Le verdict en trois phrases
Pour un opérateur d'importance vitale (OIV), héberger le site public et surtout les formulaires qui collectent des données sur un cloud qualifié SecNumCloud coûte 2 à 4 fois plus cher qu'un hébergement standard, soit 800 à 3 500 EUR HT par mois selon l'architecture. La migration se chiffre entre 10 000 et 30 000 EUR HT et prend 6 à 12 semaines, car il faut souvent revoir le CDN, l'anti-DDoS et la chaîne de déploiement. En contrepartie, vous obtenez une immunité aux lois extraterritoriales (Cloud Act, FISA) et un dossier de conformité ANSSI défendable devant votre autorité de tutelle.
Ce que SecNumCloud change concrètement pour un site web
Le référentiel SecNumCloud 3.2 de l'ANSSI impose des exigences techniques (chiffrement, cloisonnement, journalisation, gestion des accès à privilèges) et des exigences juridiques : le prestataire doit être protégé de tout droit extra-européen, ce qui exclut de fait les hyperscalers américains en direct. Pour un site vitrine sans données sensibles, l'intérêt est limité. Pour un OIV, la question se pose dès que le site héberge un espace client, des formulaires de signalement, des offres d'emploi avec CV ou une API reliée au système d'information.
Le piège classique : qualifier l'hébergement mais laisser le CDN, l'outil d'analytics ou le service d'envoi d'e-mails chez un acteur non qualifié. Chaque brique qui voit passer des données doit être cartographiée. Dans nos audits 2026, 7 sites d'opérateurs sur 10 envoient encore des données de formulaire vers un service tiers hors périmètre.
| Offre qualifiée (ordre de grandeur 2026) | Périmètre qualifié | Coût mensuel type site + formulaires | Points forts | Limites |
|---|---|---|---|---|
| Outscale (Dassault Systèmes) | IaaS | 1 200 à 3 500 EUR HT | Maturité, API compatibles AWS | Peu de services managés haut niveau |
| OVHcloud Hosted Private Cloud SNC | IaaS (VMware) | 1 500 à 3 200 EUR HT | Datacenters français, support francophone | Ticket d'entrée élevé, dimensionnement par hôte |
| Cloud Temple | IaaS et PaaS | 900 à 3 000 EUR HT | PaaS qualifié (OpenShift), accompagnement | Catalogue plus étroit |
| Offre souveraine type S3NS ou Bleu | En cours de qualification | 1 000 à 3 000 EUR HT | Services Google ou Microsoft sous contrôle français | Statut de qualification à vérifier à la date de signature |
| Cloud standard (référence) | Aucun | 250 à 900 EUR HT | Prix, richesse fonctionnelle | Exposition au droit extraterritorial |
| Hébergeur mutualisé HDS ou ISO 27001 | Certification, pas qualification | 150 à 600 EUR HT | Bon compromis hors OIV | Insuffisant si l'exigence SecNumCloud est contractuelle |
Le budget complet : migration, run et coûts cachés
Le prix mensuel de l'infrastructure n'est qu'une partie de la facture. Le site d'un OIV tourne rarement sur une seule machine : il faut au minimum deux zones, un pare-feu applicatif (WAF), une sauvegarde externalisée et une supervision. Le surcoût vient aussi des compétences : les offres IaaS qualifiées demandent plus d'administration que les services managés d'un hyperscaler.
