L’économie de la qualification : comment une règle d’achat française a transformé un audit de sécurité en marché pour OVHcloud

I. Le mécanisme : une qualification ne devient un marché que si une règle la cite

SecNumCloud est une qualification délivrée par l'ANSSI, autorité nationale française de cybersécurité, à un service nommé, au terme d'un audit portant sur sa sécurité, sa gouvernance et son immunité aux droits extra-européens (IT SOCIAL, 3 septembre 2026). Pendant des années, ce fut un label : respecté, coûteux et commercialement facultatif. Ce qui a changé n'est pas l'audit. Ce qui a changé, c'est qu'une règle d'achat le désigne désormais.

L'article 31 de la loi du 21 mai 2024 dite loi SREN porte sur l'hébergement des données sensibles de l'État. Son décret d'application, le décret n° 2026-272 du 14 avril 2026, fixe les conditions dans lesquelles administrations, opérateurs de l'État et groupements d'intérêt public peuvent recourir à des services d'informatique en nuage commerciaux pour ces données, et celles dans lesquelles une dérogation peut être accordée (numerique.gouv.fr, 14 mai 2026, publiant une fiche technique conjointe de la direction des Affaires juridiques des ministères économiques et financiers et de la DINUM). La lecture qu'en fait OVHcloud est directe : ces textes « imposent le recours à des services cloud certifiés pour les données sensibles de l'État français et de ses opérateurs » (OVHcloud, 1^er septembre 2026).

La règle n'est pas apparue de nulle part, et le dossier documentaire de l'entreprise montre la longueur de la piste d'envol. En annonçant une qualification SecNumCloud 3.2 sur trois sites distincts — Roubaix, Gravelines et Strasbourg — OVHcloud indiquait que plus de 80 clients utilisaient alors ses solutions Private Cloud qualifiées, et décrivait la doctrine française « Cloud au centre », établie en 2021 et précisée à l'été 2023, comme imposant déjà aux administrations d'héberger données personnelles et données sensibles sur un cloud qualifié SecNumCloud (OVHcloud, 9 janvier 2024). Une doctrine demande. Un décret oblige. La distance entre ces deux verbes est le sujet de ce dossier.

La conséquence économique est la partie que la plupart des commentaires manquent. Une qualification ne crée pas la demande ; une citation la crée. Dès qu'une règle de commande publique nomme un référentiel de sécurité, tout acheteur situé dans son périmètre cesse d'être un prospect qui pourrait valoriser la souveraineté pour devenir un client sans alternative licite — et tout fournisseur absent de la liste qualifiée cesse d'être un concurrent pour devenir un non-candidat. C'est ce mécanisme que ce dossier suit dans les chiffres.

II. Ce que dit le décret — y compris là où le dossier documentaire se contredit

Deux comptes rendus datés du statut du décret ne concordent pas, et nous imprimons les deux plutôt que de trancher.

Le 20 avril 2026, six jours après la signature, un titre français de cybersécurité rapporte que le premier ministre a signé le décret d'application, que celui-ci exige une protection contre les lois extraterritoriales tout en favorisant implicitement les opérateurs qualifiés SecNumCloud sans nommer la qualification, et qu'il confie à l'ANSSI la rédaction d'un référentiel d'exigences techniques couvrant dix domaines clés — référentiel devant être validé avant que l'article puisse prendre effet. Selon ce compte rendu, l'entrée en vigueur restait donc suspendue, faute de publication du référentiel par l'ANSSI. Le même article expose l'arithmétique de transition : les entités liées par contrat à des fournisseurs non conformes disposent de 18 mois pour migrer lorsqu'une offre conforme existe, et d'une dérogation de 12 mois lorsqu'il n'en existe aucune (INCYBER NEWS, 20 avril 2026).

Le 1^er septembre 2026, un titre professionnel français de l'informatique décrit la mécanique comme achevée : après le décret d'avril, « un arrêté du premier ministre publié le 14 août » a rendu obligatoire le recours à des services cloud estampillés SecNumCloud pour les prestataires de l'État (LeMagIT, 1^er septembre 2026). Un second compte rendu professionnel de la même semaine présente le décret d'avril comme imposant déjà un cloud qualifié pour les données sensibles de l'État et de ses opérateurs, et note que l'exigence se diffuse vers la santé, la finance et l'industrie (IT SOCIAL, 3 septembre 2026).

