SAP SecNumCloud : quatre offres souveraines, une qualification attendue en 2029, et qui contrôle vos données d’ici là

Non, SAP ne propose pas encore son catalogue complet dans un cloud qualifié par l’ANSSI. La question SAP SecNumCloud appelle une réponse en plusieurs temps : l’éditeur passe par des partenaires (S3NS, déjà qualifié, et Bleu, qui vise toujours la qualification), construit sa propre région en France pour 2027 et ne prévoit pas de qualification complète avant 2029, d’après ce qu’il a déclaré à ses utilisateurs français.

Ce que SAP propose réellement en France

La souveraineté à la carte décrite par LeMagIT après la convention de l’USF (le club des utilisateurs SAP francophones, réuni à Strasbourg les 14 et 15 octobre 2026) correspond à une série d’annonces étalées sur un an. Chacune se vérifie dans les communiqués de l’éditeur.

Bleu : un cloud français sur technologie Microsoft

Le 19 mars 2026, SAP a lancé SAP Sovereign Cloud en France avec Bleu, société détenue à 100 % par Capgemini et Orange. Le communiqué parle de services logiciels « hébergés et opérés en France ». Il précise surtout que Bleu a pour objectif la qualification SecNumCloud 3.2 : elle n’est donc pas acquise à cette date. Bleu se présente par ailleurs comme fournisseur de Microsoft 365 et d’Azure dans un cloud français. Le communiqué SAP ne nomme aucun produit précis ni aucune date de disponibilité générale.

S3NS : la seule base déjà qualifiée

Le 27 avril 2026, SAP a annoncé le déploiement de son ERP en cloud privé sur PREMI3NS, la plateforme de S3NS, coentreprise de Thales et Google Cloud. Thales en est le premier client, avec une disponibilité commerciale prévue au second semestre 2026. Les données doivent rester stockées, traitées et chiffrées en France, sous droit français. PREMI3NS a obtenu, selon le communiqué de Thales du 18 décembre 2025, la qualification SecNumCloud 3.2 de l’ANSSI. Nuance importante : le communiqué SAP dit la plateforme qualifiée, mais présente l’offre SAP elle-même comme simplement alignée sur le référentiel.

SAP Cloud Infrastructure France : la région maison

Le 1er juin 2026, au sommet Choose France, SAP a annoncé jusqu’à 300 millions d’euros d’investissement en France, sur trois sites de centres de données à Paris, avec une ouverture visée au premier trimestre 2027. L’éditeur y écrit qu’il :

« could become the first non-French Cloud Service Provider (CSP) to achieve SecNumCloud qualification » (SAP, 1er juin 2026)

Le conditionnel compte. D’après les propos de SAP France rapportés par IT for Business et LeMagIT, le dossier ne sera déposé à l’ANSSI qu’une fois l’infrastructure installée, et la qualification n’est pas attendue avant fin 2028 ou 2029. Le service de gestion des clés de chiffrement de SAP n’arriverait dans cette région qu’en 2029. Ce calendrier n’a été publié par SAP dans aucun communiqué : c’est une déclaration orale, à prendre comme telle.

Sovereign Cloud On-Site : le cloud SAP dans vos murs

Depuis le 2 septembre 2025, SAP propose Sovereign Cloud On-Site : une infrastructure gérée par SAP, bâtie sur des technologies open source, installée dans les locaux du client. Le client garde la maîtrise physique des machines ; SAP en assure l’exploitation.

SAP SecNumCloud : le tableau des options

Le tableau suivant reprend uniquement ce que publient SAP et ses partenaires. Il distingue les trois dimensions qu’on confond souvent : où sont les données, quel droit s’applique à l’opérateur, et qui maîtrise la technologie.

Lecture rapide : pour un client qui a besoin aujourd’hui d’un environnement SecNumCloud pour son ERP SAP, la seule voie documentée passe par S3NS, et seulement pour une partie du catalogue. Le reste relève de promesses datées de 2027 à 2029.

Pourquoi la qualification prend autant de temps

SecNumCloud n’est pas un label marketing. L’ANSSI le présente comme le moyen d’identifier des offres qui protègent les données sensibles contre la cybercriminalité et contre les législations extraterritoriales, et elle recommande son usage pour ces données (page Cloud de l’ANSSI). L’agence précise aussi qu’une offre qualifiée ne garantit pas la sécurité des services que le client y installe.

