ART. UNIQUE	N°CL13	
ASSEMBLÉE NATIONALE
23 Février 2026
___________________________________________________________________
RELATIVE À LA SÉCURISATION DES MARCHÉS PUBLICS NUMÉRIQUES - (N° 2258)
Adopté
AMENDEMENT N°CL13
présenté par
M. Latombe, rapporteur
------------
ARTICLE UNIQUE
Rédiger ainsi cetarticle :
« I. – (Supprimé)
« II. – Aprèsl’article 31 de la loi n° 2024 449du 21 mai 2024 visant à sécuriser et à régulerl’espace numérique, il est inséré un article 31‑1 ainsirédigé :
« Art. 31‑1. – I. – Le I del’article 31 est applicable aux administrationssuivantes :
« a) Les régions, lesdépartements, les communes d’une population supérieure à30 000 habitants, ainsi que leurs établissements publicsadministratifs ;
« b) Les centres degestion de la fonction publique territoriale mentionnés àl’article L. 452‑1 du code général de la fonctionpublique ;
« c) Les servicesdépartementaux d’incendie et de secours mentionnés àl’article L. 1424‑1 du code général des collectivitésterritoriales ;
« d) Les communautés decommunes dont la population est supérieure à 30 000 habitants,les communautés d’agglomération, les communautés urbaines et lesmétropoles ainsi que leurs établissements publicsadministratifs ;
« e) Les syndicatsmentionnés aux articles L. 5212‑1, L. 5711‑1 etL. 5721‑2 du même code dont la population est supérieure à30 000 habitants ;
« f) Les institutionset les organismes interdépartementaux mentionnés àl’article L. 5421‑1 dudit code.
« I bis. – Pour l’application du IIdu même article, sont également qualifiées de données d’unesensibilité particulière les données nécessaires à la mise en œuvredes compétences essentielles des collectivités territoriales,notamment la prévention des risques de toute nature, la gestion descrises, le maintien de l’ordre public et la protection de la santéet de la vie des personnes.
« II. – Lorsque, àla date d’entrée en vigueur du présent article, une administrationmentionnée au I du présent article a déjà engagé un projetnécessitant le recours à un service d’informatique en nuage, cetteadministration peut décider de déroger au même I, dans desconditions et selon des critères définis par décret en Conseild’État, sans que cette dérogation ne puisse excéder dix-huitmois.
« La décision mentionnée àl’alinéa précédent est motivée et rendue publique. Elle est prisesur délibération de l’assemblée délibérante ou du conseild’administration de l’administration mentionnée au I.
« L’administration concernéepeut résilier les contrats conclus avec le prestataire ne mettantpas en œuvre les critères de sécurité et de protection des donnéesmentionnés au deuxième alinéa du I de l’article 31 quisont encore en cours à la date d’entrée en vigueur du présentarticle.
« III. – (Supprimé) ».
EXPOSÉ SOMMAIRE
Le présent amendement précise etconsolide le dispositif adopté par le Sénat, dont il étend le champd’application.
En effet, dans sa rédactioninitiale, l’article unique de la proposition de loi tendait àrenforcer substantiellement les exigences en matière de sécurité etde protection des données pesant sur les offres de cloud, enconfiant les données de l’ensemble des acheteurs publics à desprestataires français ou européens.
Tout en reconnaissant l’intentionlégitime du texte, la commission des Lois du Sénat s’est attachée àrechercher un meilleur équilibre entre la nécessaire protection desdonnées publiques stratégiques et la prise en compte desdifficultés juridiques et opérationnelles soulevées par cetterédaction initiale.
Elle a donc opté pour une nouvelleécriture de l’article, qui prévoit d’étendre les obligationsactuellement prévues à l’article 31 de la loi du 21 mai 2024 visantà sécuriser et à réguler l’espace numérique, dite loi « Sren », àcertaines collectivités territoriales ainsi qu’à certainsétablissements publics de coopération intercommunale à fiscalitépropre.
Si cette modification constitue uneévolution bienvenue, des précisions techniques doivent encore êtreapportées afin de garantir l’efficacité du dispositif.
Le présent amendement procède ainsià plusieurs évolutions.
Premièrement, il précise etcomplète le champ des administrations locales concernées, en lerapprochant de celui actuellement défini pour les entités dites« essentielles » par le projet de loi relatif à larésilience des infrastructures critiques et au renforcement de lacybersécurité, en cours de discussion à l’Assemblée nationale.
Concrètement, l’amendement étendles obligations de protection des données sensibles auxcollectivités territoriales, à leurs groupements et à leursétablissements publics administratifs, ainsi qu’à certainsorganismes sensibles qui n’appartiennent pas à ces catégories,comme les services départementaux d’incendie et de secours.
Afin de tenir compte descontraintes qui pèsent sur les petites communes, et par cohérenceavec le seuil retenu dans le projet de loi précité, seules lescommunes et les communautés de communes de plus de 30 000 habitantsseraient concernées.
Deuxièmement, l’amendement préciseet étend la notion de données d’une sensibilité particulière, afinde l’adapter aux compétences des administrations localesconcernées.
Ainsi, en plus des catégories déjàconsacrées par la doctrine « cloud au centre » etl’article 31 de la loi « Sren », seraient égalementqualifiées de données sensibles « les données nécessaires à lamise en œuvre des compétences essentielles des collectivitésterritoriales, notamment la prévention des risques de toute nature,la gestion des crises, le maintien de l’ordre public et laprotection de la santé et de la vie des personnes ».
Troisièmement, l’amendement encadrela clause dérogatoire qui avait été introduite par le Sénat. Si lapossibilité de déroger à ces obligations nouvelles paraîtpertinente pour permettre une transition harmonieuse vers desinfrastructures d’informatique en nuage sécurisées, la rédactionactuelle paraît trop vague. Elle risque de réduiresignificativement la portée du dispositif en ouvrant largement lapossibilité de se soustraire aux exigences posées par le texte.
Afin d’éviter de tels écueils,l’amendement propose que la décision de déroger à ces obligationsnouvelles, prise par l’administration locale concernée, soitmotivée et rendue publique, et que les conditions et modalités danslesquelles les dérogations peuvent être prises soient précisées pardécret en Conseil d’État, par analogie au cadre prévu par l’article31 de la loi « Sren ».
Surtout, la dérogation seraitencadrée dans le temps : celle-ci ne pourrait dépasserdix-huit mois. Un tel mécanisme paraît plus pertinent qu’une entréeen vigueur décalée, car il incite et contraint l’administrationlocale concernée à planifier la migration de ses données sensibles,tout en lui apportant la souplesse nécessaire à cetteopération.
Enfin, l’amendement sécurise lapossibilité pour l’administration locale concernée de résilier lescontrats en cours, dans le cas où le prestataire auprès duquel ellehéberge déjà ses données ne présenterait pas les garanties desécurité exigées.