Décret SREN — Êtes-vous concerné ?
Publié au Journal officiel le 16 avril 2026, le décret d’application de l’article 31 de la loi SREN (Sécuriser et réguler l’espace numérique) impose l’hébergement des données publiques les plus sensibles sur un cloud qualifié. Les organismes concernés disposent de 18 mois pour se mettre en conformité.
Mais tout le monde n’est pas concerné, et au sein même des organismes visés le décret ne s’applique pas à tous les traitements. Ce questionnaire interactif vous aide à déterminer, en quelques questions, si votre organisme entre dans le périmètre et sur quels projets.
Ce que le décret exige, et ce que TransfertPro apporte
- Hébergement qualifié SecNumCloud — les données TransfertPro sont hébergées en France chez 3DS Outscale (groupe Dassault Systèmes), sur une infrastructure qualifiée SecNumCloud par l’ANSSI, également certifiée HDS et TISAX.
- Protection contre l’accès par un État tiers — éditeur français, aucune donnée hors du territoire national, hors de portée des lois extraterritoriales de type Cloud Act.
- Solutions certifiées CSPN par l’ANSSI — certification obtenue en 2018, renouvelée en 2025, couvrant les modes SaaS et On-Premise. TransfertPro est la seule société française de transfert et de partage de fichiers dans ce cas.
- Réversibilité et continuité — mode On-Premise possible, et mode hybride avec stockage à froid distant sur une infrastructure géographiquement distincte.
- Référencement achat public — TransfertPro est référencé sur l’UGAP, la DINUM et la CAIH.
En savoir plus : SecNumCloud · certification CSPN ANSSI · hébergement HDS · décret SREN : ce que les acteurs publics doivent savoir
Auto-évaluation
Où en êtes-vous vraiment sur HDS, NIS2 et RGPD ?
Quatorze questions, cinq minutes, à remplir vous-même : gouvernance des accès, sécurité des fichiers, traçabilité et continuité. Comptez vos « oui » et situez votre niveau de conformité. Aucune évaluation en ligne : vous remplissez le document et vous le gardez.
Questions fréquentes
Qui est concerné par le décret d’application de l’article 31 de la loi SREN ?
Le décret vise un périmètre précis : les administrations de l’État, les opérateurs de l’État et une liste nominative de six groupements d’intérêt public — l’Agence du numérique en santé, le Centre d’accès sécurisé aux données, le Centre ressources prévention de la radicalisation, le Collecteur analyseur de données, la Modernisation des déclarations sociales et le Système national d’enregistrement de la demande de logement social. Une collectivité territoriale ou un hôpital qui ne figure pas dans ce périmètre n’est pas soumis aux mêmes obligations par défaut.
Quelles données sont visées ?
Uniquement celles qui réunissent deux conditions cumulatives. D’une part une sensibilité particulière : la donnée relève d’un secret protégé par la loi (secret médical, des affaires, de la défense nationale, des procédures judiciaires) ou est nécessaire aux missions essentielles de l’État. D’autre part un risque caractérisé : sa violation doit être susceptible de porter une atteinte concrète à l’ordre public, à la sécurité publique, à la santé, à la vie des personnes ou à la propriété intellectuelle.
Qu’est-ce que l’effet de contamination ?
Dès lors qu’une seule donnée du système d’information réunit les deux conditions, l’ensemble des données hébergées sur la même infrastructure doit être protégé au même niveau — sauf cloisonnement technique efficace réalisable sans remettre en cause l’équilibre économique du contrat. La qualification d’une seule donnée peut donc contaminer tout un environnement d’hébergement.
Quel niveau de qualification cloud faut-il ?
L’article 2 du décret mandate un référentiel élaboré par l’ANSSI couvrant dix domaines d’exigence, dont la protection contre tout accès par les autorités publiques d’un État tiers non autorisé par le droit de l’Union. Ce référentiel reprend très largement les exigences de SecNumCloud, à ce jour la seule voie réellement opérationnelle. Le texte ouvre la porte à une certification européenne d’un niveau au moins équivalent (schéma EUCS niveau High+), qui n’existe pas encore sur le marché.
Quel est le délai de mise en conformité ?
Dix-huit mois à compter de la publication du décret au Journal officiel, le 16 avril 2026.
TransfertPro répond-il aux exigences du décret SREN ?
Les données TransfertPro sont hébergées exclusivement en France, chez 3DS Outscale (groupe Dassault Systèmes), sur une infrastructure qualifiée SecNumCloud par l’ANSSI, également certifiée HDS et TISAX. Les solutions elles-mêmes sont certifiées CSPN par l’ANSSI, en SaaS comme en On-Premise. Aucune donnée ne quitte le territoire français, ce qui répond directement au critère de protection contre l’accès par des autorités d’États tiers.
Qu’est-ce qu’une « offre acceptable » au sens du décret ?
Une offre est jugée acceptable si elle répond au besoin fonctionnel du projet, en tenant compte de son coût. Cette notion oblige les acheteurs publics à documenter leur analyse de marché : quelles offres conformes existent, à quel prix, et pourquoi elles répondent ou non au besoin. Les critères de qualification cloud doivent donc apparaître explicitement dans les dossiers d’appel d’offres.
