Bleu : le cloud de confiance vendu avant son audit

Bleu met en production un cloud que sa propre définition ne qualifie pas encore

Le 15 octobre 2026, Bleu a réuni clients et partenaires à Paris pour la troisième édition de son « Cercle de la confiance ». Le compte rendu publié le lendemain sur le site de l'entreprise annonce que plus de cent services IaaS, PaaS, CaaS et SaaS (infrastructure, plateforme, conteneurs et logiciel fournis en tant que service), reposant sur les technologies Azure et Microsoft 365, entrent en disponibilité générale, c'est-à-dire en exploitation de production assortie d'engagements de niveau de service. Le même texte fait état de soixante organisations actives sur la plateforme. Parmi les clients invités à témoigner figurait l'Agence nationale de sécurité du médicament et des produits de santé (ANSM), aux côtés de Dassault Aviation et d'Orange. Rendant compte de l'événement le 22 octobre, LeMagIT nuance le calendrier : une centaine de services sont ouverts, dont une soixantaine seulement en disponibilité générale, les autres devant suivre en novembre et en décembre. Le journal rapporte aussi la manière dont le dirigeant de Bleu, Jean Coumaros, décrit sa clientèle, où se côtoient « des administrations publiques [...] des collectivités territoriales, des hôpitaux ».

L'offre ne manque pas de titres. Bleu a annoncé le 7 septembre 2026 l'obtention des certifications ISO/IEC 27001 (norme internationale de management de la sécurité de l'information) et HDS V2 (certification d'hébergeur de données de santé), délivrées en août par l'organisme LSTI. Il lui manque pourtant celui qui fonde son nom commercial. La page de l'ANSSI recensant les prestataires SecNumCloud en cours de qualification, consultée le 3 novembre 2026, mentionne toujours Bleu SAS pour un service intitulé « Cloud de Confiance Bleu ». Le calendrier a glissé. Lors de la validation du jalon J0 (acceptation de la demande de qualification), annoncée le 17 avril 2025, Bleu visait la qualification pour le premier semestre 2026. Le jalon J1 (acceptation de la stratégie d'évaluation) a été validé le 17 novembre 2025. Le 9 octobre 2026, le service de presse de l'entreprise indiquait à Next : « Nous visons la qualification pour la fin d'année ».

Le paradoxe tient dans une phrase que Bleu a lui-même publiée. Dans un entretien accordé au magazine Symbiotic et repris sur son site le 9 avril 2026, Jean Coumaros pose une définition sans détour : « Un cloud de confiance est un cloud qualifié SecNumCloud 3.2. par l'ANSSI. » Le référentiel de l'agence ne dit pas autre chose. Il présente la qualification comme le cadre sur lequel les utilisateurs peuvent, selon sa formule, « fonder leur confiance ». Au sens où son vendeur et l'autorité qui l'évalue entendent ce mot, le service mis en production en octobre n'est donc pas encore un cloud de confiance.

Deux termes du titre doivent alors être fixés. La confiance désigne ici la disposition des acheteurs à traiter un engagement comme acquis tant que rien ne vient le démentir. L'audit désigne l'opération par laquelle un tiers habilité convertit cet engagement en attestation opposable. Le cas Bleu pose une seule question : dans quel ordre ces deux choses arrivent-elles, et sur quel périmètre ?

Le périmètre audité s'arrête là où commence Microsoft 365

Le débat public sur Bleu se ramène volontiers à une alternative binaire, qualifié ou pas encore. Elle en masque une autre, plus précise et plus coûteuse pour l'acheteur public. Tous les documents de Bleu relatifs à la procédure décrivent le même périmètre. Le communiqué du jalon J0 parle d'un catalogue de services IaaS, PaaS et CaaS, celui du jalon J1 de la stratégie d'évaluation de ces trois mêmes familles. L'annonce des certifications de septembre 2026 situe le processus SecNumCloud comme celui « dans lequel Bleu est engagée pour ses services IaaS, PaaS et CaaS ». La liste de l'ANSSI reprend exactement ces trois sigles. Microsoft 365, service SaaS, n'y figure pas. Next précisait d'ailleurs, d'après Bleu, que la partie SaaS de Microsoft 365 passerait la qualification dans un second temps.

