Arrêté SecNumCloud du 12 août 2026 : ce que la loi SREN change pour la confiance dans le cloud — et ce qu'elle ne prouve pas

Une RSSI d'un opérateur de l'État reçoit, mi-août, une note de sa direction juridique : l'arrêté approuvant le référentiel SecNumCloud est paru, le calendrier de mise en conformité cloud démarre. Dans la même semaine, un auditeur lui demande autre chose : démontrer que les registres de traitement archivés en 2024 n'ont pas été modifiés depuis. Deux questions, deux objets. L'arrêté répond à la première. Il ne répond pas à la seconde.

Cet article fait le point sur ce que l'arrêté du 12 août 2026 change réellement, pour qui, et sur la distinction que tout DPO ou RSSI doit garder en tête : la confiance dans l'infrastructure n'est pas la preuve de l'intégrité d'un fichier.

Que dit l'arrêté du 12 août 2026 sur SecNumCloud ?

L'arrêté du 12 août 2026, publié au JORF n° 0189 du 14 août 2026 et en vigueur depuis le 17 août 2026, approuve le référentiel d'exigences applicable aux prestataires de services d'informatique en nuage. Il est pris en application du décret n° 2026-272 du 14 avril 2026, lui-même issu de l'article 31 de la loi SREN du 21 mai 2024.

Le texte exact, consultable sur Légifrance, s'intitule « Arrêté du 12 août 2026 portant approbation du référentiel d'exigences relatif aux prestataires de services d'informatique en nuage ». Son article 2 précise le mécanisme d'attestation : la conformité d'un service cloud fourni par un prestataire privé est « attestée par une qualification délivrée par l'Agence nationale de la sécurité des systèmes d'information ou par une certification de l'Union européenne ou d'un État partie à l'espace économique européen reconnue comme équivalente par la même agence ».

En pratique : la qualification SecNumCloud de l'ANSSI devient la voie de référence pour attester la conformité au référentiel, avec une porte ouverte à de futures certifications européennes équivalentes.

Qui est concerné par l'obligation issue de la loi SREN ?

Le périmètre de l'obligation est précis et ne couvre pas le secteur privé pour ses propres données. Le décret n° 2026-272 vise les administrations de l'État, les opérateurs de l'État et six groupements d'intérêt public nommément désignés, lorsqu'ils font traiter des données d'une sensibilité particulière par un service cloud fourni par un prestataire privé.

Trois textes s'emboîtent :

• L'article 31 de la loi n° 2024-449 du 21 mai 2024 (dite loi SREN) pose le principe : les données d'une sensibilité particulière de l'État confiées à un cloud privé doivent bénéficier de critères de sécurité garantissant notamment « la protection des données contre tout accès par des autorités publiques d'États tiers » non autorisé.
• Le décret n° 2026-272 du 14 avril 2026 définit le périmètre des entités soumises, organise le renvoi à un référentiel ANSSI approuvé par arrêté et prévoit un régime transitoire : les administrations déjà engagées contractuellement peuvent solliciter une dérogation, limitée à dix-huit mois lorsqu'une offre conforme existe, ou d'un an renouvelable.
• L'arrêté du 12 août 2026 approuve ce référentiel et le rend opposable.

Retenez surtout ce que le texte ne dit pas. Il n'impose rien aux entreprises privées pour leurs propres données, ni aux collectivités hors du champ défini. Une PME, un cabinet, une ETI peuvent choisir un cloud qualifié : c'est un choix, pas une obligation issue de cet arrêté.

Que couvre la qualification SecNumCloud de l'ANSSI ?

SecNumCloud est une qualification d'infrastructure et d'organisation : elle atteste qu'un service cloud (IaaS, PaaS, SaaS) respecte un niveau élevé d'exigences de sécurité et de protection juridique. Elle est délivrée par l'ANSSI pour trois ans, avec des audits de surveillance annuels, sur la base du référentiel en version 3.2.

Selon la FAQ de l'ANSSI, la qualification couvre notamment :

• la sécurité organisationnelle et technique du service (gouvernance, cloisonnement, gestion des incidents) ;
• la localisation de l'hébergement des données ;
• la protection contre les lois à portée extraterritoriale d'États non européens : siège dans l'UE, capital majoritairement européen, autonomie opérationnelle, indépendance vis-à-vis d'ingérences extérieures.

C'est une garantie réelle, exigeante et contrôlée. Sur son terrain (qui héberge, sous quel droit, avec quel niveau de sécurité), SecNumCloud constitue aujourd'hui la référence française. Rien dans cet article ne remet cela en cause.

Ce que la qualification prouve et ce qu'elle ne prouve pas

Une qualification d'hébergeur atteste des propriétés du service, pas des propriétés de vos fichiers. Elle réduit fortement le risque d'accès non autorisé et d'altération, mais elle ne produit aucun élément de preuve vérifiable par un tiers sur l'état d'un document précis à une date précise. Ce sont deux objets juridiques distincts.

Concrètement, un hébergement qualifié SecNumCloud vous permet de dire : « mes données sont hébergées par un prestataire audité, sous droit européen, protégé contre les accès d'autorités d'États tiers ». Il ne vous permet pas de démontrer, pièce en main face à un contradicteur, que le rapport d'audit archivé le 3 mars existait déjà sous cette forme exacte le 3 mars.

