ISO 27001 pour éditeur SaaS : guide de certification (2026)

"Nos clients nous demandent ISO 27001 dans leurs questionnaires de sécurité, on ne sait pas par où commencer." C'est la phrase qu'on entend le plus souvent de la part de fondateurs et de CTO d'éditeurs SaaS. Le sujet arrive rarement par conviction interne : il arrive parce qu'un grand compte, un board d'investisseurs ou un appel d'offres l'exige noir sur blanc.

Cet article détaille le parcours spécifique d'un éditeur SaaS vers la certification ISO 27001 : pourquoi la demande arrive, ce qu'il faut vraiment certifier, comment se déroule l'audit, et combien ça coûte sans enjoliver. Pour le détail des 93 contrôles de l'Annexe A, voir notre guide dédié. Pour les fourchettes de coût par taille d'entreprise, voir notre analyse budgétaire complète.

#Pourquoi un éditeur SaaS vise ISO 27001

Trois déclencheurs reviennent systématiquement.

La demande d'un gros client. Dès qu'un éditeur SaaS vend à des comptes de plus de 250 salariés, à des banques, des assurances ou des administrations, la direction achats impose un questionnaire de sécurité. Sans certificat, ce questionnaire prend plusieurs jours par dossier. Avec le certificat et la Déclaration d'Applicabilité (SoA) à l'appui, la réponse se fait en quelques heures.

Un accélérateur commercial. Sur les segments B2B mid-market et enterprise, l'ISO 27001 est devenue un ticket d'entrée plutôt qu'un différenciateur. Les éditeurs qui l'ont déjà l'utilisent comme argument commercial explicite : accès à des appels d'offres autrement fermés, réduction du taux de perte sur les deals qui exigent une preuve de sécurité formelle.

Une exigence d'investisseur. De plus en plus de fonds, en particulier sur les levées Série A et B, demandent une feuille de route ISO 27001 dans leur due diligence, ou en font une condition de closing quand le SaaS traite des données sensibles.

Un quatrième facteur monte en puissance en 2026 : la directive européenne NIS2 (UE 2022/2555). En France, sa transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat en mars 2025 mais toujours pas promulgué à la date de rédaction de cet article, son passage en séance publique ayant de nouveau été repoussé vers la rentrée parlementaire. Une fois la loi promulguée, environ 15 000 entités françaises basculeront sous obligations NIS2, dont beaucoup sont clientes d'éditeurs SaaS et exigeront de leurs fournisseurs une preuve de maîtrise de la sécurité de l'information. L'ISO 27001 reste, à ce jour, la preuve la plus reconnue pour y répondre. Un éditeur qui anticipe la certification prend une longueur d'avance sur ce mouvement réglementaire.

#Certificat officiel ou simple alignement : bien poser la question avant de se lancer

C'est le premier arbitrage à faire, et il change tout le budget et le calendrier. Deux objectifs sont trop souvent confondus.

S'aligner sur la norme, sans viser le certificat, consiste à construire un socle de politiques, de mesures techniques et de preuves qui permet de répondre sérieusement aux questionnaires de sécurité clients (SIG, CAIQ, questionnaires propriétaires), sans jamais passer devant un organisme certificateur. C'est une démarche interne, plus rapide et moins coûteuse, mais qui ne produit aucun document opposable et vérifiable par un tiers.

Obtenir le certificat officiel implique de passer par un organisme de certification accrédité COFRAC (en France) ou son équivalent dans un pays signataire de l'accord de reconnaissance mutuelle IAF/MLA. Le certificat est un document daté, numéroté, vérifiable publiquement, et c'est lui que réclament explicitement les grands comptes dans leurs appels d'offres.

La bonne question n'est donc pas "faut-il faire de la sécurité", mais "mes clients exigent-ils un certificat nommément, ou se satisferaient-ils d'un dossier de sécurité solide". Si vos prospects sont des grands comptes, des acteurs régulés ou des entreprises qui appliquent NIS2, visez le certificat directement : la démarche d'alignement seul finit presque toujours par se transformer en projet de certification un an plus tard, avec un budget mal anticipé. Un audit d'écart initial permet de trancher objectivement cette question avant d'engager quoi que ce soit.

#Le périmètre pour un éditeur SaaS : ce n'est pas "juste le code"

L'erreur la plus fréquente chez les éditeurs qui démarrent seuls : croire que le périmètre du SMSI (système de management de la sécurité de l'information) se limite à l'application, au dépôt de code, ou à l'infrastructure cloud. Ce n'est pas le cas.

Le périmètre, défini dès la clause 4.3 de la norme, doit couvrir l'ensemble du système d'information support qui produit et opère le service :

• La chaîne de développement : dépôts de code, pipelines CI/CD, environnements de build, gestion des secrets, revue de code.
• L'hébergement : infrastructure cloud ou on-premise, configuration réseau, sauvegardes, plan de continuité.
• Les accès : identités des équipes techniques, du support client, des comptes à privilèges, des sous-traitants.
• Les personnes : onboarding et offboarding, sensibilisation, clauses contractuelles, télétravail.
• Les sous-traitants critiques : fournisseur cloud, outils SaaS tiers, développement externalisé le cas échéant.
• Les locaux, même réduits pour un éditeur en tout-remote : au minimum les postes de travail et le matériel hors site.

