En bref
L'ISO 27001 apporte à une start-up biotech ou sciences de la vie une preuve indépendante qu'elle gère la sécurité de ses données de recherche et de sa propriété intellectuelle. Un projet bien cadré prend généralement 4 à 8 semaines, pas un an, et l'audit lui-même peut aller vite : Orbion, une start-up berlinoise qui développe des modèles d'IA pour l'ingénierie des protéines, a reçu son certificat accrédité UKAS 39 jours après son audit d'étape 1, sans aucune non-conformité en étape 2.
C'est la même norme que celle qu'utilisent les éditeurs SaaS. Ce qui change en biotech, c'est ce que vous protégez : séquences, résultats d'essais, modèles, propriété intellectuelle des partenaires et parfois données de patients ou données génétiques. Et les partenaires citent souvent d'autres référentiels dans la foulée, comme le RGPD et les GxP. Ce guide les aborde un par un.
Parler de votre projet ISO à un fondateur · Lire l'étude de cas Orbion
Pourquoi les partenaires biotech demandent l'ISO 27001
Les start-ups biotech reçoivent des données que leurs partenaires ont mis des années à produire. Un partenaire pharma ou biotech qui partage des séquences de protéines ou des résultats expérimentaux veut savoir qui peut les voir, où elles sont stockées et ce qui se passe en cas de problème.
Le cofondateur d'Orbion l'a formulé ainsi dans l'étude de cas de Tempo Audits :
"Nos clients et nos partenaires nous confient des données de recherche sensibles et une propriété intellectuelle de grande valeur. Nous voulions une norme indépendante et reconnue pour démontrer la façon dont nous protégeons ces informations."
Aniruddh Goteti, cofondateur, Orbion
Traduit de l'anglais.
L'ISO 27001 y répond par un certificat délivré par un organisme de certification accrédité, que le service achats d'un partenaire peut vérifier sur UKAS CertCheck ou IAF CertSearch. Les questions ne s'arrêtent pas pour autant : les partenaires envoient toujours des questionnaires de sécurité. Mais beaucoup de réponses peuvent alors renvoyer à des politiques et à des preuves examinées par un auditeur indépendant.
Ce qu'il faut mettre dans le périmètre
Le périmètre est la première vraie décision, et le principal levier sur le nombre de jours d'audit et sur le coût. Partez de ce que les partenaires achètent et des données qu'ils vous envoient, pas de l'entreprise entière.
- La plateforme et ses données. Le certificat d'Orbion couvre les personnes, les processus, les systèmes, les fournisseurs, les locaux et les actifs informationnels qui font tourner sa plateforme SaaS d'ingénierie des protéines, ses API de production, ses traitements de calcul pour le ML, le support client et les fonctions support de l'entreprise (Tempo Audits).
- Le calcul et les autres fournisseurs. Les fournisseurs de GPU et de cloud qui traitent des données de partenaires sont des fournisseurs que vous évaluez et que vous recensez. Le Trust Center d'Orbion liste 8 sous-traitants ultérieurs.
- Le laboratoire, s'il détient les données. L'ISO 27001 protège l'information, pas les processus de laboratoire. Si des instruments, des cahiers de laboratoire électroniques ou un LIMS stockent des données du périmètre, incluez-les. Si le laboratoire n'y touche jamais, laissez-le de côté.
- La sécurité physique, même en audit à distance. L'auditeur d'étape 2 vérifie les mesures en pratique. L'étape 2 d'Orbion, menée à distance, a aussi porté sur la sécurité physique.
Ce que demandent les partenaires, et ce qu'ils acceptent
Les questions que posent souvent les acheteurs des sciences de la vie, et ce qui y répond généralement.
| Ce qu'ils demandent | Ce qu'ils acceptent |
|---|---|
| « Êtes-vous certifiés ISO 27001 ? » | Un certificat délivré par un organisme de certification accrédité, avec un périmètre qui couvre ce qu'ils achètent |
| « Un certificat britannique est-il valable pour nous ? » | Oui, s'il est accrédité : l'UKAS et la DAkkS ont toutes deux signé l'accord d'EA qui rend leurs accréditations équivalentes |
| « Comment protégez-vous nos données et notre propriété intellectuelle ? » | Vos politiques, par exemple classification des données, contrôle d'accès et chiffrement, et la preuve que vous les appliquez |
| « Qui d'autre a accès à nos données ? » | Une liste des sous-traitants ultérieurs qui indique le rôle de chacun |
| « Pouvons-nous consulter vos documents ? » | Un Trust Center où ils demandent politiques et certificats, avec un accord de confidentialité si besoin |
| « Avez-vous un test d'intrusion récent ? » | Un rapport de test d'intrusion sur le produit qu'ils utilisent |
| « Traitez-vous des données de patients ou des données génétiques ? » | Votre rôle au sens du RGPD (responsable du traitement ou sous-traitant), la base légale et la condition de l'article 9 lorsque vous êtes responsable du traitement, et un accord de traitement des données (DPA) |
| « Votre système est-il validé GxP ? » | Uniquement pertinent si votre logiciel fait partie de leurs activités réglementées GxP, comme les BPF au titre de l'annexe 11 ou les enregistrements FDA au titre du Part 11. Cela relève de la documentation de validation, pas de l'ISO 27001 |
Orbion répond aux questions documentaires dans son Trust Center : son statut ISO 27001, les titres de ses 33 politiques et ses 8 sous-traitants ultérieurs sont publics, et les partenaires y demandent le certificat, les politiques en PDF et d'autres documents, des demandes qu'Orbion examine.