Nous n'avons ouvert ni l'arrêté d'août ni le texte du décret : Légifrance et un miroir du journal officiel ont tous deux renvoyé à notre outil de collecte des pages de vérification plutôt que le texte juridique. Le décret est donc cité ici au travers de trois lectures secondaires datées et d'une note de publication gouvernementale, et la séquence est imprimée telle que le dossier la montre — signé le 14 avril 2026, fiche technique pour les acheteurs publics publiée le 14 mai 2026, obligation rapportée comme activée par un arrêté du 14 août 2026 — sans que nous affirmions une date d'entrée en vigueur. Pour un candidat ou un fournisseur, la signification opérationnelle survit à l'ambiguïté : en septembre 2026, le marché se comporte comme si la règle mordait.

III. La troisième ligne, et ce qu'elle n'est pas

Jusqu'en 2026, le cloud qualifié en France était largement une affaire d'environnements dédiés : bare metal ou clouds privés hébergés qu'un acheteur réserve et dimensionne à l'avance. La demande des administrations et des secteurs régulés portait sur ce qu'elles utilisent partout ailleurs : des instances et du stockage commandés en libre-service, payés à la consommation, pilotés par API (IT SOCIAL, 3 septembre 2026). SNC Cloud Platform est la réponse d'OVHcloud à ce manque : multi-tenant, en libre-service, infrastructure as code, facturation à l'usage, bâtie sur des API ouvertes et des standards open source, avec la réversibilité des données présentée comme un objectif de conception (OVHcloud, 1^er septembre 2026).

Sa propre page de bêta est d'une franchise inhabituelle sur la limite, et mérite citation pour quiconque serait tenté de lire un communiqué comme un produit fini. Les inscriptions étaient closes, la bêta se terminant en juin 2026 ; elle était gratuite ; la localisation était une seule région, eu-west-rbx — Roubaix ; et la page indique explicitement que pendant la bêta « le service n'est pas encore qualifié SecNumCloud mais “en cours de qualification” » (OVHcloud Labs, consulté le 5 septembre 2026). Le périmètre de la bêta couvrait le calcul (instances sur hôtes partagés en trois profils alignés sur les gabarits du Public Cloud, instances sur hôtes dédiés, instances metal issues d'un catalogue) ainsi que le stockage bloc et objet — l'attachement réseau passant par un accès réseau de confiance réservé aux services SecNumCloud (OVHcloud Labs, consulté le 5 septembre 2026 ; IT SOCIAL, 3 septembre 2026).

Ce qui manque encore au moment de la qualification est précisément la partie qui décide si un acheteur régulé peut réellement déplacer une application moderne. À l'annonce, la plateforme proposait du calcul, du stockage bloc et objet, des serveurs dédiés et des services réseau ; Kubernetes managé, le contrôle réseau fin et la base de données en tant que service n'étaient pas encore disponibles (LeMagIT, 1^er septembre 2026). L'extension géographique est annoncée dans deux directions : vers Gravelines et Strasbourg à la disponibilité générale (IT SOCIAL, 3 septembre 2026), et vers les régions cloud public européennes du groupe en commençant par l'Italie, l'Allemagne et la Pologne, chaque déploiement respectant le cadre national applicable (OVHcloud, 1^er septembre 2026).

Le résumé honnête est donc séquencé : la France dispose désormais d'un cloud public qualifié doté d'un vrai modèle de consommation et d'un catalogue de services managés incomplet. Cet écart est une feuille de route et — comme le soutient la section VII — un plan de recrutement.

IV. Ce que coûte la détention du billet d'entrée

La souveraineté se discute d'ordinaire comme une propriété juridique. Dans les comptes d'OVHcloud, elle est d'abord une propriété d'intensité capitalistique.