Un périmètre mal calibré se paie deux fois. Trop large, il fait exploser le budget et les délais. Trop étroit ("seulement le code source"), il produit un certificat qui ne convainc personne : la sécurité d'un SaaS se joue autant dans la gestion des accès et l'hébergement que dans le code. Pour un éditeur multi-tenant classique, le périmètre inclut en général la plateforme complète (production et pré-production), le fournisseur cloud, les accès des équipes dev et support, et la chaîne CI/CD.

#Le parcours de certification, étape par étape

#1. L'audit d'écart, toujours en premier

Avant d'engager un budget de conseil, un audit d'écart (gap analysis) confronte votre organisation aux 93 contrôles de l'Annexe A et aux dix clauses du chapitre principal. Il livre une cartographie précise, un plan de remédiation priorisé et un calendrier réaliste. C'est la prestation la moins risquée du parcours : elle évite de signer un forfait d'accompagnement avant de savoir où l'on se situe réellement. Voir notre audit d'écart ISO 27001.

#2. Construire le SMSI et mettre en œuvre les mesures de l'Annexe A

Cette phase couvre l'analyse de risque, la rédaction des politiques, la Déclaration d'Applicabilité, et la mise en œuvre concrète des contrôles retenus parmi les 93 de l'Annexe A 2022 (37 organisationnels, 8 humains, 14 physiques, 34 technologiques). Le détail contrôle par contrôle est disponible dans notre guide de l'Annexe A.

#3. Faire tourner le système avant l'audit

Un SMSI qui n'a jamais fonctionné ne se certifie pas. Il faut accumuler des preuves sur plusieurs mois : journaux d'accès, revues de droits, incidents traités, formation réalisée, audit interne mené, revue de direction tenue. C'est cette période "en fonctionnement réel" qui distingue un SMSI documenté d'un SMSI vivant, et c'est ce que l'auditeur vérifiera lors de l'étape 2.

#4. L'audit de certification par l'organisme tiers accrédité

Seul un organisme certificateur accrédité COFRAC peut délivrer le certificat en France (AFNOR Certification, Bureau Veritas, LSTI, LNE et quelques autres selon le pays d'immatriculation de l'éditeur). L'audit se déroule en deux temps :

• Étape 1 (documentaire) : l'auditeur revoit la documentation du SMSI, le périmètre, la SoA, et évalue si l'organisation est prête à passer à l'étape suivante.
• Étape 2 (sur site ou à distance) : l'auditeur vérifie l'application effective des contrôles, interroge les équipes, examine les preuves, teste des cas concrets.

Aucun éditeur de plateforme GRC, aucun cabinet de conseil ne peut se substituer à cet organisme : la certification est, par construction, un acte tiers et indépendant.

#5. Certificat, trois ans, surveillance

Le certificat délivré est valable trois ans. Chaque année, un audit de surveillance (plus court que l'audit initial) vérifie que le SMSI continue de fonctionner et progresse. À l'issue des trois ans, un audit de recertification relance le cycle.

#Le SSDLC : le chantier le plus lourd pour un éditeur SaaS

Chez les éditeurs SaaS accompagnés, le constat revient systématiquement : le chantier qui prend le plus de temps n'est presque jamais l'infrastructure cloud, ni la partie RH, mais le cycle de développement sécurisé (SSDLC, secure software development life cycle). C'est logique : pour un éditeur SaaS, le code est le produit, et l'Annexe A 2022 y consacre un bloc entier de contrôles technologiques (A.8.25 à A.8.31).

Les chantiers concrets à anticiper :

• La sécurité par conception (security by design) : intégrer les exigences de sécurité dès le cadrage des fonctionnalités, pas en fin de sprint.
• La modélisation des menaces (threat modeling) : identifier les scénarios d'attaque pertinents, en particulier sur l'authentification, le multi-tenant et les API exposées.
• SAST, DAST et SCA intégrés à la CI : analyse statique du code, tests dynamiques, et scan des dépendances open source pour détecter les vulnérabilités avant la mise en production.
• La gestion des secrets : sortir clés d'API, mots de passe et tokens du code source, centraliser leur stockage et leur rotation.
• La revue de code orientée sécurité : au-delà de la revue fonctionnelle, cibler les erreurs récurrentes (contrôle d'accès, validation des entrées, gestion des sessions).
• La séparation stricte des environnements de développement, de test et de production, avec des données de test anonymisées.

Ce chantier rapporte aussi le plus au-delà de la certification : un SSDLC structuré réduit directement le risque d'incident en production, ce qui est, in fine, l'objectif réel derrière la norme.

