Thales et Google Cloud en Allemagne : le cloud souverain comme produit d'exportation

Thales et Google Cloud ont officialisé leur intention de déployer une offre de cloud souverain en Allemagne, selon un schéma similaire à celui de S3NS en France. Thales opérera l'infrastructure, détiendra les clés de chiffrement et assurera la gestion des accès, tandis que Google fournira la couche technologique — compute, stockage, services managés. Les datacenters seront situés sur le territoire allemand. Les premières disponibilités sont annoncées pour 2026.

Le montage juridique reprend celui du modèle français : une entité de droit local, détenue ou contrôlée par Thales, exploite les services. L'objectif affiché est de se conformer aux exigences du BSI, l'autorité fédérale allemande de sécurité informatique, et de répondre aux critères du cadre C5 — le référentiel allemand d'audit cloud, plus ancien et plus granulaire que SecNumCloud sur certains volets.

C5 et SecNumCloud

En France, S3NS n'a toujours pas obtenu la qualification SecNumCloud 3.2 de l'ANSSI. Le processus, engagé depuis plus de deux ans, bute sur les conditions d'immunité aux lois extraterritoriales — un point que l'ANSSI n'a jamais commenté publiquement mais que plusieurs acteurs du dossier décrivent comme structurant. Thales annonce vouloir atteindre le niveau C5 Type 2 en Allemagne, un référentiel qui évalue la conformité opérationnelle dans la durée. Microsoft et SAP ont déjà des offres certifiées C5 sur le marché allemand.

Le choix de l'Allemagne n'est pas neutre. C'est le premier marché cloud d'Europe continentale, avec une dépense estimée à 20 milliards d'euros en 2024 selon les projections d'ISG. Le secteur public fédéral et les Länder ont multiplié les appels d'offres intégrant des exigences de souveraineté depuis 2022. Mais le marché est aussi le plus disputé : T-Systems avec sa Sovereign Cloud propulsée par Google (un accord séparé, antérieur, et concurrent de fait), plus les offres Ionos, OVHcloud et Stackit de Schwarz Group.

T-Systems, le précédent

Google Cloud a déjà un partenariat souverain actif en Allemagne avec T-Systems, filiale de Deutsche Telekom. Ce partenariat, annoncé en 2022, couvre des cas d'usage similaires : gestion des clés par l'opérateur local, données sur sol allemand, conformité C5. Thales arrive donc sur un terrain que Google a déjà balisé avec un partenaire local, historiquement mieux implanté dans le secteur public allemand. La coexistence de deux offres souveraines Google sur un même marché national soulève une question d'architecture commerciale que ni Thales ni Google n'ont détaillée dans leur annonce.

Patrice Caine, lors de la présentation du modèle S3NS en 2022, avait parlé d'un « modèle réplicable en Europe ». L'Allemagne est le premier test de cette promesse. Les résultats financiers de la coentreprise française n'ont jamais été publiés séparément. Thales consolide l'activité dans sa division Digital Identity & Security sans en isoler la contribution.

Pour Google Cloud, la multiplication des partenaires locaux par pays est une stratégie assumée. Thomas Kurian a répété à plusieurs reprises que le modèle souverain de Google repose sur la délégation opérationnelle à des tiers de confiance nationaux. Chez AWS, la ligne est inverse : pas de coentreprise, mais des « digital sovereignty pledges » et des options de résidence de données gérées en propre. La philosophie Microsoft avec Bleu en France et Delos en Allemagne se rapproche de celle de Google, mais avec des partenaires intégrateurs différents.

Le communiqué de Thales mentionne des cas d'usage dans la défense, la santé et les services financiers. Aucun client pilote allemand n'est nommé. En France, les premiers contrats S3NS rendus publics concernaient des collectivités territoriales et quelques ETI. Le ticket moyen et le volume de workloads migrés restent inconnus.

Le coût de la réplication

Répliquer un modèle souverain dans un nouveau pays implique de recréer une entité juridique, de déployer des équipes d'exploitation locales, de passer un processus de certification propre au pays cible et de construire une force commerciale qui connaît les circuits de décision publics nationaux. Thales dispose d'une implantation industrielle en Allemagne via ses activités de défense et de transport, mais ses équipes cloud y sont réduites. Le recrutement d'ingénieurs cloud en Allemagne, dans un marché où le taux de chômage IT oscille autour de 2 %, sera un facteur limitant aussi concret que la technologie.

L'annonce a été faite depuis Munich, lors d'un événement Google Cloud. Thales avait un stand de huit mètres carrés, coincé entre celui d'Atos et celui d'un intégrateur bavarois spécialisé dans SAP.

Le marché allemand du cloud souverain est aussi traversé par un débat politique. Le projet GaiaX, censé fédérer un écosystème cloud européen, a perdu une partie de ses soutiens institutionnels allemands en 2023. Le ministère fédéral de l'Intérieur a recentré ses exigences sur le C5 et la localisation des données, sans imposer de critère d'actionnariat européen — contrairement à la trajectoire française de SecNumCloud. Ce cadre réglementaire plus souple rend le marché allemand plus accessible aux hyperscalers américains accompagnés de partenaires locaux, mais dilue aussi la notion même de souveraineté telle qu'elle est entendue à Paris.

Marc Darmon, directeur général adjoint de Thales en charge des activités civiles, a déclaré que

« l'Allemagne est une étape naturelle dans le déploiement de notre offre de cloud de confiance en Europe ».

Il n'a pas précisé quels autres pays étaient envisagés, ni selon quel calendrier.