grille s'applique à un stockage en ligne : qui l'exploite, sous quel droit, avec quelle technologie, et peut-on tout exporter ? Les pistes concrètes sont dans notre sélection cloud européen et dans les alternatives européennes à Google Drive.

Questions fréquentes

Dernière vérification : 07/10/2026