Eine Frist ersetzt eine Roadmap

Am 10. Februar 2026 kündigten drei französische Ministerinnen und Minister, Gesundheitsministerin Stéphanie Rist, die beigeordnete Ministerin für Künstliche Intelligenz und Digitales Anne Le Hénanff sowie der beigeordnete Minister für den öffentlichen Dienst und die Staatsreform David Amiel, an, dass der Health Data Hub seine geplante zweistufige Migration aufgibt und direkt zu einer SecNumCloud-qualifizierten souveränen Cloud wechselt. Ziel ist eine vollständige Kopie der zentralen SNDS-Datenbank, des französischen nationalen Systems für Gesundheitsabrechnungsdaten, weg von Microsoft Azure bis Ende 2026. Eine fachliche Prüfung hatte den direkten Umzug als technisch machbar bestätigt, sodass die Regierung die ursprünglich geplante Zwischenstufe übersprang.

Die Begründung ist rechtlicher, nicht technischer Natur. Ein Cloud-Anbieter in US-Besitz kann grundsätzlich nach nicht-europäischem Recht zur Herausgabe von Daten verpflichtet werden, unabhängig davon, wo seine Server physisch stehen - und die SNDS zählt zu den sensibelsten öffentlichen Datensätzen überhaupt: Sie hat mehr als 233 Forschungsprojekte getragen und zu 29 Ausschreibungen beigetragen. Die Anbieter für die neue Hosting-Lösung werden über den Marktplatz Public Cloud ausgewählt, den DINUM, die staatliche Digitalagentur, gemeinsam mit der zentralen staatlichen Beschaffungsstelle betreibt; die Vergabe war ursprünglich für Ende März 2026 vorgesehen.

Ein Dekret macht aus einer Empfehlung eine Pflicht

Ein Dekret zur Umsetzung des SREN-Gesetzes, veröffentlicht im April 2026, weitete die SecNumCloud-Pflicht formell auf drei weitere Anbieter digitaler Gesundheitsdienste aus. Ihre Namen stehen noch nicht auf einer vollständigen Liste im Amtsblatt, und der Zeitplan für die Einhaltung bleibt für jeden Einzelnen unklar - doch die Richtung steht fest: Eine Zertifizierung, die früher als Wettbewerbsvorteil diente, kommt laut einem französischen Fachmedium, das die Branche beobachtet, inzwischen einer Zugangsbedingung zum öffentlichen Gesundheitsmarkt näher als einem Gütesiegel.

Dieser Wandel trifft vor allem kleinere Anbieter digitaler Gesundheitsdienste, die ihre Infrastruktur auf nicht SecNumCloud-zertifizierten Cloud-Anbietern aufgebaut haben. Ein Unternehmen außerhalb der qualifizierten Liste braucht kein neues Gesetz, das es namentlich nennt, um die Wirkung zu spüren; es genügt, dass ein öffentlicher Auftraggeber oder ein Dekret die Qualifizierung als Grundvoraussetzung behandelt. Migrationskosten sind real, und Stimmen aus der Branche weisen darauf hin, dass sie frühzeitig eingeplant werden sollten, auch wenn bislang keine öffentliche Euro-Summe dafür genannt wird.

Fünf Unternehmen bitten Paris, nicht auf einen Gewinner zu setzen

Am 30. Juni 2026 schrieben fünf Unternehmen aus dem Zentrum der französischen Digital-Health-Branche, Alan, Doctolib, Implicity, Lifen und Resilience, an das Kabinett von Anne Le Hénanff und an die Direction générale des entreprises. Ihre Botschaft war keine Absage an das Ziel der Souveränität. Es war eine Warnung: Ein einziges anerkanntes Label, als alleiniger Nachweisweg eingesetzt, bündelt Risiko, statt es zu beseitigen - ein Ausfall bei einem Anbieter, ein Engpass bei der Zertifizierung oder eine langsame Prüfungswarteschlange träfe alle Unternehmen, die von dieser einen Liste abhängen, gleichzeitig.

Ihre zentrale Forderung war, die Logik des Einzellabels durch einen Ansatz aus Audits und Risikobewertung zu ersetzen, der es einem Unternehmen erlaubt, gleichwertige Sicherheit nachzuweisen, ohne an eine einzige Zertifizierungsspur gebunden zu sein. Es ist dasselbe Argument, das Regulierungsbehörden sonst gegen die Abhängigkeit von einem Anbieter vorbringen, wenn der Anbieter amerikanisch ist - diese fünf Unternehmen richten es gegen die Abhängigkeit von einem inländischen Label mit einer kurzen und nur langsam wachsenden Liste qualifizierter Namen.

Souveränität, gebündelt auf elf Anbieter

Im April 2026 hielten erst elf Cloud-Angebote die SecNumCloud-Qualifizierung, darunter OVHcloud, Orange Business, Outscale, S3NS, Worldline, Cegedim, Cloud Temple, Oodrive und Whaller, bei 18 weiteren laufenden Anträgen. SecNumCloud wurde geschaffen, um französische Gesundheitsdaten dem Zugriff nicht-europäischen Rechts zu entziehen - das ist die Lehrbuchdefinition digitaler Souveränität. Doch eine derart kurze qualifizierte Liste erzeugt ihren eigenen Single Point of Failure: Preismacht, Kapazitätsgrenzen und eine Warteschlange von Antragstellern, die noch nicht auf öffentliche Aufträge bieten können, die das Label zunehmend als Grundvoraussetzung ansetzen.

Die Unterscheidung, die Beamte zwischen empfohlen und verpflichtend treffen, ist auf dem Papier real, hängt aber davon ab, welches Dokument man gerade liest. Ein Dekret, das still drei weitere verpflichtete Anbieter hinzufügt, und eine staatliche Gesundheitsplattform, die ihre eigene Vorzeigedatenbank auf dieselbe Qualifizierung migriert, ergeben in der Praxis dasselbe Ergebnis wie eine Pflicht - nur aufgebaut über gewöhnliche Beschaffungsmechanik statt über ein Gesetz mit Schlagzeilen. Ob die auditbasierte Alternative, die die fünf Unternehmen forderten, übernommen wird, bevor die nächsten Namen im Amtsblatt erscheinen, ist die Frage, die den Rest des Jahres 2026 zu beobachten bleibt.

Weiterlesen: Frankreich schließt OpenAI von der eigenen Cyberabwehr aus  |  Xiaomi unterbietet jeden KI-Souveränitätsplan