Cloud souverain Bleu : promesse, statut et alternatives 

Bleu est une société française indépendante, fondée par Capgemini et Orange en partenariat avec Microsoft, qui distribue Microsoft 365 et Microsoft Azure dans un environnement isolé de l’infrastructure mondiale de l’éditeur.

Sa promesse est de réunir la richesse fonctionnelle de l’écosystème Microsoft et la protection contre les lois d’accès extraterritoriales américaines. Sa qualification SecNumCloud 3.2 est engagée mais n’était pas encore obtenue à la mi-2026. 

Ce guide fait le point sur ce qu’est Bleu, la logique d’un cloud souverain adossé à une technologie américaine, ce que garantit SecNumCloud, l’avancement réel du dossier, les organisations concernées, les alternatives et les limites à connaître avant de s’engager. 

Qu’est-ce que Bleu, le cloud de confiance français ? 

Bleu est une coentreprise créée par Capgemini et Orange, opérée exclusivement par des équipes françaises, dans le cadre d’un partenariat stratégique avec Microsoft.

Elle propose les services de collaboration Microsoft 365 et les services d’infrastructure Microsoft Azure, mais dans une plateforme distincte, entièrement séparée de l’infrastructure mondiale de Microsoft. L’administration et l’exploitation sont assurées depuis des centres d’opérations situés à Paris et à Rennes. 

Le montage vise un objectif juridique précis : soustraire les données au champ d’application des lois de surveillance américaines, en particulier le Cloud Act et le FISA, en confiant l’exploitation à une entité de droit français sans lien capitalistique avec l’éditeur.

Techniquement, la plateforme repose sur une déclinaison spécifique développée par Microsoft pour ce marché. L’activité commerciale a été lancée en janvier 2024, principalement pour préparer les futurs clients à la migration. 

A lire aussi : Cloud souverain français et européen : quel hébergeur choisir ?

Pourquoi un cloud souverain fondé sur Microsoft ? 

Le choix peut surprendre : bâtir une offre de souveraineté sur la technologie d’un acteur américain semble contradictoire.

Il répond en réalité à une contrainte de terrain. Une part importante des administrations et des grandes entreprises françaises fonctionne depuis des années avec Microsoft 365 et Azure : messagerie, bureautique, collaboration, annuaire, applications métier. Leur demander de basculer vers un catalogue de services entièrement différent revient à imposer une refonte complète du système d’information. 

Bleu propose donc une troisième voie entre le maintien sur le cloud public américain, juridiquement exposé, et la migration vers un acteur nativement français, techniquement plus éloignée des usages en place.

C’est un arbitrage assumé : on accepte une dépendance technologique persistante pour obtenir une protection juridique et une continuité fonctionnelle.

Ce compromis fait débat, certains acteurs du marché estimant qu’une souveraineté réelle suppose aussi l’indépendance technologique, et pas seulement l’indépendance capitalistique de l’opérateur. 

Que guarantit réellement la qualification SecNumCloud ?

SecNumCloud est la qualification délivrée par l’ANSSI aux prestataires de services cloud, créée en 2017 et portée aujourd’hui par la version 3.2 du référentiel.

Elle constitue le standard le plus exigeant en France, et c’est elle qui conditionne l’appartenance à la catégorie du cloud de confiance au sens de la doctrine de l’État. Sans elle, une offre peut se présenter comme souveraine sans que cette affirmation soit vérifiée par un tiers. 

Le référentiel s’appuie sur la norme ISO 27001 mais y ajoute des obligations prescriptives que cette dernière ne contient pas :

• localisation des données sur le territoire européen,
• cloisonnement,
• guides de durcissement,
• authentification multifacteur,
• chiffrement,
• audits réalisés par des prestataires qualifiés,
• et surtout des exigences juridiques d’immunité aux réglementations extraterritoriales.

Le référentiel compte plus de 360 critères répartis en 14 thèmes, ce qui explique la durée des procédures de qualification. 

