En résumé
La suite collaborative Hexagone, éditée par Interstis Solutions, figure désormais sur la liste, très sélective, des services en cours de qualification SecNumCloud publiée par l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI), notamment pour sa partie collaborative. Cette annonce intervient au moment où la qualification SecNumCloud cesse d’être une recommandation pour devenir une obligation légale d’hébergement des données les plus sensibles de l’État, en application de l’arrêté du 12 août 2026 propulsé par le Premier Ministre, Sébastien Lecornu. Les données des clients d’Interstis Solutions sont déjà hébergées dans un environnement qualifié SecNumCloud grâce au partenariat de l’éditeur avec 3DS Outscale ; la démarche en cours vise à étendre cette exigence à la couche applicative de la suite Hexagone elle-même.
Ce qui change en août 2026 : SecNumCloud devient une obligation légale
Jusqu’à l’été 2026, le recours à un prestataire qualifié SecNumCloud relevait pour l’essentiel de la doctrine « Cloud au centre » : une recommandation forte adressée aux administrations, sans portée contraignante généralisée.
Trois textes ont changé cette situation, par étapes :
-
L’article 31 de la loi SREN (mai 2024) pose le principe d’un hébergement à l’abri des législations extraterritoriales pour les données sensibles ;
-
Le décret n° 2026-272 du 14 avril 2026 en précise les modalités d’application et désigne les entités concernées ;
-
L’arrêté du 12 août 2026, publié au Journal officiel du 14 août 2026 et en vigueur depuis le 22 août 2026, approuve la version 3.2 du référentiel SecNumCloud et lui donne une portée pleinement opposable.
Concrètement, l’arrêté vise les administrations de l’État, ses opérateurs et les groupements d’intérêt public qui confient à un prestataire privé des données d’une « sensibilité particulière » — c’est-à-dire des données dont la violation porterait atteinte à l’ordre public, à la sécurité publique, à la santé ou à la vie des personnes, ou à la protection de la propriété intellectuelle. Pour ces traitements, la conformité doit être attestée par une qualification délivrée par l’ANSSI ou par une certification européenne reconnue équivalente.
La différence entre une doctrine et une règle d’achat opposable est considérable : une doctrine se pondère au regard des contraintes budgétaires d’un projet, une règle d’achat conditionne la légalité du marché public.
Qu’est-ce que la qualification SecNumCloud ?
SecNumCloud est la qualification délivrée par l’ANSSI aux services d’informatique en nuage répondant au plus haut niveau d’exigence français en matière de sécurité et de souveraineté. Le référentiel en vigueur — la version 3.2 — ajoute aux exigences techniques et organisationnelles des critères d’immunité vis-à-vis des législations extraterritoriales, notamment le CLOUD Act américain.
Deux précisions comptent pour lire correctement le marché :
- L’ANSSI qualifie une offre, pas une entreprise. Un éditeur peut être qualifié pour son IaaS et pas pour son SaaS, pour un périmètre géographique et pas un autre.
- Un service hébergé sur une infrastructure qualifiée n’hérite pas automatiquement de la qualification. La couche applicative doit faire l’objet de sa propre démarche.
C’est précisément l’objet de la démarche engagée par Interstis Solutions pour la suite Hexagone.
Où en est exactement Interstis Solutions ?
| Périmètre |
Statut au 11 septembre 2026 |
|
Hébergement des données clients (infrastructure)
|
Environnement qualifié SecNumCloud, via le partenariat avec 3DS Outscale
|
|
Suite collaborative Hexagone (couche applicative)
|
En cours de qualification SecNumCloud auprès de l’ANSSI, notamment pour la partie collaborative
|
|
Décision finale de qualification
|
À venir, après les audits techniques et opérationnels
|
Cette distinction est importante et Interstis Solutions la revendique sans ambiguïté : être inscrit sur la liste des services en cours de qualification n’équivaut pas à détenir la qualification. C’est l’entrée dans un cercle sélectif d’éditeurs SaaS engagés dans le parcours, avec l’ambition d’une maîtrise de bout en bout — de l’infrastructure jusqu’à l’applicatif.
Des années d’investissement, adossées à France 2030
La suite collaborative Hexagone est éditée dans le cadre du programme France 2030. Interstis Solutions est lauréat de deux volets opérés notamment par Bpifrance :
- Le volet « développement de suites collaboratives souveraines » ;
- Le volet « accompagnement à la qualification SecNumCloud ».
Cette première reconnaissance vient couronner plusieurs années de travail des équipes, qui ont mis en conformité chaque module de l’infrastructure avec l’un des référentiels de sécurité les plus exigeants d’Europe.
