Données de santé : le calendrier de bascule vers un cloud qualifié

La Plateforme des données de santé quitte Microsoft Azure. La décision est actée, le calendrier est public, et il tient en trois jalons resserrés sur une seule année. Pour les équipes qui suivent la souveraineté numérique, l'intérêt de ce dossier ne tient pas au symbole politique. Il tient à ce qu'il rend observable : un hébergeur de données sensibles change d'infrastructure, et chaque étape laisse derrière elle une trace administrative datée, donc vérifiable.

Le mouvement s'inscrit dans une vague plus large de qualification des offres cloud, côté français avec le visa de sécurité national, côté européen avec un cadre de certification en cours d'installation. Les deux régimes ne disent pas la même chose et ne pèsent pas sur les mêmes acteurs. Les confondre conduit à mal lire les avis de marché publics qui se multiplient depuis le début de l'année, et à mal évaluer ce qu'un fournisseur peut réellement démontrer.

Cet article reprend le calendrier tel qu'il a été publié, explique le choix de méthode qui a supprimé une étape de transition, situe le véhicule d'achat qui porte l'opération et détaille les points de contrôle qu'une cellule de veille sectorielle gagne à placer sur ce dossier d'ici la fin de l'année.

Trois jalons pour une bascule en une seule année

Le calendrier rapporté par Solutions Numériques tient en trois dates. Un cahier des charges publié le 10 février 2026, un choix de prestataire attendu pour la fin mars 2026, et une copie complète de la base visée pour la fin 2026. La cible est une infrastructure qualifiée SecNumCloud implantée dans l'Union européenne, en remplacement de l'hébergement actuel sur Microsoft Azure.

Trois jalons en dix mois, pour une base de données de santé, c'est un rythme tendu. Chacun de ces rendez-vous produit un document opposable : un cahier des charges, une attribution, une recette technique. C'est cette matérialité qui rend le dossier suivable, à la différence des annonces d'intention qui ponctuent habituellement les débats sur la souveraineté numérique et ne laissent aucune trace exploitable.

Une lecture attentive du dernier jalon s'impose. Il porte sur une copie complète de la base, ce qui n'est pas le même événement qu'un arrêt de l'environnement précédent. Tant que la copie n'est pas déclarée opérationnelle et que les traitements ne s'exécutent pas sur la nouvelle infrastructure, la dépendance initiale demeure, même partiellement. Distinguer la réplication de la bascule effective évite de conclure trop vite à la fin de l'opération.

Pourquoi l'étape de migration intermédiaire a disparu du plan

Le plan initial prévoyait une transition en deux temps. Solutions Numériques rapporte que cette étape intermédiaire a été abandonnée au profit d'un passage direct vers la cible, les études de faisabilité ayant jugé ce passage réalisable. La décision est technique avant d'être politique, et elle change la physionomie du risque.

Une migration en deux temps coûte deux fois : deux phases de reprise de données, deux campagnes de tests de non regression, deux gels fonctionnels pendant lesquels les projets applicatifs attendent. Elle a en contrepartie une vertu, celle de fractionner l'exposition. Si la première étape échoue, l'organisation reste sur un socle connu et dispose encore de marge avant l'échéance finale.

Il faut noter que la décision s'appuie sur des études de faisabilité, donc sur une évaluation documentée et non sur un pari calendaire. Cette précision change la lecture : un raccourcissement de plan motivé par une étude technique n'a pas la même valeur d'indice qu'un raccourcissement décidé sous contrainte politique. Le premier signale une confiance dans la maturité de la cible, le second signalerait une pression sur le calendrier.

Le passage direct inverse cet arbitrage. Il économise une phase entière, mais il concentre l'incertitude sur une fenêtre unique de fin d'année. En pratique, cela crée un point de suivi précis pour un veilleur : tout retard sur l'attribution du printemps se répercute mécaniquement sur la copie de décembre, sans étape tampon pour absorber le glissement. Le premier jalon devient donc l'indicateur avancé du dernier.

Nuage Public, le véhicule d'achat qui porte l'opération

L'achat ne se fait pas de gré à gré. Solutions Numériques précise que l'opération s'appuie sur le marché « Nuage Public », porté conjointement par la direction interministérielle du numérique et l'Agence des achats de l'État. Ce détail administratif est en réalité l'un des plus utiles pour la veille, parce qu'un marché mutualisé produit des documents standardisés, publiés selon un calendrier réglementé.

Un véhicule interministériel a une autre conséquence : ce qui est négocié pour un porteur devient disponible pour les autres. Les clauses retenues sur la réversibilité, la localisation du support ou les conditions de sortie ne concernent pas seulement la plateforme de santé, elles préfigurent les conditions que rencontreront les prochains acheteurs publics. Suivre ce marché revient donc à lire en avance le standard contractuel du secteur public.

