La certification ISO 27001 est devenue, en quelques années, l’un des sésames les plus demandés dans les appels d’offres, en particulier dans le numérique, les services, la santé, la finance et l’industrie. Elle atteste qu’une organisation a mis en place un système de management de la sécurité de l’information (SMSI) conforme à la norme internationale, et qu’un organisme indépendant l’a vérifié. Pour un client, c’est une garantie que ses données sont traitées dans un cadre maîtrisé.

Mais entre la décision de se lancer et l’obtention du certificat, beaucoup d’entreprises se posent les mêmes questions : par où commencer, quel périmètre retenir, combien de temps cela prend, combien cela coûte, faut-il se faire accompagner, et que se passe-t-il ensuite ? Les réponses dépendent de la taille de l’organisation, de sa maturité en sécurité et de ses objectifs, mais la démarche suit toujours la même logique.

Ce guide se concentre sur le parcours de certification lui-même. Pour comprendre le fonctionnement d’un SMSI, ses 93 mesures de sécurité et son articulation avec le RGPD, consultez notre article dédié à l’ISO 27001, au RGPD et au SMSI.

Pourquoi viser la certification ISO 27001

La certification ISO 27001 est volontaire. Aucune loi ne l’impose en tant que telle. Pourtant, de plus en plus d’organisations s’y engagent, parce que la pression vient de leurs clients, de leurs partenaires et de l’évolution des menaces. Les cyberattaques touchent aujourd’hui des entreprises de toutes tailles, et les donneurs d’ordre cherchent à sécuriser leur chaîne de sous-traitance.

Les motivations que nous rencontrons le plus souvent sont les suivantes.

Les motivations les plus fréquentes

• Une exigence client ou un appel d’offres : de nombreux grands comptes et acheteurs publics demandent la certification ou un niveau équivalent.
• Un avantage commercial : la certification rassure les prospects et raccourcit les questionnaires sécurité.
• La maîtrise des risques : identifier les vulnérabilités avant qu’elles ne soient exploitées.
• La préparation aux exigences européennes : la directive NIS 2 renforce les obligations de cybersécurité de nombreux secteurs ; un SMSI certifié constitue une base solide pour y répondre.
• La conformité au RGPD : la sécurité des données personnelles est une obligation que le SMSI aide à démontrer.
• La structuration interne : clarifier les responsabilités, les accès, les procédures de sauvegarde et de gestion des incidents.

Une norme reconnue internationalement

La version en vigueur est l’ISO/IEC 27001:2022, complétée en 2024 par un amendement sur le changement climatique commun aux normes de management. La période de transition depuis l’ancienne version de 2013 s’est achevée le 31 octobre 2025 : tous les certificats valides se réfèrent désormais à la version 2022. Les fondamentaux de la norme sont présentés sur notre page ISO 27001.

Le contexte réglementaire de la cybersécurité

La directive européenne NIS 2 élargit considérablement le nombre d’organisations soumises à des obligations de cybersécurité. En France, sa transposition passe par un projet de loi dit « Résilience », dont l’adoption définitive n’est pas encore intervenue à la date de publication de cet article. Sans attendre le texte final, les entreprises concernées ont intérêt à structurer leur sécurité : l’ISO 27001 couvre une grande partie des mesures attendues (gouvernance, gestion des risques, gestion des incidents, sécurité de la chaîne d’approvisionnement).

Définir le périmètre de certification

Le choix du périmètre est la première décision structurante du projet. La norme permet de certifier tout ou partie d’une organisation : une activité, un service, un site, une plateforme. Un périmètre trop large allonge le projet et augmente le coût ; un périmètre trop étroit peut ne pas répondre aux attentes des clients, qui vérifient souvent ce que couvre exactement le certificat.

La bonne approche consiste à partir de la question : que veulent voir nos clients certifié ?

Exemples de périmètres

Type d’organisation	Périmètre souvent retenu
Éditeur de logiciel SaaS	Développement, hébergement et exploitation de la plateforme
Entreprise de services numériques	Prestations d’infogérance ou de support pour les clients
Industriel sous-traitant	Gestion des données techniques des clients (plans, spécifications)
Cabinet de conseil ou de santé	Traitement des données clients ou patients

Ce que le périmètre doit préciser

• Les activités et processus couverts.
• Les sites physiques concernés, y compris le télétravail.
• Les systèmes d’information et les prestataires impliqués (hébergeur, cloud, infogérance).
• Les interfaces avec ce qui est hors périmètre.

