Comprendre et appliquer la norme ISO/IEC 27001:2022 : construire un SMSI, apprécier les risques, choisir les 93 mesures de l'annexe A, préparer les preuves et passer la certification.
La certification n'est pas un examen qu'on réussit ou qu'on rate en bloc. C'est un audit où un organisme indépendant vérifie que le SMSI respecte la norme et fonctionne réellement. Il trouve presque toujours des écarts. La question est leur gravité, et la capacité de l'entreprise à les corriger.
Le point essentiel : l'organisme doit être accrédité pour ISO 27001 par un organisme d'accréditation membre de l'IAF. En France, c'est le COFRAC. Un certificat émis par un organisme non accrédité n'a pratiquement aucune valeur pour un client averti, et il en existe beaucoup, vendus en ligne pour quelques centaines d'euros.
Pour vérifier un certificat, le vôtre ou celui d'un fournisseur, la base IAF CertSearch recense les certificats émis sous accréditation. Le logo de l'organisme d'accréditation doit aussi figurer sur le certificat.
En France, AFNOR Certification, Bureau Veritas ou LSTI font partie des organismes accrédités. Comparez sur trois critères : le prix des jours d'audit, la disponibilité des auditeurs, et leur connaissance de votre secteur. Un auditeur qui connaît le SaaS posera de meilleures questions qu'un spécialiste de l'industrie.
Une règle d'indépendance s'applique : l'organisme qui vous certifie ne peut pas vous avoir accompagné en conseil. Votre consultant et votre certificateur doivent être deux entités distinctes.
| Moment | Audit | Résultat |
|---|---|---|
| Année 0 | Étape 1 (revue documentaire, préparation), puis étape 2 (efficacité) | Certificat valable 3 ans |
| Année 1 | Audit de surveillance | Maintien du certificat |
| Année 2 | Audit de surveillance | Maintien du certificat |
| Année 3 | Audit de renouvellement | Nouveau cycle de 3 ans |
Étape 1. L'auditeur vérifie que le SMSI est prêt : périmètre, politique, méthode de risques, déclaration d'applicabilité, audit interne et revue de direction réalisés. Il identifie les points qui pourraient bloquer l'étape 2. Souvent en partie à distance, une à deux journées pour une PME.
Étape 2. Quelques semaines plus tard, l'audit de certification proprement dit. L'auditeur interroge la direction et les équipes, prend des échantillons de preuves, vérifie que les mesures déclarées « en place » le sont. Il fait le lien entre risques, mesures et preuves.
Surveillance. Les années 1 et 2, un audit plus court vérifie une partie du SMSI et le suivi des écarts précédents.
Renouvellement. L'année 3, un audit complet ouvre un nouveau cycle de trois ans.
La durée d'audit dépend surtout du nombre de personnes dans le périmètre et de la complexité de l'activité, selon des règles communes aux organismes accrédités (document IAF MD 5). Pour une entreprise de la taille de Factura, comptez en ordre de grandeur :
| Poste | Ordre de grandeur |
|---|---|
| Audit initial (étapes 1 et 2) | 6 à 8 jours-auditeur |
| Audits de surveillance | Environ un tiers de l'audit initial, chaque année |
| Prix d'un jour d'audit | Environ 1 000 à 1 500 € |
| Accompagnement par un consultant | Très variable, de quelques jours à un accompagnement complet |
| Outils | De zéro (dépôt Git, tableur) à quelques milliers d'euros par an (plateforme GRC) |
| Temps interne | Le poste le plus lourd et le plus sous-estimé |
Ces chiffres varient selon les organismes et les situations. Demandez plusieurs devis.
Sur la durée totale du projet, une PME partant de zéro met généralement 9 à 12 mois entre le lancement et le certificat. Il faut que le SMSI ait fonctionné quelques mois pour produire des preuves : indicateurs, revues d'accès, tests de restauration, audit interne, revue de direction.