ISO 27001, RGPD et GxP : ce que couvre chacun
Les fondateurs des sciences de la vie les entendent souvent ensemble. Ils répondent à des questions différentes.
| Référentiel | Ce qu'il couvre | Ce que vous obtenez |
|---|---|---|
| ISO 27001 | La façon dont vous gérez la sécurité de l'information : risques, mesures et preuves | Un certificat délivré par un organisme de certification accrédité, valable trois ans avec des audits annuels |
| RGPD | Les données personnelles, y compris les données de santé et génétiques en tant que catégories particulières de données | En général, pas de certificat exigé par les acheteurs : registres, politiques, accords de traitement des données et, souvent, analyses d'impact |
| Annexe 11 des BPF de l'UE, FDA 21 CFR Part 11 | Les systèmes informatisés et les enregistrements électroniques utilisés dans les activités BPF ou réglementées par la FDA | Une documentation de validation, pas un certificat |
| SOC 2 | Des mesures de sécurité examinées par un cabinet d'expertise comptable agréé (CPA firm), un examen surtout demandé par les acheteurs américains | Un rapport SOC 2, pas un certificat |
Deux points comptent pour la biotech :
- Les données génétiques ne sont pas toujours des données personnelles. L'ICO rappelle qu'un échantillon n'est pas une donnée personnelle tant que vous ne l'avez pas analysé, et que des résultats génétiques ne sont des données personnelles que si vous pouvez les relier à une personne identifiable. Mais des résultats liés à un échantillon précis, ou assez détaillés pour être propres à une personne, sont généralement des données personnelles, même une fois les noms retirés. Vérifiez ce que vous détenez réellement avant de cadrer votre travail RGPD.
- L'ISO 27001 ne valide pas votre système. L'annexe 11 prévoit que les applications utilisées dans les activités BPF soient validées. Des mesures ISO 27001 comme le contrôle d'accès, la journalisation et les sauvegardes y contribuent, mais la validation est un projet à part.
Orbion : comment s'est déroulé l'audit
Fondée en 2025 et basée à Berlin, Orbion développe des modèles d'IA qui prédisent l'expression, la stabilité et la développabilité des protéines, et travaille avec des entreprises de biotech et des chercheurs universitaires. Son équipe a adapté les projets de politiques Kantis à son activité biotech, mis en œuvre les mesures et préparé les preuves. Tempo Audits, organisme de certification accrédité UKAS, a réalisé l'audit.
- Réservation : les deux étapes d'audit réservées dans les 8 jours suivant le premier appel d'Orbion avec Tempo.
- Étape 1, 16 juillet 2026 : une revue des politiques et des documents. Le rapport est arrivé le lendemain, avec cinq pistes d'amélioration.
- Étape 2, 17 et 18 août 2026 : les mesures et les preuves en détail, y compris la sécurité physique. Zéro non-conformité.
- Certificat, 24 août 2026 : ISO/IEC 27001:2022, 6 jours après l'étape 2 et 39 jours après l'étape 1.
- Modalités : un audit à distance, l'auditeur examinant les documents et les preuves dans Kantis.
Sa certification figure désormais sur le site web et le Trust Center d'Orbion. Lire l'étude de cas Orbion.
Comment une start-up biotech y parvient
- Demandez au partenaire ce dont il a besoin, et pour quand. L'ISO 27001, un rapport SOC 2, un questionnaire ou une validation GxP sont des chantiers différents. Demandez si une démarche « en cours » suffit pour l'instant. D'après notre expérience, c'est souvent le cas.
- Fixez le périmètre autour des données. La plateforme, les données que les partenaires envoient et les systèmes qui y touchent.
- Désignez un responsable et prévoyez le temps nécessaire. L'équipe d'Orbion a fourni un travail concret important. Même avec une plateforme et un accompagnement, quelqu'un doit prendre les décisions et faire vivre les mesures.
- Réservez tôt l'organisme de certification. Les bons organismes affichent vite complet. Le premier appel d'Orbion avec Tempo a eu lieu le 22 juin, et son audit d'étape 1 le 16 juillet. D'après notre expérience, les organismes les plus connus sont plus chargés et peuvent étirer le projet sur trois ou quatre mois.
- Collectez les preuves au fil de l'eau, pas la semaine précédant l'étape 2.
- Donnez aux partenaires un seul endroit où regarder. Un Trust Center avec votre certificat, vos politiques et vos sous-traitants ultérieurs répond à beaucoup de questions avant même qu'elles soient posées.
Pour le processus complet, du périmètre au certificat, lisez notre guide ISO 27001 pour les start-ups. Pour le budget, poste par poste, lisez le guide des coûts ISO 27001.
Le rôle de Kantis
Kantis associe le logiciel à un accompagnement concret : l'analyse des écarts, des projets de politiques que vous adaptez à la façon dont votre équipe travaille réellement, la collecte des preuves, l'audit interne, la coordination avec votre organisme de certification et un Trust Center pour vos partenaires. L'organisme de certification réalise l'audit et délivre le certificat.
Parlez de votre projet ISO à un fondateur : vous repartirez avec votre périmètre, ce que vos partenaires vont vous demander et le parcours crédible le plus rapide vers le certificat. Les échanges se font en anglais.