En bref
ISO 27001 ne fait pas gagner un marché à elle seule, mais elle fait gagner du temps, de la crédibilité et évite d'être écarté d'office par certains grands comptes. C'est l'enseignement principal de notre visio membres avec David Thoumas, cofondateur et responsable produit/R&D de Huwise (ex-Opendatasoft, ~100 personnes), certifié ISO 27001
Cinq idées à retenir :
- La certification valide ce que vous faites déjà. Elle ne crée pas la sécurité : elle prouve qu'une gouvernance documentée existe et qu'elle est réellement appliquée.
- Le déclencheur est commercial. Appels d'offres publics et questionnaires sécurité des grands groupes : la case « ISO 27001 » à cocher revient sans cesse.
- On peut réduire le périmètre. Huwise a certifié uniquement sa plateforme SaaS et les équipes qui la construisent et l'opèrent.
- Le budget externe reste maîtrisé. Environ 10 k€ pour l'audit interne et environ 30 k€ sur 3 ans pour le cycle de certification, sans outil dédié.
- Le vrai coût, c'est le temps interne et la préparation en amont. Une personne formée en interne (RSSI) a été décisive.
Cette note croise ce retour d'expérience avec des sources publiques pour vous donner une feuille de route actionnable.
ISO 27001 ou SOC 2 : lequel viser ?
Pour une startup qui vend d'abord en France et en Europe, ISO 27001 est la référence à viser en premier ; SOC 2 devient prioritaire dès que l'on vise des grands comptes américains. Les deux ne sont pas interchangeables : un acheteur américain n'acceptera généralement pas un certificat ISO à la place d'un rapport SOC 2, et inversement en Europe (Scrut).
Bonne nouvelle : les deux référentiels se recouvrent à 70-90 % (contrôle d'accès, incidents, fournisseurs, gestion des changements). Une entreprise certifiée ISO 27001 sérieusement passe SOC 2 sans repartir de zéro (Scrut).
Les normes voisines à connaître
- NIS 2 : directive européenne, ce n'est pas une certification mais une obligation légale pour environ 15 000 entités en France. ISO 27001 couvre bien l'essentiel, sauf notamment les délais de notification d'incident (alerte sous 24 h, notification sous 72 h) (Orbiq). La loi Résilience qui la transpose est examinée à l'Assemblée nationale à partir du 7 octobre 2026 (Next). Huwise a d'ailleurs restructuré sa PSSI sur le chapitrage NIS 2, ce qui a été bien perçu par les auditeurs.
- HDS (hébergement de données de santé) : surcouche française à ISO 27001, indispensable si vous traitez des données de santé.
- ISO 27701 : extension « vie privée » d'ISO 27001, utile pour démontrer la conformité RGPD.
- ISO 42001 : système de management de l'IA. Encore jeune, mais les questionnaires sécurité intègrent déjà de plus en plus de questions sur l'IA.
- C5 (Allemagne) et SecNumCloud (France) : référentiels cloud nationaux, à traiter de façon opportuniste selon les demandes clients.
- ISO 9001 : management de la qualité, sans lien direct avec la sécurité ; pas un prérequis à ISO 27001.
Le retour d'expérience Huwise
Huwise a mis six ans entre les premières réflexions et le certificat, mais seulement 15 mois entre la décision d'y aller et l'obtention. La différence tient au travail de fond fait en amont.
Les choix structurants
- Périmètre réduit : seule la plateforme SaaS et les équipes qui la conçoivent et l'opèrent sont certifiées. Commercial, finance, RH et marketing sont hors périmètre.
- Aucun outil de conformité : toute la documentation vit dans Notion et Google Drive, avec des droits de modification contrôlés. Les preuves sont apportées par entretiens : l'auditeur passe une heure avec un développeur ou un architecte pour vérifier les pratiques.
- Gouvernance qui tournait déjà : comptes rendus validés, rituels annuels avec les équipes, registres tenus. Le pré-audit l'a souligné et l'audit en a bénéficié.
L'impact réel, sans enjoliver
La certification n'a pas changé les pratiques internes : tout était déjà en place. Elle n'a pas non plus supprimé les questionnaires sécurité, qui s'allongent avec les nouvelles questions sur l'IA. En revanche, les réponses sont plus rapides, la documentation est plus solide et les clients sont plus naturellement rassurés une fois la case cochée.
À nuancer avec les autres témoignages de la visio : un membre a signé deux très grands comptes (CAC 40 et un groupe américain) sans ISO, au prix de questionnaires de plusieurs centaines de questions. Un autre a perdu un deal Manpower Group au niveau américain, faute d'ISO 27001 et avec moins d'un an d'existence. Les références clients et l'ancienneté compensent l'absence de certificat ; une jeune startup sans références, elle, n'a pas ce filet.
Faut-il y aller maintenant ?