Où en est Bleu dans le processus de qualification ? 

Cette chronologie est le point le plus important à retenir, car elle est régulièrement mal comprise.

La procédure SecNumCloud comporte quatre étapes :

• l’acceptation de la demande,
• l’acceptation de la stratégie d’évaluation,
• l’acceptation des travaux d’audit,
• puis la qualification proprement dite.

Franchir un jalon signifie progresser dans l’instruction, pas être qualifié.

Bleu communique d’ailleurs lui-même sur des services en cours de qualification. Le calendrier a par ailleurs glissé à plusieurs reprises depuis les premières annonces, ce qui invite à traiter les échéances annoncées comme des objectifs et non comme des garanties.

Qui est concerné par une offre de cloud de confiance ?

Le recours au cloud de confiance obéit à une logique d’obligation ou d’exposition au risque, selon six catégories d’organisations :

• L’État et ses opérateurs : la doctrine gouvernementale impose le recours à une offre qualifiée pour les données les plus sensibles des administrations. 

• Les collectivités territoriales : mêmes exigences sur les données de leurs administrés, avec des moyens souvent plus contraints. 

• Les établissements de santé : données de santé, contraintes d’hébergement spécifiques et exposition forte aux cyberattaques. 

• Les opérateurs d’importance vitale : obligations renforcées au titre de la loi de programmation militaire. 

• Les opérateurs de services essentiels : le périmètre s’élargit avec la transposition de NIS2, qui étend la logique de confiance à de nombreux secteurs. 

• Les entreprises à données stratégiques : sans obligation légale, mais avec un patrimoine informationnel dont l’exposition juridique constitue un risque assumé au niveau de la direction. 

Bleu ou un acteur nativement français : comment arbitrer ? 

L’arbitrage se joue sur une question simple : votre dépendance à l’écosystème Microsoft est-elle structurelle ou contournable ?

Si vos usages reposent massivement sur Microsoft 365, sur l’annuaire Entra ID et sur des applications métier intégrées, une migration vers un acteur nativement français implique une transformation profonde, longue et coûteuse, avec un risque d’adoption réel.

Si votre besoin porte surtout sur de l’infrastructure et des charges applicatives maîtrisées, les acteurs français qualifiés deviennent une option crédible et immédiatement disponible.

Le catalogue officiel des services qualifiés publié par l’ANSSI reste la seule référence à jour pour vérifier qui détient effectivement la qualification, et sur quel périmètre. 

Quelles limites subsistent malgré la souveraineté ? 

La qualification cloud de confiance ne lève pas toutes les contraintes. Six points restent à vérifier avant de considérer une offre comme une solution définitive.

• La qualification n’est pas acquise. Tant que la procédure n’est pas achevée, une offre en cours de qualification ne satisfait pas formellement la doctrine du cloud de confiance. 

• La dépendance technologique demeure. L’isolement juridique et opérationnel ne supprime pas le fait que la technologie sous-jacente reste celle d’un éditeur américain. 

• Le décalage fonctionnel : une plateforme isolée n’intègre pas les nouveautés au même rythme que le cloud public mondial, ce qui doit être anticipé pour les services récents. 

• Le coût : une plateforme dédiée, exploitée par des équipes locales et soumise à un référentiel exigeant, se facture plus cher qu’un cloud public standard. 

• La réversibilité : elle doit être contractualisée dès le départ, comme pour tout engagement cloud, indépendamment de la nationalité du fournisseur. 

• Le périmètre qualifié : la qualification s’obtient service par service : une offre qualifiée sur son socle d’infrastructure ne l’est pas nécessairement sur l’ensemble de son catalogue. 

Cinq points à préparer avant d’envisager une migration

Une bascule vers une offre qualifiée s’anticipe. Ces cinq chantiers conditionnent la faisabilité et le calendrier réel du projet. 

• Classifier les données : toutes ne relèvent pas du même niveau d’exigence ; seule une minorité justifie généralement une offre qualifiée, le reste pouvant rester sur un cloud standard. 

