Le 21 avril 2026, Odoo a annoncé l'obtention de la certification ISO/IEC 27001:2022. Derrière l'effet d'annonce, une bascule réelle : pour les entreprises françaises confrontées à NIS2, à la facturation électronique de septembre 2026 et aux exigences croissantes des donneurs d'ordre, le sujet n'est plus « est-ce que mon ERP est sûr ? » mais « est-ce que mon ERP me permet d'être conforme ? ». La réponse vient de changer.
Une norme, pas un label marketing
ISO 27001 est la norme internationale de référence pour les Systèmes de Management de la Sécurité de l'Information (SMSI). Ce n'est pas un autocollant, c'est un audit tiers, conduit ici par SGS, qui valide :
- l'identification continue des risques,
- la mise en place de contrôles documentés et mesurables,
- une gouvernance avec rôles, responsabilités et arbitrages tracés,
- des cycles d'amélioration et de réaudit obligatoires.
La norme repose sur le triptyque confidentialité, intégrité, disponibilité. Concrètement : seuls les utilisateurs habilités accèdent à la donnée, cette donnée n'est pas altérable hors process, et elle reste accessible quand vous en avez besoin pour produire, facturer ou clôturer.
Le périmètre de la certification d'Odoo
C'est là que le détail compte. La certification ne couvre pas un sous-ensemble de l'offre, mais l'intégralité de la chaîne :
- la conception, le développement et le support des applications Odoo,
- les environnements d'hébergement SaaS et Odoo.sh (PaaS),
- les échanges électroniques de documents et flux financiers avec banques et administrations,
- les services professionnels d'implémentation et de migration de données.
Pour un DSI, c'est ce périmètre qui rend la certification exploitable : il couvre à la fois la plateforme et le cycle de vie projet.
Pourquoi le calendrier français rend cette annonce stratégique
Trois échéances se télescopent en 2026 et placent la sécurité au centre du jeu.
- Facturation électronique — calendrier 2026/2027. Au 1er septembre 2026, toutes les entreprises assujetties à la TVA devront pouvoir recevoir des factures électroniques, et les grandes entreprises et ETI devront les émettre. Les PME, TPE et micro-entreprises basculeront en émission au 1er septembre 2027. L'ensemble passe par des Plateformes de Dématérialisation Partenaires (PDP) agréées par la DGFIP. ISO 27001 fournit le socle organisationnel attendu pour opérer comme PDP ou pour s'y raccorder en confiance.
- Directive NIS2. La transposition française, portée par le projet de loi Résilience, est attendue pour mi-2026. L'ANSSI a publié le 17 mars 2026 le Référentiel Cyber France (ReCyF) pour permettre aux futures entités essentielles et importantes d'anticiper. Entre 15 000 et 18 000 entreprises sont concernées, dont une majorité de PME et ETI. Choisir un éditeur certifié ISO 27001 ne vous met pas en conformité automatiquement, mais raccourcit drastiquement votre propre démarche : le cadre est posé, audité, et opposable à vos auditeurs.
- Peppol et l'interopérabilité européenne. Odoo est point d'accès Peppol opérationnel depuis la version 16.4, avec une quarantaine de pays éligibles à l'enregistrement, dont la France, la Belgique, l'Allemagne, les Pays-Bas et l'Italie. La certification ISO 27001 lui permet en outre d'opérer comme point d'accès Peppol formellement accrédité par les autorités locales aux Pays-Bas, à Singapour, au Japon et aux Émirats arabes unis — un statut que ces pays conditionnent justement à la norme. Pour les groupes franco-belges, le sujet est immédiat : la facturation électronique B2B est obligatoire en Belgique depuis le 1er janvier 2026, exclusivement via Peppol.
Ce que ça change dans les appels d'offres
Si vous travaillez avec des grands comptes, des collectivités, ou des secteurs régulés (santé, finance, industrie sensible), vous connaissez les questionnaires sécurité fournisseurs. Quinze à cinquante pages, des semaines de réponses, et souvent un blocage tant qu'aucun référentiel n'est fourni.
ISO 27001 sur Odoo, c'est :
- des questionnaires sécurité pré-renseignés sur la couche éditeur/hébergeur,
- un argument tangible face aux ERP propriétaires lourds (SAP, Microsoft Dynamics, Oracle) sur le plan de la conformité,
- une réduction du risque juridique en cas d'incident, la chaîne de responsabilité étant clarifiée.
Pour les ETI et PME qui ambitionnent de référencer chez de plus gros comptes, c'est un verrou qui saute.
Ce qui reste de votre responsabilité
Important : la certification d'Odoo couvre l'éditeur et ses environnements gérés. Elle ne couvre pas :
- vos paramétrages d'accès et de droits métier,
- vos développements spécifiques s'ils sortent du cadre Odoo,
- vos intégrations avec des systèmes tiers non certifiés,
- vos processus internes de gestion des comptes, des sauvegardes locales et des sorties de données.
Autrement dit, la sécurité reste un partage de responsabilité. La bonne nouvelle, c'est que la moitié du chemin est désormais faite par l'éditeur.
La position ANOR
Nous accompagnons depuis longtemps des clients sur des projets Odoo où la sécurité est un sujet de comité de direction, pas une case à cocher. Cette certification renforce trois éléments structurants de notre approche :
- Souveraineté et maîtrise : Odoo est open source, hébergeable on-premise ou en cloud souverain, et désormais ISO 27001 sur ses propres infrastructures. Le triptyque rare qui permet aux entreprises de garder le contrôle sans renoncer à un standard de sécurité élevé.
- Conformité française : nos implémentations intègrent dès la conception les exigences de la facturation électronique 2026, du RGPD et de NIS2 lorsque le client est concerné.
- Cadre projet aligné : nos méthodes de migration, de paramétrage des droits et de gestion des accès s'inscrivent dans la logique du SMSI d'Odoo, ce qui simplifie les audits côté client.
Et maintenant ?
Si vous êtes déjà en production Odoo, aucune action n'est requise. La certification s'applique de fait sur les environnements concernés.
Si vous évaluez Odoo face à d'autres ERP, le dossier sécurité est désormais aligné avec les standards des suites les plus chères du marché — sans le coût ni le verrouillage.
Si vous êtes confronté à un appel d'offres exigeant ou à une mise en conformité NIS2, c'est le moment de remettre Odoo dans la short-list.