Les étapes de la certification ISO 27001

La certification ISO 27001 suit un parcours en plusieurs étapes, qui va du diagnostic initial à l’audit de certification. L’ordre est important : chaque étape s’appuie sur la précédente. L’analyse des risques, en particulier, est le cœur de la démarche : c’est elle qui détermine les mesures de sécurité à mettre en place.

Voici le parcours que nous suivons avec nos clients.

1. Diagnostic initial : état des lieux de la sécurité existante au regard de la norme et de ses 93 mesures. Voir notre article sur le diagnostic ISO.
2. Cadrage : périmètre, engagement de la direction, pilote du projet, calendrier.
3. Contexte et parties intéressées : enjeux, exigences des clients, obligations légales et contractuelles.
4. Inventaire des actifs : informations, applications, équipements, prestataires, personnes.
5. Analyse et traitement des risques : méthode, évaluation, choix des mesures, plan de traitement, acceptation des risques résiduels par la direction.
6. Déclaration d’applicabilité : document qui liste les 93 mesures de l’annexe A, précise celles qui sont retenues ou exclues, et justifie chaque choix.
7. Mise en œuvre des mesures : politiques, procédures, mesures techniques (accès, sauvegardes, chiffrement, journalisation), sensibilisation.
8. Fonctionnement et preuves : faire vivre le système quelques mois pour produire des enregistrements.
9. Audit interne du SMSI et des mesures.
10. Revue de direction, puis audit de certification.

Les documents clés

Document	Rôle
Périmètre du SMSI	Définit ce qui est certifié
Politique de sécurité de l’information	Engagement de la direction et orientations
Méthode d’appréciation des risques	Règles d’évaluation reproductibles
Rapport d’appréciation des risques	Résultats de l’analyse
Plan de traitement des risques	Mesures décidées, responsables, échéances
Déclaration d’applicabilité	Choix et justification des 93 mesures
Objectifs de sécurité et indicateurs	Mesure de la performance
Rapports d’audit interne et de revue de direction	Preuves de l’évaluation et de l’amélioration

L’audit de certification en deux étapes

L’audit de certification ISO 27001 est réalisé par un organisme certificateur accrédité, en France par le COFRAC ou un accréditeur équivalent signataire des accords internationaux. Il se déroule en deux étapes distinctes, séparées de quelques semaines. Le choix de l’organisme est important : vérifiez son accréditation pour l’ISO 27001 et sa connaissance de votre secteur.

Voici comment se déroulent les deux étapes.

Étape 1 : la revue documentaire et de préparation

L’auditeur vérifie que le SMSI est conçu correctement : périmètre, politique, méthode et résultats de l’analyse des risques, déclaration d’applicabilité, audit interne, revue de direction. Il évalue si l’organisation est prête pour l’étape 2. Les points relevés à ce stade doivent être corrigés avant la suite.

Étape 2 : l’audit de mise en œuvre

L’auditeur vérifie sur le terrain que les mesures sont réellement appliquées et efficaces : entretiens avec la direction, les équipes informatiques, les ressources humaines, les métiers ; examen des enregistrements ; vérifications techniques par sondage (droits d’accès, sauvegardes, gestion des incidents, sensibilisation, contrats fournisseurs).

Les résultats possibles

• Aucune non-conformité majeure : recommandation de certification.
• Non-conformités mineures : plan d’action à transmettre, certification possible.
• Non-conformité majeure : correction et vérification nécessaires avant la certification.

Pour bien aborder cette échéance, voyez notre guide sur la préparation d’un audit de certification ISO.

Les mesures examinées en priorité

Les 93 mesures de l’annexe A sont réparties en quatre thèmes : organisationnelles, liées aux personnes, physiques et technologiques. L’auditeur ne les vérifie pas toutes avec la même profondeur : il se concentre sur celles qui sont les plus importantes au regard de l’analyse des risques et sur celles où il rencontre le plus souvent des faiblesses. Les connaître permet d’orienter la préparation.

Voici les sujets sur lesquels nous voyons le plus d’écarts lors de nos audits internes.