Sur le semestre clos le 28 février 2026 : chiffre d'affaires de 555,3 M€, en hausse de 5,5 % à périmètre comparable ; EBITDA ajusté de 227,2 M€ pour une marge de 40,9 %, en progression de 0,9 point et décrite comme un record depuis l'introduction en bourse ; EBIT de 35,4 M€, soit une marge de 6,4 %, après dotations aux amortissements et dépréciations de 185,6 M€ ; charge financière nette de 28,7 M€ ; résultat net de 5,9 M€ ; flux de trésorerie disponible avant frais financiers de 32,3 M€ ; investissements hors acquisitions de 238,5 M€, soit 42,9 % du chiffre d'affaires, répartis entre 13,0 % du chiffre d'affaires d'investissements récurrents et 29,9 % d'investissements de croissance, dont environ 11 points relèvent d'une anticipation volontaire (OVHcloud, 9 avril 2026). La raison invoquée pour cette anticipation est précise et significative : sécuriser les approvisionnements et limiter l'effet de l'inflation exceptionnelle des coûts sur les composants (OVHcloud, 9 avril 2026).

Lues dans l'ordre, ces lignes rendent le modèle lisible. Une marge d'EBITDA de 40,9 % finance un programme d'infrastructure qui consomme plus de 40 % du chiffre d'affaires sur la même période ; l'amortissement du programme d'hier, 185,6 M€, est ce qui comprime une marge d'EBITDA de 40,9 % en une marge d'EBIT de 6,4 % et un résultat net de 5,9 M€. Ce n'est pas une entreprise de logiciel munie d'un badge de conformité. C'est une entreprise industrielle dont le produit se livre par le réseau, et dont la rentabilité dépend de la qualité du calendrier de ses achats de composants physiques.

Le cycle des composants n'est pas non plus une variable d'ajustement. Un compte rendu professionnel de la semaine de la qualification note qu'OVHcloud a relevé à plusieurs reprises les tarifs de plusieurs services cloud, répercutant l'envolée du prix des mémoires, et positionne SNC Cloud Platform comme l'offre la plus abordable et la plus agile de son catalogue souverain (LeMagIT, 1^er septembre 2026). Un cloud qualifié qui est aussi l'option souveraine la moins chère de son propre catalogue relève d'une posture commerciale délibérée, adoptée alors que les coûts d'entrants montent.

Les perspectives pour l'exercice 2026, confirmées au troisième trimestre, énoncent la discipline que le groupe s'impose : croissance organique du chiffre d'affaires entre 5 % et 7 % ; marge d'EBITDA ajusté supérieure à celle de l'exercice 2025 ; investissements ajustés représentant entre 33 % et 35 % du chiffre d'affaires, hors stock sécurisé pour l'exercice 2027 couvert par un financement dédié ; et flux de trésorerie disponible après frais financiers positif (OVHcloud, 25 juin 2026). Les résultats annuels sont calendés au 20 octobre 2026 (OVHcloud, 25 juin 2026), prochaine occasion de vérifier tout cela plutôt que d'y croire.

V. La forme de la demande : un vent porteur souverain et un choc de virtualisation dans le même livre

Le chiffre d'affaires du troisième trimestre de l'exercice 2026 s'élève à 289,6 M€, en hausse de 6,9 % à périmètre comparable — une accélération séquentielle — le Public Cloud repassant au-dessus de 20 % de croissance (OVHcloud, 25 juin 2026). Dans ce trimestre : Private Cloud à 174,0 M€, soit 60,1 % du chiffre d'affaires, en hausse de 4,0 % ; Public Cloud à 65,6 M€, soit 22,7 %, en hausse de 20,2 % ; Web Cloud à 50,0 M€, soit 17,3 %, en hausse de 2,0 %. Le taux de rétention nette du chiffre d'affaires atteint 102 % à périmètre comparable sur le trimestre, contre 104 % sur le semestre (OVHcloud, 25 juin 2026 ; OVHcloud, 9 avril 2026). Géographiquement, la France représente 48 % du chiffre d'affaires du groupe et croît de 5,8 %, les autres pays européens 29 % avec une croissance de 7,4 %, et le reste du monde 23 % avec une croissance de 8,6 % (OVHcloud, 25 juin 2026).

Deux mécanismes s'opposent dans ces lignes, et tous deux importent à qui lit ce dossier comme un signal de marché et non comme un tableau d'affichage.

Le premier est l'acquisition par le bas de gamme. Le repositionnement des offres les moins chères a produit une hausse de 116 %¹ des nouveaux clients sur les VPS d'entrée de gamme sur le semestre par rapport à l'an précédent, et de 12 %¹ sur le Bare Metal (OVHcloud, 9 avril 2026). C'est une machine de volume au bas de l'entonnoir, rafraîchie de nouveau au troisième trimestre avec les gammes VPS 2027, noms de domaine et hébergement web (OVHcloud, 25 juin 2026).

