SOC 2 Type II reste, en 2026, le standard de fait pour les SaaS B2B qui vendent à des clients enterprise nord-américains et de plus en plus européens. Mais ce que les acheteurs attendent réellement aujourd'hui n'est plus ce qu'ils acceptaient en 2018-2020. Le rapport SOC 2 reste une condition d'entrée — il ne suffit plus à conclure.
Rappel rapide
SOC 2 (Service Organization Control 2) est un cadre développé par l'AICPA (American Institute of CPAs). Il évalue les contrôles d'une organisation sur cinq Trust Services Criteria :
- Security (obligatoire).
- Availability (optionnel).
- Confidentiality (optionnel).
- Processing Integrity (optionnel).
- Privacy (optionnel).
Type I : photographie à un instant T des contrôles. Type II : audit sur une période de 6 à 12 mois pour vérifier que les contrôles fonctionnent en pratique. C'est ce que demandent les acheteurs sérieux.
Le rapport est produit par un cabinet d'audit (Big 4 ou spécialisé : A-LIGN, Prescient Assurance, Schellman). Coût : 30-100k€ initialement, 20-50k€ par renouvellement annuel selon taille.
Ce qui a changé en 2024-2026
Trois évolutions majeures dans les attentes des acheteurs :
1. Les questionnaires DDQ (Due Diligence Questionnaire) sont devenus profonds
Le rapport SOC 2 reste demandé en pièce jointe. Mais les acheteurs vont au-delà :
- Sub-processors : la liste de vos sous-traitants tech, leurs propres certifications, leurs régions de hosting.
- Data flow diagrams : où vont les données, qui y accède, quelles intégrations tierces.
- Pen test récents (généralement annuels) avec rapport et plan de remédiation.
- DPIA / RIA (Data Protection Impact Assessment) sur les fonctionnalités critiques.
- Politiques spécifiques : BYOD, télétravail, gestion incident, sauvegardes.
2. Les contrôles IA sont demandés explicitement
Nouveau en 2025-2026 :
- Comment encadrez-vous l'usage de l'IA générative en interne ?
- Vos modèles IA sont-ils audités ? Comment monitor-vous la dérive ?
- Avez-vous une politique sur les fournisseurs IA tiers (OpenAI, Anthropic, etc.) ?
- Les données client sont-elles utilisées pour entraîner des modèles ?
- Avez-vous une démarche ISO 42001 ?
Si votre rapport SOC 2 ne couvre pas ces sujets, vous risquez d'être recalé sur la fiche d'évaluation, même avec un Type II en règle.
3. Les preuves continuous compliance prennent le pas sur le rapport ponctuel
Les acheteurs sophistiqués demandent désormais l'accès à un dashboard temps réel ou semi-réel :
- Drata, Vanta, Tugboat Logic, Secureframe, Strike Graph offrent ce niveau d'instrumentation.
- Couverture continue des contrôles : un dashboard montre que les MFA sont activés à 100%, que les patches Critical sont sous SLA, que les backups ont tourné.
- Le rapport SOC 2 annuel devient une vue rétrospective d'un système déjà observable en continu.
Les vrais points de friction sur les audits
Les findings classiques que je vois sur les SOC 2 :
Sur les accès
- Comptes inactifs non désactivés.
- Reviews d'accès manquantes ou non documentées.
- MFA non phishing-resistant sur les comptes admin.
- Tokens API trop larges, pas de rotation.
Sur le change management
- Changes en prod sans tickets.
- Approval logs non conservés ou manquants.
- Tests automatisés contournés en urgence sans documentation.
- Hotfix poussés sans review formelle.
Sur le monitoring
- Logs non centralisés ou mal conservés.
- Alertes désactivées "temporairement" puis oubliées.
- Pas de runbook documenté pour les alertes critiques.
- Dashboards non maintenus à jour.
Sur le BCDR (Business Continuity / Disaster Recovery)
- BCP / DRP existant mais pas testé annuellement.
- Tests de restauration de backups manquants.
- RTO et RPO documentés mais pas mesurés.
Sur les fournisseurs
- Liste des sub-processors non maintenue à jour.
- Pas de revue annuelle des contrats.
- Pas de DPA signé avec certains fournisseurs majeurs.
La séquence pour bien démarrer
Pour une PME ou scale-up qui vise une SOC 2 Type II :
- Diagnostic d'écart (1 mois) : où en êtes-vous sur les Trust Criteria ?
- Choix du périmètre : Security obligatoire, et selon votre offre, Availability + Confidentiality typiquement. Privacy si vous traitez beaucoup de PII.
- Mise en place des contrôles manquants (3-6 mois) : process, outils, documentation.
- Outillage continuous compliance (Drata, Vanta...) (1 mois) : crucial pour scale.
- Type I comme jalon (audit court, ≈3 semaines).
- Période d'observation (6-12 mois) : le système tourne et est mesuré.
- Type II : audit sur la période d'observation.
Total : 12-18 mois entre décision et premier rapport Type II.
L'erreur structurelle : viser le rapport, pas la sécurité
L'écueil que je vois trop souvent : des équipes qui mettent en place des contrôles cosmétiques pour passer l'audit, sans véritable amélioration de la posture sécurité. À court terme ça marche (le rapport est obtenu). À moyen terme c'est ingérable (l'audit suivant requiert toujours plus de preuves), et un incident réel révèle l'absence de fond.
La bonne posture : le SOC 2 est un sous-produit d'une vraie démarche sécurité. Si vous appliquez les chantiers de Sécurité PME : 7 priorités avant un RSSI, industrialisez votre DevSecOps en CI/CD, et avez un plan de réponse à incident testé, le SOC 2 est une formalité.
SOC 2 vs ISO 27001
Question récurrente. Réponse pragmatique :
- SOC 2 : préféré aux US, en hausse en EU. Plus rapide à obtenir si vous avez déjà l'instrumentation continuous compliance. Format adapté aux SaaS B2B.
- ISO 27001 : référence européenne historique. Plus lourd à obtenir mais plus reconnu en gouvernement et grands comptes EU. Cycle de 3 ans.
Pour 2026, beaucoup de SaaS B2B viennent à viser les deux. La duplication d'effort est limitée (60-70% de communs). Pour la spécificité IA, ISO 42001 vient en complément.
SOC 2 + AI Act + CRA = la stack 2026-2027
Pour un éditeur SaaS B2B qui vend à des grands comptes en EU :
- SOC 2 Type II : couverture sécurité opérationnelle.
- AI Act : conformité IA si systèmes haut risque.
- CRA : conformité produit logiciel.
- ISO 27001 + ISO 42001 : socles ISO si nécessaire pour un acheteur spécifique.
C'est ce qui fait que les missions de certification chez WeeSec sont rarement mono-référentiel : c'est l'ensemble qui produit la posture commerciale demandée.