Ce découpage n'est pas une subtilité de catalogue. Le référentiel SecNumCloud 3.2 range expressément les outils collaboratifs et la messagerie parmi les exemples de services SaaS (section 2.1). Il prévoit pour ce type de service des contrôles propres, notamment un test d'intrusion de l'interface offerte aux utilisateurs finaux et un audit du code source des fonctions de sécurité (section 18.2.2). Il borne surtout la portée de toute qualification. Les prestataires qualifiés peuvent réaliser des prestations hors du périmètre retenu, mais ils « ne peuvent, dans ce cas, se prévaloir de la qualification sur ces prestations » (section 3.2). Même obtenue à la date annoncée, la qualification de Bleu ne couvrira donc pas, selon le périmètre publiquement déclaré au 3 novembre 2026, la suite bureautique et collaborative que les administrations peuvent déjà commander.

Car elles le peuvent. Dans une page publiée le 31 mars 2026, Bleu indique que ses services collaboratifs sont disponibles par l'UGAP dans le cadre du marché « Logiciels Microsoft et prestations associées », par le Resah pour le secteur sanitaire et médico-social, et par la centrale C.A.I.H. pour les établissements de santé. L'achat public est outillé avant que la qualification ne le soit, et il l'est d'abord pour le service qui sera qualifié en dernier. La chronique du 26 octobre consacrée au rapport de la Cour des comptes sur la bureautique de l'État relevait déjà que la majorité des ministères souhaitent conserver Microsoft Office et envisagent de migrer vers l'infrastructure de Bleu. Le présent constat en précise la portée : la brique bureautique est précisément celle qui reste hors du champ de l'audit en cours.

La logique de confiance tient lieu de l'inspection attendue

La sociologie néo-institutionnelle (le courant qui étudie comment les organisations adoptent les formes tenues pour légitimes dans leur environnement) a nommé ce type de configuration. En 1977, John W. Meyer et Brian Rowan observent que les organisations soumises à des règles institutionnelles fortes adoptent des structures formelles conformes à ces règles, puis les protègent de l'examen de leur activité réelle.

La logique de confiance (Meyer et Rowan, 1977)

Dans « Institutionalized Organizations: Formal Structure as Myth and Ceremony », publié dans l'American Journal of Sociology, John W. Meyer et Brian Rowan décrivent des organisations dont la structure formelle reflète les mythes rationalisés de leur environnement plutôt que les exigences de leur travail. Pour que l'écart ne devienne pas visible, ces organisations minimisent et ritualisent l'inspection et l'évaluation. Le résumé de l'article l'énonce : à la place de la coordination, de l'inspection et de l'évaluation, « a logic of confidence and good faith is employed » (une logique de confiance et de bonne foi est mise en œuvre). Point décisif, les auteurs notent que les partenaires extérieurs, organismes d'accréditation compris, entretiennent eux-mêmes cette logique en acceptant pour argent comptant les titres affichés.

Le cas Bleu opérationnalise cette logique de confiance avec une netteté rare. La structure formelle y est faite de signaux publics : le nom « cloud de confiance », les jalons J0 et J1 annoncés par communiqué, les certifications ISO 27001 et HDS, l'architecture capitalistique conçue pour satisfaire les exigences de protection vis-à-vis du droit extra-européen (section 19.6 du référentiel). L'activité est ce que l'audit doit attester, à savoir que l'exploitation quotidienne de la plateforme correspond à ces engagements. Entre les deux, la confiance fonctionne exactement comme le décrivent Meyer et Rowan. Les centrales d'achat référencent, les acheteurs commandent, et la qualification est traitée comme une formalité à venir plutôt que comme une condition d'achat.

