ISO 27001 comme critère de sélection pour les partenaires d'automatisation : Ce que le certificat prouve réellement et ce que les entreprises de taille moyenne doivent vérifier à la place.
Quiconque confie à un partenaire externe l'automatisation de la réception des factures, du CRM ou de la gestion des candidatures lui donne inévitablement accès à des données sensibles : enregistrements de clients, chiffres financiers, parfois aussi dossiers personnels. La question "le prestataire est-il certifié ISO 27001" apparaît donc de plus en plus souvent dans les appels d'offres et les premiers entretiens. Cependant, beaucoup d'entreprises de taille moyenne ne savent pas exactement ce que le certificat prouve et ce qu'il ne couvre pas. Cet article clarifie ce qui compte réellement lors du choix d'un partenaire d'automatisation.
ISO/IEC 27001:2022 établit les exigences d'un système de gestion de la sécurité de l'information (SMSI) et n'est donc pas un sceau pour un outil unique, mais une preuve de processus systématiques et régulièrement vérifiés dans toute l'entreprise. L'annexe A de la norme contient 93 contrôles dans quatre catégories : 37 mesures organisationnelles, 8 mesures liées aux personnes, 14 mesures physiques et 34 mesures technologiques, comme l'analyse spécialisée de secjur le montre pour la version actuelle. La version précédente de 2013 contenait encore 114 contrôles, la réduction à 93 s'est accompagnée d'une structure plus claire et de onze nouvelles mesures, par exemple pour la sécurité du cloud et la surveillance des activités.
Il existe deux voies vers la certification : de manière native selon ISO/IEC 27001:2022 avec libre choix de la méthodologie, ou sur la base de la protection IT fondamentale selon la méthodologie de l'Office fédéral allemand de la sécurité de l'information (BSI, normes 200-1 à 200-4). Selon les deux voies mènent à BSI au certificat ISO-27001 reconnu internationalement, la voie de protection fondamentale est documentée publiquement dans le schéma de certification BSI et les certificats délivrés peuvent y être consultés. Pour le choix d'un partenaire, c'est pertinent car les deux voies sont considérées comme équivalentes, mais peuvent être vérifiées avec des degrés de détail différents.
Le dommage total causé par le vol de données, l'espionnage et le sabotage dans l'économie allemande s'élevait en 2025 à 289,2 milliards d'euros, dont selon Bitkom-Studie Wirtschaftsschutz 2025 202,4 milliards d'euros (70 pour cent) sur les cyberattaques. 34 pour cent des entreprises interrogées ont été victimes de rançongiciels, près de trois fois plus qu'en 2022. Un bot RPA, un flux de travail n8n ou un agent Copilot a besoin d'identifiants d'accès et d'accès API à ERP, CRM ou DATEV pour automatiser. Si le partenaire d'automatisation lui-même est compromis, c'est un accès direct aux systèmes du client. La sécurité informatique du partenaire n'est donc pas une affaire formelle mineure, mais une véritable extension de votre propre surface d'attaque.
Un certificat présenté seul ne dit pas grand-chose sans que la validité et le champ d'application (scope) soient vérifiés. Quatre points en valent vraiment la peine :
Important pour les attentes : à la fin 2022, seules environ 1 582 entreprises en Allemagne étaient certifiées ISO 27001, selon les chiffres de Statista le montrent, parmi quelque 3,1 millions d'entreprises au total. Un certificat manquant n'est donc pas un critère d'exclusion automatique pour un partenaire d'automatisation compétent, mais il déplace la charge de la preuve vers d'autres preuves tout aussi vérifiables.
Sans certificat ISO-27001, un contrat de traitement des données propre conformément à l'art. 28 RGPD et des mesures techniques et organisationnelles documentées (TOMs) sont le minimum que tout partenaire d'automatisation sérieux doit pouvoir fournir. Le contrat de traitement des données est de toute façon obligatoire dès que des données personnelles sont traitées, indépendamment de toute certification. En complément, il vaut la peine de demander où sont situés les serveurs (Allemagne ou UE), quels sont les concepts d'accès pour les automatisations individuelles et si les incidents passés ont été documentés et signalés.
NordFlux non plus ne se présente pas face aux clients avec son propre certificat ISO-27001, mais avec un contrat de traitement des données par client, des TOMs documentés et une conservation des données dans des centres de données allemands ou européens. C'est exactement cette transparence, pas seulement un sceau, qui est le critère que nous recommandons aux entreprises de taille moyenne pour le choix de tout partenaire d'automatisation. Ces questions font donc partie de chaque Conseil en IA avant le premier projet, car elles concernent exactement l'intégration d'interfaces par lesquelles les données sensibles circulent.
De Simon Glowik, publié le 9 juillet 2026.
Pour la plupart des secteurs, non. Ce n'est que dans les domaines réglementés comme les entreprises d'infrastructure critique (KRITIS) ou certaines parties du secteur financier qu'une certification peut être effectivement exigée. Pour les entreprises de taille moyenne, ISO 27001 est aujourd'hui plutôt une exigence du client de plus en plus courante qu'une obligation légale.
C'est la voie de certification alternative via la méthodologie BSI au lieu du libre choix de la méthodologie. Un auditeur agréé par le BSI examine les documents de référence et effectue un audit sur place, le BSI décide ensuite de la délivrance du certificat ISO-27001.
Une certification sur la base de la protection IT fondamentale est valide trois ans, après quoi une recertification est nécessaire. Des audits de surveillance annuels ont lieu entre les deux. Il vaut donc la peine de demander la date du dernier audit, pas seulement le certificat lui-même.
Une simple auto-déclaration sans substance ne suffit pas. Un contrat de traitement des données solide conformément à l'art. 28 RGPD et des mesures techniques et organisationnelles documentées sont le minimum que tout partenaire d'automatisation devrait pouvoir fournir indépendamment d'une certification ISO.
Pour les certificats basés sur la protection IT fondamentale, la délivrance peut être vérifiée dans la liste publique des certificats du BSI. Pour les certificats ISO-27001 natifs, un examen de l'accréditation de l'organisme de certification qui les délivre, par exemple auprès de l'Organisme allemand d'accréditation (DAkkS), ou une demande directe auprès de l'organisme peut aider.
NordFlux construit des employés numériques pour les organisations : des automatisations et des agents KI qui prennent en charge le travail répétitif. Vous gardez le contrôle.
Automatisation boîte noire signifie : aucune traçabilité, aucun modèle d'escalade, aucune documentation. Ce n'est pas ainsi que nous travaillons chez NordFlux.
Sept questions qui distinguent un partenaire sérieux d'un simple vendeur de logiciels, de la souveraineté des données à la neutralité des outils, jusqu'à savoir qui possède finalement la solution.
La crainte légitime de la dépendance : comment une automatisation est transférée pour que votre équipe la comprenne, l'utilise et l'adapte elle-même en cas de besoin.
Une certification à elle seule en dit peu sur la façon dont un partenaire d'automatisation gère réellement vos données et vos accès. Nous exposons ouvertement nos mesures de sécurité et vous montrons, lors d'un échange, quelles preuves attestent d'une sécurité solide même sans certification ISO 27001.
