L'essentiel en bref
- ISO 27001 aboutit à une certification, le RGPD à une conformité sans certificat et SOC 2 à un rapport. La « certification SOC 2 » n'existe pas et employer ce terme vous coûte en crédibilité devant un auditeur.
- L'annexe A de la norme ISO 27001:2022 contient 93 mesures en quatre thèmes : 37 organisationnelles, 8 liées aux personnes, 14 physiques et 34 technologiques. La plupart des organisations en retiennent 60 à 80 dans leur déclaration d'applicabilité.
- Un système de management de la sécurité de l'information (SMSI) certifié couvre l'essentiel de l'article 32 du RGPD. Cinq obligations n'ont en revanche aucun équivalent dans ISO 27001 : base légale (art. 6), registre des activités de traitement (art. 30), droits des personnes concernées (art. 12 à 23), analyse d'impact relative à la protection des données (art. 35), transferts vers des pays tiers (art. 44 et suivants).
- SOC 2 repose sur cinq Trust Services Criteria. Un seul, Security, est obligatoire, vérifié à travers les Common Criteria CC1 à CC9. Availability, Processing Integrity, Confidentiality et Privacy n'entrent dans le périmètre que si vous les incluez.
- Les délais de notification diffèrent : 72 heures auprès de l'autorité de contrôle selon l'article 33 du RGPD, 24 heures pour l'alerte précoce prévue par NIS2, aucun délai légal dans ISO 27001 ni dans SOC 2.
Les trois cadres en un coup d'œil
ISO 27001, RGPD et SOC 2 sont souvent cités dans la même phrase, alors qu'il s'agit de trois objets différents : une norme certifiable, un règlement européen et une mission d'audit. La distinction détermine qui vous contrôle, ce que vous obtenez et pour combien de temps.
Point important : vous fixez vous-même le périmètre pour deux des trois cadres. Un certificat ISO ou un rapport SOC 2 ne dit rien de plus que ce que vous y avez inscrit. Le RGPD ne laisse pas ce choix, il s'applique à chaque traitement de données à caractère personnel.
Une confusion très répandue : beaucoup de directions traitent le certificat ISO 27001 comme la preuve, devant les clients et les assureurs, que la protection des données est réglée. Cet argument ne tient pas. L'article 42 du RGPD prévoit les mécanismes de certification comme instrument de démonstration, mais exige un agrément par l'autorité de contrôle compétente ou par le Comité européen de la protection des données (CEPD). Aucune norme ISO ne l'a obtenu à ce jour. Votre certificat reste un indice solide au regard de l'article 32, rien de plus.
Le déroulement d'une certification, de l'analyse d'écart à l'audit de surveillance, fait l'objet du guide complet de la certification ISO 27001.
Là où ISO 27001, RGPD et SOC 2 se recoupent
Le recoupement se situe presque entièrement dans le champ de la sécurité technique et organisationnelle. L'article 32 du RGPD exige des « mesures techniques et organisationnelles appropriées », mais n'en cite que quatre exemples et laisse ouvert le sens du mot « appropriées ». L'annexe A de la norme ISO 27001 et les Common Criteria de SOC 2 comblent ce vide, chacun à sa manière.
Ne lisez pas ce tableau comme une série d'équations : une même mesure peut compter dans les trois cadres, mais la preuve attendue diffère. Pour l'annexe A, il suffit souvent de démontrer l'existence documentée d'une règle et d'en montrer un échantillon. Un rapport SOC 2 de type II exige des preuves sur toute la période d'audit, donc un historique sans trou plutôt qu'un instantané. Les équipes qui bâtissent leur gestion des preuves pour l'ISO seulement découvrent au premier rapport SOC 2 que cet historique leur manque.
Le choix des mesures et sa justification dans la déclaration d'applicabilité sont détaillés dans notre article sur les 93 mesures de l'annexe A de l'ISO 27001. En pratique, la plupart des organisations en retiennent 60 à 80.
Là où ISO 27001 ne couvre pas le RGPD
Cinq obligations centrales du RGPD n'ont aucun équivalent dans ISO 27001. Un SMSI certifié ISO 27001 ne vous y fait pas avancer et c'est là que naissent les constats en cas de contrôle.
La base légale de l'article 6 et de l'article 9 pour les catégories particulières de données, relève d'une appréciation juridique : aucune mesure de sécurité ne vérifie votre mise en balance d'un intérêt légitime. Le registre des activités de traitement de l'article 30 impose une vue par processus, avec les finalités, les catégories de données et les destinataires, alors qu'ISO 27001 ne connaît que l'inventaire des actifs. Les deux registres décrivent les mêmes données sous deux angles et les tenir séparément revient à les tenir deux fois.