Une nuance fait l'intérêt du cas. Chez Meyer et Rowan, l'organisation institutionnalisée cherche à éviter l'inspection. Bleu, à l'inverse, la sollicite, la finance et en publie le calendrier. Les deux auteurs décrivent pourtant une stratégie voisine, qu'ils jugent seulement partielle : promettre la réforme, c'est-à-dire situer dans l'avenir la structure valide de l'organisation. Ils ajoutent qu'elle a un coût, puisqu'elle rend illégitime la structure présente. Le marché du cloud de confiance a neutralisé ce coût. La promesse de qualification n'y délégitime pas l'offre actuelle, elle la valorise.

Michael Power avait identifié le ressort de ce retournement. Dans The Audit Explosion (Demos, 1994), il observe que « the fact of audit is becoming more important than the how of audit » (le fait de l'audit compte désormais davantage que sa manière). Le cas Bleu en offre une variante extrême : l'assurance naît de l'annonce de l'audit, avant que celui-ci ait rendu son verdict. Le jalon franchi, la stratégie d'évaluation acceptée, les audits conduits d'avril à septembre 2026 selon LeMagIT deviennent des éléments de discours commercial, alors qu'aucun d'eux ne constitue une décision de qualification.

En 2021, l'État adossait déjà sa doctrine à une offre qui n'existait pas

Ce décalage n'est pas né en octobre 2026. Il est inscrit dans la doctrine qui a fait de Bleu un acteur attendu. Le 15 septembre 2021, le directeur interministériel du numérique adresse aux secrétaires généraux des ministères une note consacrée à la doctrine « Cloud au Centre » et à l'offre Office 365 de Microsoft. Elle s'appuie sur la règle R9 de la circulaire n° 6282-SG du 5 juillet 2021, selon laquelle un système manipulant des données sensibles ne peut recourir à une offre de cloud commercial que si celle-ci est qualifiée SecNumCloud et immunisée contre les réglementations extracommunautaires. Elle range les solutions collaboratives, bureautiques et de messagerie parmi ces systèmes et en tire une conclusion nette : leur migration vers Office 365 « n'est pas conforme à la doctrine Cloud au Centre ».

La suite de la note est plus instructive encore. Parmi les options ouvertes aux ministères, la DINUM propose de privilégier un scénario dans lequel le consortium Bleu « réalise son ambition de construction d'une offre labellisée SecNumCloud conforme à la doctrine Cloud au Centre ». Pour les projets très avancés, elle admet une dérogation limitée à la messagerie et au stockage personnel, « pour une durée limitée à 12 mois après la date à laquelle une offre de cloud acceptable sera disponible en France ». L'État fondait ainsi une orientation d'achat sur l'ambition d'un consortium, non sur une qualification, et indexait la durée de ses propres dérogations sur la disponibilité future d'une offre acceptable.

Ce précédent présente la proximité structurelle la plus forte avec la situation actuelle, et c'est pour cette raison qu'il est le seul développé ici. Cinq ans plus tard, la configuration se répète, avec une différence qui change tout : l'offre est désormais en production, référencée et vendue. La promesse de 2021 a produit un marché avant de produire sa preuve. Le décret n° 2026-272 du 14 avril 2026, pris pour l'application de l'article 31 de la loi du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique, a reconduit la même mécanique dans le droit dur.

L'horloge des dérogations (décret n° 2026-272, article 3)

« Si une offre de services d'informatique en nuage acceptable pour le projet concerné est disponible en France, la dérogation est accordée pour une durée maximum de dix-huit mois courant depuis la date à laquelle cette offre est disponible en France. A défaut, la dérogation est accordée pour une durée d'un an renouvelable jusqu'à ce qu'une telle offre soit disponible. »

Le même article précise qu'une offre conforme est acceptable si elle répond au besoin fonctionnel de l'organisme, compte tenu de son coût, et que chaque décision de dérogation est rendue publique avec sa motivation sur un site relevant du Premier ministre. Pour une administration de l'État dont la bureautique fonctionne aujourd'hui sur Microsoft 365 hors de tout cloud qualifié, l'apparition d'un Microsoft 365 qualifié serait donc l'événement qui déclenche le compte à rebours de dix-huit mois. La qualification n'est pas seulement une barrière à l'entrée pour Bleu, elle est aussi la gâchette d'une obligation de migration pour d'autres. Tant qu'elle ne couvre pas la brique SaaS, l'horloge ne démarre pas.

