En deadline ersätter en roadmap
Den 10 februari 2026 tillkännagav tre franska ministrar, hälsoministern Stéphanie Rist, vice ministern för artificiell intelligens och digitala frågor Anne Le Hénanff, och vice ministern för offentlig tjänst och statsreform David Amiel, att Health Data Hub skulle överge sin planerade tvåstegsmigrering och flytta direkt till ett SecNumCloud-kvalificerat suveränt moln. Målet är en fullständig kopia av huvuddatabasen SNDS, Frankrikes nationella system för hälsodata, bort från Microsoft Azure senast slutet av 2026. En teknisk granskning hade bekräftat att den direkta flytten var genomförbar, så regeringen hoppade över det ursprungligen planerade mellansteget.
Motiveringen är jurisdiktionell, inte teknisk. En amerikanskägd molnleverantör kan i princip tvingas av icke-europeisk lag att lämna ut data oavsett var servrarna fysiskt står, och SNDS är bland de mest känsliga offentliga dataseten som finns: den har underbyggt över 233 forskningsprojekt och bidragit till 29 projektutlysningar. Leverantörer för den nya hosting-lösningen väljs ut via marknadsplatsen Public Cloud, som drivs gemensamt av DINUM, statens digitala myndighet, och den centrala statliga inköpsenheten, med en tilldelning som ursprungligen förväntades kring slutet av mars 2026.
Ett dekret gör rekommendation till krav
Ett tillämpningsdekret till SREN-lagen, publicerat i april 2026, utvidgade formellt SecNumCloud-kravet till tre ytterligare digitala hälsooperatörer. Deras namn står ännu inte på en fullständig lista i officiella tidningen, och tidsplanen för efterlevnad förblir oklar för var och en, men riktningen råder inget tvivel om: en certifiering som tidigare fungerade som en konkurrensfördel är nu, enligt en fransk branschmedia som följer sektorn, närmare ett villkor för tillträde till den offentliga hälsomarknaden än en kvalitetsstämpel.
Den förskjutningen drabbar främst mindre leverantörer inom digital hälsa som byggt sin infrastruktur på molnleverantörer utan SecNumCloud-certifiering. Ett bolag utanför den kvalificerade listan behöver ingen ny lag som nämner det individuellt för att känna av effekten; det räcker att en offentlig upphandlare, eller ett dekret, börjar behandla kvalifikationen som en baslinje. Migreringskostnader är verkliga, och branschkommentarer har påpekat att de bör planeras väl i förväg, även om ingen offentlig eurosumma finns ännu.
Fem bolag ber Paris att inte peka ut en enda vinnare
Den 30 juni 2026 skrev fem bolag i centrum av fransk digital hälsa, Alan, Doctolib, Implicity, Lifen och Resilience, till kabinettet hos Anne Le Hénanff och till Direction générale des entreprises. Deras budskap var inte ett avvisande av målet suveränitet. Det var en varning om att en enda accepterad märkning, använd som enda compliance-väg, koncentrerar risk i stället för att ta bort den: ett driftavbrott hos en leverantör, en flaskhals i certifieringen eller en långsam kvalifikationskö skulle drabba alla bolag som är beroende av just den listan samtidigt.
Deras centrala krav var att ersätta logiken med en enda märkning med ett synsätt byggt på revisioner och riskpoäng, så att ett bolag kan visa likvärdig säkerhet utan att vara bundet till ett enda certifieringsspår. Det är samma argument som tillsynsmyndigheter normalt använder mot leverantörsberoende när leverantören är amerikansk; dessa fem bolag använder det om risken för beroende av en inhemsk märkning med en kort och långsamt växande lista över kvalificerade namn.
Suveränitet koncentrerad till elva leverantörer
I april 2026 hade bara 11 molnerbjudanden SecNumCloud-kvalifikationen, däribland OVHcloud, Orange Business, Outscale, S3NS, Worldline, Cegedim, Cloud Temple, Oodrive och Whaller, med 18 ytterligare ansökningar rapporterat pågående. SecNumCloud skapades för att ta bort fransk hälsodata från räckvidden för icke-EU-rättsliga krav, vilket är läroböckernas definition av digital suveränitet. Men en så kort kvalificerad lista skapar sin egen enskilda felkälla: prissättningsmakt, kapacitetsgränser och en kö av sökande som ännu inte kan lägga anbud på offentliga kontrakt som alltmer förutsätter märkningen som baslinje.
Distinktionen tjänstemän gör mellan rekommenderat och obligatoriskt är verklig på papperet, men beror på vilket dokument man läser just då. Ett dekret som tyst lägger till tre ytterligare obligatoriska operatörer, och en statlig hälsoplattform som flyttar sin egen flaggskeppsdatabas till samma kvalifikation, summerar i praktiken till samma resultat som ett mandat, bara byggt genom vanlig upphandlingsmekanik i stället för en rubriklag. Om det revisionsbaserade alternativ som de fem bolagen efterfrågade antas innan nästa namn dyker upp i officiella tidningen är detaljen värd att bevaka under resten av 2026.
Läs vidare: EuroHPC öppnar fyra kvantmaskiner för gratis pilotförsök | Europas suveräna AI drivs nu på amerikanska pengar
