L'atelier sécurité
Le moment arrive toujours au même endroit du cycle de vente. La partie technique est passée, l'architecture tient, l'équipe plaît. Puis on vous installe en face du RSSI et la conversation change de nature.
La question qu'on m'a posée n'était pas « êtes-vous certifiés ISO 27001 ». C'était « montrez-moi comment vous travaillez ».
La nuance compte. Un client certifié n'a pas besoin que vous le soyez. Il a besoin de prouver à son auditeur qu'il maîtrise ce que vous faites de ses données. C'est son certificat qui est sur la table, pas le vôtre.
Beaucoup de prestataires ratent cette marche. Ils préparent une réponse commerciale à une question d'audit.
Vous êtes une mesure dans leur système
Voilà le renversement.
L'annexe A de la norme contient une mesure appelée A.8.30, Développement externalisé. De leur côté de la table, le développement externalisé, c'est vous. Quand l'auditeur ouvre cette ligne, il ne lit pas votre plaquette commerciale. Il regarde vos revues de code, vos tests de sécurité, votre cycle de développement.
Votre SDLC est leur preuve d'audit. Pas de traces chez vous, pas de preuve chez eux.
Cinq mesures de l'annexe A portent spécifiquement sur les fournisseurs :
- A.5.19 Sécurité de l'information dans les relations avec les fournisseurs
- A.5.20 Prise en compte de la sécurité de l'information dans les accords conclus avec les fournisseurs
- A.5.21 Gestion de la sécurité de l'information dans la chaîne d'approvisionnement TIC
- A.5.22 Surveillance, revue et gestion des changements des services fournisseurs
- A.5.23 Sécurité de l'information pour l'utilisation de services en nuage
Petit piège de notation, qui trahit immédiatement ceux qui recopient sans lire : la norme 27001 écrit A.5.19, avec le préfixe de l'annexe. La 27002, qui donne les recommandations de mise en œuvre, écrit 5.19 sans préfixe. On ne peut d'ailleurs pas être certifié sur la 27002, elle explique le comment, elle ne s'audite pas.
Ce que le client doit démontrer se résume à quatre choses : qu'il vous a évalué avant de signer, que le contrat couvre les bons sujets, qu'il surveille la prestation dans la durée, et que ses exigences descendent jusqu'à vos propres sous-traitants.
Le sujet qui bloque vraiment
Sur nos dossiers, la sécurité applicative n'est jamais ce qui coince. C'est le RGPD.
L'équipe est à Rabat, le client est en Europe. Réponse réflexe du prestataire : « les données restent dans l'UE, le code est simplement écrit au Maroc ».
Cette réponse ne tient pas. Les lignes directrices 05/2021 du CEPD sont explicites : un accès distant depuis un pays tiers constitue un transfert, même s'il se limite à afficher des données personnelles sur un écran, y compris en support ou en administration. Le transfert ne se mesure pas à l'endroit où le disque est branché. Il se mesure à qui peut voir quoi, et depuis où.
Hébergement européen : excellente mesure de réduction du risque. Réponse au chapitre V : non.
Il faut donc une base légale. Le Maroc ne figure pas sur la liste des décisions d'adéquation de la Commission européenne. La base est l'article 46(2)(c), les clauses contractuelles types de la décision (UE) 2021/914.
Et ici, le détail que presque tout le monde rate : le module. Beaucoup de prestataires signent le module 2, responsable de traitement vers sous-traitant. Dans une structure comme la nôtre, l'entité belge est déjà sous-traitante et l'entité marocaine est sous-traitante ultérieure. C'est le module 3, sous-traitant vers sous-traitant.
Signer le mauvais module, c'est produire un document qui ne décrit pas la relation qu'il est censé encadrer.
Dernier point sur ce volet. L'analyse d'impact du transfert n'est pas une bonne pratique optionnelle. La clause 14(d) des CCT engage les parties à documenter l'évaluation et à la tenir à disposition de l'autorité de contrôle sur demande. C'est contractuel. Si vous avez signé, vous la devez.
Côté marocain, la loi 09-08 reste le cadre en vigueur et encadre elle aussi les transferts vers l'étranger, par ses articles 43 et 44. Elle ne crée pas d'adéquation et ne dispense pas des CCT. Elle pèse en revanche favorablement dans l'évaluation prévue par la clause 14.
Les données de test, là où ça fait mal
La mesure A.8.33 porte sur les informations de test. C'est celle qui change le plus les habitudes d'une équipe.
Pas de données personnelles de production en développement ni en recette. Jamais. La tentation est permanente, parce qu'un jeu de données réel reproduit des cas que rien d'autre ne reproduit.