Fondée en 2014 au Creusot, en Bourgogne, Interstis Solutions est aujourd’hui également implantée à Paris, Nantes et Montpellier, tout en restant une entreprise totalement indépendante.
Prochaine étape : les audits techniques et opérationnels
La suite du parcours passe par les audits techniques et opérationnels : vérifications sur site et ajustements nécessaires pour répondre à chacun des critères du référentiel. Une étape exigeante, qui précède la décision finale de qualification.
« Ce n’est pas une ligne de plus sur un communiqué. C’est la validation d’un travail de fond mené par des équipes qui, pendant des années, ont mis en conformité chaque module de notre infrastructure avec l’un des référentiels de sécurité les plus exigeants d’Europe. Chez Interstis Solutions, on ne se contente pas d’annoncer une ambition : on la construit. Et ça, depuis 2014. »
Nicolas Huez, cofondateur et directeur technique d’Interstis Solutions
Ce que cela change pour les organisations publiques et les secteurs régulés
Pour une collectivité, une administration ou un acteur d’un secteur régulé, l’arrêté du 12 août 2026 déplace la question à poser avant de signer ou de renouveler un contrat de service collaboratif. Il ne s’agit plus seulement de savoir si un fournisseur affiche un niveau de sécurité élevé, mais de vérifier :
-
Si la qualification couvre réellement le service utilisé, et pas seulement l’infrastructure sous-jacente ;
-
Si les données peuvent être rendues accessibles depuis un État tiers ;
-
Si le contrat permet une réversibilité complète et contrôlée ;
-
Si le périmètre qualifié correspond au périmètre juridique du projet.
Une précision utile : dès lors que des données sensibles cohabitent avec des données ordinaires sur une même infrastructure cloud, c’est l’ensemble de cette infrastructure qui doit répondre au niveau d’exigence SecNumCloud. L’isolement de quelques fichiers ne suffit pas.
Questions fréquentes
La suite Hexagone est-elle qualifiée SecNumCloud ?
Non. La suite collaborative Hexagone figure sur la liste des services en cours de qualification SecNumCloud auprès de l’ANSSI, notamment pour sa partie collaborative. La qualification sera prononcée, le cas échéant, à l’issue des audits techniques et opérationnels. En revanche, les données des clients d’Interstis Solutions sont d’ores et déjà hébergées dans un environnement qualifié SecNumCloud, grâce au partenariat avec 3DS Outscale.
Depuis quand SecNumCloud est-il une obligation légale ?
L’arrêté du 12 août 2026, publié au Journal officiel du 14 août 2026 et en vigueur depuis le 22 août 2026, approuve la version 3.2 du référentiel SecNumCloud et le rend opposable pour l’hébergement des données d’une sensibilité particulière de l’État, de ses opérateurs et des groupements d’intérêt public concernés.
Qui est concerné par cette obligation ?
Les administrations de l’État, les opérateurs de l’État et les groupements d’intérêt public désignés, lorsqu’ils confient à un prestataire privé le traitement de données dont la violation porterait atteinte à l’ordre public, à la sécurité publique, à la santé ou à la vie des personnes, ou à la protection de la propriété intellectuelle. Au-delà de ce périmètre, la qualification SecNumCloud s’impose de plus en plus comme un critère de sélection pour les OIV, les entités NIS2 et les secteurs régulés.
Quelle différence entre une qualification SecNumCloud et une certification ISO 27001 ?
ISO/IEC 27001 est une norme internationale de management de la sécurité de l’information. SecNumCloud est une qualification française délivrée par l’ANSSI, portant sur une offre cloud déterminée, et qui ajoute aux exigences de sécurité des critères juridiques d’immunité vis-à-vis du droit extra-européen.
Un logiciel hébergé chez un prestataire qualifié SecNumCloud est-il lui-même qualifié ?
Non. La qualification porte sur un service au périmètre défini. Une application hébergée sur une infrastructure qualifiée n’hérite pas de la qualification : elle doit engager sa propre démarche auprès de l’ANSSI.
Qu’est-ce que la suite collaborative Hexagone ?
Hexagone est la suite collaborative souveraine éditée par Interstis Solutions, société française fondée en 2014 au Creusot et implantée à Paris, Nantes et Montpellier. Elle est développée dans le cadre du programme France 2030 et se positionne comme alternative souveraine aux suites collaboratives non européennes pour le secteur public et les organisations régulées. Elle est aujourd'hui une solution éprouvée et utilisée par plus de 20 000 utilisateurs./p>