Le second est un choc de coût qui arrive par la liste de prix d'un tiers. Dans le Hosted Private Cloud, la croissance du segment grands comptes compense l'attrition des clients plus petits « affectés par les hausses de prix de Broadcom », lesquels continuent d'optimiser leur infrastructure (OVHcloud, 25 juin 2026 ; OVHcloud, 9 avril 2026). Lecture directe : une part de la demande européenne de cloud souverain n'est pas de l'idéalisme, c'est la recherche d'une sortie de facture de virtualisation — alors même que la ligne privée qualifiée d'OVHcloud repose sur VMware, et que le groupe a lancé de nouveaux serveurs Premier 2027 pour Managed VMware vSphere sur ce même trimestre (OVHcloud, 25 juin 2026). Un fournisseur qui vend à la fois la porte de sortie et ce dont on sort est une tension structurelle qui mérite d'être nommée, et nous la nommons sans prédire son dénouement.

VI. Le champ qualifié est désormais encombré — l'accréditation est un billet, pas une douve

Le jour même où OVHcloud annonce sa troisième qualification, Numspot — né du rapprochement de Bouygues Telecom, de la Banque des Territoires, de Dassault Systèmes et de Docaposte — annonce la qualification SecNumCloud de son offre IaaS, après avoir dû d'abord qualifier la console d'administration qui commande les identités, les politiques réseau et la mobilisation du calcul et du stockage d'OutScale. Sa qualification PaaS était décrite comme en cours, son directeur général espérant en juin 2026 le label fin 2026 ou début 2027. Sur le banc IaaS, ce compte rendu cite OutScale, OVHcloud, S3NS (Thales-Google), Cloud Avenue SecNum d'Orange Business Services, Cloud Temple et l'IaaS sécurisé de Magellan issu de Worldline ; Bleu, coentreprise Capgemini-Orange fondée sur les technologies Microsoft Azure, était encore attendue, son président ayant espéré en mars 2026 une qualification avant la fin de 2026 (LeMagIT, 1^er septembre 2026).

C'est le constat qu'une lecture à la Bloomberg mettrait en gras : la barrière qui comptait en 2023 devient un prérequis banal. Quand six ou sept fournisseurs détiennent le même tampon de l'ANSSI, le tampon cesse de différencier et la concurrence se déplace vers ce qui se trouve au-dessus : complétude du catalogue, prix par unité de calcul, effort de migration, et disponibilité qualifiée des services managés dont un acheteur régulé a réellement besoin. Sur ce dernier critère, la liste de manques d'OVHcloud exposée en section III est exactement son point d'exposition.

VII. Ce que la demande achète, et ce qu'elle recrute

Deux faits datés de 2026 montrent la demande arrivant sous une forme à laquelle est attachée une masse salariale.

D'abord les institutions. Un consortium formé de DEEP by POST Luxembourg Group, d'OVHcloud et de Clever Cloud a été retenu par la Commission européenne pour fournir un cloud souverain aux institutions de l'Union, dans un contrat plafonné à une valeur maximale de 180 M€¹ sur six ans (OVHcloud, 25 juin 2026). Nous l'imprimons comme un plafond d'accord-cadre, non comme un chiffre d'affaires enregistré, et nous ne le divisons pas par six.

Ensuite la défense. Au deuxième trimestre de l'exercice 2026, plusieurs ministères européens de la défense se sont adressés au groupe ; les enjeux énoncés sont le commandement augmenté par l'IA, l'orchestration de drones et l'interopérabilité des communications entre forces armées et avec l'OTAN, avec une forte exigence d'indépendance technologique à l'égard des fournisseurs non européens. La réponse d'OVHcloud est une verticale Défense bâtie sur ses produits SecNumCloud, une organisation commerciale dans chaque pays pour travailler avec chaque ministère et — la phrase qui compte pour les carrières — le « recrutement de nouveaux profils issus du monde militaire et de l'industrie de défense » (OVHcloud, 9 avril 2026). L'organisation commerciale a été restructurée au troisième trimestre autour d'une équipe de direction dédiée dans six pays, rattachée à un nouveau directeur commercial groupe (OVHcloud, 25 juin 2026).

