ISO 27001 ou SOC 2 : ce que prouve chacun

Un éditeur de logiciels qui vend en Amérique du Nord se voit souvent demander un rapport SOC 2. En Europe, la question posée est plus souvent : « êtes-vous certifié ISO 27001 ? ». Les deux portent sur la sécurité de l’information, mais ils ne répondent pas à la même question et ne sont pas produits par le même type d’évaluateur.

ISO/IEC 27001 est une norme internationale. Un organisme de certification vérifie par un audit qu’un système de management de la sécurité de l’information (SMSI) en respecte les exigences, puis délivre un certificat. Le résultat est un statut : le certificat est délivré, maintenu, suspendu ou retiré.

SOC 2 est un examen défini par l’AICPA, l’institut américain des experts-comptables. Un expert-comptable américain indépendant (CPA) y exprime une opinion sur la description d’un système et sur les contrôles que l’organisation a mis en place. Il n’y a pas de certificat : le client lit un rapport, avec ses éventuelles réserves.

Le rapport SOC 2 s’appuie sur les Trust Services Criteria de l’AICPA, regroupés en cinq catégories : sécurité, disponibilité, intégrité du traitement, confidentialité et vie privée. La catégorie sécurité, dite des « critères communs », figure dans tout rapport SOC 2. Les quatre autres sont retenues selon les services rendus et les engagements pris envers les clients.

Le rapport réunit la description du système rédigée par la direction de l’organisation, une assertion de cette direction et l’opinion du CPA. Il en existe deux types :

• le type 1 porte sur la description du système et sur la conception des contrôles, à une date donnée ;
• le type 2 couvre en plus l’efficacité de fonctionnement des contrôles sur une période passée de plusieurs mois, et détaille les tests réalisés par le CPA et leurs résultats.

Un rapport SOC 2 s’adresse aux clients et partenaires qui connaissent suffisamment le service pour l’interpréter. Sa diffusion est restreinte, le plus souvent sous accord de confidentialité. Le rapport SOC 3, plus court, peut être diffusé publiquement.

Les critères appliqués aujourd’hui datent de 2017, avec des points d’attention révisés en 2022. À la date de rédaction (novembre 2026), l’AICPA a mis en consultation une révision de ces critères. Si elle est adoptée, elle s’appliquera aux missions commençant à partir du 31 décembre 2027.

ISO/IEC 27001:2022, modifiée par l’amendement 1 de 2024, fixe les exigences d’un SMSI : périmètre, appréciation et traitement des risques, engagement de la direction, audit interne, revue de direction, amélioration continue. Son annexe A liste 93 mesures de sécurité réparties en quatre thèmes : 37 organisationnelles, 8 liées aux personnes, 14 physiques et 34 technologiques.

L’organisation retient les mesures applicables à partir de son appréciation des risques. Sa déclaration d’applicabilité justifie l’inclusion et l’exclusion de chaque mesure de l’annexe A.

L’organisme de certification audite le SMSI selon ISO/IEC 17021-1 et ISO/IEC 27006-1. Le certificat indique le périmètre certifié et vaut trois ans, avec des audits de surveillance au moins annuels. Délivré sous accréditation, il porte la marque de l’accréditeur, le COFRAC en France pour ISO 27001, et tout client peut en vérifier la validité.

Le choix dépend d’abord de ceux qui liront la preuve. Les clients nord-américains, en particulier dans le logiciel en tant que service, demandent couramment un rapport SOC 2 de type 2. Les clients européens, les acheteurs publics et les grands comptes français citent plus souvent ISO 27001, dans leurs appels d’offres comme dans leurs questionnaires de sécurité fournisseurs.

Les textes européens renforcent ces demandes sans imposer l’une ou l’autre preuve. La directive NIS2 (article 21) oblige les entités concernées à traiter la sécurité de leur chaîne d’approvisionnement. Le règlement DORA impose aux entités financières d’évaluer leurs prestataires de services TIC avant de contracter, puis de les suivre (DORA et ISO 27001). Les normes techniques de réglementation (RTS) de DORA autorisent l’entité financière à s’appuyer sur des certifications ou des rapports d’audit tiers, à plusieurs conditions : leur périmètre couvre les systèmes et contrôles clés, l’entité juge la compétence de l’évaluateur, et elle ne s’en remet pas à ces seuls documents dans la durée.

Certains clients acceptent l’un à la place de l’autre, d’autres exigent les deux. La réponse se trouve dans le contrat, le cahier des charges ou le questionnaire du client.

Les deux référentiels se recoupent largement : gestion des accès, journalisation, gestion des incidents, relations avec les fournisseurs, continuité. L’AICPA publie une table de correspondance entre ses critères et ISO 27001. Une organisation qui détient l’un réutilise une grande partie de sa documentation pour l’autre.

Recoupement ne veut pas dire équivalence. Un certificat ISO 27001 n’est pas un rapport SOC 2, et un rapport SOC 2 ne donne pas droit à un certificat ISO 27001. Chaque évaluation est conduite séparément, par un évaluateur habilité pour ce référentiel, selon sa propre méthode.

Certi-Trust ne délivre pas de rapport SOC 2 : cet examen relève d’un CPA, selon les normes d’attestation de l’AICPA. Certi-Trust est un organisme d’évaluation qui réalise la certification ISO 27001 sous accréditation COFRAC n° 4-0612, sans conseiller les organisations qu’il certifie. Pour échanger avec un auditeur sur votre périmètre : nous contacter.

Qu’est-ce qu’un rapport SOC 2 ?
Un rapport d’examen défini par l’AICPA, dans lequel un expert-comptable américain indépendant (CPA) donne son opinion sur la description d’un système et sur les contrôles liés à la sécurité, à la disponibilité, à l’intégrité du traitement, à la confidentialité ou à la vie privée.

Quelle différence entre SOC 2 type 1 et type 2 ?
Le type 1 évalue la conception des contrôles à une date donnée. Le type 2 évalue aussi leur efficacité de fonctionnement sur une période passée de plusieurs mois, et décrit les tests réalisés.

Lequel est le plus exigeant, ISO 27001 ou SOC 2 ?
Ils n’évaluent pas la même chose. ISO 27001 exige un système de management complet, fondé sur l’appréciation des risques et revu chaque année par l’organisme de certification. SOC 2 de type 2 détaille le fonctionnement de contrôles sur une période. La comparaison dépend du périmètre retenu dans chaque cas.

Un organisme de certification ISO 27001 peut-il émettre un rapport SOC 2 ?
Non, sauf s’il est lui-même un cabinet de CPA habilité. L’AICPA réserve l’émission des rapports SOC aux CPA indépendants. Certi-Trust ne délivre pas de rapport SOC 2.

Un certificat ISO 27001 est-il reconnu aux États-Unis ?
Un certificat délivré sous accréditation est reconnu par les accréditeurs signataires des accords internationaux de reconnaissance (Global ACI, qui a succédé à l’IAF en 2026), dont l’accréditeur américain. Cette reconnaissance ne dit pas si un client acceptera le certificat à la place d’un rapport SOC 2 : c’est à lui d’en décider.