Pour une cellule de veille, cela dessine un corpus de sources primaires bien identifié : avis d'attribution, pièces des consultations, communications des deux administrations porteuses. Ces documents se lisent lentement mais ils datent les faits avec précision, là où la reprise de presse résume et parfois décale les échéances.

SecNumCloud et cadre européen : deux régimes qui se répondent sans se confondre

En parallèle, un cadre européen se met en place. CIO Online décrit un Cloud and AI Development Act qui installe une souveraineté à quatre niveaux pour les services cloud destinés au secteur public, avec une certification à l'échelle de l'Union. La logique est graduée : plus le niveau est élevé, plus les exigences portent sur les personnes et sur la maîtrise juridique du service, pas seulement sur la localisation des serveurs.

Au niveau 2, CIO Online mentionne la localisation du personnel dans l'Union, le maintien des données sur le continent et la documentation des composants logiciels, autrement dit une nomenclature des briques utilisées. Aux niveaux 3 et 4, les exigences montent nettement : personnel d'exploitation composé de citoyens de l'Union, habilitations pour le traitement d'informations classifiées, et six conditions cumulatives portant notamment sur le risque de législation extraterritoriale et sur l'impossibilité pour un pays tiers d'interrompre le service ou d'accéder aux données.

La différence avec le référentiel français est nette et souvent mal comprise : selon CIO Online, le cadre européen n'impose pas le contrôle capitalistique européen du fournisseur. Le point commun est ailleurs, dans la charge de la preuve : c'est au prestataire non européen de démontrer son immunité aux lois extraterritoriales. Un acheteur qui lit un dossier de candidature doit donc chercher la démonstration, pas la déclaration.

Ce que ce dossier change pour une cellule de veille sectorielle

Un dossier comme celui-ci se suit sur sources primaires, pas sur commentaires. Le corpus utile est court et stable : documents de consultation et avis d'attribution, communications des administrations porteuses, liste publique des offres qualifiées, publications du cadre européen, et enfin la presse spécialisée pour le recoupement. L'ordre compte : le document fixe le fait, l'article de presse en donne la lecture.

La difficulté n'est pas de trouver ces sources, elle est de ne pas manquer leur mise à jour au bon moment, quand elles paraissent en pleine période creuse ou dans un bulletin technique peu lu. NewsCore (www.newscore.fr) couvre en continu des millions de sources publiques, officielles et sectorielles, trie ce flux par intelligence artificielle et relie chaque alerte au document dont elle est tirée, ce qui raccourcit le délai entre la publication d'une pièce de marché et sa lecture par l'équipe concernée.

Reste la part qui n'est pas automatisable : décider ce qui compte. Les travaux de l'Observatoire de l'Intelligence Économique sur les dépendances au cloud non européen rappellent qu'une part importante des expositions ne se lit pas dans le contrat principal mais dans les briques secondaires, outils d'administration, services de sauvegarde, dépendances logicielles héritées. C'est précisément ce que la documentation des composants logiciels exigée au niveau 2 vient rendre visible, et c'est là que la veille a le plus de valeur ajoutée.

Un calendrier public n'est pas une garantie de résultat. C'est une série de rendez-vous vérifiables, et pour qui doit anticiper, c'est déjà beaucoup.

Questions fréquentes

Pourquoi les données de santé changent-elles d'hébergeur maintenant ?

Parce que la cible technique est désormais jugée atteignable et que le cadre d'achat existe. Solutions Numériques rapporte que la Plateforme des données de santé quitte Microsoft Azure pour une infrastructure qualifiée SecNumCloud située dans l'Union européenne, avec un cahier des charges publié en février 2026 et une copie complète de la base visée pour la fin de l'année. Le calendrier est donc court, mais il s'appuie sur des études de faisabilité qui ont conclu à la possibilité d'un passage direct.

Le cadre européen remplace-t-il la qualification française ?

Non, les deux régimes coexistent et ne posent pas les mêmes conditions. CIO Online souligne que le cadre européen à quatre niveaux n'exige pas le contrôle capitalistique européen du fournisseur, contrairement au référentiel français. Un service peut donc satisfaire un niveau européen élevé sans satisfaire le référentiel national, et inversement. Pour un acheteur, la question n'est pas de savoir lequel prime, mais lequel son besoin réel impose.

Quels signaux faibles surveiller sur ce dossier d'ici décembre ?

Trois principalement. Le respect de la date d'attribution, qui conditionne tout le reste depuis que l'étape intermédiaire a été supprimée. La formulation exacte du jalon de fin d'année, une copie complète n'étant pas un arrêt de l'environnement d'origine. Enfin les clauses de réversibilité retenues dans le marché mutualisé, qui deviendront le standard pour les prochains acheteurs publics et donnent une bonne indication du niveau d'exigence réellement appliqué.