Solutions · Éditeurs de logiciels et prestataires IT
Quiconque propose des logiciels, des services cloud ou de l’exploitation informatique est évalué avant chaque contrat important. Questionnaires, certificats, rapports d’audit, clauses contractuelles. S’y ajoute NIS2 pour les fournisseurs de cloud, les centres de données et les fournisseurs de services managés. Sightadel vous guide à travers ISO 27001, SOC 2 et le C5 de l’Office fédéral de la sécurité des technologies de l’information (BSI), rassemble les preuves sur toute la période d’audit et présente votre état dans le Trust Center.
Situation de départ
Pour les éditeurs de logiciels et les prestataires IT, la sécurité de l’information fait partie du produit. Les clients vous confient des données, des accès ou des processus métier entiers. Avant de le faire, ils veulent savoir comment vous les traitez. Cela se voit dans la vente : les achats envoient un questionnaire de sécurité de cent questions, le service juridique exige des annexes au contrat, l’informatique du client veut voir certificats et rapports.
Les questions sont presque toujours les mêmes, seulement formulées autrement. Pourtant, beaucoup de fournisseurs répondent à chaque questionnaire à la main, avec des contributions du développement, de l’exploitation et de la direction. Cela coûte du temps qui manque au produit, et des réponses contradictoires apparaissent. Un certificat ou un rapport d’audit raccourcit ces échanges, sans les supprimer complètement.
La bonne preuve dépend des clients. Sur le marché germanophone et européen, l’ISO 27001 est la référence habituelle. Les clients aux États-Unis demandent un SOC 2. Le secteur de la santé et le secteur public attendent des fournisseurs de cloud une attestation selon le C5 du BSI. Avec le temps, beaucoup de fournisseurs ont besoin de plusieurs de ces preuves. En les construisant sur une base commune, on ne fait l’essentiel du travail qu’une seule fois.
Pourquoi maintenant
Le contrat est à portée de main, mais les achats exigent un certificat ou un rapport d’audit. Sans preuve, la signature est retardée ou échoue complètement. L’échéance figure souvent déjà dans l’offre.
Les clients américains demandent presque toujours un rapport SOC 2. Un certificat ISO est souvent reconnu, mais ne répond pas à toutes les questions de leurs services de sécurité.
Les acheteurs publics et les acteurs du secteur de la santé demandent le C5 du BSI pour les services cloud. Pour le traitement de données de santé dans le cloud, une attestation à jour est une condition préalable.
Les fournisseurs de cloud, les centres de données et les fournisseurs de services managés font partie des secteurs hautement critiques de la loi allemande sur le BSI (BSIG). À partir d’une taille moyenne, ce sont des entités importantes, à partir d’une grande taille des entités essentielles.
Même si vous n’êtes pas vous-même concerné, les exigences vous parviennent par vos clients. Banques, assureurs et entreprises soumises à NIS2 doivent évaluer leurs prestataires et les engager contractuellement.
Les investisseurs et les acheteurs examinent la sécurité de l’information des éditeurs de logiciels lors de la due diligence. Un SMSI tenu à jour répond à ces questions sans heures supplémentaires.
Frameworks pertinents
Résumé avec nos propres mots, sans valeur de conseil juridique. Seul le texte original dans sa version en vigueur fait foi.
La référence en sécurité de l’information sur le marché européen et la base commune de toutes les autres preuves. Le certificat d’un organisme accrédité est valable trois ans, avec des audits de surveillance annuels. Pour beaucoup de fournisseurs, c’est le premier objectif.
Voir le framework →Demandé dès que s’ajoutent des clients aux États-Unis ou des groupes internationaux. Le Type I décrit la conception des contrôles à une date donnée, le Type II leur efficacité sur une période. Le rapport est établi par un cabinet d’expertise comptable américain (CPA). Avec un SMSI ISO 27001 existant, une grande partie des contrôles est déjà en place.
Voir le framework →Pour les fournisseurs de cloud dont les clients viennent du secteur de la santé, du secteur public ou de secteurs réglementés. Depuis le printemps 2026, c’est le C5:2026 qui s’applique. Pour les périodes d’audit commençant à partir du 1er juin 2027, seule la nouvelle version est admise. L’attestation est délivrée par un auditeur indépendant (expert-comptable) selon ISAE 3000.
Voir le framework →Les fournisseurs de services cloud et de centres de données relèvent de l’infrastructure numérique, les fournisseurs de services managés et de services de sécurité managés de la gestion des services TIC. Les deux secteurs figurent à l’annexe 1 de la BSIG. Les places de marché en ligne, les moteurs de recherche et les réseaux sociaux sont couverts à l’annexe 2 en tant que fournisseurs de services numériques. Certains services y sont soumis indépendamment de leur taille.
