Conformité : ce que vos clients attendent, ce que la loi impose

La différence tient à qui vous évalue, et à ce qui vous y oblige. ISO 27001 et ISO 42001 sont des certifications volontaires : un organisme indépendant vous audite, puis délivre un certificat valable 3 ans, avec un audit de surveillance chaque année. SOC 2 est une attestation : un cabinet CPA examine vos contrôles et en rend compte dans un rapport, que vos clients attendent en pratique chaque année. NIS 2, DORA, l’AI Act et le CRA sont des réglementations : elles s’imposent selon votre activité, sans certificat à la clé, et vous devez pouvoir prouver votre conformité à l’autorité de contrôle. HDS est un cas à part : une certification, que la loi impose aux hébergeurs de données de santé.

HDS l’est dès que vous hébergez des données de santé pour le compte de tiers et exercez l’une des six activités définies par le code de la santé publique. NIS 2, DORA, l’AI Act et le CRA le sont selon votre secteur, votre taille, vos produits ou vos usages de l’IA. ISO 27001, SOC 2 et ISO 42001 restent volontaires, mais un client peut en faire une condition de son contrat.

Non, mais c’est une base solide : la gestion des risques, des incidents et de la continuité se recoupe largement. NIS 2 y ajoute l’engagement de la direction, la déclaration des incidents importants dans des délais fixés et l’enregistrement auprès de l’ANSSI. DORA y ajoute le registre d’informations, les clauses de l’article 30, la déclaration des incidents majeurs et un programme de tests annuel.

Par celui qu’on vous réclame le plus tôt : une date réglementaire, un appel d’offres, la demande d’un client. ISO 27001 sert ensuite souvent de socle : HDS l’exige, et ses mesures couvrent une large part de SOC 2, de NIS 2 et de DORA. Une seule analyse d’écarts pour tous vos référentiels fixe l’ordre et évite de faire deux fois le même travail.

Avec nous, de 6 à 12 mois par référentiel, selon ce qui existe déjà, votre périmètre et votre échéance. Le deuxième va plus vite quand il s’appuie sur le premier : HDS ou ISO 42001 après ISO 27001, par exemple.

Pour les réglementations, des amendes calculées sur le chiffre d’affaires mondial : jusqu’à 35 millions d’euros ou 7 % pour une pratique interdite par l’AI Act, 15 millions ou 2,5 % pour les exigences essentielles du CRA, 10 millions ou 2 % pour une entité essentielle selon le projet de loi qui transpose NIS 2. DORA renvoie aux sanctions nationales : en France, jusqu’à 100 millions d’euros devant la commission des sanctions de l’ACPR. Héberger des données de santé sans certificat HDS est puni de 3 ans d’emprisonnement et de 45 000 € d’amende. Pour ISO 27001, SOC 2 ou ISO 42001, le risque est commercial : un contrat qui ne se signe pas.