Choisir un hébergeur certifié ISO 27001, c’est s’assurer qu’il gère la sécurité de l’information avec méthode, contrôlée chaque année par un organisme indépendant. Encore faut-il savoir ce que la certification garantit vraiment, ce qu’elle ne couvre pas, et comment la vérifier. Voici l’essentiel pour un acheteur.
Ce qu’est la norme ISO/IEC 27001
L’ISO/IEC 27001 est la norme internationale des systèmes de management de la sécurité de l’information (SMSI). Elle impose une démarche : identifier les risques qui pèsent sur l’information, choisir les mesures pour les traiter, les appliquer, les contrôler et les améliorer en continu. Sa version actuelle date de 2022 ; la période de transition depuis la version 2013 s’est terminée le 31 octobre 2025.
Son annexe A liste 93 mesures de sécurité réparties en quatre thèmes : organisationnelles, liées aux personnes, physiques et technologiques. L’hébergeur justifie celles qu’il applique et celles qu’il écarte.
Ce que la certification garantit chez un hébergeur
- Une gestion des risques documentée : les menaces sur vos données sont identifiées et traitées avec des mesures choisies.
- Des contrôles d’accès : qui accède aux systèmes, avec quels droits, et comment ces accès sont revus.
- La sécurité physique des sites et des équipements.
- La gestion des incidents : détection, traitement, retour d’expérience.
- La continuité d’activité : sauvegardes, plans de reprise, tests.
- Un contrôle indépendant : un audit de certification, puis un audit de surveillance chaque année, et un renouvellement tous les trois ans par un organisme accrédité.
Ce que la certification ne couvre pas
- Les données de santé : héberger des données de santé pour le compte d’un tiers exige la certification HDS, qui s’appuie sur l’ISO 27001 mais va plus loin. Voir la différence entre ISO 27001 et HDS.
- La juridiction : la norme ne dit rien du droit auquel l’hébergeur est soumis. Un hébergeur certifié peut relever d’un droit étranger. Voir notre article CLOUD Act et RGPD.
- Vos propres obligations : vous restez responsable de vos traitements de données au sens du RGPD. La certification de votre hébergeur couvre son périmètre, pas le vôtre.
- Des engagements chiffrés : la disponibilité garantie, le délai de remise en service et la perte de données maximale figurent dans le contrat, pas dans le certificat.
5 points pour vérifier un certificat ISO 27001
- Le numéro de certificat, que l’hébergeur doit pouvoir communiquer.
- L’organisme certificateur et son accréditation (COFRAC en France).
- Le périmètre : quelles activités, quels sites, quels services sont couverts. C’est le point le plus important : il doit correspondre au service que vous achetez.
- La version de la norme : ISO/IEC 27001:2022.
- La date de validité, et les audits de surveillance annuels.
La certification ISO 27001 de Guardis
Guardis, marque de MUONA SAS, est certifiée ISO/IEC 27001:2022 par CertiTRUST, organisme accrédité par le COFRAC, sous le numéro CT-ISMS-082025-0CU01876. Le périmètre couvre nos activités d’opérateur télécom et d’hébergeur de données de santé. Nous sommes aussi certifiés HDS v2.0 pour les activités 2 à 6 (n° CT-HDS-082025-0CU01876).
Notre infrastructure est en France, sur 6 zones de disponibilité dans 3 régions distantes de plus de 400 km, avec une disponibilité garantie de 99,95 % et des sauvegardes hors ligne. Nous sommes une société de droit français à capital français.
| Votre besoin | Offre Guardis | Tarif |
|---|---|---|
| Une machine virtuelle sur infrastructure certifiée | Cloud souverain VM Starter | à partir de 49 € HT/mois |
| Des applications critiques en haute disponibilité | Cloud souverain Cluster Business | à partir de 249 € HT/mois |
| Des données de santé | Hébergement HDS Essentiel | à partir de 149 € HT/mois |
Pour aller plus loin : nos certifications et notre conformité, nos garanties techniques.
Besoin d’un hébergeur certifié ? Demandez votre devis.
Questions fréquentes
Qu’est-ce qu’un hébergeur ISO 27001 ?
Un hébergeur dont le système de management de la sécurité de l’information est certifié conforme à la norme ISO/IEC 27001 par un organisme accrédité, et contrôlé chaque année.
ISO 27001 suffit-il pour héberger des données de santé ?
Non. L’hébergement de données de santé pour le compte d’un tiers exige la certification HDS, qui s’appuie sur l’ISO 27001 et ajoute des exigences propres à la santé.
Comment vérifier la certification d’un hébergeur ?
Demandez le numéro de certificat, l’organisme certificateur, le périmètre couvert, la version de la norme et la date de validité. Le périmètre doit correspondre au service que vous achetez.
Combien de temps dure une certification ISO 27001 ?
Trois ans, avec un audit de surveillance chaque année, puis un audit de renouvellement.