SecNumCloud : Bleu, le cloud de confiance de Capgemini et Orange, vise désormais une qualification fin 2026

13/10/26
👈 les autres actualités

Bleu, le « cloud de confiance » de Capgemini et Orange qui opère les technologies de Microsoft, n'a toujours pas obtenu la qualification SecNumCloud de l'ANSSI. Dans un article publié le 9 octobre 2026, Next rapporte que Bleu vise désormais « la fin d'année », alors qu'elle annonçait le premier semestre 2026. Pour un DPO qui prépare l'hébergement de données sensibles sur Azure ou Microsoft 365, ce calendrier compte autant que la promesse.

Ce qui s'est passé

Le 17 avril 2025, Bleu annonçait que l'ANSSI avait validé le jalon J0 de sa qualification SecNumCloud 3.2, pour un catalogue de services IaaS, PaaS et CaaS, et visait la qualification « pour le premier semestre 2026 ». D'après Next, le jalon J1 a suivi en novembre 2025, sept mois plus tard.

La procédure compte quatre étapes : J0, acceptation de la demande ; J1, acceptation de la stratégie d'évaluation ; J2, acceptation des travaux d'évaluation ; J3, décision de qualification. Next rapporte que le stand de Bleu aux Assises de la cybersécurité 2026 n'affichait que le jalon J1, et cite son service presse : « Nous sommes toujours dans le process de qualification pour un très large catalogue de services IaaS, PaaS, et CaaS. Nous visons la qualification pour la fin d'année ». La partie SaaS, Microsoft 365, passera la qualification dans un second temps ; l'ensemble représente, selon Bleu, une centaine de services.

Au 13 octobre 2026, la liste publique de l'ANSSI range toujours Bleu SAS parmi les prestataires en cours de qualification, pour son offre « Cloud de Confiance Bleu (IaaS, PaaS, CaaS) ». En face, S3ns, l'offre de Thales opérant les technologies de Google, a obtenu la qualification de son offre PREMI3NS en décembre 2025, 17 mois après son jalon J0 selon Next. Next précise que ni l'une ni l'autre n'a reçu de réserve de l'ANSSI en cours de procédure.

Pourquoi c'est important

L'ANSSI présente SecNumCloud comme le repère des offres cloud « de confiance » dont l'utilisation est préconisée pour la protection des données sensibles, notamment face à la menace cybercriminelle et à l'application de lois extraterritoriales. Bleu résume elle-même l'exigence juridique du référentiel par « l'application exclusive du droit européen ». C'est précisément l'enjeu que le RGPD traite à l'article 48 : une décision d'une juridiction ou d'une autorité d'un pays tiers qui exige la divulgation de données personnelles ne peut être reconnue ou rendue exécutoire que si elle est fondée sur un accord international, sans préjudice des autres motifs de transfert prévus au chapitre V. Le sujet est détaillé dans notre guide sur le Cloud Act face au RGPD.

Tant que la qualification n'est pas prononcée, une offre « en cours de qualification » ne vaut pas une offre qualifiée. L'ANSSI le rappelle d'ailleurs dans l'autre sens : la qualification ne préjuge pas du niveau de sécurité des services que le client déploie dessus. Le choix reste celui du responsable de traitement, qui doit recourir à des sous-traitants présentant des garanties suffisantes (article 28) et mettre en œuvre des mesures adaptées au risque (article 32).

Ce que ça change pour les organisations

  • Dans un projet de migration vers Bleu, distinguer ce qui est acquis (J0, J1) de ce qui est attendu (qualification des services IaaS, PaaS et CaaS, puis Microsoft 365), et ne pas présenter l'offre comme qualifiée dans une analyse d'impact ou une réponse à un client.
  • Vérifier le statut réel d'un hébergeur sur les listes de l'ANSSI (prestataires qualifiés, prestataires en cours de qualification) plutôt que sur une plaquette commerciale.
  • Prévoir dans le contrat de sous-traitance ce qui se passe si la qualification glisse encore : calendrier, mesures transitoires, réversibilité.
  • Documenter dans le registre et dans l'évaluation des transferts le niveau de protection effectivement obtenu à date, service par service.

Ces points prolongent ce que nous écrivions sur le cloud hybride comme décision de conformité : l'architecture se choisit sur des garanties vérifiables.

Ce que Leto en pense

Un report de calendrier n'est pas un échec : la procédure SecNumCloud est longue par construction, et S3ns a mis 17 mois. Mais pour un DPO, la date qui compte est celle de la décision de qualification, pas celle de l'annonce. Une fiche sous-traitant qui porte la mention « SecNumCloud en cours, jalon J1 » est plus juste, et plus défendable devant un auditeur, qu'une case cochée trop tôt.

Sources

Restez connecté(e).

Téléchargez notre application mobile de veille RGPD, Intelligence Artificielle et Cybersécurité. 
100% gratuite. 
Je télécharge

Discutons ensemble - et voyons comment Leto peut vous simplifier votre quotidien

Demander une démo