L’Anssi accorde à S3NS le jalon 0 de la qualification SecNumCloud
![Image [Commission d’enquête sur la commande publique] La souveraineté numérique en France, un "avion sans pilote"](https://incyber.org//wp-content/uploads/2025/06/incyber-news-computers-cybersecurite-cybersecurity-885x690.jpg)
S3NS, la coentreprise de fourniture de services cloud créée par Google et Thales en juin 2022, a annoncé, le 15 juillet 2024, avoir obtenu de l’Anssi le jalon 0 de la certification SecNumCloud. En France, cette qualification est indispensable pour gérer le cloud d’une entreprise critique. Le référentiel SecNumCloud garantit en effet un haut niveau de sécurité aux données hébergées, notamment une immunité aux lois extraterritoriales, en particulier au Cloud Act américain.
La création de S3NS et le partenariat avec Thales doivent permettre à Google de commercialiser une offre certifiée SecNumCloud adossée à son infrastructure. L’éligibilité des coentreprises franco-américaines à cette qualification fait toutefois toujours débat.
L’Anssi a donc validé la candidature de S3NS. La joint-venture devra ensuite passer au jalon 1, la définition d’une stratégie d’évaluation par l’équipe d’audit, puis au jalon 2, l’évaluation en elle-même. La dernière étape sera un entretien formel, au terme duquel l’Anssi pourrait, si la coentreprise répond bien aux critères du référentiel, délivrer la certification SecNumCloud. S3NS souhaite l’obtenir d’ici l’été 2025.
La joint-venture commercialise déjà, depuis février 2023, une solution transitoire baptisée « Contrôles locaux avec S3NS ». Elle s’appuie sur les serveurs de la région France de Google Cloud et sur un contrôle des accès par clés de chiffrement de Thales.
S3NS semble donc avoir pris une longueur d’avance sur son concurrent Bleu, la coentreprise créée par Orange, Capgemini et Microsoft en mai 2021. Cette dernière vise la certification SecNumCloud au cours du second semestre 2025.
Reste à savoir si ces deux offres obtiendront le précieux sésame. Les questions de souveraineté et d’immunité au Cloud Act pourraient s’avérer rédhibitoires. Mais d’autres freins existent. L’Autorité de la concurrence a ainsi émis, en 2023, un « avis de vigilance » sur ces coentreprises, compte tenu de la position dominante de Google et de Microsoft sur le marché du cloud.