ISO 27001 vs SOC 2 : laquelle choisir, quelles preuves sur le parc ?

Dernière mise à jour : 2026-10-15

ISO 27001 vs SOC 2 : la différence tient au livrable et au marché. ISO 27001 est une certification internationale du système de management de la sécurité de l'information ; SOC 2 est un rapport d'attestation américain sur le fonctionnement des contrôles dans la durée. Les clients européens attendent plutôt ISO 27001, les clients nord-américains SOC 2. Les deux audits contrôlent pourtant la même chose sur les ordinateurs : la sécurité du parc informatique.

Le scénario de référence est une entreprise de 50 à 500 salariés qui vend un logiciel ou un service à des grands comptes, avec des équipes réparties sur plusieurs sites et un parc mixte Mac et Windows.

Verdict rapide

• Choisissez ISO 27001 si vos clients sont surtout en France, en Europe ou dans le secteur public, ou si vous voulez un certificat vérifiable à citer en une ligne dans un questionnaire sécurité.

• Choisissez SOC 2 si vous vendez un SaaS à des entreprises nord-américaines dont les achats demandent « votre dernier rapport SOC 2 Type II ».

• Prévoyez les deux si vous vendez des deux côtés de l'Atlantique : les contrôles se recoupent largement et les preuves côté terminaux peuvent être collectées une seule fois.

Référentiels et pratiques d'audit vérifiés en octobre 2026.

Comment avons-nous comparé ISO 27001 et SOC 2 ?

La comparaison retient six critères qui décident du choix pour une entreprise B2B en croissance : ce que chaque référentiel prouve, qui audite et comment, quels clients le demandent, ce qu'il exige sur les terminaux, l'effort dans la durée et le recouvrement entre les deux. Sources : la liste des mesures de l'ISO/IEC 27001:2022, les Trust Services Criteria de l'AICPA et les guides publiés par des auditeurs accrédités. Aucun tarif n'est donné : les honoraires d'audit dépendent du périmètre et de l'auditeur.

Les postes de travail ont une section dédiée parce que c'est là que les audits se bloquent le plus souvent : la politique indique que les ordinateurs sont chiffrés, l'auditeur demande la liste des ordinateurs et la preuve, poste par poste.

Qu'est-ce que la norme ISO 27001 ?

L'ISO/IEC 27001 est la norme internationale qui définit comment construire, faire fonctionner et améliorer un système de management de la sécurité de l'information (SMSI). La certification atteste que l'entreprise a identifié ses risques, choisi des mesures pour les traiter et fait tourner un cycle d'audits internes, de revues de direction et d'actions correctives. Elle s'applique à tous les secteurs et à toutes les tailles d'entreprise.

La norme comporte deux parties. Les chapitres 4 à 10 décrivent le système de management : périmètre, appréciation des risques, politique, objectifs, audit interne et amélioration continue. L'Annexe A liste 93 mesures de référence, regroupées en mesures organisationnelles, humaines, physiques et technologiques. L'entreprise documente les mesures retenues dans une déclaration d'applicabilité (DdA, ou SoA) et justifie chaque exclusion. Les certificats émis selon la version 2013 devaient basculer vers la version 2022 avant le 31 octobre 2025 : un certificat fourni aujourd'hui par un prestataire doit donc viser l'ISO/IEC 27001:2022.

En France, ISO 27001 sert aussi de socle à d'autres référentiels : la certification HDS (hébergement de données de santé) s'appuie sur elle, et beaucoup d'entreprises l'utilisent pour structurer leur conformité au RGPD (article 32) et aux recommandations de l'ANSSI. Le fonctionnement du système de management lui-même est détaillé dans notre article sur le SMSI et sa mise en place.

Qu'est-ce que la conformité SOC 2 ?

SOC 2 (System and Organization Controls 2) est un rapport d'attestation émis par un cabinet d'audit américain agréé (CPA) sur les contrôles d'un prestataire de services, évalués au regard des Trust Services Criteria de l'AICPA. Un rapport Type I vérifie que les contrôles sont bien conçus à une date donnée. Un rapport Type II teste en plus leur fonctionnement effectif sur une période d'observation.

