Termin zastępuje plan działań

10 lutego 2026 roku troje francuskich ministrów, minister zdrowia Stéphanie Rist, wiceministra do spraw sztucznej inteligencji i cyfryzacji Anne Le Hénanff oraz wiceminister do spraw służby publicznej i reformy państwa David Amiel, ogłosili, że Health Data Hub porzuci planowaną dwuetapową migrację i przejdzie bezpośrednio do suwerennej chmury zakwalifikowanej w ramach SecNumCloud. Celem jest pełna kopia głównej bazy danych SNDS, francuskiego krajowego systemu danych o świadczeniach zdrowotnych, poza Microsoft Azure do końca 2026 roku. Przegląd techniczny potwierdził, że bezpośrednie przejście jest wykonalne, więc rząd pominął pierwotnie planowany etap pośredni.

Uzasadnienie ma charakter jurysdykcyjny, nie techniczny. Dostawca chmury należący do podmiotu amerykańskiego może co do zasady zostać zobowiązany na mocy prawa spoza UE do wydania danych, niezależnie od tego, gdzie fizycznie znajdują się serwery, a SNDS należy do najbardziej wrażliwych zbiorów danych publicznych, jakie istnieją: wsparł ponad 233 projekty badawcze i przyczynił się do 29 konkursów projektowych. Dostawcy nowego rozwiązania hostingowego są wybierani poprzez rynek Public Cloud, prowadzony wspólnie przez DINUM, państwową agencję cyfrową, oraz centralną agencję zakupów publicznych, przy czym przyznanie zamówienia pierwotnie spodziewano się około końca marca 2026 roku.

Dekret zamienia zalecenie w wymóg

Dekret wykonawczy do ustawy SREN, opublikowany w kwietniu 2026 roku, formalnie rozszerzył obowiązek SecNumCloud na trzech dodatkowych operatorów zdrowia cyfrowego. Ich nazwy nie pojawiły się jeszcze na wyczerpującej liście w Dzienniku Urzędowym, a harmonogram zgodności dla każdego z nich pozostaje niejasny, ale kierunek nie budzi wątpliwości: certyfikacja, która wcześniej pełniła funkcję wyróżnika konkurencyjnego, jest teraz, według francuskiego medium branżowego śledzącego sektor, bliżej warunku dostępu do publicznego rynku zdrowia niż odznaki jakości.

Ta zmiana dotyka przede wszystkim mniejszych dostawców zdrowia cyfrowego, którzy zbudowali swoją infrastrukturę na dostawcach chmury bez certyfikacji SecNumCloud. Firma spoza zakwalifikowanej listy nie potrzebuje nowej ustawy wymieniającej ją z nazwy, by odczuć skutek; wystarczy, że publiczny nabywca lub dekret zaczyna traktować kwalifikację jako punkt wyjścia. Koszty migracji są realne, a komentarze branżowe wskazują, że warto je zaplanować z dużym wyprzedzeniem, nawet bez publicznej kwoty w euro na razie.

Pięć firm prosi Paryż, by nie wybierał jednego zwycięzcy

30 czerwca 2026 roku pięć firm z centrum francuskiego zdrowia cyfrowego, Alan, Doctolib, Implicity, Lifen i Resilience, napisało do gabinetu Anne Le Hénanff oraz do Direction générale des entreprises. Ich przekaz nie był odrzuceniem celu, jakim jest suwerenność. Był to ostrzeżenie, że jedno akceptowane oznaczenie, stosowane jako wyłączna ścieżka zgodności, koncentruje ryzyko zamiast je usuwać: awaria u dostawcy, wąskie gardło w certyfikacji lub wolna kolejka kwalifikacyjna uderzyłyby jednocześnie we wszystkie firmy zależne od tej jednej listy.

Ich głównym żądaniem była zamiana logiki jednego oznaczenia na podejście oparte na audytach i ocenie ryzyka, pozwalające firmie wykazać równoważne bezpieczeństwo bez przywiązania do jednej ścieżki certyfikacji. To ten sam argument, którego regulatorzy używają zwykle przeciwko uzależnieniu od dostawcy, gdy dostawca jest amerykański; te pięć firm stosuje go do ryzyka uzależnienia od krajowego oznaczenia z krótką i wolno rosnącą listą zakwalifikowanych nazw.

Suwerenność skoncentrowana na jedenastu dostawcach

Według stanu na kwiecień 2026 roku tylko 11 ofert chmurowych miało kwalifikację SecNumCloud, w tym OVHcloud, Orange Business, Outscale, S3NS, Worldline, Cegedim, Cloud Temple, Oodrive i Whaller, przy 18 kolejnych wnioskach zgłaszanych jako będące w toku. SecNumCloud powstał, by wyłączyć francuskie dane zdrowotne spod zasięgu żądań prawnych spoza UE, co jest podręcznikową definicją suwerenności cyfrowej. Ale tak krótka zakwalifikowana lista tworzy własny pojedynczy punkt awarii: siłę ustalania cen, ograniczenia zdolności i kolejkę wnioskodawców, którzy nie mogą jeszcze startować w przetargach publicznych coraz częściej zakładających oznaczenie jako punkt wyjścia.

Rozróżnienie, jakie urzędnicy czynią między zalecanym a wymaganym, jest realne na papierze, ale zależy od tego, który dokument się czyta. Dekret, który po cichu dodaje trzech kolejnych zobowiązanych operatorów, oraz państwowa platforma zdrowia, która migruje własną flagową bazę danych do tej samej kwalifikacji, składają się w praktyce na taki sam wynik jak nakaz, tyle że zbudowany za pomocą zwykłej mechaniki zamówień publicznych zamiast ustawy z nagłówków. Czy alternatywa oparta na audytach, o którą prosiło pięć firm, zostanie przyjęta zanim kolejne nazwy pojawią się w Dzienniku Urzędowym, to szczegół wart obserwowania przez resztę 2026 roku.

Czytaj dalej: EuroHPC otwiera cztery maszyny kwantowe dla bezpłatnych pilotaży  |  Suwerenna AI Europy działa teraz za amerykańskie pieniądze