3 min de lecture

Le 19 mars 2026, SAP a officiellement lancé sa Sovereign Cloud en France. Le partenaire retenu est Bleu, une coentreprise entre Orange et Capgemini visant à obtenir la certification SecNumCloud. Pour les décideurs informatiques allemands, cet événement dépasse le cadre d’un simple communiqué de presse français : SAP devient le premier grand éditeur de logiciels d’entreprise à déployer une stratégie de souveraineté numérique authentique au sein de l’UE. La question qui se pose désormais est de savoir si ce modèle sera étendu à l’Allemagne.

Le plus important en bref

• 🇫🇷 SAP a lancé le 19 mars 2026 sa Sovereign Cloud en France, exploitée par Bleu (joint-venture Orange + Capgemini).
• 🔐 L’objectif est d’obtenir la certification SecNumCloud 3.2 délivrée par l’ANSSI. Premiers services complets à partir de mi-2026, 80 % d’ici la fin de l’année.
• 🏛️ Public cible : Opérateurs d’Importance Vitale (OIV), administration publique et secteurs réglementés ayant besoin d’une infrastructure conforme à SecNumCloud.
• 📊 SAP dessert dans le monde entier 437 000 clients avec ses services cloud. La Sovereign Cloud répond au besoin croissant d’une infrastructure indépendante du CLOUD-Act.
• 🇩🇪 En Allemagne, un modèle similaire existe avec Delos Cloud (filiale de SAP) sur infrastructure Azure, mais sans certification équivalente à SecNumCloud.

Ce qu’a construit SAP en France

La SAP Sovereign Cloud France ne repose pas sur une infrastructure propriété de SAP, mais sur la plateforme de Bleu. Bleu est une coentreprise créée en 2022 par Orange et Capgemini, qui propose des services Microsoft et SAP hébergés sur infrastructure française. Ce qui la distingue : Bleu vise la certification SecNumCloud 3.2 délivrée par l’ANSSI (Agence nationale de la sécurité des systèmes d’information), l’équivalent français du référentiel allemand BSI C5.

SecNumCloud va plus loin que le BSI C5 : cette certification exige que l’exploitant du cloud ne relève pas de la juridiction d’un État tiers. Cela exclut expressément l’application du CLOUD Act américain. Un service SAP hébergé sur l’infrastructure de Bleu et certifié SecNumCloud deviendrait ainsi le premier service cloud d’entreprise proposé par un grand éditeur à pouvoir revendiquer une souveraineté juridique effective.

Le calendrier : les premiers services SAP complets seront disponibles à partir de mi-2026. D’ici fin 2026, 80 % des services cloud SAP devraient être opérés via Bleu. La cible principale est constituée des OIV (Opérateurs d’Importance Vitale), de l’administration publique française et des secteurs réglementés ayant besoin d’une infrastructure conforme à SecNumCloud.

Pourquoi cela concerne l’Allemagne

En Allemagne, un modèle conceptuellement similaire existe avec Delos Cloud. Delos, filiale de SAP, propose des services basés sur Microsoft Azure destinés à l’administration fédérale allemande. La différence ? Delos ne dispose d’aucune certification équivalente à SecNumCloud. L’attestation BSI C5 garantit une sécurité technique, mais pas une immunité juridique face au CLOUD Act américain.

Un cofondateur de Delos a lui-même reconnu qu’en cas de conflit, le cloud ne pourrait fonctionner de manière indépendante vis-à-vis de Microsoft que pendant quelques mois seulement. Dès 2024, le site Netzpolitik.org titrait : « Avec Microsoft vers la dépendance numérique ». La question que soulève le modèle SAP Bleu est la suivante : si la France obtient un cloud SAP certifié SecNumCloud, pourquoi l’Allemagne se voit-elle proposer uniquement une solution transitoire basée sur Azure ?

La réponse réside dans la pression réglementaire. La norme française SecNumCloud oblige les fournisseurs à faire un choix clair : soit une souveraineté complète, soit aucune accès au secteur public. L’Allemagne dispose certes du standard technique BSI C5, mais sans conséquence politique équivalente. Cela pourrait toutefois évoluer : le Cloud and AI Development Act (CADA) de l’UE vise à établir des normes de souveraineté harmonisées à l’échelle européenne.

