L’annonce des « clouds de confiance » basés sur des technologies américaines avait fait beaucoup parler. Nous avons d’un côté Thales avec Google pour former S3ns, de l’autre Capgemini, Orange et Microsoft pour Bleu. Le principe est de faire héberger les technologies de Microsoft ou Google par des prestataires français.

Les deux visent depuis le début la qualification SecNumCloud, le plus haut niveau d’exigence en cybersécurité de l’ANSSI. Elle assure notamment une étanchéité aux lois extraterritoriales, une robustesse des systèmes informatiques, des équipes, etc.

• Sécurité

  SecNumCloud : pour l’ANSSI, « rien ne s’oppose » à la qualification de Bleu et S3ns

  Sécurité

  Mardi 03 juin 2025 à 11h30 03/06/2025 11h30

  11

S3ns : 17 mois entre le jalon J0 et la qualification SecNumCloud

S3ns est arrivé au bout du chemin, il y a un peu moins d’un an : son offre PREMI3NS est qualifiée SecNumCloud par l’ANSSI depuis décembre 2025, soit un processus de 17 mois pour être précis depuis la validation du jalon J0, « sans réserve » de l’ANSSI. La validation du jalon J1 avait ensuite pris cinq mois, puis 12 mois pour terminer la procédure.

Il y a, pour rappel, quatre niveaux dans la procédure de qualification SecNumCloud :

• J0 : acceptation de la demande de qualification
• J1 : acceptation de la stratégie d’évaluation
• J2 : acceptation des travaux d’évaluation
• J3 : décision de qualification

Si l’Agence émet des réserves, cela signifie que « l’ensemble des critères d’acceptation […] sont respectés, mais l’ANSSI estime qu’un jalon de la qualification ne peut a priori pas être franchi ou que les coûts et délais nécessaires pour atteindre la qualification sont très importants ». C’est une mise en garde, comme son nom l’indique, mais S3ns et Bleu n’y ont pas eu droit.

Bleu a validé le jalon J0 il y a 18 mois, la qualification prévue pour fin 2026

Bleu s’est lancé plus tard dans la procédure, avec une acceptation du jalon J0 en avril 2025. Le jalon J1 a pris un peu plus de temps – sept mois – que pour S3ns. Le calendrier était alors en phase avec ce que nous indiquait Bleu aux Assises de la cybersécurité de l’année dernière. La coentreprise de Capgemini et Orange ajoutait que la qualification SecNumCloud était attendue pour le premier semestre 2026, un calendrier déjà annoncé lors du passage du jalon J0. Nous avions aussi profité de l’occasion pour faire un rapide tour des enjeux de souveraineté et des relations avec Microsoft.

• Bleu nous parle SecNumCloud, étanchéité, autarcie et relations avec Microsoft
• Thales et Google détaillent le fonctionnement de S3ns sur le « cloud de confiance »

Un an plus tard, force est de constater que la qualification n’est toujours pas finalisée. Le stand de Bleu aux Assises de la cybersécurité 2026 n’affiche que le jalon J1. « Nous sommes toujours dans le process de qualification pour un très large catalogue de services IaaS, PaaS, et CaaS. Nous visons la qualification pour la fin d’année », nous explique le service presse.

Iaas (Infrastructure as a Service), PaaS (Platform as a Service) et CaaS (Container as a Service) correspondent à ce que propose Microsoft avec Azure. Avec la partie SaaS (Software as a Service) de Microsoft 365, qui passera la qualification dans un second temps, cela représente selon Bleu une centaine de services.

• Internet

  Perdus face au cloud ? On vous explique les notions principales

  Internet

  Vendredi 27 janvier 2023 à 10h32 27/01/2023 10h32

  17

Cette qualification de trois niveaux de services en même temps était déjà présente chez S3ns, qui affirmait d’ailleurs que c’était « la première fois que l’ANSSI accorde la qualification SecNumCloud en simultanée pour les périmètres IaaS, CaaS et PaaS, couvrant plus de vingt services ».

Si Bleu obtient bien la qualification en décembre comme prévu, cela donnerait environ 13 mois d’écart avec le J1. Au total, si le délai annoncé est cette fois-ci respecté, la qualification prendrait donc 21 mois.

Procédure de qualification SecNumCloud de S3ns (Thales et Google) :

• J0 : juillet 2024
• J1 : décembre 2024 (5 mois)
• Qualification : décembre 2025 (17 mois au total)

Procédure de qualification SecNumCloud de Bleu (Capgemini, Orange et Microsoft) :

• J0 : avril 2025
• J1 : novembre 2025 (7 mois)
• Qualification : attendue fin 2026 (estimation 20 mois)