La dernière ligne mérite d'être soulignée : l'horodatage a lui aussi ses limites. Il prouve qu'un fichier existait sous une forme donnée à une date donnée : existence et intégrité à un instant, donc antériorité. Il ne dit rien de l'identité de l'auteur ni de la titularité des droits.

Pourquoi la preuve d'intégrité doit être externe à l'hébergeur

Un journal d'horodatage tenu par l'hébergeur lui-même a une faiblesse structurelle : la partie qui atteste est la partie qui détient. Si l'intégrité d'un document est contestée, une attestation produite par le prestataire qui héberge ce document repose sur la confiance envers ce prestataire, précisément ce que le contradicteur attaquera.

Une preuve d'intégrité gagne en solidité quand elle est vérifiable indépendamment de l'infrastructure qui conserve le fichier. C'est le principe de l'ancrage d'empreinte : on calcule le hash SHA-256 du document, on l'ancre sur un registre public que ni l'hébergeur, ni le service d'horodatage, ni le titulaire du document ne contrôlent : la blockchain Bitcoin, via le protocole ouvert OpenTimestamps. Toute modification d'un seul octet du fichier change intégralement son empreinte : la correspondance entre le fichier conservé et l'empreinte ancrée se vérifie par n'importe quel tiers, à tout moment.

Côté recevabilité, le cadre est posé par le règlement eIDAS : son article 41.1 interdit de refuser à un horodatage électronique tout effet juridique au seul motif qu'il n'est pas qualifié. Un horodatage non qualifié peut donc être recevable ; sa force probante relève de l'appréciation souveraine du juge, comme indice sérieux au sein d'un faisceau.

Cas d'usage pour un DPO ou un RSSI

Trois situations où la question « l'infrastructure est conforme » ne suffit pas :

1. 1
   Registres et documentation RGPD

   Le registre des traitements, les AIPD et les procédures de notification évoluent. Horodater chaque version fige une empreinte datée : en cas de contrôle, vous documentez qu'une version donnée existait avant l'incident, quel que soit l'hébergeur du registre.
2. 2
   Traces d'incident et de notification

   Après une violation de données, la chronologie fait débat : quand le rapport interne a-t-il été rédigé, quand la notification a-t-elle été préparée ? Une empreinte ancrée avant l'envoi renforce le faisceau d'indices sur la chronologie réelle.
3. 3
   Livrables d'audit et de conformité

   Rapports d'audit, politiques de sécurité, preuves de mise en conformité SREN elles-mêmes : horodater le livrable à sa date de production permet, des années plus tard, de démontrer qu'il n'a pas été réécrit a posteriori.

Dans chacun de ces cas, la migration vers un cloud qualifié et l'horodatage des documents répondent à deux exigences différentes du même dossier de conformité.

Et LegalStamp dans tout ça ?

LegalStamp est un service d'horodatage électronique non qualifié au sens d'eIDAS : nous ne sommes ni prestataire qualifié, ni qualifiés SecNumCloud, et nous ne prétendons ni l'un ni l'autre. Notre terrain est celui de la preuve d'intégrité et d'antériorité par fichier, en complément de votre infrastructure, quelle qu'elle soit.

Le fonctionnement est pensé pour un contexte de données sensibles : l'empreinte SHA-256 est calculée dans votre navigateur, le fichier ne quitte pas votre poste, seule l'empreinte est transmise. Pour un RSSI, cela signifie aucun nouveau flux de données sensibles vers un prestataire supplémentaire. L'empreinte est ensuite ancrée sur la blockchain Bitcoin via OpenTimestamps ; l'attestation définitive est disponible après confirmation d'un bloc, pas instantanément. Le reçu .ots se vérifie ensuite par n'importe quel tiers, y compris si LegalStamp disparaît. La mécanique est détaillée sur notre page fonctionnement.

Les limites sont réelles et assumées : pas de présomption légale attachée à un horodatage qualifié, pas de preuve d'identité ni de titularité, et la preuve ne vaut que si vous conservez le fichier d'origine. Pour les cas exigeant un horodatage qualifié, un prestataire des listes de confiance européennes reste le bon interlocuteur.

Conclusion

L'arrêté du 12 août 2026 clôt le volet réglementaire ouvert par l'article 31 de la loi SREN : les données d'une sensibilité particulière de l'État devront être hébergées sur des services attestés conformes au référentiel SecNumCloud, avec une protection explicite contre les lois extraterritoriales non européennes. C'est une avancée nette pour la confiance dans l'infrastructure. Mais une infrastructure de confiance ne produit pas de preuve documentaire : démontrer qu'un fichier existait sous une forme donnée à une date donnée exige un mécanisme dédié, vérifiable indépendamment de tout hébergeur. Les deux se complètent ; aucun ne remplace l'autre.

Disclaimer : cet article est fourni à titre informatif et pédagogique. Il ne constitue pas un avis juridique. Pour un cas concret (litige, conformité, procédure), faites valider votre stratégie de preuve par un professionnel du droit.