Deux contraintes expliquent l’horizon lointain d’une qualification SAP SecNumCloud complète. D’abord, on ne fait pas évaluer une infrastructure qui n’existe pas : la région française de SAP doit être construite avant que le dossier parte. Ensuite, qualifier une plateforme ne qualifie pas les logiciels qui tournent dessus. Un ERP comme S/4HANA, une plateforme de développement, un service de clés : chaque brique s’ajoute au périmètre à évaluer. C’est ce qui explique, dans le communiqué S3NS, l’écart entre une plateforme qualifiée et une offre SAP seulement alignée.

Le cas allemand montre qu’un autre référentiel ne remplace pas SecNumCloud. Delos Cloud, filiale de SAP pour les administrations allemandes, s’appuie sur des technologies Microsoft et se réfère aux exigences du BSI, l’homologue allemand de l’ANSSI. Ces exigences ne valent pas qualification française.

Qui contrôle vos données SAP, option par option

Pour une entreprise française, la vraie question n’est pas de savoir si SAP est souverain en général. Elle tient en trois points : qui peut accéder aux données, sous quel droit, et à quelles conditions on peut changer de prestataire. Les réponses diffèrent selon l’offre.

Où vont les données. Les quatre options promettent un hébergement en France ou chez le client. C’est la dimension la plus simple à obtenir, et la moins suffisante : la résidence des données ne dit rien du droit qui s’applique à celui qui les exploite. Un opérateur soumis à une loi étrangère peut être contraint de livrer des données stockées à Paris, c’est tout l’enjeu du CLOUD Act américain.

Qui décide. Avec Bleu et S3NS, l’opérateur est une société de droit français, mais la technologie vient de Microsoft ou de Google. La qualification SecNumCloud 3.2 est justement conçue pour encadrer ce montage, en exigeant une protection contre le droit extraterritorial : c’est pourquoi le statut de qualification compte plus que le discours commercial. Avec la région SAP Cloud Infrastructure, l’opérateur est l’éditeur allemand lui-même : la technologie et l’exploitation sont entre les mêmes mains, mais rien n’est qualifié avant plusieurs années. Avec l’option On-Site, le client possède le lieu, SAP pilote la machine.

Les clés de chiffrement. C’est le point le plus sous-estimé. Celui qui détient les clés détient l’accès réel. Si, comme l’a indiqué SAP France à l’USF, son service de gestion des clés n’arrive dans la région française qu’en 2029, toute migration antérieure vers cette région se fera sans cette brique. À demander par écrit avant de signer : qui génère les clés, où elles sont stockées, qui peut les utiliser.

Comment reprendre la main. Trois leviers concrets, du plus accessible au plus exigeant :

1. Classer ses données. Toutes ne justifient pas SecNumCloud. Thales elle-même, selon LeMagIT, garde pour l’instant hors de l’offre S3NS ses données marquées « Diffusion restreinte ». Réserver l’environnement qualifié au sensible évite de payer partout le prix fort.
2. Exiger la réversibilité par contrat. Format d’export, délai, coût de sortie : un changement d’hébergeur est possible si le contrat le prévoit. Sans clause, le verrouillage s’installe, quel que soit le drapeau du centre de données.
3. Garder l’option sur site. Rester dans ses propres centres de données, comme ArianeGroup selon IT for Business, reste la solution où le client contrôle le plus. Sa limite : la feuille de route de SAP pousse vers le cloud, et le support des anciennes versions a une fin.

Ce qu’on ne contrôle pas, dans tous les cas : le code. SAP reste un logiciel propriétaire, et aucune des quatre offres ne change cela.

Notre lecture : attendre ou migrer maintenant ?

Ça dépend d’une seule variable : l’obligation légale. Une administration ou un opérateur tenu d’héberger des données sensibles en environnement qualifié n’a, en octobre 2026, qu’une voie documentée pour son ERP : S3NS, au second semestre 2026, sur un périmètre restreint. Bleu reste suspendu à sa propre qualification. La région SAP est une promesse sérieuse, chiffrée à 300 millions d’euros, mais sa qualification relève de l’hypothèse tant que le dossier n’est pas déposé.

Pour une entreprise sans obligation, migrer dès maintenant vers une offre simplement alignée apporte la localisation, pas la garantie juridique. Mieux vaut le savoir et l’écrire dans ses analyses de risques que de croire acheter du souverain. Pour mesurer sa propre exposition, notre définition du cloud souverain détaille les critères à vérifier.

Questions fréquentes

Dernière vérification : 20/10/2026