Le verdict en trois phrases
Un hébergement qualifié SecNumCloud coûte en 2026 entre 400 et 2 000 € HT par mois pour un site institutionnel, soit 5 à 15 fois un hébergement classique. Il se justifie pour un opérateur d'importance vitale ou une entité essentielle au sens de NIS 2, parce qu'il écarte l'extraterritorialité du Cloud Act et impose des garanties de continuité auditées par l'ANSSI. Pour un site purement vitrine sans données sensibles, un hébergeur européen non qualifié avec un bon plan de sauvegarde reste souvent suffisant.
Ce que la qualification SecNumCloud change concrètement
Le référentiel SecNumCloud de l'ANSSI (version 3.2) exige notamment que le prestataire et ses données soient protégés contre les lois extraterritoriales. Une filiale française d'un groupe américain reste soumise au Cloud Act, qui permet aux autorités américaines de réclamer des données où qu'elles soient stockées. La qualification impose aussi des contrôles d'accès stricts, une localisation des données et du support dans l'Union européenne, et des audits réguliers.
| Critère | Hébergement mutualisé ou VPS classique | Cloud public hyperscaler (région UE) | Offre qualifiée SecNumCloud |
|---|---|---|---|
| Coût mensuel site institutionnel | 30 à 150 € HT | 150 à 800 € HT | 400 à 2 000 € HT |
| Exposition au Cloud Act | Selon l'actionnariat de l'hébergeur | Oui | Non (exigence du référentiel) |
| Localisation des données | UE en général | Région UE choisie | France ou UE, garantie contractuelle |
| Audit de sécurité indépendant | Rare | Certifications ISO 27001 | Qualification ANSSI auditée |
| Support | Ticket, parfois hors UE | Variable selon le contrat | Équipes en UE, habilitées |
| Engagement de disponibilité | 99,5 à 99,9 % | 99,9 à 99,99 % | 99,9 à 99,95 % |
| Délai de mise en place | 1 jour | 1 à 5 jours | 2 à 6 semaines |
Parmi les acteurs disponibles en 2026 figurent OVHcloud (offre Hosted Private Cloud qualifiée), 3DS Outscale et S3NS, la coentreprise Thales et Google, dont l'offre de confiance repose sur une exploitation par une entité française. Les périmètres qualifiés diffèrent selon les services : vérifiez toujours que le service précis que vous achetez figure sur la liste de l'ANSSI, pas seulement le fournisseur.
NIS 2 et continuité : le vrai poste de coût
La directive NIS 2, transposée en France, impose aux entités essentielles et importantes des mesures de gestion des risques, la notification d'incident sous 24 heures et un plan de continuité. Le site institutionnel n'est pas toujours dans le périmètre critique, mais il l'est souvent dès qu'il porte des espaces clients, des formulaires de données personnelles ou une communication de crise. Le budget ne se limite donc pas à l'hébergement.
| Poste annuel | Hébergement classique bien configuré | Offre SecNumCloud | Commentaire |
|---|---|---|---|
| Hébergement | 360 à 1 800 € HT | 4 800 à 24 000 € HT | Selon redondance et volumétrie |
| Sauvegardes externalisées | 300 à 900 € HT | 1 200 à 3 600 € HT | Copie dans une seconde zone qualifiée |
| Plan de continuité testé | 1 500 à 3 000 € HT | 3 000 à 6 000 € HT | Un test de bascule par an minimum |
| Supervision 24/7 | 1 200 à 4 000 € HT | 4 000 à 10 000 € HT | Alerte sous 15 minutes |
| Audit ou test d'intrusion | 4 000 à 8 000 € HT | 6 000 à 12 000 € HT | Annuel, exigé de fait par NIS 2 |
| Migration initiale | 1 000 à 3 000 € HT | 5 000 à 15 000 € HT | Une fois |
| Total annuel récurrent | 7 360 à 17 700 € HT | 19 000 à 55 600 € HT | Hors migration |
Le surcoût récurrent se situe donc entre 12 000 et 38 000 € HT par an. Il se compare aux sanctions NIS 2, qui peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour une entité essentielle, et au coût d'une indisponibilité du site pendant une crise.
Comment décider en trois questions
Première question : votre organisation est-elle OIV, OSE ou entité essentielle NIS 2 ? Si oui, la qualification est la voie la plus simple pour démontrer la conformité. Deuxième question : le site traite-t-il des données sensibles (comptes clients, documents réglementés, données de santé) ? Si oui, SecNumCloud ou une architecture séparant le site public d'un back-office qualifié s'impose. Troisième question : un acheteur public ou un client grand compte l'exige-t-il dans ses appels d'offres ? C'est de plus en plus fréquent en 2026, notamment depuis la doctrine « cloud au centre » de l'État.
Une architecture hybride est souvent le meilleur compromis : le site public statique sur un CDN européen à bas coût, et les formulaires, espaces privés et bases de données sur une infrastructure qualifiée.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Julien, RSSI d'un opérateur régional de distribution d'eau classé d'importance vitale à Lyon, doit héberger un site institutionnel de 80 pages avec un espace abonnés. Hébergement actuel : 120 € HT par mois chez un hyperscaler en région UE.
Option retenue : architecture hybride. Pages publiques sur CDN européen (90 € HT par mois), espace abonnés et base de données sur une offre qualifiée SecNumCloud (850 € HT par mois). Coût annuel d'hébergement : 11 280 € HT, contre 1 440 € auparavant, soit 9 840 € de surcoût. Le tout-qualifié aurait coûté environ 21 000 € HT par an. Julien économise près de 9 700 € par an tout en plaçant les données personnelles des 140 000 abonnés hors du champ du Cloud Act.
FAQ
Combien coûte un hébergement SecNumCloud pour un site institutionnel ?
Entre 400 et 2 000 € HT par mois selon la redondance, le trafic et le niveau de service, contre 30 à 150 € pour un hébergement classique. Ajoutez 5 000 à 15 000 € HT de migration initiale.
Un hébergeur français suffit-il à se protéger du Cloud Act ?
Pas forcément. Ce qui compte est l'absence de contrôle par une entité soumise au droit américain. Une filiale française d'un groupe américain reste exposée. La qualification SecNumCloud vérifie précisément ce critère.
NIS 2 impose-t-elle SecNumCloud ?
Non, la directive n'impose pas une qualification précise. Elle exige des mesures de sécurité proportionnées, une notification d'incident sous 24 heures et un plan de continuité. SecNumCloud est en revanche un moyen reconnu de le démontrer, et certains acheteurs publics l'exigent.
Peut-on garder un site vitrine sur un hébergement classique ?
Oui, si le site ne traite pas de données sensibles et que l'organisation n'est pas soumise à des obligations spécifiques. Un hébergeur européen à 50 à 150 € HT par mois, avec sauvegardes externalisées et supervision, suffit dans la plupart des cas.
Combien de temps prend une migration vers une offre qualifiée ?
Comptez 2 à 6 semaines : ouverture du contrat, configuration réseau, migration des données, tests de bascule et validation. Planifiez une fenêtre de bascule de quelques heures, hors période de forte affluence.
Parlons de votre projet. Nous concevons l'architecture d'hébergement de votre site institutionnel, hybride ou entièrement qualifiée, avec plan de continuité et migration accompagnée, pour un budget indicatif de 8 000 à 25 000 € HT la première année. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
