Eine Frist ersetzt eine Roadmap

Am 10. Februar 2026 kündigten drei französische Minister, Gesundheitsministerin Stephanie Rist, die Delegierte Ministerin für KI und Digitales Anne Le Henanff sowie der Delegierte Minister für öffentlichen Dienst und Staatsreform David Amiel, an, dass der Health Data Hub seine geplante zweistufige Migration aufgibt und direkt zu einer SecNumCloud-qualifizierten souveränen Cloud wechselt. Ziel ist eine vollständige Kopie der zentralen SNDS-Datenbank, des nationalen französischen Systems für Gesundheitsabrechnungsdaten, weg von Microsoft Azure bis Ende 2026. Eine Machbarkeitsprüfung hatte den direkten Umzug als technisch möglich bestätigt, sodass die Regierung die ursprünglich geplante Zwischenstufe übersprang.

Die Begründung ist rechtlicher, nicht technischer Natur. Ein US-Anbieter kann im Prinzip nach nicht-europäischem Recht zur Herausgabe von Daten verpflichtet werden, unabhängig davon, wo seine Server physisch stehen - und die SNDS gehört zu den sensibelsten öffentlichen Datensätzen überhaupt: Sie hat mehr als 233 Forschungsprojekte ermöglicht und zu 29 Ausschreibungen beigetragen. Die Anbieter für die neue Hosting-Lösung werden über den Marktplatz Public Cloud ausgewählt, den DINUM, die staatliche Digitalagentur, gemeinsam mit der zentralen staatlichen Beschaffungsstelle betreibt; die Vergabe war ursprünglich für Ende März 2026 vorgesehen.

Ein Dekret macht aus Empfehlung Pflicht

Ein Dekret zur Umsetzung des SREN-Gesetzes, veröffentlicht im April 2026, weitete die SecNumCloud-Pflicht formell auf drei weitere Betreiber digitaler Gesundheitsdienste aus. Ihre Namen stehen noch nicht auf einer vollständigen Liste im Amtsblatt, und der Zeitplan für die Einhaltung bleibt für jeden Betreiber unklar - doch die Richtung ist eindeutig: Eine Zertifizierung, die früher als Wettbewerbsvorteil diente, ist laut einem französischen Fachmedium, das den Sektor beobachtet, näher an einer Zugangsbedingung zum öffentlichen Gesundheitsmarkt als an einem Gütesiegel.

Dieser Wandel trifft vor allem kleinere Gesundheits-Tech-Anbieter, die ihre Infrastruktur auf nicht SecNumCloud-zertifizierten Cloud-Anbietern aufgebaut haben. Ein Unternehmen außerhalb der qualifizierten Liste braucht kein neues Gesetz, das es namentlich nennt, um die Wirkung zu spüren; es genügt ein öffentlicher Auftraggeber oder ein Dekret, das die Qualifizierung als Grundvoraussetzung behandelt. Migrationskosten sind real, und Branchenkommentare weisen darauf hin, dass sie frühzeitig eingeplant werden sollten, auch wenn noch keine öffentliche Euro-Zahl dazu vorliegt.

Fünf Unternehmen bitten Paris, nicht einen Gewinner zu bestimmen

Am 30. Juni 2026 schrieben fünf Unternehmen im Zentrum der französischen Gesundheits-IT, Alan, Doctolib, Implicity, Lifen und Resilience, an das Kabinett von Anne Le Henanff und an die Direction generale des entreprises. Ihre Botschaft war keine Ablehnung des Souveränitätsziels. Es war eine Warnung, dass ein einziges anerkanntes Label als alleiniger Nachweisweg Risiko bündelt statt es zu beseitigen: Ein Ausfall bei einem Anbieter, ein Engpass bei der Zertifizierung oder eine langsame Prüfungswarteschlange träfe alle Unternehmen, die von dieser einen Liste abhängen, gleichzeitig.

Ihre zentrale Forderung war, die Ein-Label-Logik durch Audits und Risikobewertung zu ersetzen, damit ein Unternehmen gleichwertige Sicherheit nachweisen kann, ohne an eine einzige Zertifizierungsspur gebunden zu sein. Es ist dasselbe Argument, das Regulierer sonst gegen Anbieterbindung bei US-Konzernen vorbringen - diese fünf Unternehmen richten es gegen die Bindung an ein inländisches Label mit einer kurzen, langsam wachsenden Liste qualifizierter Namen. Für deutsche Beobachter ist das Muster vertraut aus der Debatte um den BSI-Kriterienkatalog C5 und dessen Rolle als faktischer Standard für souveräne Clouds.

Souveränität gebündelt auf elf Anbieter

Im April 2026 hielten erst 11 Cloud-Angebote die SecNumCloud-Qualifizierung, darunter OVHcloud, Orange Business, Outscale, S3NS, Worldline, Cegedim, Cloud Temple, Oodrive und Whaller, mit 18 weiteren laufenden Anträgen. SecNumCloud sollte ursprünglich französische Gesundheitsdaten dem Zugriff nicht-europäischen Rechts entziehen - das ist die Lehrbuchdefinition digitaler Souveränität. Doch eine derart kurze Liste erzeugt ihren eigenen Single Point of Failure: Preismacht, Kapazitätsgrenzen und eine Warteschlange von Antragstellern, die noch nicht auf öffentliche Aufträge bieten können, die das Label zunehmend als Standard voraussetzen.

Die Unterscheidung, die Beamte zwischen empfohlen und verpflichtend ziehen, ist auf dem Papier real, hängt aber davon ab, welches Dokument man gerade liest. Ein Dekret, das still drei weitere verpflichtete Betreiber hinzufügt, und eine staatliche Gesundheitsplattform, die ihre eigene Vorzeigedatenbank auf dieselbe Qualifizierung migriert, ergeben in der Praxis dasselbe Ergebnis wie eine Pflicht - nur über gewöhnliche Beschaffungsmechanik statt über ein Gesetz mit Schlagzeile. Ob die auditbasierte Alternative, die die fünf Unternehmen forderten, übernommen wird, bevor die nächsten Namen im Amtsblatt erscheinen, ist die Frage, die den Rest von 2026 über zu beobachten bleibt.

Weiterlesen: EuroHPC öffnet vier Quantenrechner für Pilotzugang  |  Europas souveräne KI läuft jetzt mit US-Geld