Ce qu'on met à la place :
- des données synthétiques générées pour couvrir les cas limites
- de la pseudonymisation et du masquage quand il faut des structures réalistes, ce que couvre la mesure A.8.11
- la clé de ré-identification conservée uniquement chez l'exportateur européen
- une procédure de bris de glace pour le support en production, tracée et bornée dans le temps
Ce dernier point n'est pas cosmétique. Les recommandations 01/2020 du CEPD retiennent la pseudonymisation, avec conservation de la clé dans l'EEE, comme mesure supplémentaire recevable. C'est la sortie technique du dossier transfert, et elle se construit dans le code, pas dans le contrat.
L'horloge des 72 heures ne vous appartient pas
Erreur fréquente, facile à éviter.
L'article 33(1) impose au responsable de traitement de notifier l'autorité de contrôle dans les 72 heures. Ce délai n'est pas le vôtre. L'article 33(2) vous impose, comme sous-traitant, d'alerter le responsable dans les meilleurs délais, sans aucune durée chiffrée dans le règlement.
Deux conséquences pratiques.
Le délai de 24 heures qu'on vous fera signer est contractuel, pas légal. Négociez-le en sachant cela.
Et les lignes directrices 9/2022 du CEPD précisent que le responsable est réputé informé dès l'instant où vous l'avez averti. Votre retard se déduit de ses 72 heures. Elles ajoutent que le sous-traitant n'a pas à évaluer d'abord la probabilité du risque avant de notifier. Vous signalez, ils qualifient.
Ce qu'on peut dire quand on n'est pas certifié
Voilà la partie où beaucoup de prestataires se brûlent.
JADEV n'est pas certifié ISO 27001 à ce jour. C'est un objectif engagé, avec un calendrier. En attendant, il y a des phrases qu'on ne prononce pas.
À proscrire :
- « certifié ISO 27001 » quand on ne l'est pas
- « conforme ISO 27001 » sans qualification, la conformité étant ce qu'un organisme accrédité atteste
- le logo ISO, dont l'ISO n'autorise l'usage par personne en lien avec une certification, l'organisation ne certifiant d'ailleurs pas elle-même
- « couvert par la certification de notre client », qui ne correspond à aucune notion formelle
Ce n'est pas de la prudence excessive. La directive 2006/114/CE sur la publicité trompeuse entre professionnels vise explicitement les allégations portant sur les qualifications et les distinctions de l'annonceur. Et un certificat se vérifie en quelques secondes sur la base IAF CertSearch.
Défendable, du plus fort au plus faible :
- « Nous exploitons un ensemble de mesures de sécurité aligné sur l'annexe A de la norme ISO/IEC 27001:2022. Nous ne sommes pas certifiés. »
- « Nous tenons une déclaration d'applicabilité couvrant les 93 mesures de l'annexe A, communicable sous accord de confidentialité. »
- « aligné sur » seul : non trompeur, mais sans définition et sans valeur probante. En complément, jamais comme argument principal.
En atelier sécurité, c'est la première formulation qui fonctionne. Elle dit ce qu'on fait, elle dit ce qu'on n'a pas, et elle laisse l'auditeur vérifier.
Le certificat, c'est le travail intérieur du client. Le vôtre, c'est de lui donner de quoi le défendre.
Sources
- ISO/IEC 27001:2022, Systèmes de management de la sécurité de l'information, 3e édition, octobre 2022 : iso.org/standard/27001
- ENISA, Technical Implementation Guidance on cybersecurity risk management measures, v1.0, 26 juin 2025, qui cartographie les mesures A.5.19 à A.5.23 : enisa.europa.eu
- Déclaration d'applicabilité publiée par Euronext Clearing, rév. 4.0, juin 2025, exemple public reprenant les 93 intitulés de l'annexe A : euronext.com
- Commission européenne, décisions d'adéquation, liste à jour : commission.europa.eu
- Décision d'exécution (UE) 2021/914 du 4 juin 2021, clauses contractuelles types, modules et clause 14 : eur-lex.europa.eu
- CEPD, lignes directrices 05/2021 sur l'articulation entre l'article 3 et le chapitre V, v2.0, 14 février 2023 : edpb.europa.eu
- CEPD, recommandations 01/2020 sur les mesures supplémentaires, v2.0, 18 juin 2021 : edpb.europa.eu
- CEPD, lignes directrices 9/2022 sur la notification de violation, v2.0, 28 mars 2023 : edpb.europa.eu
- Règlement (UE) 2016/679, articles 28, 32, 33, 34 et 44 à 46 : eur-lex.europa.eu
- ISO, page officielle sur la certification et l'usage du logo : iso.org/certification.html
- IAF CertSearch, vérification des certificats accrédités : iafcertsearch.org
- Directive 2006/114/CE en matière de publicité trompeuse et de publicité comparative : eur-lex.europa.eu
- CNDP, formalités et régime de transfert des articles 43 et 44 de la loi 09-08 : cndp.ma