Lancez-vous quand au moins deux signaux « go » sont réunis ; sinon, investissez d'abord dans une PSSI solide, qui vous fera déjà gagner l'essentiel du temps sur les questionnaires.
Réponse à une question posée en visio : répondre en groupement avec une entreprise certifiée ne règle pas le problème. La certification ne se transmet pas d'un membre du groupement à l'autre, et le porteur du dossier doit répercuter ses engagements sur ses sous-traitants.
Feuille de route en 8 étapes
Comptez 9 à 15 mois pour une startup qui part d'une base sérieuse mais non formalisée, moins si votre gouvernance tourne déjà.
- Nommer un pilote et le former (mois 0-3). Désignez un RSSI ou référent sécurité, même à temps partiel, et financez-lui une formation certifiante ISO 27001 (type Lead Implementer). C'est le facteur clé de succès chez Huwise.
- Définir le périmètre (mois 1). Certifiez ce que vos clients achètent : en général le produit SaaS, son infrastructure et les équipes qui le construisent et l'exploitent. Attention à ne pas le réduire au point de perdre en crédibilité auprès des acheteurs.
- Faire l'état des lieux (mois 1-2). Comparez vos pratiques réelles aux clauses 4 à 10 et aux 93 contrôles de l'Annexe A. Listez ce qui existe, ce qui manque, ce qui est fait mais pas écrit.
- Analyser les risques et rédiger la Déclaration d'applicabilité (mois 2-4). La méthode EBIOS Risk Manager de l'ANSSI est bien adaptée en France. La Déclaration d'applicabilité liste chaque contrôle, dit s'il s'applique et justifie les exclusions : c'est le document que les auditeurs examinent de plus près.
- Écrire la PSSI et les procédures à partir de vos pratiques (mois 3-6). Politique de sécurité, gestion des accès, incidents, sauvegardes, plan de continuité d'activité, fournisseurs. Le chapitrage NIS 2 est un bon squelette.
- Faire tourner le système et garder les preuves (au moins 3 mois). Revues d'accès, sensibilisation des équipes, revue de direction, comptes rendus validés et archivés. Un auditeur vérifie que le système fonctionne, pas seulement qu'il est écrit.
- Réaliser l'audit interne (mois 6-9). Il est obligatoire. Le confier à un tiers indépendant coûte environ 10 k€ et fait office de répétition générale. Prévoyez environ 3 mois pour corriger les non-conformités relevées.
- Passer l'audit de certification (mois 9-15). Choisissez un organisme accrédité COFRAC. L'audit se déroule en deux temps : étape 1, revue documentaire (1 à 2 jours) ; étape 2, vérification sur le terrain (3 à 10 jours selon la taille) (Orbiq). Une non-conformité majeure bloque la certification, les mineures demandent un plan d'action.
Ensuite : audit de surveillance annuel en années 1 et 2, puis renouvellement complet en année 3. Le système doit tourner en continu, pas seulement avant les audits.
Budget type
Chez Huwise (~100 personnes, périmètre limité au produit), les dépenses externes tournent autour de 20 k€ par an ; le vrai poste, c'est le temps interne.
Repère marché : 15 à 60 k$ pour ISO 27001 et 30 à 80 k$ pour un SOC 2 Type II, pour un SaaS d'environ 100 personnes (Scrut). Un cabinet qui rédige toute la documentation à votre place peut aller plus vite, mais produit souvent une documentation déconnectée de vos pratiques, difficile à faire vivre.
Pièges à éviter
Le piège numéro un est de viser le tampon plutôt que la sécurité : un système construit pour l'audit craque à l'audit.
- Écrire ce que vous ne faites pas. ISO 27001 certifie ce que vous faites réellement. Décrivez vos pratiques, assumez et justifiez les écarts.
- Externaliser toute la rédaction. Rapide, mais inapplicable au quotidien. Gardez la plume en interne et utilisez les prestataires pour challenger.
- Sauter ou bâcler l'audit interne. Il est obligatoire, et c'est la cause fréquente de non-conformités majeures à l'audit de certification (Orbiq).
- Rassembler les preuves la veille. Les registres et comptes rendus doivent vivre toute l'année.
- Laisser le sujet au seul RSSI. La norme exige un engagement visible de la direction : revue de direction tenue, documentée, avec des décisions.
- Attendre que l'organisme certificateur vienne à vous. lancez la consultation tôt et mettez plusieurs organismes en concurrence.
- Croire que les questionnaires vont disparaître. Ils continuent, notamment sur l'IA. Le certificat les rend plus rapides, pas inutiles.
- Acheter un outil avant d'avoir un système. Les plateformes d'automatisation et les agents IA font gagner du temps sur la collecte de preuves, mais ne remplacent ni l'analyse de risques ni la gouvernance. Huwise s'en est passé ; à évaluer selon votre taille et vos cibles.
