Documenter les exigences logicielles pour les PME suisses

Déclencheurs : pourquoi documenter les exigences logicielles dans les PME suisses

Les moteurs viennent des ventes et de la chaîne d'approvisionnement : les appels d'offres exigent l'ISO 27001 ou au moins une feuille de route crédible. Les audits clients se font plus précis, les questionnaires de sécurité deviennent une tâche permanente (techway.ch). Depuis le 1er septembre 2023, la loi révisée sur la protection des données (LPD) est en vigueur, avec plus de transparence, des exigences de sécurité accrues et de nouvelles obligations d'information (mobiliar.ch). Pour les entreprises établies en Suisse, ces obligations sont contraignantes.

Si des données de personnes provenant de l'UE s'ajoutent à cela, le RGPD s'applique également (mobiliar.ch). Cela concerne par exemple une boutique en ligne ou une newsletter adressée à des clientes et clients en Allemagne, en France ou en Italie.

Avec peu de systèmes et de fournisseurs, des modèles Word épars et des listes Excel suffisent pendant un certain temps, surtout dans les petites structures. La situation devient sujette aux erreurs dès que de nouveaux fournisseurs arrivent, que des demandes de renseignements parviennent, qu'un audit est prévu ou que des données personnelles sensibles sont traitées dans plusieurs systèmes (datenschutzkonform.ch). Il manque alors la documentation qui prouve quelle exigence s'applique, qui la satisfait et quelle preuve est disponible.

Du besoin au catalogue d'exigences vérifiable

Un catalogue d'exigences pour les logiciels d'entreprise se structure autour des fonctions, de la protection des données, de la sécurité de l'information et de l'exploitation. Pour chaque catégorie, les exigences obligatoires et facultatives sont séparées ; chaque exigence reçoit un rôle responsable, un délai et un critère vérifiable. Les exigences doivent être cohérentes entre elles : un registre des traitements doit correspondre aux sous-traitances, aux mesures techniques et organisationnelles, aux concepts de suppression, aux déclarations de confidentialité et aux analyses de risques. Celui qui gère chaque obligation de manière isolée augmente la charge de travail et le risque de contradictions (datenschutzkonform.ch).

Il s'est avéré utile d'avoir une ligne par exigence avec identifiant, catégorie, priorité (obligatoire ou facultative), origine (loi, norme, exigence client), preuve, délai et personne responsable. Est vérifiable par exemple : « Le logiciel tient un registre des activités de traitement lié aux sous-traitances » ; n'est pas vérifiable : « Le logiciel doit être conforme à la protection des données ». La vérifiabilité détermine si le catalogue tient la route lors d'un audit ou d'un changement de fournisseur.

Déduire les exigences de protection des données de la LPD et du RGPD

La LPD impose au minimum les points suivants comme exigences obligatoires dans le catalogue : un registre des activités de traitement permettant de prouver la conformité à la protection des données. S'y ajoutent les obligations d'information au moment de la collecte des données personnelles et des mesures de sécurité techniques et organisationnelles appropriées. La formation du personnel fait également partie intégrante pour éviter les abus et les violations de données (mobiliar.ch, kmu.admin.ch).

S'y ajoute la désignation d'une personne physique en tant que délégué ou déléguée à la protection des données. Cette personne peut être tenue responsable en cas de violation de la LPD (kmu.admin.ch, Leonie Ritscher, economiesuisse).

Un lien avec l'UE déclenche des obligations supplémentaires. Quiconque traite des données de personnes provenant de l'UE doit également respecter le RGPD. Inversement, la LPD s'applique aux situations initiées à l'étranger, pour autant qu'elles aient des effets en Suisse (mobiliar.ch).

En Suisse, le traitement des données personnelles est autorisé dans la plupart des cas sans consentement explicite, tant que les prescriptions légales sont respectées. Cela vaut par exemple si le traitement est nécessaire à l'exécution d'un contrat et que cela est communiqué (mobiliar.ch). Ces différences doivent figurer dans le catalogue. Il convient également de vérifier l'obligation d'information au moment de la collecte et la définition des données personnelles particulièrement sensibles (kmu.admin.ch).

Dans le catalogue, les exigences de base de la LPD sont listées comme obligatoires. Les points du RGPD sont des obligations conditionnelles et ne s'appliquent qu'en cas de lien avec l'UE. La personne physique responsable de la protection des données doit être nommée explicitement, tout comme les délais pour les demandes de renseignements et les suppressions.

La sécurité de l'information comme source d'exigences : ISO 27001 et NIST CSF 2.0

Les PME définissent d'abord le champ d'application : quels sites, systèmes, processus et fournisseurs le système de management de la sécurité de l'information (SMSI) doit couvrir. L'ISO/IEC 27001:2022 contient 93 contrôles de l'Annexe A, attribués aux domaines organisation, personnes, sécurité physique et technique. Ces contrôles servent de liste de contrôle pour les propres exigences. Les entreprises ne doivent pas mettre en œuvre tous les contrôles, mais justifier ceux qu'elles omettent (techway.ch, it-provider.ch). Le délai de transition de l'ISO/IEC 27001:2013 vers la version 2022 a expiré le 31 octobre 2025 ; les nouvelles certifications suivent la version 2022 avec 93 contrôles de l'Annexe A (techway.ch).