Le parcours de S3NS, la coentreprise de Thales et de Google Cloud, montre que la séquence n'est pas propre à Bleu. Selon LeMagIT, son offre PREMI3NS était passée en disponibilité générale en octobre 2025 et comptait une trentaine de clients « pionniers » avant la qualification obtenue en décembre 2025. Le même article rappelle que l'ANSSI exige que les environnements candidats soient utilisés par quelques clients avant de délivrer la qualification. Une part de commercialisation précoce est donc inscrite dans la procédure elle-même. Ce qui fait difficulté n'est pas l'existence de clients avant l'audit, mais l'emploi du vocabulaire de la qualification pour vendre un statut qui n'existe pas encore, sur un périmètre que la procédure ne couvre pas.

Le référentiel arme l'acheteur, le discours public ne le lui rappelle pas

Reste la question que se pose tout praticien de la commande publique devant une offre de ce type : que valent, d'ici la décision de l'ANSSI, les engagements d'immunité et de réversibilité ? Les déclarations de Bleu sont nombreuses et précises. Selon LeMagIT, son directeur des technologies et des services, Pape Ndao, affirme que la plateforme a été conçue dès l'origine selon les exigences de SecNumCloud 3.2 et qu'elle pourrait fonctionner en autarcie en cas de rupture avec Microsoft, avec l'appui d'un dispositif d'assistance mutuelle conclu avec son homologue allemand Delos Cloud. Ces déclarations sont des sources primaires de ce que Bleu affirme et organise. Elles ne prouvent pas que l'exploitation quotidienne satisfait les exigences du référentiel. C'est l'objet même de la qualification, et c'est ce qui manque.

Le référentiel SecNumCloud ne laisse pourtant pas l'acheteur démuni. Il comporte un avertissement explicite sur les risques liés à l'absence de qualification. Dans le cas d'une prestation non qualifiée, il recommande au commanditaire d'« exiger de la part de son prestataire un document listant l'ensemble des exigences de ce référentiel non couvertes dans le cadre de sa prestation, afin de connaître les risques auxquels il s'expose » (section 3.3.1). Son annexe destinée aux commanditaires ajoute que choisir un prestataire inscrit au catalogue des prestataires qualifiés constitue « une condition nécessaire mais pas suffisante » : il faut encore exiger que la convention de service stipule que la prestation est qualifiée. Les clauses qui protègent réellement l'acheteur, à savoir la résiliation sans pénalité en cas de perte de la qualification et la réversibilité des données selon des formats ou des interfaces documentés (section 19.1), sont des exigences imposées à la convention d'une prestation qualifiée. Rien, dans le référentiel, ne les rend applicables à un contrat conclu avant la qualification ou hors de son périmètre.

Là se loge l'angle mort du discours institutionnel. Les communications de Bleu consultées le 3 novembre 2026, du communiqué du jalon J0 au compte rendu du Cercle de la confiance, présentent la qualification comme une étape prochaine et ne font pas état de cette recommandation de l'ANSSI. La page consacrée aux centrales d'achat décrit un cadre « conforme aux exigences de la commande publique » sans indiquer quel niveau du référentiel la prestation collaborative atteint.

Le praticien observe alors que l'acheteur public ne contracte pas, en novembre 2026, un service de confiance au sens du référentiel. Il contracte une option, c'est-à-dire la probabilité, jugée élevée par tous les acteurs, que la structure formelle et l'activité vérifiée se rejoignent à brève échéance. Cette option a une valeur réelle. Elle prépare les équipes, construit les environnements d'accueil et évite une migration ultérieure plus brutale. Mais elle répartit le risque d'une manière que le vocabulaire commercial efface. Si la qualification tarde encore, ou si elle intervient sur un périmètre plus étroit que l'offre vendue, c'est l'acheteur qui porte l'écart entre ce qu'il a cru acheter et ce qui a été attesté. Le document que l'ANSSI lui recommande d'exiger est précisément l'instrument qui rendrait cet écart visible. La logique de confiance ne tient que tant que personne ne demande la liste.