| Poste | Cloud standard | Cloud qualifié SecNumCloud | Écart |
|---|---|---|---|
| Infrastructure (2 zones, WAF, sauvegarde) | 400 EUR HT/mois | 1 400 EUR HT/mois | x 3,5 |
| Anti-DDoS et CDN qualifiés ou souverains | 80 EUR HT/mois | 350 EUR HT/mois | x 4,4 |
| Infogérance et maintien en condition de sécurité | 600 EUR HT/mois | 1 100 EUR HT/mois | x 1,8 |
| Migration initiale (audit, refonte CI/CD, bascule) | 4 000 EUR HT | 10 000 à 30 000 EUR HT | x 2,5 à 7,5 |
| Test d'intrusion annuel | 5 000 EUR HT | 6 000 à 9 000 EUR HT | x 1,2 à 1,8 |
| Délai de mise en œuvre | 2 à 3 semaines | 6 à 12 semaines | x 3 à 4 |
| Coût total sur 3 ans (ordre de grandeur) | 46 000 EUR HT | 120 000 à 145 000 EUR HT | x 2,6 à 3,2 |
Trois leviers réduisent la facture sans sortir du périmètre : séparer le site éditorial (statique, sans donnée personnelle, qui peut rester sur un hébergement standard) des formulaires et de l'espace client (qualifiés) ; générer le site en statique pour réduire le nombre de serveurs ; mutualiser l'infogérance avec d'autres applications déjà hébergées chez le même prestataire. Ce découpage fait souvent baisser le run de 30 à 40 %, à condition que votre politique de sécurité l'autorise par écrit.
Les clauses à exiger dans le contrat d'hébergement
La qualification porte sur un périmètre précis. Exigez l'attestation de qualification en vigueur et la liste des services couverts, une clause de localisation des données et des sauvegardes en France ou dans l'UE, l'engagement de notification d'incident sous 24 heures, un plan de réversibilité chiffré (export des données et des images en moins de 30 jours), et le droit d'audit. Vérifiez aussi que l'agence qui développe le site peut déployer sans comptes à privilèges partagés : la traçabilité des accès est un point de contrôle de l'ANSSI.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Nathalie, RSSI d'un opérateur de distribution d'eau en Auvergne-Rhône-Alpes, doit migrer le site public (40 pages) et trois formulaires (signalement de fuite, demande de raccordement, candidature). Option 1 : tout héberger en qualifié, 2 900 EUR HT par mois et 24 000 EUR HT de migration, soit 128 400 EUR HT sur 3 ans. Option 2 : site éditorial statique sur un hébergeur standard à 250 EUR HT par mois, formulaires et back-office en qualifié à 1 650 EUR HT par mois, migration 17 000 EUR HT, soit 85 400 EUR HT sur 3 ans. L'économie atteint 43 000 EUR HT (33 %), validée par le comité sécurité car aucune donnée personnelle ne transite par la partie statique.
FAQ
Un OIV est-il légalement obligé d'utiliser SecNumCloud pour son site ?
Pas systématiquement : l'obligation vient de la doctrine « cloud au centre » pour l'État et des exigences sectorielles ou contractuelles pour les OIV. Dès que le site traite des données sensibles ou relève d'un système d'information d'importance vitale, l'exigence devient très probable. Comptez 1 à 2 jours de conseil (1 500 à 3 000 EUR HT) pour qualifier votre situation.
Combien de temps prend une migration vers un cloud qualifié ?
Entre 6 et 12 semaines pour un site avec formulaires, dont 2 à 3 semaines d'audit et de cartographie des flux. La bascule elle-même se fait en une nuit avec un gel de contenu de 48 heures.
Peut-on garder WordPress sur un cloud SecNumCloud ?
Oui, l'hébergement qualifié ne contraint pas le CMS. En revanche, les extensions qui appellent des services externes (analytics, captcha, polices) doivent être remplacées, ce qui représente 2 000 à 6 000 EUR HT de travaux.
Le surcoût est-il durable ?
L'écart se réduit avec l'arrivée de nouvelles offres qualifiées, mais il reste de l'ordre de x 2 en 2026. Une architecture statique et un découpage des flux permettent de ramener le run sous 1 500 EUR HT par mois pour un site de taille moyenne.
Que se passe-t-il si le prestataire perd sa qualification ?
Le contrat doit prévoir une notification immédiate et un droit de résiliation sans pénalité. Avec un plan de réversibilité testé, la migration vers un autre prestataire qualifié prend 4 à 8 semaines.
Parlons de votre projet. Nous cartographions vos flux, chiffrons les deux scénarios (tout qualifié ou découpage) et planifions la migration en 6 à 12 semaines, budget indicatif de 10 000 à 30 000 EUR HT. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