Seul le critère sécurité, appelé aussi Common Criteria (CC1 à CC9), est obligatoire. La disponibilité, l'intégrité du traitement, la confidentialité et la protection de la vie privée s'ajoutent si les clients le demandent. SOC 2 n'est pas une certification : il n'y a ni note ni certificat, mais une opinion de l'auditeur et la liste des écarts relevés. L'acheteur lit le rapport, examine les écarts et les contrôles complémentaires qu'il doit assurer de son côté, puis le classe dans son registre de risques fournisseurs.

Que prouve chaque référentiel à un client ?

ISO 27001 prouve qu'un système de management existe et qu'il est entretenu : les risques sont évalués, les mesures choisies, et le système est audité chaque année. SOC 2 Type II prouve que des contrôles précis ont fonctionné pendant une période donnée, avec résultats de tests et écarts. L'un répond à « la sécurité est-elle pilotée ? », l'autre à « les contrôles ont-ils tourné comme prévu ? ».

Concrètement, un certificat se partage plus facilement. Il tient sur une page web ou dans une réponse à appel d'offres, et chacun peut le vérifier auprès de l'organisme certificateur. Un rapport SOC 2 est un document long que l'équipe sécurité du client lit en détail : il lui donne plus d'informations, mais expose aussi chaque écart relevé par l'auditeur.

Avantage : égalité (ISO 27001 pour la preuve publique, SOC 2 pour la profondeur de preuve).

Qui audite, et combien de temps prend chaque démarche ?

L'audit de certification ISO 27001 est mené par un organisme accrédité (par le COFRAC en France) en deux étapes : revue documentaire, puis audit du fonctionnement du SMSI. L'audit SOC 2 est mené par un cabinet CPA, souvent via son réseau européen. Un rapport Type II ne peut être émis qu'à la fin de la période d'observation, en général 3 à 12 mois après la mise en place des contrôles.

Pour un premier audit, le chemin critique est rarement l'auditeur. C'est le temps nécessaire pour produire les preuves de fonctionnement : revues des accès, traces d'arrivées et de départs, historique des mises à jour, inventaire des terminaux. Une entreprise qui part de zéro doit compter plusieurs mois de préparation, quel que soit le référentiel.

Avantage : ISO 27001 pour obtenir un premier résultat plus vite (pas de période d'observation obligatoire), SOC 2 Type I si un prospect américain accepte un rapport à date comme première étape.

Quels clients et quels marchés demandent l'une ou l'autre ?

Les acheteurs français et européens, comme la plupart des appels d'offres publics, demandent ISO 27001. Les acheteurs nord-américains, surtout dans le SaaS, demandent un rapport SOC 2 Type II. Des textes comme DORA pour le secteur financier (applicable depuis le 17 janvier 2025) ou NIS2 n'imposent ni l'un ni l'autre nommément, mais ISO 27001 sert souvent de cadre pour y répondre.

Le test pratique, c'est le questionnaire sécurité. Si la première question de vos plus gros prospects est « Êtes-vous certifiés ISO 27001 ? », le choix est fait. Si c'est « Merci de nous transmettre votre rapport SOC 2 Type II », il est fait dans l'autre sens. Les entreprises françaises qui se développent aux États-Unis commencent souvent par ISO 27001, puis ajoutent SOC 2 quand le chiffre d'affaires américain le justifie.

Avantage : dépend de la localisation de vos clients.

Qu'exigent ISO 27001 et SOC 2 sur les ordinateurs et smartphones ?

Les deux référentiels attendent les mêmes contrôles de base sur les terminaux : un inventaire complet des appareils et de leurs utilisateurs, le chiffrement, la protection contre les logiciels malveillants, la gestion des correctifs et des configurations, une authentification sécurisée et un effacement vérifié des données quand un appareil change de main ou sort du parc. ISO 27001 les nomme dans l'Annexe A, SOC 2 les range dans les Common Criteria d'accès logique et physique.

Côté ISO 27001, la gestion des actifs commence avec la mesure 5.9 (inventaire des informations et autres actifs associés), puis 5.10 (utilisation correcte), 5.11 (restitution des actifs) et 7.14 (mise au rebut ou réutilisation sécurisée du matériel). Les mesures technologiques de la section 8 couvrent ensuite le poste lui-même : 8.1 (terminaux finaux des utilisateurs), 8.5 (authentification sécurisée), 8.7 (protection contre les programmes malveillants), 8.8 (gestion des vulnérabilités techniques), 8.9 (gestion des configurations), 8.10 (suppression des informations) et 8.24 (utilisation de la cryptographie). Le télétravail ajoute 6.7 (travail à distance) et 7.9 (sécurité des actifs hors des locaux).

