Arrêté du 12 août 2026 portant approbation du référentiel d'exigences relatif aux prestataires de services d'informatique en nuage

Publics concernés : services de l'Etat, opérateurs de l'Etat, groupements d'intérêt public. Objet : le présent arrêté approuve la version 3.2 du référentiel SecNumCloud. Ce référentiel définit les règles que doivent respecter les prestataires de services d'informatique en nuage commerciaux fournissant leurs services aux administrations, opérateurs et groupements d'intérêt public de l'Etat pour le traitement de données d'une sensibilité particulière dont la violation engendrerait une atteinte à l'ordre public, à la sécurité publique, à la santé ou à la vie des personnes, ou à la protection de la propriété intellectuelle. Entrée en vigueur : l'arrêté entre en vigueur le lendemain de sa publication. Application : le présent arrêté est pris pour l'application du décret n° 2026-272 appliquant l'article 31 de la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique. Le Premier ministre,

Vu le règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

Vu le règlement (UE) 2023/2854 du 13 décembre 2023 concernant des règles harmonisées portant sur l'équité de l'accès aux données et de l'utilisation des données ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 121 à 124 ;

Vu la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique, notamment son article 31 ;

Vu le décret n° 2009-834 du 7 juillet 2009 portant création d'un service à compétence nationale dénommé « Agence nationale de la sécurité des systèmes d'information » ;

Vu le décret n° 2015-350 du 27 mars 2015 modifié relatif à la qualification des produits de sécurité et des prestataires de service de confiance pour les besoins de la sécurité des systèmes d'information ;

Vu le décret n° 2026-272 du 14 avril 2026 relatif à la protection des données d'une sensibilité particulière des administrations, opérateurs et groupements d'intérêt public de l'Etat traitées par un service d'information en nuage fourni par un prestataire privé, notamment son article 2,