Certifications cloud ISO 27001 et 27018 : celles qui comptent et les autres
Les certifications cloud, c’est un peu comme les étoiles sur un restaurant : il y a les étoiles Michelin (auditées, rigoureuses, révocables) et les étoiles autocollantes qu’on colle soi-même sur la vitrine. Le problème, c’est que pour un non-initié, elles se ressemblent toutes. Un fournisseur cloud qui affiche « certifié ISO 27001, SOC 2, HIPAA-ready, GDPR-compliant » sur sa page d’accueil peut être irréprochable, ou peut avoir coché quelques cases dans un formulaire d’autocertification. Si vous venez du guide sur la souveraineté et le RGPD dans le cloud européen, vous savez que la conformité juridique est la première ligne de défense. Les certifications sont la deuxième, à condition de savoir lesquelles ont de la substance. Le référentiel ISO 27001 est publié par l’Organisation internationale de normalisation et c’est la référence mondiale en sécurité de l’information.
Voici le tri : les certifications auditées par des tiers indépendants avec des conséquences en cas de non-conformité sont sérieuses. Les autocertifications et les labels autoproclamés ne le sont pas. C’est aussi simple que ça.
ISO 27001 : le socle incontournable
L’ISO 27001 est la norme internationale de référence pour les systèmes de management de la sécurité de l’information (SMSI). Elle n’est pas spécifique au cloud : elle s’applique à toute organisation qui gère de l’information. C’est à la fois sa force (elle couvre tout : politique de sécurité, gestion des accès, sécurité physique, cryptographie, relations avec les fournisseurs, continuité d’activité) et sa limite (elle ne traite pas des spécificités du cloud).
Pour obtenir la certification, une organisation doit mettre en place un SMSI conforme à la norme, le faire auditer par un organisme accrédité (comme SGS, Bureau Veritas ou TÜV), puis se soumettre à des audits de surveillance annuels et un audit de renouvellement tous les trois ans. Ce n’est pas un formulaire à remplir. C’est un processus continu qui coûte entre 20 000 et 100 000 euros selon la taille de l’organisation, et qui peut échouer.
L’ISO 27001 ne garantit pas l’absence de faille. Elle garantit l’existence d’un processus structuré pour identifier, évaluer et traiter les risques de sécurité. C’est la différence entre une entreprise qui improvise quand un incident arrive et une entreprise qui a un plan documenté, testé et audité. En 2026, ne pas avoir l’ISO 27001 pour un fournisseur cloud est un signal d’alarme.
La différence entre hébergement suisse et UE en matière de certifications
Le cadre de certifications varie selon la juridiction. En France, l’ANSSI délivre le label SecNumCloud, le référentiel le plus exigeant d’Europe pour les services cloud. SecNumCloud va bien au-delà de l’ISO 27001 : il impose que le fournisseur soit de droit européen, que les données soient hébergées en Europe, et que les opérations soient réalisées depuis l’UE. C’est explicitement conçu pour exclure les fournisseurs soumis à des lois extraterritoriales comme le Cloud Act.
En Suisse, il n’existe pas d’équivalent exact de SecNumCloud. Les fournisseurs suisses s’appuient sur les normes ISO (27001, 27017, 27018) et sur la certification FINMA pour le secteur financier. L’avantage suisse est juridique plutôt que certifiant : la nLPD et l’absence de soumission au Cloud Act offrent une protection structurelle que les certifications viennent compléter, pas remplacer.
Le panorama 2026 des labels cloud : du sérieux et du vent
L’ISO 27018 est le complément cloud de l’ISO 27001. Elle s’applique spécifiquement aux fournisseurs de cloud public et traite de la protection des données personnelles (PII, pour Personally Identifiable Information) dans le cloud. Elle impose la transparence sur la localisation des données, les sous-traitants, et les demandes d’accès gouvernementales. Un fournisseur certifié ISO 27018 doit vous informer s’il reçoit une demande légale d’accès à vos données, sauf si la loi le lui interdit (coucou, les gag orders du Cloud Act).
Le SOC 2 (Service Organization Control 2) est une norme américaine (AICPA) qui audite les contrôles de sécurité, disponibilité, intégrité, confidentialité et vie privée. C’est une norme solide, mais américaine, ce qui veut dire qu’elle ne traite pas du RGPD et qu’elle est calibrée sur le cadre légal US. Un fournisseur européen certifié SOC 2 offre une couche supplémentaire ; un fournisseur américain certifié SOC 2 n’offre aucune protection contre le Cloud Act.
HDS (Hébergeur de Données de Santé) est obligatoire en France pour héberger des données médicales. C5 est le référentiel allemand du BSI (Bundesamt für Sicherheit in der Informationstechnik). EUCS (European Union Cybersecurity Certification Scheme for Cloud) est le futur schéma européen, encore en cours de finalisation en 2026, et sujet à des débats houleux sur l’inclusion ou l’exclusion des fournisseurs non européens.
Pour un panorama complet du cloud souverain en 2026, les certifications à exiger au minimum sont : ISO 27001 (sécurité de l’information), ISO 27018 (protection des données personnelles dans le cloud), et un référentiel national si votre secteur l’impose (HDS pour la santé, SecNumCloud pour les administrations françaises). Tout le reste est du bonus, ou du marketing.