Les droits des personnes concernées des articles 12 à 23 sont le domaine le plus lourd sur le plan opérationnel. Une demande d'accès au titre de l'article 15 exige une réponse en un mois, prolongeable de deux mois, donc une vérification d'identité, une recherche dans tous vos systèmes et une trace écrite. L'analyse d'impact relative à la protection des données (AIPD) de l'article 35 recoupe l'appréciation des risques du chapitre 6.1.2, mais évalue le risque pour les droits et libertés des personnes physiques, non celui de l'organisation. Les transferts vers des pays tiers des articles 44 et suivants exigent des clauses contractuelles types (CCT), une analyse d'impact des transferts et la vérification des décisions d'adéquation.
Ces cinq briques forment le cœur d'un système de management de la protection des données. Elles s'arriment à un SMSI existant, mais doivent être construites à part. Le raccordement le plus rentable relie le registre des activités de traitement à l'inventaire des actifs : une modification d'architecture devient alors visible côté protection des données. La page consacrée à l'automatisation de la conformité au RGPD montre cette mécanique une fois outillée.
Les délais de notification ne sont pas les mêmes
L'article 33 du RGPD vous oblige à notifier une violation de données à caractère personnel à l'autorité de contrôle dans les 72 heures après en avoir pris connaissance, dès lors qu'elle est susceptible d'engendrer un risque pour les personnes concernées. ISO 27001 exige en A.5.24 à A.5.28 un processus de gestion des incidents, sans délai légal. SOC 2 vérifie via CC7.3 à CC7.5 que votre processus fonctionne, sans imposer de délai vis-à-vis de tiers. NIS2 demande une alerte précoce dans les 24 heures, une notification dans les 72 heures et un rapport final dans le mois.
L'erreur que commettent la plupart des équipes : elles construisent un processus d'incident selon la logique ISO, optimisé pour la remise en état technique, puis accrochent l'obligation de notification en aval. Or le chronomètre démarre dès qu'une personne de l'entreprise prend connaissance des faits, pas quand l'équipe sécurité escalade. Un processus intégré évalue dès le premier ticket si des données à caractère personnel sont concernées, quelles personnes sont touchées et si la perte est confirmée ou suspectée. La manière de monter cette logique pour plusieurs obligations de notification à la fois est traitée à propos de NIS2 et ISO 27001 et de leurs recoupements.
Ce que SOC 2 exige en plus
SOC 2 est le point sur lequel les équipes européennes se trompent le plus, car le référentiel vient d'une autre tradition d'audit. Publié par l'AICPA, il donne lieu à une mission menée par un cabinet indépendant qui se termine non par un certificat mais par un rapport : opinion de l'auditeur, description du système et tests réalisés.
Les cinq Trust Services Criteria sont Security, Availability, Processing Integrity, Confidentiality et Privacy. Seul Security est obligatoire, vérifié à travers les Common Criteria CC1 à CC9 ; les quatre autres n'entrent dans le périmètre que si vous les incluez expressément. Les éditeurs SaaS retiennent le plus souvent Security, Availability et Confidentiality, parce que c'est ce que demandent les services achats. Le critère Privacy est rare en Europe, le RGPD traitant déjà ces questions plus strictement.
La deuxième différence porte sur l'axe du temps. Un rapport de type I décrit si les contrôles étaient bien conçus à une date donnée. Un type II vérifie en plus s'ils ont fonctionné efficacement sur une période, en général de trois à douze mois. Les grands comptes demandent presque toujours un type II, souvent sur douze mois.
Autre idée fausse qui coûte cher : comme un rapport SOC 2 n'a pas de date d'expiration, certaines équipes le croient utilisable indéfiniment. Les clients attendent un rapport dont la période d'audit s'enchaîne sans interruption avec la précédente et une lettre de continuité, dite bridge letter, pour l'intervalle jusqu'à aujourd'hui. Une fois le rythme rompu, vous réexpliquez la lacune dans chaque négociation.
Votre gestion des preuves doit donc produire dès le départ des séries dans le temps, pas des états à une date. La page dédiée à la conformité SOC 2 et au rapport de type II précise ce que Kertos couvre pour ce référentiel.
Un seul jeu de mesures pour trois cadres
L'intégration repose sur trois briques : un jeu de mesures commun, un référentiel central de preuves et un calendrier d'audit fusionné. Chacune s'introduit séparément et réduit la charge immédiatement.