• Cartographier les dépendances : applications, connecteurs, automatisations et intégrations tierces conditionnent la faisabilité réelle de la bascule. 

• Vérifier la couverture de service : confronter votre catalogue d’usages actuel aux services effectivement disponibles et qualifiés sur la plateforme cible. 

• Cadrer le calendrier avec prudence : adosser un projet critique à une échéance de qualification annoncée expose à un glissement, comme l’histoire du dossier l’a montré. 

• Prévoir une trajectoire hybride : le scénario le plus courant combine une offre qualifiée pour les données sensibles et un cloud public pour le reste, ce qui suppose une gouvernance claire des deux environnements. 

Quelles erreurs d’appréciation éviter ? 

Certains raisonnements reviennent régulièrement dans les projets de migration vers le cloud de confiance :

• Confondre jalon franchi et qualification obtenue. La communication sur l’avancement d’un dossier ne vaut pas attestation de conformité. 

• Traiter la souveraineté comme un sujet binaire. L’enjeu réel est la classification des données, pas le choix d’un fournisseur unique pour tout le système d’information. 

• Attendre indéfiniment une offre en cours de qualification. Reporter la mise en conformité en espérant une échéance conduit à cumuler du retard réglementaire. 

• Sous-estimer le coût du changement. Une migration vers un acteur nativement français est techniquement crédible, mais son ampleur est régulièrement minimisée. 

• Négliger la sécurité opérationnelle. Un cloud qualifié n’exonère pas du modèle de responsabilité partagée : la configuration, les identités et les accès restent de votre ressort. 

Questions fréquentes sur le cloud souverain Bleu 

Qu’est-ce que Bleu exactement ? 

C’est une société française indépendante fondée par Capgemini et Orange, en partenariat stratégique avec Microsoft, qui distribue Microsoft 365 et Microsoft Azure sur une plateforme isolée de l’infrastructure mondiale de l’éditeur, exploitée par des équipes françaises depuis des centres d’opérations situés à Paris et à Rennes. 

Bleu est-il qualifié SecNumCloud ? 

Pas encore à la mi-2026. La société a franchi le jalon J0 en avril 2025, puis le jalon J1 en septembre 2025, ce qui a ouvert la phase d’audit. La qualification proprement dite n’était pas obtenue, et la disponibilité commerciale était annoncée pour le second semestre 2026. Le catalogue officiel de l’ANSSI reste la référence pour vérifier la situation à jour. 

Pourquoi un cloud souverain reposant sur une technologie américaine ? 

Parce que beaucoup d’organisations françaises dépendent structurellement de l’écosystème Microsoft. Bleu vise à conserver ces usages tout en soustrayant les données aux lois d’accès extraterritoriales, grâce à une exploitation par une entité de droit français sans lien capitalistique avec l’éditeur. Ce compromis reste discuté sur le plan de l’indépendance technologique. 

Quelle différence entre Bleu et S3NS ? 

Les deux relèvent de la même logique : distribuer la technologie d’un hyperscaler américain via une entité française. Bleu porte l’écosystème Microsoft avec Capgemini et Orange, S3NS porte l’écosystème Google avec Thales. Le choix découle de l’écosystème dans lequel vos usages sont déjà installés. 

Qui doit recourir à une offre de cloud de confiance ? 

L’État, les collectivités, les établissements de santé, les opérateurs d’importance vitale et, de plus en plus, les opérateurs de services essentiels visés par NIS2. Les entreprises privées détenant un patrimoine informationnel stratégique peuvent y recourir sans obligation légale, sur décision de leur direction. 

Faut-il tout migrer vers un cloud qualifié ? 

Non, et ce serait rarement pertinent. La démarche commence par une classification des données : seule une partie justifie une offre qualifiée. Le scénario le plus courant est hybride, avec une offre qualifiée pour les données sensibles et un cloud public pour le reste.