#Combien ça coûte, sans enjoliver

Les fourchettes suivantes sont indicatives, pour un éditeur SaaS B2B de taille jeune pousse à scale-up, périmètre plateforme complète.

Un point de règle souvent ignoré des éditeurs qui découvrent le sujet : l'audit de certification est toujours payé directement par l'entreprise à l'organisme certificateur, jamais par l'intermédiaire du cabinet de conseil ou de la plateforme GRC. C'est une règle d'indépendance : celui qui vous accompagne dans la mise en conformité ne peut pas être celui qui facture, ni même celui qui influence, l'organisme qui vous certifie. Un accompagnement sérieux vous laisse choisir librement votre organisme certificateur, et ne facture jamais cette prestation en son nom.

Pour un détail complet des coûts par taille d'effectif, y compris la mise en conformité technique et les postes cachés des plateformes GRC, voir notre analyse budgétaire ISO 27001 pour PME SaaS.

#Comment M-KIS accompagne les éditeurs SaaS

M-KIS est une ESN souveraine basée à Nancy, spécialisée dans l'accompagnement à la certification ISO 27001 et dans la mise en conformité NIS2, pour des PME et des éditeurs de logiciels du Grand Est et au-delà. Trois principes structurent l'accompagnement : en direct et sans sous-traitance en cascade, l'équipe qui mène l'audit d'écart est celle qui reste jusqu'au jour de l'audit ; priorité à l'open source et à l'hébergement France pour les outils techniques nécessaires (supervision, gestion des vulnérabilités, journalisation) ; tarifs publics, communiqués avant l'engagement, sans "à partir de" trompeur.

M-KIS accompagne les éditeurs SaaS depuis l'audit d'écart jusqu'à la préparation de l'audit de certification : définition du périmètre, construction du SMSI, structuration du SSDLC, mise en œuvre des contrôles techniques de l'Annexe A, préparation des équipes à l'audit. Conformément à la règle d'indépendance rappelée plus haut, M-KIS n'est pas un organisme certificateur : la délivrance du certificat reste, par principe, la prérogative exclusive de l'organisme accrédité COFRAC que vous choisissez. Pour les éditeurs qui souhaitent industrialiser la supervision de sécurité après la certification, l'offre de supervision managée complète naturellement la démarche.

Pour démarrer, voir notre accompagnement à la certification ISO 27001 ou lancer directement un audit d'écart.

#FAQ

Combien de temps faut-il pour un éditeur SaaS jeune, moins de 20 personnes ? Avec une stack cloud-native déjà propre et une personne dédiée à temps partiel, six à neuf mois suffisent en général entre l'audit d'écart et le certificat. Avec de la dette technique ou aucune politique RH formalisée, comptez plutôt douze mois.

ISO 27001 ou SOC 2 : lequel choisir pour vendre à l'international ? ISO 27001 est la référence en Europe et sur les appels d'offres publics ou régulés. SOC 2 est davantage attendu par les clients nord-américains. Beaucoup d'éditeurs qui vendent des deux côtés de l'Atlantique visent les deux, mais dans cet ordre : ISO 27001 en premier, car la structure de SMSI construite pour l'ISO couvre une large partie des exigences SOC 2.

Peut-on exclure les bureaux du périmètre si l'équipe est 100 % en télétravail ? En grande partie, oui, à condition de le justifier dans la Déclaration d'Applicabilité. Mais certains contrôles physiques restent pertinents : sécurité des équipements hors site, supports amovibles, protection des postes de travail. On n'écarte pas le thème A.7, on l'adapte au contexte réel.

Qui paie l'audit de l'organisme certificateur ? Toujours l'entreprise, directement à l'organisme accrédité COFRAC, jamais via un intermédiaire de conseil. C'est une exigence d'indépendance du système d'accréditation, pas une option commerciale.

Quel rapport entre ISO 27001 et NIS2 pour un éditeur SaaS ? NIS2 est une obligation réglementaire qui s'appliquera à environ 15 000 entités françaises une fois la loi de transposition promulguée, plusieurs d'entre elles étant clientes d'éditeurs SaaS. ISO 27001 n'est pas une obligation légale, mais reste la preuve la plus reconnue pour démontrer la maîtrise de la sécurité de l'information exigée, directement ou indirectement, par ces entités régulées.

Une plateforme GRC seule suffit-elle, sans accompagnement humain ? Elle automatise la collecte de preuves techniques sur une partie des contrôles, ce qui fait gagner un temps réel. Elle ne définit pas votre périmètre, ne construit pas votre analyse de risque, ne rédige pas votre Déclaration d'Applicabilité et ne vous prépare pas à défendre votre dossier devant l'auditeur. Sur un premier projet, un accompagnement humain reste nécessaire ; la plateforme vient ensuite en complément.

---

Vous êtes éditeur SaaS et vos clients commencent à demander ISO 27001 ? Démarrez par un état des lieux objectif de votre périmètre. Lancer un audit d'écart →

Équipe M-KIS