Sujet	Ce qui est attendu	Écart fréquent
Gestion des accès	Attribution, revue périodique et retrait des droits	Comptes d’anciens salariés encore actifs
Sauvegardes	Sauvegardes régulières, protégées et testées	Restaurations jamais testées
Incidents	Détection, déclaration, analyse et retour d’expérience	Incidents traités sans enregistrement
Fournisseurs	Exigences de sécurité dans les contrats, suivi	Hébergeur ou prestataire cloud non évalué
Sensibilisation	Programme régulier pour tout le personnel	Sensibilisation unique à l’embauche
Continuité	Plan testé pour les activités critiques	Plan écrit mais jamais exercé
Vulnérabilités	Mises à jour et correctifs suivis	Postes ou serveurs non mis à jour

Parmi les mesures introduites par la version 2022, l’auditeur porte aussi une attention particulière au renseignement sur les menaces, à la sécurité des services cloud, à la préparation de la continuité numérique, au masquage des données et à la surveillance des activités. Les vérifier lors de l’audit interne évite de mauvaises surprises.

Durée et coût

La durée et le coût d’une certification ISO 27001 varient fortement selon la taille de l’organisation, l’étendue du périmètre et la maturité de la sécurité existante. Une entreprise qui dispose déjà d’une politique de sécurité, d’une gestion des accès formalisée et de sauvegardes testées ira beaucoup plus vite qu’une entreprise qui part de zéro.

Les ordres de grandeur suivants sont donnés à titre indicatif, pour une organisation mono-site.

La durée

Situation	Durée indicative jusqu’au certificat
Petite structure, sécurité déjà structurée	6 à 9 mois
PME, sécurité partiellement formalisée	9 à 12 mois
Organisation multi-sites ou périmètre large	12 à 18 mois

Ces durées incluent une période de fonctionnement du système, indispensable pour produire les preuves attendues par l’auditeur. Notre article combien de temps pour obtenir une certification ISO détaille les facteurs qui allongent ou raccourcissent un projet.

Les postes de coût

• Le temps interne : pilote du projet, direction, équipe informatique, métiers. C’est souvent le premier poste.
• L’accompagnement : diagnostic, analyse des risques, documentation, audit interne, selon la formule choisie.
• Les mesures techniques : outils de sauvegarde, gestion des identités, journalisation, chiffrement, éventuels tests d’intrusion.
• L’audit de certification : le nombre de jours d’audit est fixé selon des règles internationales, en fonction notamment des effectifs du périmètre.
• Les audits de surveillance annuels et le renouvellement après trois ans.

Le principe de chiffrage est comparable à celui de l’ISO 9001, présenté dans notre guide sur le coût d’une certification ISO, avec un poste supplémentaire pour les mesures techniques.

Accompagnement ISO 27001 : le rôle du consultant

Un accompagnement ISO 27001 n’est pas obligatoire, mais il est très fréquent, car la norme mêle des sujets de management et des sujets techniques. Le consultant cybersécurité ISO 27001 apporte une méthode éprouvée d’analyse des risques, des modèles de documents, une interprétation des exigences conforme aux attentes des auditeurs et un regard extérieur sur les pratiques de l’entreprise.

Son rôle n’est pas de construire le SMSI à la place de l’organisation : un système rédigé par un tiers et non approprié par les équipes est rapidement repéré par l’auditeur.

Les missions possibles

Mission	Apport
Diagnostic ISO 27001	Écart avec la norme, plan d’action, calendrier
Animation de l’analyse des risques	Méthode, ateliers, rapport et plan de traitement
Rédaction accompagnée de la documentation	Politiques et procédures adaptées, déclaration d’applicabilité
Sensibilisation	Direction, équipes, nouveaux arrivants
Audit interne	Vérification indépendante avant l’audit officiel
Assistance pendant l’audit	Préparation des interlocuteurs, appui en réunion

Comment choisir son consultant

• Une double compétence : management des systèmes et sécurité technique.
• Une qualification reconnue, par exemple d’auditeur ou de responsable de mise en œuvre ISO 27001.
• Des références dans des organisations comparables.
• Une méthode de transfert de compétences, pour que le pilote soit autonome après la certification.
• Une capacité d’intégration avec vos autres normes, si vous êtes déjà certifié ISO 9001

Nos consultants interviennent notamment en Île-de-France ; notre guide du consultant QSE en Île-de-France présente notre façon de travailler.

Après la certification : le cycle de trois ans

Le certificat ISO 27001 est délivré pour trois ans. Pendant cette période, l’organisme certificateur réalise des audits de surveillance, généralement annuels, pour vérifier que le SMSI continue de fonctionner et de s’améliorer. Au bout de trois ans, un audit de renouvellement complet est nécessaire. Une certification n’est donc pas un aboutissement, mais le début d’un cycle.