Le jeu de mesures commun est le socle. Au lieu de tenir trois catalogues, vous définissez une mesure et documentez quelles exigences elle satisfait. Votre politique de chiffrement satisfait A.8.24, CC6.7 et l'article 32, paragraphe 1, point a, en une seule fois. Les compléments propres à un cadre viennent par-dessus, là où il n'y a pas de recoupement. Vous tenez ainsi une seule gestion des politiques de sécurité et non trois.
Le référentiel central de preuves garantit qu'une preuve collectée une fois compte pour tous les usages. Elle a pour cela besoin de métadonnées cohérentes : date de collecte, responsable, durée de validité et exigences visées. La date de validité est le point où les classements maison échouent, parce qu'un rapport SOC 2 de type II demande un historique continu. Lorsqu'une preuve contient elle-même des données à caractère personnel, par exemple une capture d'écran d'un système de gestion des ressources humaines, la minimisation de l'article 5, paragraphe 1, point c, s'y applique aussi.
Le calendrier d'audit fusionné rend du temps aux métiers. Si votre audit interne du chapitre 9.2 et votre contrôle de protection des données tombent dans le même créneau, le responsable de processus est interrogé une fois au lieu de deux. Au deuxième entretien sur le même sujet, les gens répondent plus vite et moins précisément.
Un exemple concret
Prenons une entreprise SaaS de 45 personnes. Elle se conforme au RGPD depuis des années avec un délégué à la protection des données externe, vise la certification ISO 27001 que demandent les services achats européens et a besoin d'un rapport SOC 2 pour deux clients américains. Sa déclaration d'applicabilité retient 74 des 93 mesures. Son registre des activités de traitement compte 38 entrées, dont 12 sous-traitants, parmi lesquels 3 aux États-Unis qui nécessitent une analyse d'impact des transferts.
Le travail de correspondance fait apparaître le schéma habituel. La majeure partie des mesures de sécurité compte pour les trois cadres et le reste se répartit en trois blocs : les cinq obligations propres à la protection des données, les preuves en séries temporelles pour le rapport SOC 2 de type II, et les chapitres 4 à 10 du système de management pour l'ISO. La charge passe de « tout faire trois fois » à « la sécurité une fois, plus trois compléments ». Un responsable interne à mi-temps suffit ensuite pour la piloter, comme le montrent nos témoignages clients sur la mise en conformité.
Feuille de route et ordre de mise en œuvre
Lancer les trois cadres en même temps échoue régulièrement, par volume de changements. L'ordre éprouvé commence par le système de management, puis y accroche les exigences du marché.
- ISO 27001 en premier (4 à 9 mois jusqu'au certificat, responsable : le pilote du SMSI). La norme apporte la structure, la méthode d'appréciation des risques et le catalogue de mesures et son annexe A couvre déjà la plus grande partie des Common Criteria de SOC 2.
- Combler les écarts RGPD (en parallèle dès le deuxième mois, responsable : le délégué à la protection des données). Construire les cinq obligations non couvertes et les relier au SMSI, en particulier le registre des activités de traitement face à l'inventaire des actifs.
- SOC 2 type I (après le certificat ISO, responsable : la conformité). Un rapport de type I confirme la conception des contrôles à une date donnée et reste le moyen le moins coûteux de trouver les défauts avant la période du type II.
- SOC 2 type II (période d'audit de 3 à 12 mois ensuite, responsable : la conformité). La gestion des preuves devient alors permanente et non plus un projet.
Un point d'actualité : la transition de la version 2013 vers celle de 2022 s'est achevée le 31 octobre 2025 et les certificats délivrés selon l'ancienne version ne sont plus valables. Des correspondances encore fondées sur les 114 mesures de 2013 reposent sur une structure périmée.
Ce qui fait monter la charge
Les coûts totaux dépendent tellement du cas particulier que toute moyenne induit en erreur. Mieux vaut connaître les facteurs, parce que vous pouvez agir sur eux.
Le troisième facteur offre le plus grand effet de levier. Les honoraires d'audit sont largement fixes, la charge interne de collecte des preuves ne l'est pas. C'est là que se décide si la conformité reste un projet ou devient un état permanent qui immobilise des capacités. Vous pouvez comparer les briques disponibles sur la plateforme de conformité de Kertos.
Comment Kertos réunit les trois cadres sur une seule plateforme
Kertos rassemble ISO 27001, RGPD et SOC 2 dans un jeu de mesures unique : vous décrivez une mesure une fois et voyez quelles exigences de l'annexe A, quels Common Criteria et quels articles du RGPD elle satisfait. Les preuves sont collectées automatiquement dans vos systèmes, dotées d'une date de validité et rattachées à tous les cadres concernés. La série temporelle qu'exige un rapport SOC 2 de type II devient alors un produit dérivé de l'exploitation courante.
