La question que tout fondateur et tout RSSI se posent au même moment
Entre l'embauche du troisième commercial et la signature du premier contrat entreprise à plus d'1 M€, tout fondateur de SaaS B2B reçoit le même questionnaire de sécurité de la part de l'équipe achats d'un prospect. On y demande une certification ISO 27001, un rapport SOC 2 Type II, ou les deux. Le RSSI se retrouve alors face à la question : lequel viser, dans quel ordre, et pour quel coût ?
Cet article répond à cette question avec le raisonnement qu'un RSSI peut présenter en conseil d'administration, pas seulement un tableau comparatif de fonctionnalités.
Ce que chaque référentiel recouvre réellement
ISO 27001:2022 est une norme internationale de système de management publiée par l'Organisation internationale de normalisation. Elle certifie que votre organisation a mis en place et maintient un Système de Management de la Sécurité de l'Information (SMSI) couvrant un périmètre défini. L'Annexe A liste 93 mesures organisées en quatre thèmes : organisationnel, humain, physique et technologique. Le certificat est valable trois ans, avec des audits de surveillance annuels.
SOC 2 est un rapport d'attestation basé sur les Trust Services Criteria publiés par l'AICPA (American Institute of Certified Public Accountants). Il évalue les contrôles pertinents pour un ou plusieurs des cinq critères suivants : Sécurité (obligatoire), Disponibilité, Confidentialité, Intégrité du traitement et Confidentialité des données personnelles (Privacy). Il existe deux types de rapports : Type I (contrôles en place à un instant T) et Type II (contrôles opérant efficacement sur une période, généralement 6 à 12 mois).
Les deux référentiels posent au fond des questions similaires : avez-vous des politiques, protégez-vous les données, savez-vous répondre aux incidents, gérez-vous vos fournisseurs. Ce qui les distingue, c'est ce qu'ils produisent et qui leur fait confiance.
La différence la plus importante
Ce n'est pas le contenu des contrôles. C'est le livrable.
- ISO 27001 produit un certificat : un document d'une page délivré par un organisme de certification accrédité, confirmant que vous maintenez un SMSI. Il ne détaille ni les contrôles spécifiques ni les résultats de tests. Il reste valide jusqu'à la prochaine surveillance.
- SOC 2 produit un rapport : généralement 50 à 100 pages, rédigé par un cabinet d'expertise comptable (CPA), listant chaque contrôle testé, la procédure de test et l'opinion de l'auditeur. C'est un document détaillé, probant et confidentiel.
Cela façonne les préférences des acheteurs. Une équipe achats européenne qui souhaite simplement vérifier que vous exploitez un système de management de la sécurité acceptera le certificat ISO. Une équipe achats basée aux États-Unis, en particulier dans les services financiers ou la santé, voudra lire précisément quels contrôles ont été testés et si des exceptions ont été relevées. D'où le clivage géographique.
La géographie compte plus qu'on ne le pense
Si 80 % de votre chiffre d'affaires provient d'acheteurs européens ou asiatiques, optez pour ISO 27001 en premier. Le certificat est reconnu à l'international, son format est familier, et l'accréditation de l'organisme certificateur compte plus que le contenu détaillé.
Si 80 % de votre chiffre d'affaires provient d'acheteurs basés aux États-Unis (notamment dans le logiciel d'entreprise, les services financiers, la santé et l'éducation), optez pour SOC 2 en premier. Les processus d'achat américains sont construits autour des rapports SOC 2. De nombreux questionnaires de sécurité demandent explicitement « votre dernier rapport SOC 2 Type II », sans solution de repli.
Si votre mix de revenus est de 50/50 ou si vous ciblez les deux régions à parts égales, l'arbitrage se déplace vers le coût et les délais.
Comparatif de coûts et de délais
Les montants varient selon la taille de l'entreprise et le cabinet d'audit, mais pour une entreprise SaaS en Série A (50 à 150 salariés), les fourchettes habituelles sont les suivantes :
| Élément | ISO 27001 | SOC 2 Type II |
|---|---|---|
| Préparation initiale | 4 à 6 mois | 3 à 5 mois |
| Première fenêtre d'audit | 1 à 2 semaines (Étape 1+2) | Période d'observation de 6 à 12 mois |
| Honoraires du cabinet d'audit | 15 000 € à 35 000 € | 25 000 € à 60 000 € |
| Effort interne | ~0,5 ETP pendant 6 mois | ~0,5 ETP pendant 9 mois |
| Maintenance annuelle | Audit de surveillance (~8 000 €) | Réémission annuelle du Type II (20 000 € à 45 000 €) |
| Certificat/rapport disponible | ~6 mois après le démarrage | ~12 mois après le démarrage |
ISO 27001 permet d'obtenir plus rapidement un premier livrable, mais s'avère plus coûteux sur un horizon de 3 ans si la surveillance est correctement assurée. SOC 2 a un premier cycle plus long (le Type II exige des preuves collectées sur une période), mais le coût marginal du rapport de la deuxième année devient incrémental.