Pour que le SMSI reste vivant, plusieurs activités doivent être menées en continu.

Faire vivre le SMSI

• Mettre à jour l’analyse des risques à chaque changement significatif et au moins une fois par an.
• Suivre les incidents de sécurité, les analyser et en tirer des actions.
• Revoir régulièrement les droits d’accès et tester les sauvegardes.
• Évaluer les fournisseurs et prestataires critiques.
• Maintenir la sensibilisation du personnel face à l’évolution des menaces.
• Réaliser l’audit interne et la revue de direction chaque année.
• Suivre l’évolution réglementaire : NIS 2, RGPD, exigences sectorielles.

Un exemple concret

Un éditeur de logiciel d’une quarantaine de salariés devait obtenir la certification pour répondre à un appel d’offres d’un grand groupe. Le diagnostic a montré une bonne maîtrise technique mais aucune formalisation : pas d’analyse de risques, pas de politique, pas de gestion structurée des incidents. Avec un accompagnement de quelques jours par mois, l’entreprise a construit son SMSI en sept mois et a été certifiée sans non-conformité majeure. Un an plus tard, l’audit de surveillance a confirmé le fonctionnement du système, et la certification est devenue un argument systématique dans ses propositions commerciales.

Questions fréquentes

La certification ISO 27001 est-elle obligatoire ?

Non, elle est volontaire. Elle est en revanche de plus en plus exigée par les clients et constitue une base solide pour répondre aux obligations de cybersécurité comme celles issues de la directive NIS 2.

Combien de temps faut-il pour obtenir la certification ISO 27001 ?

Pour une PME mono-site, comptez généralement de 6 à 12 mois, selon la maturité de la sécurité existante et l’étendue du périmètre.

Peut-on certifier seulement une partie de l’entreprise ?

Oui. Le périmètre peut être limité à une activité, un service ou une plateforme, à condition qu’il réponde aux attentes des clients et que ses interfaces soient maîtrisées.

Les 93 mesures de l’annexe A sont-elles toutes obligatoires ?

Non. L’organisation choisit les mesures nécessaires au regard de son analyse des risques et justifie les exclusions dans la déclaration d’applicabilité.

Un certificat ISO 27001:2013 est-il encore valable ?

Non. La transition vers la version 2022 s’est achevée le 31 octobre 2025. Les certificats en cours de validité se réfèrent à l’ISO/IEC 27001:2022.

Peut-on combiner ISO 27001 et ISO 9001 ?

Oui. Les deux normes partagent la même structure, ce qui permet de mutualiser la politique, les audits internes, la revue de direction et la gestion des actions.

Faut-il réaliser un test d’intrusion pour être certifié ?

La norme ne l’impose pas explicitement, mais elle exige de gérer les vulnérabilités techniques. Un test d’intrusion est souvent un moyen pertinent de le démontrer, en particulier pour une plateforme exposée sur Internet.

Que contient un audit de surveillance ISO 27001 ?

Un audit de surveillance, plus court que l’audit initial, vérifie par sondage le fonctionnement du SMSI : traitement des écarts précédents, mise à jour de l’analyse des risques, incidents, audit interne et revue de direction.

Conclusion

La certification ISO 27001 atteste qu’une organisation a mis en place un système de management de la sécurité de l’information conforme à la norme et vérifié par un organisme indépendant. Le parcours suit une logique précise : diagnostic, périmètre, analyse des risques, déclaration d’applicabilité, mise en œuvre des mesures, audit interne, revue de direction, puis audit de certification en deux étapes. Pour une PME, il faut généralement compter de 6 à 12 mois.

Un accompagnement ISO 27001 par un consultant qui maîtrise à la fois le management et la sécurité technique permet de sécuriser le calendrier et d’éviter les écueils. Une fois certifiée, l’organisation entre dans un cycle de trois ans au cours duquel le SMSI doit rester vivant. Les consultants SMTPE vous accompagnent à chaque étape.

Si vous devez répondre rapidement à l’exigence d’un client, commencez par un diagnostic ISO 27001 : en quelques jours, il établit l’écart avec la norme, le périmètre pertinent et un calendrier réaliste jusqu’à l’audit. Nos consultants interviennent à Paris, en Île-de-France et partout en France, sur site ou à distance.