Le Certificate of Networthiness (CoN) désignait à l’origine un agrément délivré par l’US Army pour autoriser un logiciel sur ses réseaux. Depuis 2016, ce mécanisme a été officiellement remplacé par d’autres processus d’IT risk management.
La logique sous-jacente, elle, n’a pas disparu : prouver qu’une solution informatique respecte un socle de sécurité, de traçabilité et de conformité avant d’accéder au réseau d’un client. Pour une PME tech française qui vise des grands comptes ou des marchés réglementés en 2026, comprendre cette logique « CoN-like » et les étapes pour s’y conformer représente un avantage concurrentiel direct.
A voir aussi : Sécurité, vitesse, support : choisir le meilleur hébergeur en 2026
Exigences CoN-like en 2026 : ce qui a changé pour les PME tech
Le périmètre d’évaluation s’est élargi. Là où l’ancien CoN américain se concentrait sur la sécurité réseau, les critères actuels imposés par les grandes organisations intègrent désormais la conformité réglementaire, la gouvernance des données et la capacité à démontrer la logique de décision d’un système.
Un exemple parlant concerne les PME qui fournissent des solutions aux établissements financiers. Avec l’entrée en vigueur progressive de la directive CCD2 (Consumer Credit Directive 2), un éditeur B2B finance doit prouver que son architecture IT permet de retracer a posteriori la logique de décision. Le système doit produire des évaluations fondées sur des données exactes, suffisantes et proportionnées. Ce n’est plus seulement une question de pare-feu ou de chiffrement.
A lire en complément : Naviguer en toute sécurité avec le Portail Orange
En parallèle, l’effet cascade de la CSRD pousse les donneurs d’ordres à exiger de leurs fournisseurs, y compris les PME tech, des garanties sur la traçabilité environnementale et sociale de leurs opérations numériques. Le standard VSME (Voluntary Sustainability Reporting Standard for SMEs) fournit un cadre allégé, mais il structure déjà les attentes des acheteurs.
Sécurité technique et conformité réglementaire : deux piliers distincts
Une PME tech qui prépare un dossier d’agrément pour un grand compte doit traiter ces deux volets séparément. La sécurité technique couvre le chiffrement, la gestion des accès, le patch management, les sauvegardes. La conformité réglementaire couvre le RGPD, la facturation électronique, et selon le secteur, des exigences spécifiques comme CCD2 ou Solvency II.
| Volet | Critères évalués | Référentiel principal |
|---|---|---|
| Sécurité réseau | Chiffrement, MFA, EDR, segmentation réseau | ISO 27001, guide ANSSI pour PME |
| Gouvernance des données | Traçabilité, exactitude, proportionnalité | RGPD, CCD2 (secteur finance) |
| Conformité opérationnelle | Facturation électronique, reporting ESG | Factur-X, VSME |
| Résilience IT | Sauvegardes 3-2-1, PRA/PCA documenté | ISO 22301, bonnes pratiques ANSSI |
Traçabilité IT et logique de décision : le critère que les PME tech sous-estiment
La plupart des contenus sur la certification tech en 2026 se focalisent sur la cybersécurité pure. C’est une partie du problème, pas sa totalité. Le vrai basculement vient des exigences de traçabilité de la logique de décision, notamment pour les PME qui développent des outils de scoring, d’automatisation ou d’aide à la décision.
Concrètement, un donneur d’ordres bancaire ou assurantiel exigera que la PME fournisseuse puisse reconstituer, pour chaque décision automatisée, la chaîne complète : données d’entrée, règles appliquées, résultat produit. Cette exigence découle directement de CCD2 pour le crédit, mais elle se généralise par mimétisme contractuel à d’autres secteurs réglementés.
Pour une PME de dix à cinquante salariés, documenter cette chaîne demande un effort d’architecture dès la conception. Ajouter cette couche de traçabilité après coup coûte significativement plus cher et prend plus de temps que de l’intégrer dès le départ.
Étapes concrètes pour préparer un dossier d’agrément CoN-like
Plutôt qu’une liste générique de bonnes pratiques, voici les étapes qui différencient une PME tech prête d’une PME tech recalée lors d’un audit fournisseur.
- Cartographier les flux de données sensibles avant toute démarche de certification. Identifier quelles données transitent, où elles sont stockées, qui y accède, et comment les décisions automatisées sont produites.
- Mettre en place un registre de traitement à jour (obligation RGPD souvent négligée) et l’enrichir avec les éléments de traçabilité décisionnelle si le produit intègre de l’automatisation ou de l’IA.
- Déployer les mesures de sécurité de base (MFA, EDR, sauvegardes testées, patch management) documentées dans une politique de sécurité formalisée, pas simplement appliquées de fait.
- Anticiper la facturation électronique obligatoire en intégrant le format Factur-X dans la chaîne comptable.
- Constituer un dossier de conformité consolidé, regroupant politique de sécurité, registre RGPD, preuves de tests de restauration, et documentation de la logique de décision le cas échéant.
Ce que les grands comptes vérifient en priorité
Lors d’un audit fournisseur, la documentation formalisée pèse autant que la réalité technique. Une PME qui applique de bonnes pratiques sans les documenter échouera face à une PME moins avancée techniquement mais mieux organisée sur le papier.
Les auditeurs cherchent des preuves : rapports de tests d’intrusion, journaux de sauvegarde, registres de traitement datés, politique de gestion des incidents avec un historique. Le dossier doit exister avant la demande d’agrément, pas être constitué dans l’urgence.
Coût et calendrier réalistes pour une PME tech de petite taille
Aucune certification ou agrément CoN-like ne se prépare en quelques semaines. Pour une PME de dix à cinquante salariés, un calendrier de six à douze mois entre le diagnostic initial et le dossier prêt correspond à ce qu’observent les cabinets spécialisés en conformité IT.
Le poste le plus coûteux n’est généralement pas l’outillage technique (les solutions EDR et MFA accessibles aux PME existent à des tarifs raisonnables par utilisateur et par mois). Le poste le plus lourd est le temps humain : cartographie des flux, rédaction des politiques, tests, et suivi. Externaliser cette partie à un consultant spécialisé accélère le processus mais représente un investissement.
Le retour sur investissement se mesure en accès à des marchés autrement fermés. Un grand compte qui exige un dossier de conformité complet ne négocie pas : sans ce dossier, la PME n’est tout simplement pas référencée.
Le point de départ le plus efficace reste un diagnostic de maturité IT réalisé par un tiers, qui identifie les écarts entre l’état actuel et les exigences du secteur visé. Ce diagnostic permet de prioriser les chantiers et d’éviter de disperser des ressources limitées sur des actions à faible impact.