Voir le framework →Quiconque traite des données personnelles pour le compte de clients est sous-traitant. Cela implique des accords de sous-traitance (art. 28 RGPD), une liste des sous-traitants ultérieurs, des mesures techniques et organisationnelles (MTO) et une procédure en cas de violation de données qui informe aussi les clients à temps.
Voir le framework →Pour les fournisseurs dont le produit intègre des fonctions d’IA. Les clients demandent de plus en plus comment les modèles sont choisis, les données utilisées et les risques évalués. Un système de management selon ISO/IEC 42001 repose sur la même structure que l’ISO 27001.
Voir le framework →Ordre recommandé
Quels clients voulez-vous gagner, et qu’exigent-ils ? L’ordre en découle. Le plus souvent, l’ISO 27001 est la première étape, SOC 2 ou C5 suivent. En parallèle, vous vérifiez si votre activité relève de NIS2.
Quel produit, quels environnements, quels sites et quels sous-traitants en font partie ? Pour SOC 2 et C5, la description du système en découle. Un périmètre restreint et bien justifié vaut mieux qu’un périmètre large qui n’est pas appliqué.
Analyse de risques, politiques, gestion des accès, développement sécurisé, gestion des changements, journalisation, sauvegarde des données et traitement des incidents. Beaucoup de ces pratiques existent depuis longtemps dans le développement et l’exploitation et n’ont besoin que d’un justificatif daté.
Pour le SOC 2 Type II et le C5 de type 2, ce qui compte, c’est que les contrôles aient été efficaces pendant des mois. Revues des accès, arrivées, départs et changements nécessitent des justificatifs en continu. Si vous ne rassemblez qu’à l’approche de l’audit, vous ne couvrez pas la période.
Le certificat ISO est délivré par un organisme de certification accrédité, le rapport SOC 2 par un cabinet CPA, l’attestation C5 par un auditeur indépendant (expert-comptable). Les auditeurs reçoivent dans Sightadel leur propre rôle, sans droit de suppression.
Certificats, politiques approuvées, mesures de sécurité et sous-traitants figurent sur une page dédiée. La vente y renvoie au lieu de répondre à chaque questionnaire depuis le début.
Priorité
Pour les éditeurs de logiciels et les prestataires IT, les questionnaires de sécurité font partie de la vente. On ne peut pas les supprimer, mais on peut y répondre bien plus vite.
Les réponses aux questions typiques des clients se trouvent déjà dans le SMSI : où sont les serveurs, qui y a accès, comment les données sont chiffrées, à quelle fréquence elles sont sauvegardées, comment les incidents sont notifiés. Une fois ces réponses vérifiées et prouvées, personne n’a besoin de les reformuler.
Dans le Trust Center, vous présentez certificats, résumés de politiques, mesures de sécurité et sous-traitants. Les éléments confidentiels comme les rapports d’audit ou les schémas réseau ne sont partagés que sur demande.
Hébergement, envoi d’e-mails, supervision, outils de support. Les clients veulent savoir qui d’autre voit leurs données. Le module Fournisseurs gère vos sous-traitants avec évaluation et preuves, le Trust Center affiche la liste à jour.
Certains clients envoient leurs propres référentiels d’exigences, qui reviennent régulièrement. Vous les modélisez sous forme de framework personnalisé, y compris par import depuis Excel ou Word, et reliez les preuves existantes au lieu de les rechercher à nouveau.
Comment Sightadel vous aide
Une page dédiée avec frameworks, documents approuvés, mesures de sécurité et sous-traitants. Les achats de vos clients trouvent eux-mêmes les réponses, au lieu d’attendre un questionnaire rempli.
En savoir plus →ISO 27001, SOC 2 et C5 sont traités contrôle par contrôle. Là où les exigences se recoupent, une preuve est rattachée à plusieurs frameworks, par exemple la revue des accès à ISO 27001 et SOC 2 en même temps.
En savoir plus →Les justificatifs portent une date, une version et une date d’expiration. Les contrôles récurrents fonctionnent en cycle ; Sightadel vous rappelle avant qu’une échéance de la période d’audit ne soit dépassée.
En savoir plus →Hébergeurs, plateformes cloud et autres sous-traitants sont suivis avec leur criticité, leur questionnaire et leurs preuves, date de validité comprise. La liste du Trust Center en est alimentée.
En savoir plus →Sightadel examine la surface d’attaque de vos domaines visible de l’extérieur et présente chaque problème avec des instructions de correction. C’est exactement cette vue qu’utilisent aussi les clients lorsqu’ils vous évaluent de l’extérieur.