La France pose une condition claire : toute entreprise souhaitant migrer des infrastructures critiques vers le cloud doit disposer de la certification SecNumCloud. Il ne s’agit pas d’une simple recommandation, mais d’une exigence obligatoire. SAP a choisi de répondre à cette exigence.
Analyse fondée sur les exigences de l’ANSSI et le communiqué de presse SAP/Bleu (19 mars 2026)

Ce que les décideurs IT doivent évaluer maintenant

Trois domaines d’action se dessinent pour les entreprises allemandes :

Premièrement : examiner la feuille de route SAP. Les entreprises utilisant ou prévoyant d’utiliser SAP S/4HANA Cloud doivent vérifier si une option souveraine de cloud SAP sera disponible en Allemagne, et à quelle échéance. Le partenariat SAP avec Bleu en France montre que l’éditeur prend au sérieux la souveraineté des données. En revanche, rien ne confirme encore qu’un modèle similaire verra le jour en Allemagne.

Deuxièmement : bien distinguer SecNumCloud et BSI C5. Les secteurs réglementés doivent évaluer si la certification BSI C5 répond à leurs exigences de conformité, ou s’ils doivent viser le niveau SecNumCloud, qui exclut l’application du CLOUD Act américain. Pour les entreprises ayant des clients ou des marchés publics en France, SecNumCloud devient un impératif.

Troisièmement : suivre l’évolution du CADA. Le Cloud and AI Development Act (CADA) pourrait instaurer à l’échelle européenne des normes harmonisées, allant au-delà du référentiel BSI C5. Les entreprises qui investissent aujourd’hui dans des infrastructures cloud doivent prévoir une certaine flexibilité, afin de pouvoir s’adapter à des exigences plus strictes à l’avenir.

Conclusion : la France fixe la norme

Le lancement de SAP Bleu représente bien plus qu’une simple sortie produit. Il illustre concrètement ce à quoi peut ressembler la souveraineté technologique en pratique : un opérateur local, une certification reconnue et un éditeur de logiciels d’entreprise qui s’aligne sur la norme plutôt que de la contourner. Pour l’Allemagne, il s’agit là d’un jalon de référence. Non pas parce qu’il faudrait copier la France, mais parce qu’une question s’impose désormais : si SAP est capable d’offrir SecNumCloud en France, pourquoi nous contenterions-nous du C5 du BSI ?

Foire aux questions

Qu’est-ce que Bleu ?

Bleu est une coentreprise fondée en 2022 par Orange et Capgemini. Elle propose des services cloud Microsoft et SAP s’appuyant sur une infrastructure française et vise la certification SecNumCloud 3.2 délivrée par l’ANSSI.

Qu’est-ce que SecNumCloud et en quoi diffère-t-il de BSI C5 ?

SecNumCloud est la norme française de sécurité pour les services cloud, attribuée par l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Contrairement au BSI C5, SecNumCloud exige que l’exploitant du service ne relève pas de la juridiction d’un État tiers (par exemple, les États-Unis et la loi CLOUD Act). Le BSI C5 atteste de la sécurité technique, tandis que SecNumCloud impose en outre une souveraineté juridique.

Puis-je utiliser la SAP Sovereign Cloud depuis l’Allemagne ?

Techniquement oui, à condition de devenir client contractuel de SAP France ou de Bleu. En pratique, cette solution est principalement conçue pour les organismes d’importance vitale (OIV) et les administrations françaises. Pour les entreprises allemandes, Delos Cloud constitue actuellement la solution SAP en matière de souveraineté, bien qu’elle repose sur Azure et ne dispose d’aucun équivalent à SecNumCloud.

Quand une solution comparable sera-t-elle disponible en Allemagne ?

Aucune annonce officielle n’a encore été faite. Delos Cloud dessert le secteur public allemand, mais repose sur une architecture différente (basée sur Azure). Le futur Règlement européen sur le cloud et l’intelligence artificielle (CADA) pourrait instaurer des normes harmonisées allant au-delà du BSI C5.

Que signifie ce lancement pour les clients SAP Cloud existants ?

À court terme, rien ne change pour les clients SAP Cloud actuels. À long terme, ce lancement montre que SAP est prêt à répondre aux exigences de souveraineté. Les clients des secteurs réglementés devraient suivre l’évolution de la situation et maintenir une stratégie cloud suffisamment flexible.

Articles complémentaires

• Greenwashing de la souveraineté : pourquoi un centre de données en UE n’implique pas forcément souveraineté des données – Le Cloud Act et la souveraineté (cloudmagazin)
• Souveraineté numérique 2026 : Delos Cloud et Gaia-X – Perspective des directeurs informatiques (Digital Chiefs)
• Le cloud souverain vu comme une décision stratégique – Cadre stratégique (Digital Chiefs)

Plus du réseau MBF Media

• Paradoxe de l’IA en Allemagne : beaucoup investi, peu de transformation – Étude récente de Deloitte (MyBusinessFuture)
• Attaque via Microsoft Teams : A0Backdoor – Sécurité informatique en temps réel (SecurityToday)

Image de couverture : Nemuel Sereti / Pexels