Aller au contenu principal
Quelle Signature

Statuts par prestataire

ISO 27001 et SOC 2 : à demander pour juger la sécurité du fournisseur, sans effet sur le niveau de signature dans les textes que nous avons lus

Pour qui : Responsable achats ou sécurité dont le questionnaire fournisseur réclame ISO 27001 ou SOC 2, et qui risque de prendre un éditeur certifié pour un éditeur à la signature qualifiée.

ISO 27001 et SOC 2, des attestations de sécurité, ne changent pas le niveau juridique d’une signature, selon les textes que nous avons lus : les articles 3, 25 et 26 du règlement européen eIDAS et le décret de 2017 fixent ce niveau par des exigences, un certificat qualifié, un dispositif qualifié et une présomption de fiabilité réservée à la signature qualifiée (sa fiabilité est supposée établie jusqu’à preuve contraire), sans citer ces normes. Demandez-les pour évaluer la sécurité du fournisseur, avec le certificat, le périmètre et la date. Pour le niveau, lisez le service sur la liste de confiance, la liste officielle de son pays, et demandez que le niveau figure au contrat. Si votre politique d’achat les impose, exigez-les en plus, jamais à la place.

Notre avis

Une attestation de sécurité reste utile, et ne répond qu’à la question de sécurité. Ne la comptez pas comme une preuve du niveau de signature.

Pourquoi

  • Le décret de 2017 attache la présomption à une signature qualifiée, sans mentionner ces normes.
  • Goodflag écrit « ISO 27001 » à côté d’« eIDAS 2.0 qualifié » : les deux ne s’impliquent pas, et chacun se vérifie à part.
  • Oodrive annonce un archivage certifié ISO 27001 et NF461, ce qui décrit un périmètre, sans dire le niveau d’une signature.

Ce qui change le choix

Si vous traitez des données sensibles chez ce fournisseur, ces attestations peuvent décider du choix entre deux prestataires au même niveau : c’est leur meilleur usage.

L’ordre à suivre

  1. Niveau juridique : service sur la liste et niveau au contrat, sans attestation pour y répondre
  2. Sécurité du fournisseur : certificat, périmètre et date demandés
  3. Politique d’achat qui impose ces attestations : les exiger en plus, jamais à la place

Trois questions, trois preuves : la grille d’achat à séparer

Le règlement organise déjà un contrôle propre aux services qualifiés : l’article 20 prévoit un audit au moins tous les vingt-quatre mois, aux frais du prestataire, et l’article 21 subordonne le démarrage du service à une vérification de l’organe de contrôle et à son indication sur les listes. Une attestation de sécurité choisie par l’entreprise ne remplace pas ce circuit dans les textes lus. Ce raisonnement tient au silence de ces articles sur ces normes, dont nous ne décrivons pas le contenu.

Méthode de grille d’achat, à reprendre dans votre questionnaire fournisseur.
QuestionCe qui y répondCe qui n’y répond pasPièce à demander
Quel niveau a la signature ?Le niveau écrit au contrat et, pour une qualifiée, le service inscritISO 27001, SOC 2, SecNumCloud, HDSPhrase de contrat et ligne de la liste
Le fournisseur protège-t-il mes données ?Les attestations de sécurité, dans leur périmètre, et ses engagementsLe statut qualifié d’un service, qui ne couvre pas tout le fournisseurCertificat, déclaration de périmètre, date de validité
Mes documents sont-ils conservés ?Les clauses de conservation, et une éventuelle certification de l’archivageLe seul niveau de signatureDurée, format et sort des données en fin de contrat

Goodflag et Oodrive écrivent ces mots, et ils ne désignent pas la même chose

Goodflag affiche sur sa page d’accueil « ANSSI, eIDAS 2.0 qualifié, ISO 27001, HDS ». Oodrive présente, pour son offre Sign Liberty, un « Archivage légal certifié ISO 27001 et NF461 », sans durée, et un hébergement SecNumCloud et HDS. Ces phrases sont les leurs, et leurs certificats n’ont pas été contrôlés.

D’une ligne de marketing à l’autre, l’objet change : chez l’un, la phrase parle de la société dans une énumération ; chez l’autre, de l’archivage. Avant de les comparer, posez deux questions à chacun : sur quel périmètre porte l’attestation, et ce périmètre inclut-il le service de signature que j’achète ? Aucun des deux libellés lus ne répond à ces questions.

SOC 2 ne figure sur aucune de nos fiches d’éditeurs. Cela ne prouve pas qu’aucun n’en dispose : si c’est votre exigence, posez la question.

Limites de cette page

Normes ISO 27001 et SOC 2 et référentiels SecNumCloud et HDS non lus : cette page ne décrit pas leur contenu et ne juge pas leur valeur pour la sécurité. Certificats des éditeurs non contrôlés. Le constat de silence porte sur les articles lus du règlement et sur le décret ; un acte d’exécution non lu pourrait citer des normes, notamment d’autres normes techniques. Absence de SOC 2 bornée à nos fiches, sans recherche dédiée sur chaque éditeur.

Prochaine action

Scindez la ligne « conformité » de votre questionnaire fournisseur en trois lignes : niveau de signature ; attestations de sécurité avec périmètre et date ; conservation des documents, avec durée, format et sort des données en fin de contrat.

Preuves et sources

Règlement eIDAS consolidé du 18 octobre 2024, articles 3, 20 à 22, 25 et 26, et décret n° 2017-1416, lus lors de la recherche. Pages de Goodflag et d’Oodrive lues le 4 novembre 2026. Normes ISO 27001 et SOC 2 non lues. Aucune mention de SOC 2 n’a été relevée dans nos fiches d’éditeurs, qui ne couvrent pas toutes leurs pages.

Chaque élément ci-dessous indique s’il s’agit d’un fait lu dans une source, d’une déclaration de son auteur, de notre calcul, de notre méthode ou de notre avis. Vérifiez sur le document toute source marquée à vérifier ou non tranchée avant de vous y fier. Notre méthode