Si vous vendez en Europe, l'ISO 27001 : sur les 365 jours jusqu'au 12 septembre 2026, elle apparaît dans 3 405 avis de marché sur TED, le portail des marchés publics de l'UE elle-même, contre 104 pour SOC 2, soit environ 33 fois plus souvent, et mois après mois le ratio n'est jamais descendu sous 18 pour un.
Si vous vendez surtout à des entreprises américaines, la réponse s'inverse, parce que SOC 2 est la forme que leurs achats attendent. Le décompte porte sur des mentions plutôt que sur des exigences fermes, l'API de recherche de TED est publique, et la requête est ci-dessous pour que vous puissiez la relancer.
Celle-ci, on peut y répondre avec des preuves qui ne viennent pas de nous.
La mesure
TED est le portail des marchés publics de l'Union européenne elle-même. Chaque marché public au-dessus des seuils européens y est publié, et son API de recherche est ouverte à quiconque, sans clé et sans compte. « Que demandent réellement les achats publics européens » est donc une question à réponse vérifiable plutôt qu'une opinion.
En comptant toutes les graphies des deux termes sur les 365 jours jusqu'au 12 septembre 2026 :
| Terme | Avis qui le mentionnent |
|---|---|
| ISO 27001 | 3 405 |
| SOC 2 | 104 |
| NIS2 | 599 |
| ISO 42001 | 17 |
L'ISO 27001 apparaît environ 33 fois plus souvent que SOC 2. Le premier relevé, pris le 11 août 2026, disait 3 408 contre 104 : le décompte bouge de quelques unités par mois et le ratio ne bouge pas du tout.
Mois par mois
La même requête un mois civil à la fois, pour les douze mois complets de septembre 2025 à août 2026 : l'ISO 27001 est citée dans 242 à 343 avis par mois, SOC 2 dans 4 à 19. Le mois le plus serré a été juin 2026, 343 contre 19, 18 pour un ; le plus large août 2026, 242 contre 4, 60 pour un. Il n'y a aucun mois où la réponse change. La série complète avec un graphique, les pays acheteurs et un CSV sont sur la page de recherche (en anglais).
Ce que ce chiffre est, et n'est pas
C'est un décompte de mentions, pas d'exigences fermes. Un avis qui cite l'ISO 27001 dans une liste de qualifications souhaitables compte autant qu'un avis qui en fait une condition. Le ratio compare des choses comparables, donc la comparaison tient même si le chiffre absolu surestime le nombre de marchés qui l'exigent vraiment.
Ce sont aussi les marchés publics uniquement. Les achats des entreprises privées ne sont pas dans TED, et le questionnaire fournisseur d'un grand industriel allemand ne devient pas un avis de marché. Ce que les marchés publics vous donnent, c'est la seule tranche des achats européens où les exigences sont publiées plutôt que déduites, ce qui en fait la meilleure approximation disponible et non une approximation parfaite.
La version honnête de la réponse
Si vous vendez en Europe, l'ISO 27001 n'est pas un choix serré. C'est la certification que les acheteurs européens nomment, et l'écart n'est pas marginal.
Si vous vendez surtout à des entreprises américaines, l'argument s'inverse. SOC 2 est la forme que les achats américains attendent, son format de rapport est ce que leurs équipes sécurité sont formées à lire, et un certificat ISO déclenchera souvent un questionnaire complémentaire au lieu d'en remplacer un.
Si vous vendez aux deux, la question de l'ordre compte plus que le choix. L'ISO 27001 construit un système de management ; SOC 2 atteste des contrôles sur une période. Le système ISO est ce qui produit des preuves en continu, si bien que les entreprises qui le construisent d'abord trouvent généralement un SOC 2 ultérieur moins cher que l'inverse.
Relancez-la vous-même
L'API est api.ted.europa.eu/v3/notices/search, elle prend une chaîne de requête experte et ne demande aucun identifiant. Réglez paginationMode sur ITERATION et comptez les avis correspondant à chaque terme ; la requête exacte et le script sont sur la page de recherche. Notre relevé est daté ; si vos chiffres diffèrent des nôtres, ce sont les vôtres qui sont les plus récents.
Rien de tout cela n'est une affirmation que vous devez croire sur parole d'un éditeur, et c'est bien le but.
Où en Europe
La même requête ventilée par pays acheteur : quels pays de l'UE citent l'ISO 27001 dans leurs marchés publics. L'Allemagne et la Pologne représentent sept mentions sur dix, et la France, l'Espagne et l'Italie citent plutôt leurs schémas nationaux.
Une fois le choix fait : ce que coûte la certification ISO 27001, par effectif, et comment StandardOS se compare (en anglais) aux plateformes qui vendent SOC 2.