Tôt ou tard, un prospect demande : « Êtes-vous certifiés ISO 27001 ? » Pour un éditeur SaaS qui vend aux PME, la question mérite une réponse réfléchie. La certification a une vraie valeur, mais aussi un vrai coût, et elle n'est pas la seule façon de prouver son sérieux.
Ce que la norme exige vraiment
ISO 27001 certifie un système de management de la sécurité de l'information. Il faut conduire une analyse de risques, choisir et documenter des mesures (la version 2022 de la norme en liste 93 dans son annexe A), puis montrer qu'elles sont appliquées. Un organisme accrédité audite le tout, revient chaque année pour un audit de surveillance, et la certification se renouvelle tous les trois ans.
Le coût réel
Le coût ne se limite pas à l'audit. Il faut compter le temps interne pour rédiger les politiques, conduire l'analyse de risques et tenir le système à jour, souvent un accompagnement externe, et les audits de surveillance chaque année. Pour une petite équipe, c'est un projet de plusieurs mois, qui mobilise des personnes clés.
Ce qu'elle change côté ventes
Les grands comptes et une partie du secteur public l'exigent dans leurs appels d'offres, et elle raccourcit nettement les questionnaires de sécurité. Les PME, elles, la demandent plus rarement : elles veulent surtout savoir où sont leurs données, qui y accède et comment les récupérer.
Trois alternatives crédibles pour la PME
- Un dossier sécurité prêt à envoyer : architecture, hébergement, chiffrement, sauvegardes, gestion des accès, plan de réponse aux incidents.
- Un hébergeur déjà certifié. Sa certification ne couvre pas l'éditeur, mais elle garantit une base solide pour l'infrastructure.
- Des engagements écrits : accord de traitement des données RGPD, réversibilité, délai de notification d'incident, et des statuts de certification publiés tels qu'ils sont.
Notre choix chez Formuleo
Nous nous appuyons sur la deuxième : Formuleo repose sur Supabase et Vercel, une infrastructure certifiée ISO 27001 et SOC 2 Type 2, hébergée en Europe (Paris et Francfort). Ces certifications sont celles de nos hébergeurs, pas celles de Formuleo, et nous les présentons comme telles. Par-dessus, chaque organisation est isolée au niveau de la base de données, les droits se règlent par rôle et par utilisateur, chaque action est tracée dans l'historique, et le DPA est fourni à la signature.
Une question sur cet article ou sur votre propre cas ? Parlons-en.