En parallèle, une ligne IA se constitue par acquisitions : un AI Lab initié par l'acquisition de Dragon LLM, puis étendu par des négociations exclusives en vue d'acquérir Gladia, spécialiste de l'IA vocale, afin d'internaliser les briques de transcription de la parole ; et OVHai Workspace, présenté en avant-première à VivaTech comme une plateforme agentique ouverte et collaborative, avec chiffrement de bout en bout et traitement local des données sensibles (OVHcloud, 25 juin 2026).

Les trois réunis rendent la forme de la demande de compétences lisible sans un seul chiffre inventé. Un cloud qualifié au catalogue incomplet a besoin d'ingénieurs de plateforme capables d'amener Kubernetes managé, le réseau fin et les services de base de données au travers d'un audit, et pas seulement en production — ce qui relève d'une discipline de documentation, d'isolation et de preuve plus que de code. Une verticale Défense a besoin de personnes bilingues en deux langages à la fois : celui de l'achat ministériel et celui de l'exploitation d'infrastructure. Un marché piloté par l'accréditation a besoin d'auditeurs, d'ingénieurs conformité et de ce métier ingrat qui consiste à écrire et maintenir les preuves de contrôle sur lesquelles une qualification se renouvelle. Et une plateforme qui relève ses prix quand la mémoire s'envole a besoin des compétences de planification de capacité et de FinOps qui décident si un ratio d'investissement de 33 % à 35 % atterrit là où les perspectives l'annoncent.

VIII. Ce que nous refusons d'affirmer

Nous ne publions aucun effectif d'OVHcloud, aucune fourchette de rémunération, aucun volume de recrutement pour la verticale Défense, aucune répartition des 180 M€ de l'accord européen, et aucune part de marché pour quelque fournisseur qualifié que ce soit. Nous n'énonçons pas de date d'entrée en vigueur de l'article 31 : deux comptes rendus datés divergent, et nous imprimons les deux. Nous n'avons lu ni le décret n° 2026-272 ni l'arrêté rapporté du 14 août 2026 dans leur texte propre — Légifrance et un miroir du journal officiel ont répondu à notre outil de collecte par des pages de vérification — de sorte que les instruments juridiques sont cités au travers de trois comptes rendus professionnels et de cybersécurité datés et d'une note de publication gouvernementale, et qu'aucune clause n'est citée comme si nous l'avions ouverte. Nous ne publions aucun chiffre d'affaires ni aucune marge pour l'exercice 2026 complet, car il n'en existe pas : les résultats annuels sont prévus le 20 octobre 2026, et une perspective est un objectif d'entreprise, jamais un résultat. Nous n'imprimons aucune variation de cours : le seul chiffre vu provenait d'une page de données de marché que nous ne citons pas comme preuve, il est donc écarté plutôt qu'attribué. Le descriptif institutionnel du groupe mentionne 46 centres de données et 1,6 million de clients dans plus de 140 pays au 25 juin 2026, et 46 centres de données avec 1,7 million de clients au 1^er septembre 2026 ; les deux sont imprimés avec leurs dates, comme auto-descriptions, et aucun n'est traité comme un chiffre audité. Aucune référence de décision de l'ANSSI n'est citée : le catalogue de l'agence n'affichait pas encore la nouvelle qualification au matin du 1^er septembre 2026, la publication suivant l'annonce du fournisseur avec le délai habituel de l'agence (IT SOCIAL, 3 septembre 2026), et nous n'avons pas lu ce catalogue nous-mêmes. Enfin, nous ne pronostiquons pas la consolidation du champ qualifié ; la section VI énonce un mécanisme, pas une issue.

IX. Le résumé en une phrase

La France n'a pas subventionné l'apparition d'un cloud souverain ; elle a écrit une règle d'achat, et cette règle convertit désormais un audit de sécurité en marché — ce qui explique que la question intéressante à propos d'OVHcloud ne soit plus de savoir s'il détient le tampon, mais si une entreprise qui consacre 42,9 % du chiffre d'affaires d'un semestre à son infrastructure peut compléter un catalogue qualifié plus vite que six concurrents détenant le même tampon (OVHcloud, 9 avril 2026 ; LeMagIT, 1^er septembre 2026).