En 2025, 24 % des cyberattaques traitées par l’ANSSI visaient des collectivités territoriales et des administrations publiques. Les collectivités sont devenues des cibles prioritaires pour les cybercriminels, précisément parce qu’elles gèrent des données sensibles et que leurs systèmes informatiques sont souvent vieillissants.

Pour faire face à cette réalité, la réglementation évolue. La directive NIS2 (Network and Information Systems) intègre pour la première fois les collectivités territoriales dans son champ d’application. La loi SREN impose l’hébergement des données sensibles sur des services certifiés. La circulaire nᵒ 6282/SG encadre l’ensemble des projets numériques publics. Le message est clair : vous n’avez plus le choix du statu quo.

Le cloud souverain pour collectivité territoriale est la réponse à ces obligations. Il vous permet de protéger les données de vos administrés, de vous conformer au RGPD, à NIS2 et à la doctrine de l’État.

Dans ce guide, vous trouverez tout ce qu’il faut savoir pour comprendre vos obligations, choisir la bonne solution et anticiper les prochaines échéances réglementaires.

Comprendre le concept de cloud souverain

Qu’est-ce qu’un cloud souverain ?

Un cloud souverain est une infrastructure d’hébergement soumise exclusivement au droit français et européen. Il est hébergé en France et opéré par une entité de droit européen. Si vous êtes une collectivité territoriale, cela signifie que les données de vos administrés (état civil, données sociales, informations fiscales, dossiers RH de vos agents) restent sous la juridiction française et ne peuvent pas être transmises à des tiers sans votre consentement.

Ce n’est pas le cas des services fournis par des opérateurs américains tels que Google Cloud, Amazon Web Services ou Microsoft Azure. Ces fournisseurs sont soumis au **CLOUD Act** (Clarifying Lawful Overseas Use of Data Act), adopté aux États-Unis en 2018. Cette loi autorise les autorités américaines à exiger l’accès aux données hébergées par des entreprises américaines, et ce, même si leurs serveurs sont physiquement situés en France. Concrètement, le gouvernement américain peut accéder aux données de vos administrés sans vous en informer, et sans que vous puissiez vous y opposer. C’est parfaitement légal de leur côté.

Ce risque n’est pas théorique : il concerne directement l’obligation de protection des données personnelles des citoyens au titre du RGPD. Il engage la responsabilité de la personne responsable du traitement de ces données.

Pour s’assurer qu’un service cloud est réellement souverain, l’ANSSI délivre une qualification : le SecNumCloud. C’est aujourd’hui le seul label qui garantit l’immunité juridique aux lois extra-européennes avec la référence imposée par la circulaire nᵒ 6282/SG pour tout hébergement de données sensibles dans le secteur public.

Pourquoi les collectivités territoriales ont besoin d’un cloud souverain ?

Aujourd’hui, les collectivités ont tout intérêt à s’équiper d’un cloud souverain pour garantir leur indépendance. De plus, cela s’inscrit dans la doctrine « Cloud au centre » de l’État, encadrée par la circulaire nᵒ 6282/SG, 5 juillet 2021. Celle-ci implique que chaque nouveau projet numérique passe en priorité par le cloud via des offres certifiées SecNumCloud ou via le cloud étatique. Il s’agit ici d’une réelle volonté de l’État de mieux encadrer les pratiques numériques afin de sécuriser les données des administrés.

Cette volonté est appuyée par la loi SREN de mai 2024 indiquant que toute personne publique hébergeant des données sensibles dans le cloud commercial doit choisir un service certifié SecNumCloud. Il ne s’agit plus là d’une incitation, mais bien d’une obligation légale que vous devez respecter. À cela s’ajoute la directive NIS2 qui, pour la première fois, inclut les administrations publiques dès lors qu’elles comptent plus de 30 000 habitants. Ce que vous devez retenir, c’est qu’en tant que collectivité territoriale, la loi vous oblige à protéger les données des citoyens. Vous ne pouvez plus utiliser n’importe quel service cloud.

Deux points clés autour de la sécurité dans le cloud souverain

Protection des données des collectivités territoriales

Les collectivités territoriales sont amenées à manipuler un grand nombre de données sensibles. Par exemple, une mairie tient un registre d’état civil, s’occupe de la gestion des aides sociales, traite des données RH pour ses agents, ainsi que des données fiscales. Ce sont des denrées de choix pour les pirates informatiques. D’autant que les risques de cyberattaque dans le service public peuvent engendrer la paralysie des services essentiels aux citoyens tels que la gestion de l’urgence sociale ou encore du paiement des agents.

Notez qu’en 2025, l’ANSSI relevait que 24 % des cyberattaques concernaient des collectivités territoriales et administrations publiques. Le risque est donc réel et il est impératif de mettre en place des infrastructures sécurisées, robustes et résilientes pour s’en prémunir.

Enfin, le NIS2 intègre la gestion des incidents. Vous devez mettre en place une procédure documentée obligatoirement. En cas d’incident, vous devez alerter l’ANSSI sous 24 h, puis fournir une notification complète des dommages et de l’incident sous 72 h. Enfin vous devez envoyer un rapport final sous 1 mois pour informer de manière complète l’ANSSI sur l’incident.

En utilisant un cloud souverain certifié SecNumCloud, vous intégrez directement l’ensemble des directives de la NIS2 : chiffrement des données, contrôle des accès, journalisation des activités, PRA/PCA contractuels.