Mois 1-2 Cadrage : périmètre, rôles, politique, choix de la méthode
Mois 2-3 Inventaire des actifs, ateliers de risques, registre
Mois 3-4 Déclaration d'applicabilité, plan de traitement
Mois 4-8 Mise en œuvre des mesures, rédaction des politiques
thématiques, sensibilisation, premières preuves
Mois 8-9 Audit interne complet, corrections
Mois 9 Revue de direction
Mois 10 Audit étape 1
Mois 11 Audit étape 2
Mois 12 Traitement des écarts, décision de certificationÀ la fin de l'étape 2, l'auditeur présente ses constats. Les catégories exactes varient un peu selon les organismes :
| Constat | Signification | Conséquence |
|---|---|---|
| Non-conformité majeure | Exigence non satisfaite, ou doute sérieux sur l'efficacité du SMSI | Pas de certification tant qu'elle n'est pas corrigée et vérifiée |
| Non-conformité mineure | Écart ponctuel qui ne remet pas en cause le système | Plan d'actions à fournir, vérifié à l'audit suivant |
| Point d'amélioration | Piste suggérée, pas un écart | Libre à vous de le suivre |
Une non-conformité majeure n'est pas la fin du projet. L'entreprise corrige, l'organisme vérifie, parfois lors d'un audit complémentaire, et la certification suit.
Ce sont toujours un peu les mêmes :
Relisez cette liste juste avant l'audit interne. Elle couvre une bonne partie de ce que l'auditeur externe trouvera.
Quelques conseils pratiques :
La certification n'est une conformité réglementaire automatique nulle part, mais elle en couvre une large part.
| Texte | Lien avec ISO 27001 |
|---|---|
| RGPD | Couvre l'article 32 (sécurité du traitement) en grande partie. Ne couvre pas les droits des personnes, les bases légales, le registre des traitements. ISO 27701 complète sur la vie privée. |
| NIS2 | Les mesures de gestion des risques de l'article 21 recoupent fortement l'annexe A. Restent les obligations propres à la directive : notification aux autorités, responsabilité des dirigeants. |
| DORA | Pour le secteur financier, applicable depuis le 17 janvier 2025. Le SMSI fournit une base, mais DORA impose des exigences plus précises sur la résilience, les tests et les prestataires TIC. |
| HDS | La certification d'hébergeur de données de santé s'appuie sur ISO 27001, avec des exigences spécifiques en plus. |
Côté protection des données, le RGPD face à l'IA rappelle que la sécurité n'est qu'une partie des obligations : un SMSI certifié n'exonère pas d'un traitement sans base légale.
Les clients américains demandent souvent un rapport SOC 2 plutôt qu'un certificat ISO. Les deux recouvrent des sujets proches, mais diffèrent sur la forme :
| ISO 27001 | SOC 2 Type II | |
|---|---|---|
| Nature | Certificat de conformité à une norme | Rapport d'attestation d'un cabinet d'audit |
| Reconnaissance | Internationale, forte en Europe | Forte en Amérique du Nord |
| Contenu public | Certificat avec périmètre | Rapport détaillé, sous accord de confidentialité |
| Période | Cycle de 3 ans avec surveillance annuelle | Période d'observation, rapport en général annuel |
Pour une entreprise européenne qui vend en Europe, ISO 27001 est le premier choix. Beaucoup d'entreprises font les deux ensuite, en réutilisant le même SMSI.
ISO 27001 a mauvaise réputation chez les développeurs : de la paperasse, des tableurs, des réunions. C'est vrai quand le SMSI est construit pour l'auditeur. Construit pour l'équipe, avec des preuves qui sortent de la CI, des politiques courtes et une analyse de risques honnête, il devient ce qu'il devrait être : une façon de savoir ce qu'on protège, pourquoi, et de le démontrer. Factura a obtenu son certificat avec quatre non-conformités mineures. Le vrai travail commence maintenant : le premier audit de surveillance a lieu dans un an.