Quand l'audit rattrapera la confiance, la bureautique restera dehors

Le cas Bleu ne relève ni de la tromperie ni de l'improvisation. Il révèle une architecture dans laquelle l'État a lui-même, dès 2021, adossé sa doctrine à une offre future, puis construit en 2026 un régime de dérogations dont l'horloge dépend de la disponibilité de cette offre. Dans cette architecture, la confiance précède l'audit par construction, et la logique de confiance décrite par Meyer et Rowan cesse d'être un mécanisme de protection propre aux organisations pour devenir un mode ordinaire de mise en marché. Le « cloud de confiance » n'est pas un mensonge, c'est un nom donné par anticipation. La question n'est plus de savoir si Bleu sera qualifié, mais sur quoi.

Une hypothèse vérifiable en découle. Si la confiance sert bien d'avance sur un audit limité à l'infrastructure, la liste des prestataires qualifiés publiée par l'ANSSI sur cyber.gouv.fr comportera au 31 décembre 2027 une entrée Bleu pour des services IaaS, PaaS ou CaaS, mais aucune entrée SaaS couvrant Microsoft 365, alors que les services collaboratifs de Bleu resteront référencés auprès de l'UGAP, du Resah ou de la C.A.I.H. Second indicateur, consultable par tout lecteur : les décisions de dérogation que l'article 3 du décret n° 2026-272 impose de publier avec leur motivation. Si, au 30 juin 2028, celles qui portent sur des outils bureautiques et collaboratifs continuent de se fonder sur l'absence d'offre acceptable disponible en France, l'écart entre la confiance vendue et l'audit rendu aura cessé d'être un délai pour devenir une structure. L'inscription d'une qualification SaaS de Microsoft 365 opérée par Bleu avant ces dates infirmerait l'hypothèse.

Note méthodologique

Cette chronique s'appuie prioritairement sur la liste des prestataires SecNumCloud en cours de qualification publiée par l'ANSSI, sur le référentiel SecNumCloud 3.2, sur la note de la DINUM du 15 septembre 2021, sur le décret n° 2026-272 et sur les publications de Bleu. La presse spécialisée n'est mobilisée que pour des déclarations qu'elle a recueillies ou pour des éléments de calendrier.

Deux divergences entre sources publiques ont été arbitrées. Bleu annonce plus de cent services en disponibilité générale, quand LeMagIT en compte une soixantaine sur une centaine ouverts : le texte retient la première formulation comme annonce de l'entreprise et la seconde comme état effectif à la date de l'article. LeMagIT situe les certifications ISO 27001 et HDS en juillet 2026, Bleu indique qu'elles ont été délivrées en août 2026 par LSTI : le texte retient la déclaration de Bleu, titulaire des certificats.

L'affirmation selon laquelle les communications de Bleu ne font pas état de la recommandation de la section 3.3.1 du référentiel porte sur les communiqués des jalons J0 et J1, l'annonce des certifications, la page consacrée aux centrales d'achat, l'entretien de Jean Coumaros et le compte rendu du Cercle de la confiance, consultés le 3 novembre 2026. Le recours à la logique de confiance de Meyer et Rowan comme cadre central, avec l'analyse de Michael Power en appui secondaire, est un choix d'interprétation de l'auteur.

Recherche de sources, croisement des données et structuration du raisonnement s'appuient sur une assistance par intelligence artificielle. Le choix de l'angle et du cadre théorique, la vérification des sources, les arbitrages et l'établissement du texte final relèvent de l'auteur.

image générée par IA (ChatGPT Images 2.5)

Sources

Sources primaires institutionnelles

ANSSI, « Prestataires de services d'informatique en nuage (SecNumCloud) », liste des prestataires en cours de qualification, page consultée le 3 novembre 2026. https://cyber.gouv.fr/offre-de-service/solutions-certifiees-et-qualifiees/services-de-securite-evalue/solutions-en-cours-de-qualification/prestataires-secnumcloud/

