Qu'est-ce que SOC 2 Type II et pourquoi ça compte
SOC 2 (Service Organization Control 2) est un référentiel d'audit de l'AICPA (American Institute of Certified Public Accountants), structuré autour des Trust Services Criteria (TSC) :
- Security (obligatoire — common criteria CC1 à CC9).
- Availability (optionnel selon contexte).
- Confidentiality (optionnel).
- Processing Integrity (optionnel).
- Privacy (optionnel — porté par l'AICPA Privacy Framework).
Type II (vs Type I) signifie que les contrôles sont audités sur 6 à 12 mois d'observation effective — c'est la version exigée par les clients enterprise. Type I est un constat à un instant T (peu valorisé).
SOC 2 Type II est devenu le standard de fait pour les SaaS B2B vendant aux États-Unis ou à des entreprises Fortune 500 / Global 2000. La majorité des appels d'offres SaaS aux US listent SOC 2 Type II en exigence dès qu'il y a manipulation de données client.
ISO 27001 vs SOC 2 — quelle différence et quel choix ?
Les deux sont complémentaires mais répondent à des publics différents :
| Critère | ISO 27001 | SOC 2 Type II |
|---|---|---|
| Origine | Norme internationale (ISO/IEC) | Standard américain (AICPA) |
| Validité | 3 ans avec audits annuels | Rapport sur période 6-12 mois |
| Document final | Certificat | Rapport d'audit (40-80 pages) |
| Périmètre | Système de management de la sécurité | Contrôles opérationnels selon TSC |
| Public cible | Europe + global | États-Unis, multinationales |
| Coût initial | 80-150 K€ | 60-120 K€ |
| Coût récurrent annuel | 25-40 K€ | 30-50 K€ (audit annuel obligatoire) |
Stratégie recommandée pour SaaS B2B : ISO 27001 d'abord (fondation ISMS), puis SOC 2 Type II à 6 mois (le rapport étant basé sur des contrôles déjà ISO 27001-compliants à 70-80%). Beaucoup de SaaS B2B européens visant l'enterprise obtiennent les deux.
Méthode WeeSec d'accompagnement SOC 2
Phase 1 — Gap analysis (3 semaines). Cartographie de votre situation vs les 5 TSC + 9 Common Criteria (CC1-CC9). Score de maturité par contrôle, identification des écarts, priorisation. Choix du périmètre (Security uniquement ou élargi à Availability/Confidentiality/Privacy).
Phase 2 — Mise en place des contrôles (3 à 5 mois). Documentation : politique de sécurité, gestion des accès, gestion des incidents, gestion des changements, supplier management. Mise en place opérationnelle : MFA partout, vulnerability management, monitoring, alerting, gestion des sauvegardes, plan de continuité. Outillage GRC pour la collecte de preuves (Drata, Vanta, Secureframe — selon votre choix).
Phase 3 — Période d'observation (6 mois minimum). Tous les contrôles sont opérés en réel pendant la période d'observation. Collecte automatique des preuves (snapshots mensuels de l'état des contrôles). Audit interne à mi-parcours pour identifier les contrôles défaillants.
Phase 4 — Audit AICPA (1 à 2 mois). Sélection de l'auditeur SOC 2 (cabinet d'audit accrédité AICPA). Préparation des preuves, walk-through des contrôles, gestion des findings. Délivrance du rapport SOC 2 Type II.
Articulation avec ISO 27001 et NIS2
ISO 27001 → SOC 2 : 70-80% des contrôles SOC 2 sont déjà couverts par un ISMS ISO 27001 mature. La progression naturelle est ISO 27001 d'abord, puis SOC 2 Type II en 6-9 mois supplémentaires.
SOC 2 → NIS2 : SOC 2 ne suffit pas pour NIS2 (la directive impose des obligations spécifiques : notification d'incident dans les 24h, responsabilité personnelle des dirigeants, gestion de la chaîne d'approvisionnement TIC). WeeSec couvre les deux dans une démarche unifiée.
SOC 2 → DORA : pour les SaaS servant des entités financières européennes, DORA s'ajoute en plus de SOC 2 (obligations contractuelles Article 30, TLPT pour les entités significatives). WeeSec articule SOC 2 et DORA.
Combien ça coûte ?
Pour un SaaS B2B de 30 à 100 personnes en France, le coût total cycle initial SOC 2 Type II est de 60 à 120 K€ sur 9 à 12 mois :
- Accompagnement WeeSec : 35-60 K€ (gap analysis + mise en place + audit interne + préparation audit).
- Audit AICPA externe : 15-25 K€ (auditeur certifié, environ 5-7 K€ pour la phase 1, 10-18 K€ pour la phase 2 et le rapport).
- Outillage GRC (Drata, Vanta, Secureframe) : 5-15 K€/an.
- Temps interne : 0,3-0,5 ETP sur 12 mois.
Coûts récurrents annuels ensuite : 30-50 K€/an (audit annuel obligatoire + outillage + 0,1-0,2 ETP de maintenance).
Une approche bundle ISO 27001 + SOC 2 sur 18 mois est souvent la plus efficace économiquement (économie de 30-40% vs deux démarches séparées).
