Nous avons obtenu la certification ISO/IEC 27001:2022, délivrée par DNV et Cyberwise. Mais ce n’est pas là le plus intéressant dans cette histoire.
Car il ne s’agit pas de nous. Il s’agit de ce que cela signifie pour les entreprises qui travaillent avec nous, et pour celles qui doivent encore choisir leur point d’accès.
Que pouvez-vous lire sur cette page ?
Qu'est-ce que la norme ISO/IEC 27001:2022 ?
La norme ISO/IEC 27001 est la norme internationale relative à la sécurité de l’information, publiée par l’Organisation internationale de normalisation. Elle décrit comment une organisation identifie, gère et améliore systématiquement ses risques en matière de sécurité de l’information. Cela comprend le contrôle d’accès, le chiffrement, la gestion des incidents et la planification de la continuité des activités.
L’édition 2022 est la version la plus récente de la norme. Par rapport à la version précédente de 2013, elle met davantage l’accent sur la cybersécurité, les environnements cloud et la sécurité des chaînes d’approvisionnement.
Pour obtenir la certification, il faut se soumettre à un audit approfondi réalisé par un organisme externe accrédité. Nymus a été certifié par DNV, l’un des organismes de certification les plus réputés au monde, et par Cyberwise pour le contexte belge.
Pourquoi la certification ISO sera-t-elle obligatoire pour les points d'accès Peppol à partir de 2027 ?
Peppol est le réseau international par lequel les entreprises et les administrations publiques échangent des factures électroniques. L’accès à ce réseau s’effectue par l’intermédiaire de « points d’accès », c’est-à-dire des prestataires certifiés par OpenPeppol pour envoyer et recevoir des factures.
OpenPeppol, l’organisme à l’origine du réseau Peppol, a décidé que chaque point d’accès Peppol devra être certifié ISO/IEC 27001 d’ici le 1er juillet 2027. Les points d’accès qui ne satisferont pas à cette exigence perdront leur certification et ne pourront plus traiter les factures Peppol.
Ce n’est pas un changement anodin. Cela signifie que les entreprises qui travaillent aujourd’hui avec un prestataire non certifié devront avoir trouvé une alternative avant cette date ou avoir la certitude que leur prestataire actuel obtiendra la certification.
Pourquoi Nymus a-t-il déjà obtenu cette certification ?
Pour Nymus, la certification ISO n’était pas une simple réponse à une obligation, mais un choix délibéré s’inscrivant dans sa stratégie de croissance.
Tout d’abord, Nymus travaille principalement avec de grandes entreprises. Ces dernières appliquent souvent des procédures rigoureuses d’évaluation des fournisseurs et exigent de leurs partenaires stratégiques qu’ils démontrent un niveau adéquat de sécurité de l’information. La norme ISO/IEC 27001 est la norme reconnue à cet effet.
Deuxièmement, Nymus souhaite étendre ses activités à l’étranger, notamment aux Pays-Bas. Aux Pays-Bas, les autorités exigent d’ores et déjà la certification ISO pour être reconnu comme point d’accès Peppol. Sans cette certification, ce marché n’est pas accessible.
L’obtention du certificat n’était pas une fin en soi, mais une confirmation de la manière dont Nymus fonctionnait déjà et une condition préalable à la prochaine étape.
Quels changements cela implique-t-il pour les clients actuels de Nymus ?
Pour les clients existants, rien ne change sur le plan opérationnel. Les procédures de sécurité mises en place pour obtenir la certification étaient pour la plupart déjà en place ou conformes aux pratiques existantes.
Ce dont les clients disposent, en revanche, c’est d’une validation externe. Ils peuvent démontrer, tant en interne qu’en externe, que leur partenaire de facturation électronique respecte les normes de sécurité reconnues à l’échelle internationale. Pour les entreprises qui sont elles-mêmes certifiées ISO ou qui ont recours à des évaluations formelles de leurs fournisseurs, cela constitue un avantage concret.
Et si votre point d'accès actuel n'est pas encore certifié ISO ?
Tous les points d’accès ne sont pas certifiés à l’heure actuelle. Et tous les points d’accès n’obtiendront pas nécessairement la certification. Pour certains acteurs, l’investissement en temps, en ressources et en processus est trop important.
La date butoir du 1er juillet 2027 semble lointaine, mais le passage à un autre point d’accès n’est pas une mince affaire. Vous êtes amené à gérer des intégrations ERP, des mappings, des processus d’intégration et des phases de test. Ce processus prend souvent plusieurs mois.
La moindre chose que vous pouvez faire dès maintenant : demandez à votre opérateur actuel quel est son plan. Est-il déjà certifié ? Si ce n’est pas le cas, quand prévoit-il de l’être ? Et que se passera-t-il s’il n’y parvient pas ?
Si la réponse est vague, cela constitue en soi une information.
Un fournisseur qui vous informe trop tardivement de la perte de son statut de point d’accès ne vous laisse pas suffisamment de temps pour réagir. Vous courez alors le risque de voir vos processus de facturation s’arrêter au moment où vous y êtes le moins préparé.
Quels sont les critères à prendre en compte lors du choix d'un point d'accès Peppol ?
La certification ISO est un critère, mais ce n’est pas le seul. Lors de l’évaluation d’un point d’accès, quatre domaines sont pris en compte.
Tout d’abord, la sécurité et la conformité. Le fournisseur est-il certifié ou s’efforce-t-il activement d’obtenir une certification ? Qui réalise l’audit ? Comment le fournisseur communique-t-il avec ses clients en cas d’incident de sécurité ?
Le deuxième point concerne la continuité. Quelle est la disponibilité garantie ? Existe-t-il un accord de niveau de service (SLA) officiel ? Qui intervient en cas de panne, et dans quels délais ?
Le troisième critère est la capacité technique. Le prestataire est-il capable de gérer votre environnement ERP ? Dans les situations complexes impliquant plusieurs entités, plusieurs systèmes ou une infrastructure héritée, tous les prestataires ne sont pas en mesure de s’adapter. Demandez des références dans votre secteur ou concernant une pile technique similaire.
Le quatrième critère est l’orientation vers l’avenir. Le prestataire dispose-t-il d’une feuille de route concrète ? Suit-il de près les évolutions pertinentes, telles que la directive européenne ViDA, la déclaration électronique et l’extension du réseau Peppol ? Ou se contente-t-il de se conformer strictement aux obligations existantes ?
Pour en savoir plus sur la directive européenne ViDA, cliquez ici
La date butoir de 2027 est plus proche qu'il n'y paraît
Pour Nymus, la certification ISO/IEC 27001:2022 n’est pas une fin en soi. Elle confirme que nous sommes sur la bonne voie, tant pour nos clients que pour notre stratégie de croissance et pour un marché dont la réglementation ne cesse de se complexifier.
Si vous souhaitez savoir ce que l’échéance de 2027 implique concrètement pour votre situation, ou comment procéder à une évaluation objective de votre fournisseur actuel, nous serons ravis de vous aider.
Êtes-vous prêt pour l'avenir de la facturation électronique ?
LES ARTICLES MIS EN AVANT