Le module de gestion du SMSI porte la partie ISO 27001 : domaine d'application, déclaration d'applicabilité et suivi des mesures, avec l'état des preuves pour chacune. Les audits internes du chapitre 9.2 et la revue de direction du chapitre 9.3 y sont planifiés au même endroit, dans le module ISMS pour ISO 27001.
La protection des données vit dans le même environnement, avec le registre des activités de traitement, les contrats de sous-traitance, les demandes des personnes concernées et les analyses d'impact. Comme le registre et l'inventaire des actifs partagent la même base, un nouveau système déclaré côté sécurité devient aussitôt une question ouverte dans le module de gestion de la protection des données.
La gestion des risques réunit les deux perspectives. Les risques de sécurité pour l'organisation et ceux pesant sur les droits et libertés des personnes concernées suivent une méthode commune et un même registre, tout en restant distincts dans les rapports. Une AIPD s'appuie donc sur une appréciation des risques existante, sans être confondue avec elle, dans le module de gestion des risques.
La plateforme est exploitée dans l'Union européenne et chaque projet client est accompagné par des experts certifiés qui construisent les correspondances avec vous au lieu de vous les laisser en devoir. Lorsqu'un autre cadre s'ajoute, par exemple NIS2, TISAX, ISO 27701 ou le règlement européen sur l'intelligence artificielle, vous le confrontez au jeu existant. L'aperçu des cadres de conformité pris en charge donne l'état de cette couverture.
Questions fréquentes
Une certification ISO 27001 remplace-t-elle la conformité au RGPD ?
Non. Une certification ISO 27001 démontre largement le respect de l'article 32 sur la sécurité du traitement, mais pas des obligations centrales comme la base légale de l'article 6, le registre des activités de traitement de l'article 30 et les droits des personnes concernées des articles 12 à 23. Comme instrument formel de démonstration au sens de l'article 42, aucune norme ISO n'est agréée à ce jour.
Quelle est la différence entre ISO 27001 et SOC 2 ?
ISO 27001 est une norme internationale : un organisme de certification accrédité examine votre système de management et délivre un certificat valable trois ans. SOC 2 est une mission d'audit fondée sur les Trust Services Criteria de l'AICPA, menée par un cabinet indépendant, qui se conclut par un rapport et non par un certificat. ISO 27001 est le standard de marché en Europe, SOC 2 surtout dans les affaires avec les États-Unis.
La certification SOC 2 existe-t-elle ?
Non. Une mission SOC 2 aboutit à un rapport, soit de type I pour une date donnée, soit de type II pour une période de trois à douze mois. L'expression « certification SOC 2 » est répandue, mais fausse et les auditeurs y voient un signe de manque d'expérience. Dans un appel d'offres, parlez de rapport SOC 2 en précisant le type et la période.
Ai-je besoin d'ISO 27001 et de SOC 2 en même temps ?
Cela dépend de vos ventes, pas de votre technique. Si votre processus achats européen demande un certificat, il vous faut ISO 27001. Si vous vendez à des entreprises américaines ou à des groupes à maison mère américaine, un rapport SOC 2 de type II est le plus souvent exigé. Les exigences de sécurité se recoupant largement, le second cadre demande nettement moins de travail que le premier.
Quelles mesures ISO 27001 sont pertinentes pour la protection des données ?
Les plus pertinentes sont A.5.34 sur la vie privée et la protection des données à caractère personnel, A.8.24 sur la cryptographie, A.8.11 sur le masquage des données, A.8.10 sur l'effacement des informations, A.8.12 sur la prévention de la fuite de données, A.5.15 et A.8.5 sur le contrôle d'accès et l'authentification. Beaucoup de mesures organisationnelles y contribuent aussi, par exemple la gestion des incidents en A.5.24 à A.5.28.
Trois cadres, un seul programme
La question n'est pas de savoir si vous allez réunir ISO 27001, RGPD et SOC 2, mais quand. Tant qu'ils avancent séparément, vous documentez les mêmes mesures trois fois et risquez de voir les descriptions diverger. Le travail de correspondance se fait une fois, en deux à quatre semaines. La charge de la triple maintenance revient chaque année et grossit avec chaque nouveau cadre que le marché vous demande.
Réservez une démonstration de la plateforme et nous passerons en revue vos correspondances actuelles, y compris les preuves qui peuvent être valorisées pour les trois cadres.
