SOC 2, ISO 27001, C5 : quelle preuve compte pour l'hôpital et l'administration ?

Qu’est-ce que SOC 2 ?

SOC 2 signifie « System and Organization Controls 2 ». La norme a été fixée par l’ordre américain des experts-comptables AICPA. Un auditeur vérifie si un prestataire a mis en place des contrôles selon les « Trust Services Criteria » : la sécurité toujours, puis, au choix, la disponibilité, l’intégrité du traitement, la confidentialité et la protection de la vie privée.

• Type I : les contrôles sont décrits et adaptés à une date donnée.
• Type II : les contrôles ont fonctionné sur une période, en général de six à douze mois.

Le résultat est un rapport, pas un certificat. Il n’est en général transmis que sous accord de confidentialité et il n’existe pas de registre public. Un badge « SOC 2 » sur un site web dit donc peu de chose : ce qui compte, c’est le rapport lui-même, sa période, les critères audités et les exceptions relevées par l’auditeur.

Une loi en Allemagne, en France ou dans l’UE exige-t-elle SOC 2 ?

Non. Ni le RGPD, ni NIS2, ni le règlement sur l’IA ne mentionnent SOC 2. SOC 2 n’est pas non plus une certification au sens de l’article 42 du RGPD.

En Allemagne, le § 393 SGB V exige pour les données de santé dans le cloud une attestation C5 à jour ; depuis le 1er juillet 2025, une attestation de Type 2. À titre transitoire, l’ordonnance d’équivalence C5 accepte trois autres preuves, chacune uniquement avec un plan d’action menant à l’attestation C5 :

• ISO/IEC 27001
• ISO 27001 sur la base de l’IT-Grundschutz
• Cloud Controls Matrix 4.0

SOC 2 ne figure pas sur cette liste.

En France, quiconque héberge des données de santé pour le compte d’un tiers doit être certifié hébergeur de données de santé (HDS), article L1111-8 du Code de la santé publique. Un rapport SOC 2 ne remplace pas cette certification.

Quelles preuves comptent alors ?

Preuve	Émetteur	Nature	Objet de l’audit	Portée
ISO/IEC 27001	ISO, international	Certificat d’un organisme accrédité	Système de management de la sécurité de l’information de l’organisation	Preuve courante ; en Allemagne, avec un plan d’action, transition selon le § 393 SGB V
BSI C5	Office fédéral allemand de la sécurité de l’information	Attestation d’un auditeur, Type 1 ou Type 2	Sécurité d’un service cloud	Exigée en Allemagne par le § 393 SGB V pour les données de santé dans le cloud
HDS	Référentiel de l’Agence du numérique en santé, France	Certificat d’un organisme accrédité	Hébergement de données de santé	Exigée en France pour héberger des données de santé pour un tiers
SOC 2	AICPA, États-Unis	Rapport d’audit d’un auditeur, Type I ou Type II	Contrôles d’un prestataire	Pas une preuve exigée

Les contrats comptent aussi : le contrat de sous-traitance selon l’article 28 du RGPD et, pour les professionnels soumis au secret en Allemagne, un accord selon le § 203 StGB. Aucun certificat ne les remplace.

SOC 2 ne vaut-il donc rien ?

Si. SOC 2 Type II est un audit sérieux mené par des auditeurs indépendants, et ses contrôles recoupent largement ISO 27001 et C5. Les auditeurs combinent souvent un audit C5 avec un audit SOC 2. Votre délégué à la protection des données peut retenir un rapport SOC 2 comme un élément de preuve parmi d’autres des mesures techniques et organisationnelles du prestataire selon l’article 32 du RGPD.

Mais le rapport ne répond pas aux questions décisives pour les données de patients, de citoyens et sociales :

• Où les données sont-elles traitées ? SOC 2 ne fixe aucun lieu.
• Le CLOUD Act américain s’applique-t-il ? Cela dépend du siège du prestataire et de ses sous-traitants ultérieurs, pas du rapport d’audit.
• Existe-t-il un contrat de sous-traitance ? Ce sont les contrats qui le règlent.
• Le prestataire entraîne-t-il des modèles avec vos données ? Cela aussi figure dans le contrat, pas dans le rapport.

Comment évaluer un prestataire qui met SOC 2 en avant ?

1. Demandez le certificat ISO 27001 avec son périmètre et, selon le pays, l’état de l’attestation C5 ou la certification HDS si des données de santé vont dans le cloud.
2. Demandez à voir le rapport SOC 2 lui-même, pas seulement le badge : type, période, critères audités, exceptions.
3. Clarifiez le lieu des données, les sous-traitants ultérieurs et leur siège.
4. Vérifiez le contrat de sous-traitance.

Quelles preuves basebox possède-t-elle ?

basebox GmbH est certifiée ISO 27001. Pour le cloud, l’attestation BSI C5 Type 1 est en cours, suivie du Type 2. En France, basebox propose uniquement le serveur dans votre établissement, tant qu’elle n’a pas la certification HDS. Le contrat de sous-traitance et l’accord selon le § 203 StGB peuvent être téléchargés sous Contrat et annexes. basebox n’a pas de rapport SOC 2. Les détails figurent sous Sécurité et dans les réponses pour votre évaluation de sécurité.