Solution pour garantir la conformité réglementaire

Pour garantir la conformité réglementaire de votre organisation, vous devez satisfaire simultanément à 3 textes :

• le RGPD : pas de transfert hors UE, données citoyens protégées,
• la circulaire 6282/SG : hébergeur certifié SecNumCloud ou Cloud interne État,
• la NIS2 : 10 mesures de l’article 21 sont partiellement déléguées au prestataire certifié.

Notez qu’en choisissant un service de cloud souverain, vous partagez la responsabilité avec le prestataire en cas d’incident car vous lui déléguez une partie des obligations techniques.

Pour vous aider à faire votre choix, voici les critères à vérifier :

Critère	Ce qu’il faut vérifier
SecNumCloud	Liste officielle cyber.gouv.fr cyber.gouv
HDS	Obligatoire si données de santé (CCAS, EHPAD)
ISO 27001	Preuve de maturité opérationnelle
Référencement UGAP	Simplifie la commande publique cloud-temple
Localisation datacenter	France uniquement, contractualisé
SLA disponibilité	≥ 99,9 % contractuel avec pénalités

Avantages du cloud souverain pour les collectivités

Optimisation des ressources informatiques

Choisir un cloud souverain vous permet d’être en conformité réglementaire, mais ce n’est pas tout ! Un cloud souverain amène généralement des économies sur votre infrastructure informatique. En moyenne, ces économies montent jusqu’à 30 %. En effet, vous n’avez plus besoin de gérer toute la partie physique de l’infrastructure : votre prestataire s’en occupe. Globalement, vous payez ce que vous consommez. Il n’y a plus d’immobilisation de capital, ce qui est un réel avantage pour les collectivités dont les budgets sont de plus en plus serrés.

Côté maintenance, tout est géré par votre fournisseur. Cela libère vos équipes qui peuvent s’occuper d’autres missions, parfois plus pressantes.

En résumé, vous arrêtez d’acheter et d’entretenir des serveurs que vous n’exploitez pas toujours à leur plein potentiel. Vous louez un espace sécurisé et le prestataire s’occupe du reste !

Chez Kloud’Ici, nous allons encore plus loin en proposant un modèle disruptif producteur-consommateur. Ainsi, vous rentabilisez votre investissement et il devient même une source de revenu pour votre collectivité.

Perspectives futures pour les collectivités territoriales

Quelques évolutions sont à anticiper pour 2026. Tout d’abord, du côté du calendrier réglementaire, il faudra enregistrer votre organisation auprès de l’ANSSI dès la promulgation de la loi Résilience (juillet 2026). La conformité NIS2 complète est quant à elle attendue pour décembre 2027. Il est donc préférable d’anticiper ces jalons afin de pouvoir les préparer sereinement.

En mars 2026, la direction interministérielle du numérique (DINUM) a annoncé qu’elle accélérait sa transition cloud vers des offres européennes souveraines. Elle encourage vivement les collectivités à suivre le pas et à se pencher sur la question afin d’être en conformité.

Le cloud souverain, ce n’est pas uniquement une question de conformité. C’est aussi un investissement pour l’avenir de votre collectivité. Aujourd’hui, 46 % des organisations françaises adoptent le cloud souverain pour développer leurs usages d’intelligence artificielle. Traitement automatisé des demandes, analyse des besoins sociaux, optimisation des services aux administrés : ces usages arrivent, il faut vous y préparer.

Du côté de l’accompagnement, notez que le CSIRT Territoires renforce son rôle en 2026. Cette structure dédiée aux collectivités, soutenue par l’ANSSI, vous accompagne gratuitement dans la mise en œuvre de NIS2 et dans le développement d’une culture cyber en interne.

Enfin, gardez en tête le risque de l’inaction. Ne pas anticiper, c’est s’exposer à des injonctions de l’ANSSI avec astreintes journalières, mais surtout à une paralysie de vos services en cas de cyberattaque. En 2025, les collectivités touchées ont mis plusieurs semaines à rétablir leurs services essentiels. Une migration anticipée coûte toujours moins cher qu’une crise.

FAQ – Cloud souverain et collectivité territoriale : les questions fréquentes

Ma commune de moins de 30 000 habitants est-elle concernée par NIS2 ?

Les communes de moins de 30 000 habitants ne sont pas classées entités essentielles, mais peuvent être des entités importantes selon leur type d’intercommunalité. Elles restent exposées à la menace cyber et soumises au RGPD. De manière générale, utiliser un cloud souverain reste la bonne pratique, même sans obligation directe.

Peut-on continuer à utiliser Microsoft 365 ou Google Workspace dans une collectivité ?

Ces outils peuvent être maintenus pour des usages non sensibles (messagerie générale, bureautique collaborative), mais les données sensibles (citoyens, RH, finances) ne doivent pas y être stockées. La circulaire 6282/SG impose un hébergeur certifié SecNumCloud pour toutes les données à caractère sensible. De manière générale, nous déconseillons ces outils et nous vous orientons vers des outils souverains, adaptés à vos besoins.

Quels financements existent pour accompagner la mise en conformité ?

Plusieurs dispositifs sont mobilisables : le programme CaRE (Cybersécurité, accélération et Résilience des Établissements) pour les hôpitaux et collectivités, les crédits France Relance pour la transformation numérique, et les dotations de soutien à l’investissement local (DSIL). L’ANSSI propose également un accompagnement gratuit via le CSIRT Territoires pour les collectivités les plus vulnérables.