Le NIST CSF 2.0 sert de travail préparatoire avant de définir en détail les exigences ISO 27001 (techway.ch). Pour situer le contexte : l'ISO 27001 n'est pas une preuve juridique de la conformité à la nLPD, mais elle crée une grande partie de la base organisationnelle et technique dont les entreprises ont besoin pour la protection des données et la sécurité de l'information (techway.ch). Dans le catalogue, les contrôles sont donc listés comme exigences de sécurité, séparément des obligations de protection des données, mais avec des renvois croisés vers les mesures techniques et organisationnelles.

Ancrer les preuves, les délais et les responsabilités dans les exigences

Chaque exigence reçoit une preuve, un délai et un rôle responsable. Il doit être possible de retracer qui a vérifié ou approuvé quoi et quand (datenschutzkonform.ch). Cela inclut les délais enregistrés pour les demandes de renseignements, les suppressions et les audits, ainsi que le stockage centralisé des preuves du SMSI. Une preuve centrale du SMSI réduit les audits clients récurrents, car l'entreprise n'a pas à rassembler de nouvelles questions et justificatifs pour chaque client (techway.ch).

Les fournisseurs et les sous-traitances entrent comme lignes d'exigences propres : le registre des traitements doit correspondre aux sous-traitances (datenschutzkonform.ch). Pour les fournisseurs, les preuves exigées lors de l'audit sont consignées, telles que les certificats, les questionnaires de sécurité remplis et les indications sur le champ d'application. Ainsi, lors d'un changement de fournisseur ou d'un audit client, il reste traçable quelle exigence est satisfaite par quelle preuve.

L'exploitabilité comme critère obligatoire plutôt que l'étendue fonctionnelle comme marque de qualité

Au quotidien des PME, ce qui compte, c'est que l'outil reste utilisable sans département propre de protection des données (datenschutzkonform.ch). Il doit être adapté à la LPD suisse ; les exigences du RGPD doivent pouvoir être gérées proprement en cas de lien avec l'UE. Les RH, la direction générale et l'informatique doivent collaborer avec un effort raisonnable, et il doit être possible de retracer qui a vérifié ou approuvé quoi et quand (datenschutzkonform.ch). La langue, l'espace juridique et le support sont d'autres critères : si un logiciel n'est pas réglementairement bien adapté à la Suisse ou si le support est uniquement générique depuis l'étranger, des questions surgissent précisément là où la clarté serait nécessaire (datenschutzkonform.ch).

Il faut mettre en garde contre les modules surchargés et les circuits d'approbation complexes : de nombreux outils de protection des données sont conçus pour les grandes entreprises internationales, ce qui se traduit par des circuits d'approbation complexes, des modules surchargés ou une forte orientation vers les structures purement européennes de groupes (datenschutzkonform.ch). L'étendue fonctionnelle seule n'est pas un signe de qualité ; un grand catalogue de fonctions semble convaincant, mais plus n'est pas automatiquement mieux (datenschutzkonform.ch).

Dans le catalogue, ces critères deviennent vérifiables en attribuant à chaque exigence opérationnelle un critère de test, par exemple « Les RH peuvent saisir une demande de renseignement sans le soutien de l'informatique » ou « L'approbation d'une déclaration de confidentialité est effectuée par une personne nommée ». La conformité est prouvée par un cas de test ou une démonstration documentée.

Estimer realistically l'effort, les coûts et le calendrier

Le coût total pour l'ISO 27001 se compose de trois blocs : conseil externe, audit de certification et effort interne.

Pour une petite PME de moins de 50 employé·e·s, une source suisse mentionne un conseil externe de CHF 8'000–20'000, un audit de certification de CHF 5'000–10'000 et un effort interne de CHF 15'000–30'000. Total unique : CHF 28'000–60'000, plus des audits de surveillance annuels de CHF 3'000–6'000 (it-provider.ch).

Pour une PME moyenne de 50 à 250 employé·e·s, on cite un conseil externe de CHF 20'000–50'000, un audit de certification de CHF 10'000–20'000 et un effort interne de CHF 30'000–60'000. Total unique : CHF 60'000–130'000, plus des audits de surveillance annuels de CHF 6'000–15'000 (it-provider.ch).

Dans la version courte de la même source, la certification est généralement estimée entre CHF 15'000 et CHF 80'000, selon la taille de l'entreprise et le travail préparatoire (it-provider.ch).

Le calendrier est généralement de 12 à 24 mois à partir du démarrage. Pour la phase de projet, il faut prévoir au moins 0,5 équivalent temps plein ; de nombreuses PME sous-estiment la charge de temps interne (it-provider.ch).

Pour les entreprises avec des marchés publics, des données de santé ou des services financiers, la certification est de facto obligatoire (it-provider.ch).

Des montants fiables en francs, des taux journaliers ou des jours de travail internes ne peuvent être estimés sérieusement qu'après clarification du champ d'application et du degré de maturité ; des chiffres apparemment précis sans connaissance de la situation de départ sont peu utiles (techway.ch). Le catalogue d'exigences devrait donc d'abord fixer le champ d'application et les exigences obligatoires ; l'estimation des coûts suit ensuite.