Bleu repousse sa qualification SecNumCloud à la fin de l'année

Bleu est la coentreprise de Capgemini et d'Orange qui doit proposer les services de Microsoft dans un cadre conforme au référentiel SecNumCloud de l'ANSSI. Beaucoup d'organisations françaises attendent cette offre pour utiliser Azure et Microsoft 365 avec des données sensibles. D'après un article du média Next daté du 9 octobre, il faudra patienter un peu plus.

Ce que rapporte Next

Bleu avait annoncé le premier semestre 2026 pour la qualification d'une première partie de ses services. Interrogée par Next, l'entreprise indique maintenant viser « la fin d'année ». L'article ne donne aucune explication à ce décalage.

Le journaliste relève aussi qu'aux Assises de la cybersécurité 2026, le stand de Bleu n'affichait que le deuxième des quatre jalons du parcours.

Les quatre jalons, en clair

La qualification SecNumCloud se déroule en étapes numérotées :

• J0 : l'ANSSI accepte la demande ;
• J1 : la stratégie d'évaluation est validée ;
• J2 : les travaux d'évaluation sont menés ;
• J3 : l'agence rend sa décision.

Selon Next, Bleu a franchi J0 en avril 2025 et J1 en novembre 2025. L'article précise que l'ANSSI n'a pas émis de « réserves » sur le dossier, un signal que l'agence utilise quand un jalon risque de ne pas être franchi.

À titre de comparaison, S3NS, le projet équivalent de Thales fondé sur les technologies de Google, a mis cinq mois entre J0 et J1 et dix-sept mois au total, avec une qualification obtenue en décembre 2025.

Deux vagues, pas une

C'est le point le plus important pour une PME. D'après l'article :

• la première vague concerne les services d'infrastructure et de plateforme (IaaS, PaaS, CaaS), c'est-à-dire l'équivalent d'Azure ;
• la partie SaaS, donc Microsoft 365, passera la qualification dans un second temps.

Bleu évoque une centaine de services au total. L'article ne dit rien de Copilot : ni son périmètre, ni son calendrier dans l'offre Bleu n'y sont abordés. Nous ne pouvons donc rien en conclure.

Ce que cela change pour vous

Un jalon franchi n'est pas une qualification. Tant que la décision J3 n'est pas rendue, un service « en cours de qualification » ne peut pas être présenté comme qualifié dans une réponse à un appel d'offres ou dans une analyse de risques.

Si votre projet dépend de Bleu, trois vérifications s'imposent :

• Le service précis. Une messagerie ou une suite bureautique relève de la seconde vague. Ne calez pas un calendrier de migration sur la première.
• Le contrat. Méfiez-vous d'une date de qualification donnée oralement. Demandez ce qui se passe si elle glisse : sortie sans frais, report de facturation, ou rien.
• La liste officielle. Seule la liste publiée par l'ANSSI indique qui est qualifié, et sur quel périmètre.

Les limites de l'information

Next est un média spécialisé reconnu, mais l'article repose sur une réponse du service de presse de Bleu et sur des observations du journaliste. Aucun communiqué de Bleu n'y est cité, et « la fin d'année » reste un objectif, pas un engagement. Un nouveau glissement n'est pas exclu.

Notre lecture

Ce retard se compte en mois et l'ANSSI n'a pas signalé de difficulté sur le dossier : rien n'indique un projet en péril. Mais il rappelle une règle simple. On ne bâtit pas un planning sur une qualification annoncée. Si une obligation contractuelle ou réglementaire vous impose un hébergement qualifié dès aujourd'hui, tournez-vous vers une offre qui l'est déjà. Si vous pouvez attendre, gardez Bleu comme option et réexaminez la situation une fois la décision publiée, en distinguant bien Azure de Microsoft 365.