Orange obtient un second SecNumCloud : l’IA critique gagne deux sites isolés

Orange Business a annoncé le 7 octobre 2026 une seconde qualification SecNumCloud pour Cloud Avenue SecNum Dynamic, une offre IaaS à ressources dédiées et physiquement isolées. Son architecture peut fonctionner en actif-actif entre deux centres de données, à Val-de-Reuil et Chartres, et comprend des serveurs GPU destinés à l’intelligence artificielle.

La nouvelle qualification élargit le choix d’Orange Business pour les applications critiques : à son offre qualifiée sur un seul site s’ajoute une infrastructure réservée au client, susceptible de répartir une charge entre deux implantations françaises. Le périmètre annoncé est celui de nouveaux environnements d’infrastructure en tant que service, ou IaaS. La qualification de cette infrastructure ne s’étend pas automatiquement aux applications ou aux modèles d’IA qu’un client y déploie.

L’isolation physique réduit les ressources partagées

Cloud Avenue SecNum Dynamic réserve les ressources d’infrastructure à chaque client et les sépare physiquement de celles des autres. Pour une organisation qui traite des données sensibles, cette caractéristique rend plus nette la frontière entre son environnement et ceux d’autres clients. Elle répond aussi à une contrainte d’exploitation : une application critique dépend moins d’une capacité matérielle partagée avec des charges extérieures.

Cette séparation porte sur l’infrastructure fournie, pas sur tous les traitements qui y seront installés. Un client doit encore organiser les accès de ses équipes, la séparation de ses applications et la protection des données qu’elles échangent. Ces choix comptent particulièrement lorsqu’un même environnement accueille à la fois des services opérationnels et des traitements d’IA : des ressources dédiées ne fixent pas, à elles seules, les droits d’accès aux jeux de données.

L’intérêt de l’offre dépend ainsi du risque que l’organisation cherche à réduire. Une charge sensible peut justifier une frontière matérielle propre, tandis que d’autres projets peuvent utiliser l’environnement qualifié mutualisé déjà proposé par Orange Business. La qualification indique le niveau d’exigence appliqué au service évalué ; l’isolation physique précise, elle, comment la nouvelle offre limite le partage de son infrastructure.

Val-de-Reuil et Chartres donnent une base à la continuité

L’autre différence tient à la répartition géographique. Cloud Avenue SecNum Dynamic peut fonctionner en actif-actif entre Val-de-Reuil et Chartres : selon l’architecture retenue, les deux centres de données peuvent contribuer simultanément au service. Cette possibilité évite de faire reposer toute l’exploitation sur une seule implantation et ouvre la voie à une reprise d’activité si un incident rend l’un des sites indisponible.

Pour une application critique, la présence de deux sites doit se traduire dans la conception du service. Il faut que les traitements puissent continuer ailleurs, que les données nécessaires soient répliquées selon les besoins de l’application et que les dépendances réseau soient prises en compte. Un logiciel limité à un seul site ne devient pas actif-actif parce que l’infrastructure permet ce mode de fonctionnement. La résilience annoncée est donc une capacité d’architecture, dont le résultat dépend du déploiement réalisé.

La distinction compte pour les organisations dont l’arrêt d’un service empêcherait une activité essentielle. Elles peuvent rapprocher l’isolation des ressources et la séparation des sites dans une même offre qualifiée, sans confondre ces deux protections : la première concerne le partage de l’infrastructure entre clients, la seconde l’exposition à un incident local. Les engagements de disponibilité et les objectifs de reprise propres à chaque déploiement restent à définir dans son architecture.

Des GPU pour garder les traitements d’IA dans l’environnement dédié

L’ajout de serveurs GPU dédiés vise les charges d’intelligence artificielle qui ont besoin de calcul accéléré. Orange Business cite l’entraînement des modèles et l’inférence, c’est-à-dire leur utilisation une fois déployés. Une organisation peut ainsi envisager d’héberger ces traitements dans l’environnement réservé à ses applications et à ses données sensibles, au lieu de séparer d’emblée les ressources de calcul de son infrastructure critique.

Cette association est pertinente lorsque les données utilisées pour entraîner un modèle, ou celles soumises à l’inférence, doivent rester dans un cadre d’hébergement précis. Elle ne signifie pas que le modèle lui-même obtient une qualification SecNumCloud : le visa concerne le service d’infrastructure évalué. Les caractéristiques publiées ne précisent pas le modèle des GPU, leur capacité ni leur répartition entre Val-de-Reuil et Chartres. Ces paramètres détermineront ce qu’un projet d’IA pourra réellement exécuter sur chaque site.

Deux offres qualifiées, avec des périmètres distincts

La première offre, Cloud Avenue SecNum, fournit un environnement mutualisé ou dédié sur un seul site, à Grenoble. Elle peut réunir la qualification SecNumCloud et les certifications ISO 27001 et HDS dans ce même environnement. Cloud Avenue SecNum Dynamic répond à un autre besoin d’architecture : des ressources physiquement isolées, une exploitation possible entre Val-de-Reuil et Chartres et des serveurs GPU dédiés. Le choix entre les offres dépend donc autant de la forme de l’infrastructure requise que de l’exigence de qualification.

La première qualification remonte à juillet 2025. Dans ChannelNews, Aliette Mousnier-Lompré, directrice générale d’Orange Business, résume l’objectif de l’extension : « Avec cette seconde qualification SecNumCloud, nous élargissons notre gamme afin d’accompagner les organisations dans leurs projets les plus sensibles ». L’enjeu pour ces projets est de disposer d’une infrastructure adaptée à leurs contraintes de séparation, de continuité et de calcul, au sein du périmètre effectivement qualifié.

Un décalage subsiste dans l’information publique : la page de l’ANSSI consacrée aux prestataires en cours de qualification affiche encore Cloud Avenue SecNum Dynamic, alors qu’Orange Business annonce la qualification obtenue. La publication de la décision relative à cette nouvelle offre permettra de connaître les dates de validité et le périmètre exact du visa à joindre aux dossiers de conformité.

À lire aussi :

• Gravis obtient 200 millions pour automatiser les engins déjà en service
• Medusa dépasse 500 victimes critiques et exploite les failles en 24 heures
• SharePoint : une IA a aidé à bâtir une chaîne d’attaque critique