Tout fournisseur SaaS B2B connaît ce moment. Un prospect grand compte veut acheter, puis le service des achats transmet le dossier à l'équipe de gestion des risques tiers. Suivent alors un questionnaire de sécurité (CAIQ, SIG ou un tableur sur mesure), l'exigence d'un contrat de sous-traitance signé et la ligne décisive : « Veuillez joindre votre certificat ISO 27001 ou votre rapport SOC 2. » Le fournisseur qui n'a rien à présenter voit son affaire s'enliser pendant des semaines dans les achats, voire la perdre purement et simplement.

« SOC 2 ou ISO 27001 ? » est donc rarement une question purement technique. C'est une question commerciale : quelle preuve ouvre la porte le plus vite auprès de vos acheteurs concrets ? Cet article fournit la logique de décision : ce qui distingue les deux standards, par lequel commencer, quand vous avez besoin des deux, l'ampleur de leur recoupement sur le fond et pourquoi une démarche de préparation à double piste évite les doublons. Nous abordons également les standards cloud complémentaires ISO 27017 et ISO 27018.

ISO/IEC 27001 est un standard international pour un système de management de la sécurité de l'information (SMSI). Vous définissez votre périmètre, menez une appréciation des risques, sélectionnez des mesures dans l'Annexe A (ISO 27002) et exploitez un cycle d'amélioration continue. Le résultat est un certificat dont le cycle de validité est de trois ans, délivré par un organisme de certification accrédité, avec des audits de surveillance annuels. En Europe, en Suisse et au Moyen-Orient, ISO 27001 est la preuve la plus largement reconnue.

SOC 2 n'est pas un certificat mais un rapport d'attestation selon le cadre des Trust Services Criteria de l'AICPA (Security, Availability, Processing Integrity, Confidentiality, Privacy). Le rapport est émis par un cabinet d'audit agréé (CPA), et non par un organisme de certification. SOC 2 distingue deux types : le Type I évalue la conception des contrôles à une date donnée, le Type II évalue l'efficacité opérationnelle sur une période d'observation généralement comprise entre trois et douze mois. SOC 2 est le standard attendu avant tout auprès des acheteurs américains.

Le bon ordre ne découle pas du standard, il découle de votre paysage d'acheteurs. Si vous vendez majoritairement à des entreprises américaines, leur processus de gestion des risques tiers réclame presque par réflexe un rapport SOC 2 Type II : SOC 2 est alors la porte d'entrée la plus rapide. Si votre poids se situe auprès de clients en Suisse, dans l'UE ou au Royaume-Uni, dans le secteur public ou dans des branches réglementées, ISO 27001 est la preuve attendue et internationalement transposable.

Une règle empirique pragmatique : rassemblez les dix à quinze derniers questionnaires de sécurité et appels d'offres que vous avez reçus et comptez quelle preuve était explicitement exigée. La majorité l'emporte et devient la piste 1. Si vous n'avez pas encore d'historique de ce type, orientez-vous sur votre marché cible principal. Un fournisseur SaaS suisse à orientation européenne avec ses premiers logos américains commence le plus souvent par ISO 27001 et ajoute SOC 2 dès que la part américaine du pipeline le justifie.

Dès que votre pipeline couvre les deux mondes, grands groupes européens et logos grand compte américains, vous porterez tôt ou tard les deux preuves. Certains acheteurs acceptent expressément un standard comme équivalent à l'autre, mais beaucoup ne le font pas : un prestataire de services financiers américain insiste souvent sur SOC 2, une administration allemande ou un hôpital suisse sur ISO 27001. Détenir les deux élimine une catégorie entière d'objections du processus d'achat.

La bonne nouvelle : vous ne construisez pas le second à partir de zéro. Un SMSI ISO 27001 bien exploité couvre déjà l'essentiel des critères de sécurité SOC 2, et inversement les contrôles SOC 2 fournissent une grande part des mesures de l'Annexe A. L'effort supplémentaire pour la seconde preuve est nettement moindre que pour la première. C'est exactement là que la démarche à double piste porte ses fruits.

