Guides

ISO 27001 vs SOC 2 : différences et lequel il vous faut (avec un mot sur SecNumCloud)

Par l'équipe NexoDocs · comment nous produisons et vérifions le contenu

ISO/IEC 27001:2022 est une norme internationale pour un système de management de la sécurité de l'information (SMSI) : un organisme de certification accrédité (en France par le COFRAC) l'audite et délivre un certificat valable 3 ans, avec des audits de surveillance annuels. SOC 2 est un cadre d'attestation de l'AICPA, l'ordre des experts-comptables américains : un cabinet CPA indépendant examine vos contrôles au regard des Trust Services Criteria et émet un rapport avec une opinion, pas un certificat. Les clients américains, surtout pour des logiciels et services cloud, demandent souvent SOC 2 ; en France et en Europe, ISO 27001 est plus courant et, pour le cloud des données sensibles de l'État, la qualification SecNumCloud de l'ANSSI. Une grande partie du travail se recoupe (risques, politiques, accès, incidents, fournisseurs, preuves).

Les principales différences en un coup d'œil

SOC 2 Type 1 et Type 2

Un rapport de Type 1 donne une opinion sur la conception des contrôles à une date précise. Un rapport de Type 2 vérifie en plus qu'ils ont fonctionné efficacement pendant une période choisie avec l'auditeur, généralement plusieurs mois. Les acheteurs qui demandent SOC 2 attendent en principe un Type 2 ; le Type 1 sert souvent de première étape pendant que les preuves s'accumulent.

Le modèle, prêt à l’emploi

Kit de documentation SMSI ISO 27001

84 fichiers pour documenter votre SMSI selon ISO/IEC 27001:2022.

Voir le kit de documentation ISO 27001

Là où le travail se recoupe

L'essentiel de ce que produit un projet ISO 27001 sert aussi de preuve pour un examen SOC 2 :

• Appréciation et traitement des risques (articles 6.1.2 et 6.1.3 ; critères de risque SOC 2 CC3).
• Politiques et rôles (article 5 ; mesures 5.1 à 5.4 ; environnement de contrôle SOC 2 CC1).
• Contrôle d'accès, authentification et revues des droits (mesures 5.15 à 5.18 et 8.2 à 8.5 ; SOC 2 CC6).
• Gestion des incidents (mesures 5.24 à 5.28 ; SOC 2 CC7).
• Gestion des changements (mesure 8.32 ; SOC 2 CC8) et des fournisseurs (mesures 5.19 à 5.22 ; SOC 2 CC9).
• Audit interne et surveillance (articles 9.1 et 9.2 ; SOC 2 CC4).

Ce qui ne se transfère pas automatiquement : SOC 2 exige une description du système selon les critères de description de l'AICPA, et le cabinet teste des échantillons de preuves sur la période. ISO 27001 exige de son côté des éléments de système de management que SOC 2 ne demande pas de la même façon, comme la déclaration d'applicabilité, les objectifs de sécurité et la revue de direction. L'AICPA publie une correspondance officielle entre les Trust Services Criteria et ISO 27001.

Le cas français : SecNumCloud

Pour héberger des données sensibles de l'État et de certains opérateurs, la doctrine « cloud au centre » de l'État oriente vers des offres qualifiées SecNumCloud. Cette qualification de l'ANSSI repose sur un référentiel d'exigences (version 3.2 du 8 mars 2022) qui reprend une base de sécurité proche d'ISO 27001 et ajoute des exigences propres, notamment la protection contre les lois extra-européennes et la localisation des données et de l'administration dans l'Union européenne. Elle s'adresse aux prestataires cloud, pas aux entreprises clientes : une PME éditrice de logiciel aura plutôt besoin d'ISO 27001, et d'un hébergeur qualifié si ses clients publics l'exigent. La liste des offres qualifiées est publiée par l'ANSSI.

Par lequel commencer

Demandez à vos clients ce qu'ils exigent vraiment : certains questionnaires de sécurité acceptent plusieurs preuves, d'autres en citent une dans le contrat.

Changement en vue : le projet de critères 2027

Le 28 octobre 2026, l'AICPA a publié un projet de mise à jour des critères SOC 2 : il regroupe des critères qui se recoupent, en ajoute d'autres et introduit des points d'attention sur l'intelligence artificielle. Les commentaires sont ouverts jusqu'au 15 janvier 2027 ; s'ils sont adoptés, les nouveaux critères s'appliqueraient aux missions commençant à partir du 31 décembre 2027, avec adoption anticipée possible. Si votre service utilise l'IA, ISO/IEC 42001 couvre ce système de management.

Comment le kit ISO 27001 de NexoDocs vous aide

Le kit ISO 27001 de NexoDocs contient les documents du SMSI en Word et Excel modifiables : méthode et matrice d'analyse des risques, plan de traitement des risques, déclaration d'applicabilité avec les 93 mesures, politiques de l'annexe A, programme et liste de contrôle d'audit interne, et une analyse des écarts. Pour SOC 2, ils servent de base de politiques, de risques et de preuves, mais le kit ne contient pas la description du système SOC 2 ni le référentiel SecNumCloud et ne remplace aucun examen. Aucun kit ni consultant ne peut promettre un certificat ou une opinion sans réserve : cela dépend du fonctionnement des mesures et de l'auditeur.

Étape suivante

Essayez gratuitement ou passez directement à la solution complète.

Kit de documentation SMSI ISO 27001

84 fichiers pour documenter votre SMSI selon ISO/IEC 27001:2022.

Voir le kit de documentation ISO 27001

Échantillon gratuit

Téléchargez gratuitement une version réduite de la matrice des risques du kit (Excel, 10 scénarios, carte de chaleur ; échantillon en anglais). Voyez comment le niveau et la catégorie sont calculés avant de décider.

Télécharger l'échantillon gratuit (en anglais)

Questions fréquentes

Guides associés

Mis à jour: 2026-10-30