ANSSI, « Prestataires de services d'informatique en nuage (SecNumCloud), référentiel d'exigences », version 3.2 du 8 mars 2022. https://cyber.gouv.fr/sites/default/files/document/secnumcloud-referentiel-exigences-v3.2.pdf

Direction interministérielle du numérique, note DINUM-DIR-210901 aux secrétaires généraux des ministères, Doctrine Cloud au Centre et offre Office 365 de Microsoft, 15 septembre 2021. https://acteurspublics.fr/upload/media/default/0001/36/acf32455f9b92bab52878ee1c8d83882684df1cc.pdf

Premier ministre, décret n° 2026-272 du 14 avril 2026 relatif à la protection des données d'une sensibilité particulière des administrations, opérateurs et groupements d'intérêt public de l'État traitées par un service d'informatique en nuage fourni par un prestataire privé, Journal officiel n° 0090 du 16 avril 2026. https://www.legifrance.gouv.fr/loda/id/JORFTEXT000053900789/2026-05-13

Publications de l'entreprise

Bleu, « Cercle de la confiance 2026 : nos clients et les services de notre cloud de confiance au cœur de cette 3ᵉ édition », 16 octobre 2026. https://www.bleucloud.fr/cercle-de-la-confiance-2026-bleu/

Bleu, « Bleu obtient les certifications ISO/IEC 27001 et Hébergeur de Données de Santé (HDS V2) », 7 septembre 2026. https://www.bleucloud.fr/bleu-obtient-les-certifications-iso-iec-27001-et-hebergeur-de-donnees-de-sante-hds-v2/

Bleu, « La souveraineté n'est pas un frein à l'innovation », entretien de Jean Coumaros pour le magazine Symbiotic, 9 avril 2026. https://www.bleucloud.fr/cloud-confiance-souverainete-innovation-jean-coumaros/

Bleu, « Les services de Bleu sont référencés et disponibles via plusieurs centrales d'achat », 31 mars 2026. https://www.bleucloud.fr/services-cloud-de-bleu-via-ugap-caih-et-resah/

Bleu, « Bleu franchit une nouvelle étape importante vers le cloud de confiance : l'ANSSI valide le jalon J1 de son processus de qualification SecNumCloud 3.2 », communiqué, 17 novembre 2025. https://www.bleucloud.fr/bleu-valide-le-j1-de-son-processus-de-qualification-secnumcloud3-2/

Bleu, « Bleu franchit une étape importante vers le cloud de confiance : l'ANSSI valide le jalon J0 de sa qualification SecNumCloud 3.2 », communiqué, 17 avril 2025. https://www.bleucloud.fr/bleu-valide-le-j0-de-la-qualification-secnumcloud-3-2/

Cadres théoriques

John W. Meyer et Brian Rowan, « Institutionalized Organizations: Formal Structure as Myth and Ceremony », American Journal of Sociology, vol. 83, n° 2, 1er septembre 1977, p. 340 à 363. https://www.journals.uchicago.edu/doi/10.1086/226550

Michael Power, The Audit Explosion, Londres, Demos, Paper n° 7, 1994, édition en accès ouvert consultée le 3 novembre 2026. https://scispace.com/pdf/the-audit-explosion-3yfzmqi7fk.pdf

Presse spécialisée

Alain Clapaud, « Le cloud Bleu est là », LeMagIT, 22 octobre 2026. https://www.lemagit.fr/actualites/366652544/Le-cloud-Bleu-est-la

Sébastien Gavois, « SecNumCloud : Bleu vise désormais une qualification pour la fin d'année », Next, 9 octobre 2026. https://next.ink/260765/secnumcloud-bleu-vise-desormais-une-qualification-pour-la-fin-dannee/

Gaétan Raoul, « S3NS annonce l'obtention de la qualification SecNumCloud », LeMagIT, 19 décembre 2025. https://www.lemagit.fr/actualites/366636681/S3NS-annonce-lobtention-de-sa-qualification-SecNumCloud