En savoir plus →Vous créez les référentiels propres aux clients et les exigences internes sous forme de framework personnalisé. Les fichiers Excel et Word existants peuvent être importés.
En savoir plus →Regard extérieur
Presque aucun questionnaire de sécurité ne fait l’impasse sur la question de la fréquence à laquelle vous analysez vos applications à la recherche de vulnérabilités et de la date du dernier test d’intrusion. Avec veyrisk, nous proposons les contrôles correspondants. Vous déposez les rapports et les constats corrigés comme preuve dans Sightadel et les partagez si nécessaire via le Trust Center.
Éditeurs de logiciels, fournisseurs de cloud et de services managés
Les contrôles peuvent être commandés indépendamment de votre licence Sightadel. Vous recevez l’offre après un bref entretien.
Demander un conseilEffort et durée
Ces fourchettes sont des valeurs d’expérience, pas un engagement. Les facteurs les plus déterminants sont la taille du périmètre, le nombre de sous-traitants et le temps que le développement et l’exploitation peuvent y consacrer en plus du travail sur le produit.
Ce que vous souscrivez · généralement Professional
Un éditeur SaaS typique, avec des clients en Europe et aux États-Unis, pilote ISO 27001 et SOC 2 dans l’édition Professional. Elle comprend dix utilisateurs, dix actifs et 25 fournisseurs. Si ISO 27001 fait partie de la licence, SOC 2 bénéficie d’une remise permanente. Les petites équipes avec un seul produit se contentent souvent de Basic. Vous ajoutez le BSI C5 lorsque des clients l’exigent.
Licence par framework, durée minimale d’un an, paiement mensuel ou annuel. Tous les prix, remises et un simulateur se trouvent sur la page des tarifs. Les honoraires d’un organisme de certification ou d’audit s’ajoutent séparément.
Questions et réponses
Plus de réponses dans la FAQ ou directement via notre formulaire de contact.
Par la preuve que vos principaux clients exigent. Pour les clients en Allemagne et en Europe, c’est généralement l’ISO 27001, pour les clients aux États-Unis le SOC 2. Si vous servez les deux marchés, vous commencez souvent par l’ISO 27001, car le SMSI constitue la base du SOC 2. Dans Sightadel, les deux frameworks utilisent les mêmes preuves.
La part dont vous êtes responsable. Le centre de données et la sécurité physique sont couverts par le fournisseur de cloud avec ses propres certificats et rapports. Configuration, accès, sécurité applicative, sauvegarde des données et traitement des incidents relèvent de vous. Vous déposez les preuves du fournisseur dans le module Fournisseurs et y faites référence.
Cela dépend de la qualification de votre service et de la taille de votre entreprise. Les services d’informatique en nuage, les centres de données et les services managés figurent à l’annexe 1 de la loi allemande sur le BSI (BSIG), les places de marché en ligne, les moteurs de recherche et les réseaux sociaux à l’annexe 2. Tout logiciel fourni en tant que service n’est pas automatiquement un service d’informatique en nuage au sens de la loi. La qualification est une question juridique à traiter avec votre conseil.
À partir d’une taille moyenne, vous êtes vous-même concerné, avec enregistrement auprès du BSI, gestion des risques, obligations de notification et responsabilité de la direction. Vos accès aux systèmes des clients sont particulièrement surveillés, car une attaque contre vous touche de nombreux clients à la fois. En outre, vos clients exigent des preuves, parce qu’ils doivent évaluer leur chaîne d’approvisionnement.
Il retire du processus les questions récurrentes. Le temps gagné dépend de vos clients ; nous n’avançons pas de chiffre forfaitaire. L’expérience montre que quelques questions individuelles subsistent. Les questions standard sur les certificats, l’hébergement, le chiffrement et les sous-traitants, le client les trouve lui-même.
L’attestation reste valable. Pour les périodes d’audit commençant à partir du 1er juin 2027, seul le C5:2026 est admis. Planifiez le travail sur les écarts suffisamment tôt avant la prochaine période d’audit. Dans Sightadel, vous associez les mesures existantes aux nouveaux critères et voyez ce qui est nouveau ou renforcé.
Ils travaillent en tant que Contributor uniquement sur leurs tâches et y téléversent des justificatifs, par exemple un extrait du pipeline ou un compte rendu de la revue des accès. Il n’existe pas de connexion aux outils de développement. Ceux qui ont besoin d’une vue plus large voient dans le tableau de bord l’état de tous les frameworks.
14 jours, accès complet, sans données de paiement. Tout ce que vous créez est conservé dans l’offre payante.