Le chevauchement des contrôles est considérable
C'est ce qui surprend le plus les RSSI qui découvrent le sujet. Environ 75 à 80 % des contrôles se recoupent. Si vous commencez par ISO 27001 puis ajoutez SOC 2, vous fournissez pour l'essentiel les mêmes preuves déjà existantes, sous un format différent. Si vous commencez par SOC 2 puis ajoutez ISO 27001, il faut ajouter une méthodologie de gestion des risques explicite, une Déclaration d'applicabilité (Statement of Applicability) et un périmètre de SMSI documenté, mais la majorité des preuves opérationnelles existe déjà.
C'est la raison pour laquelle les équipes sécurité matures finissent presque toujours par obtenir les deux. Le coût cumulé de l'exploitation de deux référentiels est nettement inférieur au coût de l'exploitation de l'un ou l'autre isolément.
Un arbre de décision défendable
Voici la grille que je présente aux conseils d'administration :
- Où se situe votre chiffre d'affaires ? Si plus de 70 % provient d'une seule région, le référentiel préféré de cette région l'emporte.
- Quelle est la taille du pipeline des 12 prochains mois ? Si un seul contrat exigeant ISO ou SOC 2 représente plus de 10 % du prévisionnel, suivez ce contrat.
- Devez-vous commencer à vendre dès demain ? Si oui, les deux référentiels offrent un livrable intermédiaire : ISO 27001 propose une attestation de préparation à l'issue de l'Étape 1 ; SOC 2 propose le Type I (à un instant T). L'un ou l'autre peut débloquer la première vague de contrats pendant que vous finalisez la certification complète.
- Disposez-vous des ressources d'ingénierie pour la période d'observation plus longue de SOC 2 ? Si l'équipe d'ingénierie est mobilisée à 100 % sur le produit, SOC 2 nécessitera soit de la flexibilité de planning, soit une aide externe.
Si la réponse est « nous ne savons pas encore, nous sommes à 50/50 au niveau mondial », optez par défaut pour ISO 27001 en premier. C'est plus rapide, reconnu à l'international, et l'effort SOC 2 qui suivra bénéficiera considérablement de la présence déjà en place d'un SMSI.
Comment tirer le meilleur parti de votre plateforme
Quel que soit le référentiel visé, l'outillage opérationnel fait la différence. Une plateforme GRC moderne vous permet de :
- Faire avancer les deux référentiels en parallèle sur des preuves partagées : téléverser un schéma réseau une seule fois et le faire compter à la fois pour le A.5.7 d'ISO 27001 et le CC6.6 de SOC 2.
- Réaliser des analyses d'écarts (gap assessments) avant l'arrivée de l'auditeur, pour que l'audit formel soit une confirmation plutôt qu'une découverte.
- Maintenir des preuves de gestion des risques fournisseurs qui satisfont les contrôles de chaîne d'approvisionnement des deux référentiels.
La plateforme s'autofinance dès la deuxième année, lorsque les cycles de surveillance et de réémission du Type II commencent à se cumuler.
Et pour ISO 27001 + SOC 2 + un autre référentiel
Les RSSI demandent alors fréquemment : faut-il ajouter HIPAA, PCI DSS, NIS2, GDPR, FedRAMP ? La réponse dépend de vos acheteurs et du profil de votre propre produit. Mais les contrôles fondamentaux restent identiques : un SMSI documenté associé à des preuves opérationnelles couvre l'essentiel du terrain pour tout référentiel ultérieur. ISO 27001 est la langue commune du GRC. SOC 2 est le livrable que réclament les acheteurs entreprise américains. La plupart des entreprises ont besoin des deux dans les 18 mois suivant le début de leurs ventes aux grands comptes.
La conclusion honnête
Choisissez le référentiel dont les acheteurs vous paieront le trimestre prochain. Obtenez le premier livrable le plus vite possible. Ajoutez ensuite le second référentiel comme une extension partielle du premier. L'erreur consiste à traiter les deux comme des programmes séparés et parallèles. Ils partagent 75 % du même socle de contrôles, audités par des personnes différentes pour des publics différents.