Côté SOC 2, la gestion des appareils relève surtout de CC6 et CC7. CC6.1 couvre l'accès logique et l'inventaire des actifs informationnels ; CC6.5 impose de ne retirer les protections d'un actif physique qu'une fois ses données illisibles ou irrécupérables ; CC6.7 encadre la transmission et la sortie des informations (ordinateurs chiffrés, supports amovibles) ; CC6.8 porte sur la prévention et la détection des logiciels malveillants ou non autorisés. CC7.1 ajoute la détection des changements de configuration et des nouvelles vulnérabilités.

Avantage : égalité. Les contrôles sur les terminaux se recoupent presque entièrement, ce qui permet de réutiliser les mêmes preuves pour les deux audits.

Quelles preuves l'auditeur demandera-t-il sur le parc ?

Les auditeurs ne se contentent pas d'une politique : ils tirent un échantillon de postes et demandent des preuves issues des outils. Pour une équipe répartie, cela signifie un export d'inventaire cohérent avec le registre du personnel, des rapports de conformité MDM montrant chiffrement et versions d'OS, et une trace d'effacement pour chaque appareil restitué ou sorti du parc pendant la période.

Checklist pour préparer la partie terminaux de l'un ou l'autre audit :

Les deux écarts les plus fréquents sont les appareils absents de l'inventaire (achetés localement par un manager ou conservés par un salarié parti) et les ordinateurs sortis du parc sans trace d'effacement. Les deux viennent du cycle de vie du matériel plus que de la technique : le processus d'achat et de départ compte autant que l'outillage de sécurité. Notre guide pour choisir et installer un MDM traite l'enrôlement, et la politique de sécurité des systèmes d'information est l'endroit où les règles applicables aux postes sont écrites.

Quel effort chaque référentiel demande-t-il dans la durée ?

ISO 27001 fonctionne sur un cycle de trois ans : audit de certification, deux audits de surveillance annuels, puis renouvellement, avec audits internes et revues de direction entre les deux. SOC 2 Type II se renouvelle chaque année avec une nouvelle période d'observation. Dans les deux cas, les preuves se collectent en continu, pas seulement avant l'audit.

La différence tient à la nature de l'effort. ISO 27001 demande davantage de documentation du système de management (registre des risques, déclaration d'applicabilité, objectifs, comptes rendus de revue). SOC 2 demande davantage de preuves que chaque contrôle a fonctionné à chaque occurrence sur la période, ce qui favorise la collecte automatisée.

Avantage : ISO 27001 pour des audits annuels plus légers une fois le système en place ; SOC 2 pour les entreprises qui collectent déjà leurs preuves automatiquement.

La certification ISO 27001 couvre-t-elle SOC 2 ?

Non, mais le recouvrement est important. La plupart des Common Criteria de SOC 2 correspondent à des mesures de l'Annexe A d'ISO 27001 : une entreprise certifiée peut réutiliser ses politiques, son analyse de risques et ses preuves. Un cabinet CPA doit malgré tout émettre un rapport SOC 2 distinct, et ISO 27001 exige des éléments de management que SOC 2 ne teste pas.

Plusieurs cabinets proposent des missions combinées où une même période de terrain produit un audit ISO 27001 et un rapport SOC 2. Cela ne fonctionne que si les preuves sont classées par contrôle plutôt que par référentiel, autre raison de centraliser les preuves liées aux terminaux.

SOC 2 ou ISO 27001 : que choisir selon votre profil ?

Le choix dépend d'abord de la localisation de vos clients, ensuite des preuves que vous savez déjà produire. La plupart des entreprises en croissance commencent par le référentiel que demandent leurs plus gros prospects, puis ajoutent le second en entrant sur l'autre marché.

• Éditeur SaaS ou société de services française de 50 à 200 salariés : ISO 27001, attente par défaut des acheteurs français et européens et des appels d'offres.

• Entreprise qui vend surtout au mid-market et aux grands comptes américains : SOC 2 Type II, que les achats américains acceptent rarement de remplacer par un certificat.

• Entreprise d'un secteur régulé en Europe (finance, santé) : ISO 27001 comme socle pour DORA, NIS2 ou HDS, et SOC 2 si des clients américains le demandent.

