ISO 270187 min de lecture
Obtenir la certification ISO 27018 : marche à suivre pour PME
Comment obtenir la certification ISO 27018 pour votre service cloud : rôle, preuves à réunir, auto-évaluation en ligne et vérification du certificat.
Par Fabio Sestito, Directeur général SICE, expert et auditeur pour ISO 27001, 9001 et 20000-1
Pour obtenir la certification ISO 27018, vous montrez que votre service cloud protège les données personnelles de vos clients selon les mesures de la norme. Chez Zertify, cela passe par une auto-évaluation en ligne, examinée par un membre du SICE Certification Board, puis par l'émission du certificat dans les 4 heures qui suivent une évaluation réussie et le paiement.
Cet article décrit ce que la norme attend de vous, les documents à réunir avant de commencer et le déroulement concret de la démarche.
Ce que demande la norme ISO 27018:2025
ISO 27018 est un code de bonnes pratiques pour la protection des données personnelles dans les services cloud publics. Elle s'adresse au prestataire qui traite ces données pour le compte de ses clients. La description officielle se trouve sur la page ISO de la norme. Elle complète les mesures de sécurité de l'information généralement connues par ISO 27001 et ISO 27002 avec des mesures propres aux données personnelles.
Concrètement, la norme pose des questions que vos clients vous posent déjà dans leurs questionnaires fournisseurs :
- Traitez-vous les données uniquement selon les instructions du client, et jamais pour votre propre publicité ?
- Le client sait-il quels sous-traitants interviennent et dans quels pays les données sont hébergées ?
- Que se passe-t-il à la fin du contrat : restitution, suppression, délais ?
- Comment réagissez-vous si une autorité demande l'accès aux données ?
- Comment le client est-il informé d'un incident touchant ses données ?
- Votre personnel est-il tenu à la confidentialité, et qui a accès à quoi ?
La norme ne remplace ni la loi suisse sur la protection des données ni le RGPD. Elle fournit un cadre structuré pour documenter et prouver ce que vous faites.
Qui a intérêt à l'obtenir
Le certificat concerne les entreprises qui hébergent, stockent ou traitent des données de tiers dans le cloud. Une agence qui exploite un outil de gestion de projets pour ses clients en fait partie. Un éditeur de logiciel en ligne aussi, tout comme un prestataire d'hébergement ou de sauvegarde, ou une start-up qui propose une application métier en abonnement.
Le déclencheur est presque toujours le même : un appel d'offres, un service achat ou un audit client exige une preuve de votre niveau de protection des données. Une réponse libre dans un questionnaire convainc moins qu'un certificat que le client peut vérifier lui-même.
Si vous n'êtes qu'utilisateur de services cloud, sans traiter de données pour d'autres, la norme vous concerne moins. Dans ce cas, vérifiez d'abord ce que votre client demande réellement.
Les étapes pour obtenir la certification
1. Définir votre rôle et le périmètre
Commencez par établir si vous agissez comme sous-traitant des données de vos clients. Si vous décidez vous-même des finalités du traitement, votre rôle est différent et les exigences aussi. Fixez ensuite le périmètre : quel service, quels sites, quelles équipes.
Un périmètre trop large retarde tout. Un service cloud précis, bien décrit, se documente plus vite qu'une entreprise entière.
2. Cartographier les données et les flux
Notez quelles catégories de données personnelles passent par votre service : adresses e-mail, données de clients finaux, fichiers téléversés, journaux d'accès. Pour chacune, indiquez où elle est stockée, qui y accède, quels sous-traitants la touchent et combien de temps elle est conservée.
Ce tableau sert de base à presque toutes les réponses de l'évaluation. Une feuille de calcul suffit.
3. Réunir les règles et les preuves existantes
Vous avez probablement déjà plus que vous ne le pensez : contrat de sous-traitance, conditions générales, politique de confidentialité, procédure de gestion des incidents, règles d'accès, plan de sauvegarde. Rassemblez-les et repérez ce qui manque ou ce qui n'est pas appliqué comme écrit.
Le point faible le plus fréquent dans les PME est l'écart entre le document et la pratique. Un évaluateur le voit vite, et un client aussi.
4. Combler les lacunes avant l'évaluation
Corrigez ce qui manque : liste des sous-traitants communicable aux clients, délai de suppression défini, procédure écrite de notification d'incident, engagement de confidentialité signé par le personnel. Ces éléments se rédigent en quelques jours quand quelqu'un en est responsable.
Désignez une personne qui répond de la protection des données dans l'entreprise. Il peut s'agir de la direction elle-même dans une petite structure.
