En deadline erstatter en roadmap
Den 10. februar 2026 annoncerede tre franske ministre, sundhedsminister Stéphanie Rist, viceminister for kunstig intelligens og digitale anliggender Anne Le Hénanff, og viceminister for offentlig tjeneste og statsreform David Amiel, at Health Data Hub ville opgive sin planlagte totrins-migrering og flytte direkte til en SecNumCloud-kvalificeret suveræn sky. Målet er en komplet kopi af hoveddatabasen SNDS, Frankrigs nationale system for sundhedsdata, væk fra Microsoft Azure inden udgangen af 2026. En teknisk gennemgang havde bekræftet, at det direkte skifte var muligt, så regeringen sprang det oprindeligt planlagte mellemtrin over.
Begrundelsen er jurisdiktionel, ikke teknisk. En amerikansk-ejet skyudbyder kan i princippet tvinges af ikke-europæisk lovgivning til at udlevere data, uanset hvor serverne fysisk står, og SNDS er blandt de mest følsomme offentlige datasæt, der findes: den har understøttet mere end 233 forskningsprojekter og bidraget til 29 projektudbud. Leverandører til den nye hosting-løsning udvælges via markedspladsen Public Cloud, som drives i fællesskab af DINUM, statens digitale styrelse, og den centrale statslige indkøbsenhed, med en tildeling der oprindeligt var ventet omkring udgangen af marts 2026.
Et dekret gør anbefaling til krav
Et gennemførelsesdekret til SREN-loven, offentliggjort i april 2026, udvidede formelt SecNumCloud-kravet til tre yderligere digitale sundhedsoperatører. Deres navne står endnu ikke på en udtømmende liste i Statstidende, og tidsplanen for compliance er fortsat uklar for hver enkelt, men retningen er ikke i tvivl: en certificering, der tidligere fungerede som et konkurrencemæssigt differentieringspunkt, står nu, ifølge et fransk fagmedie der følger sektoren, tættere på en betingelse for adgang til det offentlige sundhedsmarked end et kvalitetsmærke.
Det skift rammer især mindre leverandører inden for digital sundhed, som har bygget deres infrastruktur på skyudbydere uden SecNumCloud-certificering. En virksomhed uden for den kvalificerede liste behøver ikke en ny lov, der navngiver den specifikt, for at mærke effekten; det er nok, at en offentlig indkøber, eller et dekret, begynder at behandle kvalifikationen som en baseline. Migreringsomkostninger er reelle, og branchekommentatorer har påpeget, at de bør planlægges i god tid, selv uden et offentligt eurobeløb endnu.
Fem virksomheder beder Paris om ikke at udpege en enkelt vinder
Den 30. juni 2026 skrev fem virksomheder i centrum af fransk digital sundhed, Alan, Doctolib, Implicity, Lifen og Resilience, til kabinettet hos Anne Le Hénanff og til Direction générale des entreprises. Deres budskab var ikke en afvisning af suverænitet som mål. Det var en advarsel om, at et enkelt accepteret mærke, brugt som eneste vej til compliance, koncentrerer risiko i stedet for at fjerne den: en nedetid hos en leverandør, en flaskehals i certificeringen eller en langsom kø til kvalifikation ville ramme alle virksomheder, der er afhængige af den ene liste, på samme tid.
Deres centrale krav var at erstatte logikken med et enkelt mærke med en tilgang baseret på audits og risikoscoring, så en virksomhed kan dokumentere tilsvarende sikkerhed uden at være bundet til et enkelt certificeringsspor. Det er det samme argument, tilsynsmyndigheder normalt bruger mod leverandørbinding, når leverandøren er amerikansk; disse fem virksomheder bruger det om risikoen for binding til et indenlandsk mærke med en kort og langsomt voksende liste af kvalificerede navne.
Suverænitet koncentreret på elleve leverandører
I april 2026 havde kun 11 skytilbud SecNumCloud-kvalifikationen, heriblandt OVHcloud, Orange Business, Outscale, S3NS, Worldline, Cegedim, Cloud Temple, Oodrive og Whaller, med 18 flere ansøgninger rapporteret undervejs. SecNumCloud opstod som en måde at fjerne fransk sundhedsdata fra rækkevidden af ikke-EU-retlige krav på, hvilket er lærebogsdefinitionen på digital suverænitet. Men en så kort kvalificeret liste skaber sit eget single point of failure: prissætningsmagt, kapacitetsgrænser og en kø af ansøgere, der endnu ikke kan byde på offentlige kontrakter, som i stigende grad forudsætter mærket som en baseline.
Skellet embedsmænd trækker mellem anbefalet og påkrævet er reelt på papiret, men afhænger af, hvilket dokument man læser. Et dekret, der stille føjer tre flere påkrævede operatører til, og en statslig sundhedsplatform, der flytter sin egen flagskibsdatabase over i den samme kvalifikation, lægger i praksis op til samme resultat som et mandat, blot bygget via almindelig indkøbsmekanik i stedet for en lov med overskrifter. Om det auditbaserede alternativ, de fem virksomheder efterspurgte, bliver vedtaget, før de næste navne dukker op i Statstidende, er den detalje, det er værd at holde øje med resten af 2026.
Læs videre: EuroHPC åbner fire kvantemaskiner for gratis pilotforsøg | Europas suveræne AI kører nu på amerikanske penge