• Entreprise qui se développe de la France vers les États-Unis : conserver ISO 27001 et ajouter un rapport SOC 2 Type II en réutilisant les mêmes preuves d'accès et de terminaux.

• Entreprise sans équipe sécurité dédiée : quel que soit le référentiel, externaliser ce qui produit les preuves, à commencer par le cycle de vie du matériel et le MDM, pour que l'audit ne bloque pas sur un inventaire incomplet ou des effacements non tracés.

Préparez les preuves ISO 27001 et SOC 2 de votre parc avec Fleet

C'est sur les terminaux que les deux audits deviennent concrets : un inventaire aligné sur le registre du personnel, le chiffrement et la version d'OS remontés poste par poste, la restitution des ordinateurs à chaque départ et une trace d'effacement pour chaque machine sortie du parc. Une petite équipe IT peut tout rassembler à la main, mais chaque ordinateur acheté localement ou conservé après un départ devient un écart d'audit.

Fleet gère le cycle de vie du matériel de bout en bout, sur une seule plateforme et dans plus de 150 pays, du premier ordinateur à sa seconde vie :

• Inventaire prêt pour l'audit : chaque appareil, sa version d'OS et son statut de conformité suivis dans le tableau de bord Cockpit.

• Politiques de sécurité appliquées : le MDM de Fleet applique vos politiques de sécurité, avec enrôlement, configuration et effacement à distance ; les partenaires sécurité de Fleet sont certifiés ISO 27001 et SOC 2.

• Configurés avant livraison : les appareils arrivent préconfigurés grâce à l'enrôlement zero-touch, gérés dès le premier jour.

• Départs maîtrisés : commande, livraison, stockage, transfert et réattribution des appareils depuis un seul endroit, sans fournisseur local par pays.

• Fin de vie encadrée : les appareils sont renouvelés tous les 3 ans et Fleet prend en charge leur seconde vie.

Fleet équipe déjà plus de 100 000 utilisateurs dans 1 500 entreprises. Demandez une démo et voyez comment Fleet transforme la gestion de votre parc en preuves d'audit.

FAQ

SOC 2 est-il plus difficile à obtenir qu'ISO 27001 ?

Aucun des deux n'est objectivement plus difficile. SOC 2 Type II est plus exigeant sur la preuve de fonctionnement, car l'auditeur teste les contrôles sur toute une période. ISO 27001 est plus exigeant sur la gouvernance, car il impose un système de management documenté, fondé sur les risques, avec audits internes et revues de direction.

Peut-on obtenir ISO 27001 et SOC 2 en même temps ?

Oui. Beaucoup d'entreprises mènent un programme commun, avec un référentiel de contrôles partagé et un seul dépôt de preuves. Certains cabinets sont à la fois organisme de certification accrédité et cabinet CPA, ou travaillent en partenariat, et planifient les deux audits sur la même période.

SOC 2 est-il reconnu en France ?

SOC 2 n'a pas de statut réglementaire en France, mais il est connu des équipes sécurité des grands comptes, surtout dans le SaaS et chez les filiales de groupes américains. Une entreprise française qui ne vend qu'en Europe en a rarement besoin ; ISO 27001 y reste la référence.

SOC 2 impose-t-il un MDM ?

SOC 2 ne cite aucun outil. Il exige que les appareils soient inventoriés, protégés contre les logiciels malveillants, chiffrés lorsqu'ils contiennent des données sensibles et effacés avant leur mise au rebut. Pour une entreprise avec des ordinateurs en télétravail, le MDM est le moyen habituel d'imposer et de prouver ces contrôles.

Que recouvre la gestion des actifs dans ISO 27001 ?

Ce sont les mesures de l'Annexe A qui imposent un inventaire des informations et des actifs associés avec un propriétaire pour chacun, des règles d'utilisation, la restitution des actifs au départ des salariés et la mise au rebut ou la réutilisation sécurisée du matériel. Les ordinateurs et smartphones sont les actifs que les auditeurs échantillonnent le plus souvent.

Conclusion

ISO 27001 et SOC 2 diffèrent par leur format, leur auditeur et leur marché, mais posent les mêmes questions sur les ordinateurs et les smartphones. Commencez par le référentiel que vos clients demandent, et organisez les preuves liées au parc une seule fois : le second audit coûtera bien moins d'effort que le premier.