5. Passer l'auto-évaluation
L'auto-évaluation se fait en ligne. Vous répondez aux questions sur vos pratiques, votre organisation et vos preuves. Un membre du SICE Certification Board examine l'évaluation avant toute émission de certificat. Vous n'avez pas de visite sur site à organiser.
Checklist avant de lancer l'évaluation
Auto-évaluation ou audit sur site
La voie classique passe par un organisme de certification qui envoie des auditeurs dans vos locaux, sur plusieurs jours, avec un calendrier à caler et une facture proportionnée. Elle a du sens quand un client ou un appel d'offres l'impose expressément. Si vous hésitez entre les deux approches, le guide sur la certification ISO sans audit explique les différences.
Le certificat Zertify repose sur une auto-évaluation en ligne, sans audit sur site. Il est émis par Zertify sous licence du SICE (Swiss Institute of Certification and Education), et il est vérifiable publiquement. Avant de choisir, demandez à votre client quelle forme de preuve il attend. Dans la plupart des cas, la question est simple à poser et la réponse évite une démarche inutile.
Pour comparer les coûts des deux voies, consultez le guide sur le coût d'une certification ISO.
Comment Zertify intervient
La démarche commence sur la page de la norme, ISO 27018, qui résume le périmètre et les exigences couvertes. Les conditions financières sont détaillées sur la page des tarifs. Quand vos documents sont prêts, vous démarrez l'évaluation sur la page de démarrage.
Les questions portent sur votre organisation réelle. Vous répondez dans votre rythme, vous pouvez interrompre et reprendre. Une fois l'évaluation réussie et le paiement effectué, le certificat vous parvient en PDF avec un code QR. Ce code mène à une page de vérification publique : un acheteur ou un auditeur contrôle l'authenticité en quelques secondes, sans vous écrire.
Le certificat est valable trois ans. Chaque année, une courte ré-audit en ligne le confirme, dans le cadre d'un abonnement annuel. Ce rythme oblige à garder vos documents à jour, ce qui est aussi dans l'intérêt de votre propre sécurité.
Utiliser le certificat auprès de vos clients
Une fois le certificat en main, placez-le là où la question se pose. Joignez le PDF à vos offres et réponses aux appels d'offres. Ajoutez le lien de vérification dans votre réponse au questionnaire fournisseur. Mentionnez-le sur la page de votre service qui décrit la sécurité et la protection des données.
Gardez en tête ce que le certificat dit et ne dit pas. Il atteste que vous avez évalué et documenté vos pratiques selon ISO 27018. Il ne dispense pas de signer un contrat de sous-traitance avec chaque client, ni de respecter les obligations légales qui s'appliquent à vous.
Erreurs fréquentes à éviter
Première erreur : choisir un périmètre trop vaste. Vous passez des semaines à documenter des activités qui n'intéressent aucun client. Limitez-vous au service réellement hébergé pour des tiers.
Deuxième erreur : copier une politique trouvée en ligne sans vérifier qu'elle correspond à votre fonctionnement. Si votre texte promet une suppression sous trente jours alors que vos sauvegardes tournent six mois, l'écart apparaîtra.
Troisième erreur : oublier les sous-traitants. Votre hébergeur, votre outil d'assistance et votre service de messagerie touchent peut-être des données de clients. Ils font partie de la réponse.
Dernière erreur : laisser le dossier sans responsable. Quand personne ne tient la liste des sous-traitants à jour, elle devient fausse en six mois, bien avant la ré-audit annuelle.
Questions fréquentes
Faut-il être certifié ISO 27001 pour obtenir la certification ISO 27018 ?
ISO 27018 prolonge les mesures de sécurité de l'information de la famille ISO 27001 et 27002 avec des mesures propres aux données personnelles dans le cloud. Avoir déjà structuré votre sécurité de l'information facilite beaucoup l'évaluation, mais la démarche Zertify se fonde sur votre auto-évaluation de ISO 27018 elle-même.
Combien de temps faut-il pour obtenir le certificat ?
La préparation dépend de l'état de votre documentation. Une fois l'évaluation réussie et le paiement effectué, Zertify émet le certificat dans les 4 heures, après examen par un membre du SICE Certification Board.
Le certificat est-il vérifiable par mes clients ?
Oui. Le PDF porte un code QR qui mène à une page de vérification publique. Votre client ou son service achat peut confirmer l'authenticité du certificat sans passer par vous.
Combien de temps le certificat est-il valable ?
Il est valable trois ans. Il est confirmé chaque année par une courte ré-audit en ligne, dans le cadre d'un abonnement annuel.
ISO 27018 remplace-t-elle la conformité à la loi sur la protection des données ?
Non. La norme structure et documente vos pratiques de protection des données dans le cloud. Les obligations légales qui s'appliquent à votre entreprise, ainsi que les contrats de sous-traitance avec vos clients, restent nécessaires.