Les deux standards traitent des mêmes fondamentaux de sécurité : contrôle d'accès et gestion des identités, chiffrement des données en transit et au repos, gestion des changements, journalisation et surveillance, gestion des vulnérabilités, processus de réponse aux incidents, gouvernance des fournisseurs et des sous-traitants ultérieurs, continuité d'activité, ainsi que sécurité RH et sensibilisation. Définissez, documentez et étayez ces contrôles une seule fois et vous servez à la fois ISO 27001 et les critères de sécurité SOC 2.

Les différences résident dans le mécanisme, non dans le contenu. ISO 27001 exige en plus les éléments de gouvernance du SMSI (contexte, leadership, plan de traitement des risques, audits internes, revue de direction). SOC 2 exige une description détaillée du système et, pour le Type II, une période d'observation avec une collecte continue de preuves. Un catalogue de contrôles unique et bien structuré, mis en correspondance avec les deux cadres, est la base pour mettre en œuvre une mesure une fois et la prouver deux fois.

Plutôt que de mener deux projets séquentiels, une piste de préparation commune avec un catalogue de contrôles consolidé porte ses fruits. Concrètement : une analyse d'écart qui évalue les deux cibles à la fois, un tableau de correspondance qui associe chaque mesure aux contrôles de l'Annexe A d'ISO 27001 et aux Trust Services Criteria de SOC 2, ainsi qu'un référentiel de preuves unique qui sert les deux examens. Vous collectez ainsi les journaux, les politiques et les tickets une seule fois.

L'ordre reste flexible. Vous pouvez certifier ISO 27001 en premier et faire courir en parallèle la période d'observation SOC 2, ou émettre tôt un signal commercial avec un rapport SOC 2 Type I et enchaîner avec la certification ISO. L'essentiel est que les deux pistes soient alimentées dès le départ par le même cadre de contrôle. Cela raccourcit considérablement le second projet et garde vos réponses cohérentes dans chaque questionnaire.

Une distinction décisive dans les échanges avec les acheteurs : SIDD ne délivre lui-même ni le certificat ISO 27001 ni le rapport SOC 2. Le certificat ISO 27001 est délivré exclusivement par un organisme de certification accrédité. Le rapport SOC 2 est attesté exclusivement par un cabinet d'audit agréé (CPA). SIDD est votre conseiller indépendant sur le chemin qui y mène.

Concrètement, SIDD livre le conseil ISO 27001 / SMSI : définition du périmètre, appréciation des risques, sélection des mesures, documentation et accompagnement jusqu'à l'audit de certification externe. Pour SOC 2, SIDD livre la préparation SOC 2 : analyse d'écart, mise en correspondance avec les Trust Services Criteria, mise en place et préparation des contrôles et des preuves, et coordination de l'attestation avec le cabinet d'audit. SIDD ne délivre pas le rapport lui-même, c'est le cabinet d'audit agréé qui le fait. Nous communiquons cette répartition claire des rôles de manière transparente à vos acheteurs.

En tant que fournisseur SaaS, deux standards complémentaires méritent un coup d'œil. ISO/IEC 27017 est un guide de bonnes pratiques pour les mesures de sécurité de l'information propres aux services cloud et traite la responsabilité partagée entre le fournisseur et le client. ISO/IEC 27018 ajoute la protection des données à caractère personnel (PII) dans les environnements de cloud public. Les deux s'appuient sur ISO 27001 et peuvent être portés comme une extension de la certification. Dans les questionnaires de sécurité, ils signalent une maturité cloud et répondent du même coup aux questions sur la résidence des données et la sous-traitance.

SIDD accompagne les fournisseurs SaaS B2B sur l'ensemble de la revue de sécurité fournisseur : conseil ISO 27001 / SMSI y compris les extensions cloud 27017/27018, préparation SOC 2 en double piste coordonnée, la couche juridique de sous-traitance et de sous-traitants ultérieurs via notre conseil en protection des données, des tests d'intrusion pour des rapports de test récents, ainsi qu'un vCISO qui construit votre trust center et répond aux questionnaires. La sécurité devient ainsi un accélérateur commercial plutôt qu'un poste de coût. Pour discuter d'une première orientation (« SOC 2 ou ISO 27001 en premier ? »), contactez-nous via le formulaire de contact ; pour un accompagnement complet, utilisez notre formulaire d'offre.