L'essentiel en bref
- Une certification SMSI signifie une certification selon ISO 27001, votre système de management étant l'objet examiné. L'organisme de certification travaille pour sa part selon deux autres normes : ISO/IEC 17021-1 et ISO/IEC 27006-1:2024.
- ISO/IEC 17021-1 définit une non-conformité majeure au paragraphe 3.12 non pas par la gravité ressentie du manquement, mais par son effet sur l'aptitude du système de management à atteindre les résultats escomptés.
- Si l'organisme de certification ne peut pas vérifier la mise en œuvre des corrections d'une non-conformité majeure dans les 6 mois suivant le dernier jour de l'audit de phase 2, il doit réaliser un nouvel audit de phase 2 (17021-1, paragraphe 9.5.3.2).
- La charge d'audit se calcule à partir du nombre effectif de personnes dans le périmètre. Les règles de calcul figurent depuis 2024 dans l'annexe C normative de l'ISO/IEC 27006-1. L'IAF MD 5 couvre expressément les systèmes de management de la qualité, de l'environnement et de la santé et sécurité au travail, et non les SMSI.
- À l'expiration du certificat, la certification prend fin. L'organisme peut la rétablir dans un délai de 6 mois (paragraphe 9.6.3.2.5), sans que la validité soit pour autant prolongée.
Ce qu'examine réellement une certification SMSI
C'est votre système de management de la sécurité de l'information qui est examiné, et c'est selon ISO 27001 que vous êtes certifié. Il n'existe pas de certificat SMSI distinct, et qui cherche une certification SMSI vise presque toujours cette procédure précise : un audit externe en deux phases réalisé par un organisme accrédité, au terme duquel est délivré un certificat valable trois ans.
La distinction entre conformité et certification a son importance. Votre SMSI est conforme dès lors qu'il satisfait aux exigences de la norme, ce que vous pouvez constater vous-même. Il n'est certifié qu'une fois qu'un organisme indépendant l'a formellement confirmé. Ce qu'exige la norme, quels chapitres sont obligatoires et comment sélectionner parmi les 93 mesures de l'annexe A, c'est le sujet de notre guide sur la certification ISO 27001. Le présent article prend le relais et décrit ce qui se passe dans la salle d'audit.
Un point que la plupart des équipes découvrent tardivement change sensiblement la préparation. L'auditeur vous évalue selon ISO 27001, mais son propre travail obéit à un autre corpus. ISO/IEC 17021-1 fixe la manière dont les organismes de certification peuvent auditer les systèmes de management et ISO/IEC 27006-1 y ajoute des exigences propres aux SMSI. Ces deux documents déterminent la durée d'un audit, la classification des constats et les délais applicables aux corrections. Ils décrivent donc les contraintes de votre interlocuteur plutôt que vos obligations, et c'est précisément pour cela qu'il vaut la peine de les connaître.
Phase 1 : l'audit de préparation
En phase 1, l'auditeur répond à une seule question : ce SMSI est-il suffisamment mature pour que son efficacité soit utilement évaluée ? Il examine les informations documentées, vérifie la façon dont le périmètre a été délimité, confronte la déclaration d'applicabilité aux résultats de votre appréciation des risques et se fait une idée des sites, des processus et des responsabilités.
Deux preuves pèsent ici bien plus lourd que les autres : l'audit interne achevé et la revue de direction documentée. Les deux sont obligatoires selon ISO 27001, les deux sont régulièrement planifiés trop tard, et sans elles l'auditeur n'a aucune base pour fixer la phase 2.
La phase 1 peut se dérouler à distance, en tout ou partie. L'ancienne règle qui imposait à un organisme de certification d'obtenir l'accord de son organisme d'accréditation lorsque la part réalisée à distance dépassait 30 pour cent du temps d'audit prévu sur site a été supprimée avec l'ISO/IEC 27006-1:2024. Elle a été remplacée par l'obligation d'indiquer dans le rapport d'audit l'étendue et l'efficacité de l'audit à distance. Concrètement : l'audit à distance est devenu la norme, mais il est désormais documenté, et donc contestable si vos preuves ne paraissent convaincantes qu'à l'oral.
Une idée reçue tenace concerne l'intervalle entre les deux phases. Le délai de six mois souvent cité, au-delà duquel la phase 1 devrait être répétée, ne figure pas dans la norme. L'ISO/IEC 17021-1 exige seulement, au paragraphe 9.3.1.2.4, que l'organisme de certification évalue cet intervalle en tenant compte du temps dont vous avez besoin pour traiter les points relevés en phase 1. Il peut alors décider de répéter tout ou partie de la phase 1. La décision appartient donc à l'auditeur et non à une échéance fixe, et elle vous sera d'autant plus défavorable que vous aurez attendu.
Phase 2 : la démonstration que le SMSI fonctionne
La phase 2 évalue la mise en œuvre et l'efficacité. L'ISO/IEC 17021-1 cite expressément, au paragraphe 9.3.1.3.2, les processus d'audit interne, la revue de direction ainsi que la surveillance, la mesure, le compte rendu et la revue au regard des objectifs et des cibles définis. L'auditeur procède par échantillonnage : il extrait une demande d'accès, un dossier d'intégration, une attestation de formation ou une déclaration d'incident, puis suit chacun de ces éléments à travers vos processus.
Une question passe alors au premier plan, souvent sous-estimée. Combien de temps une mesure doit-elle fonctionner avant que la phase 2 puisse avoir lieu ? La réponse courante est de trois à six mois. C'est une convention de marché, pas une exigence normative. Ni l'ISO/IEC 17021-1 ni les documents des organismes d'accréditation ne fixent de durée minimale d'exploitation. La convention découle simplement du fait qu'un audit interne achevé, une revue de direction documentée et des enregistrements d'exploitation solides demandent du temps. Une équipe capable de produire ces trois éléments plus tôt peut être auditée plus tôt.
La nuance est utile en pratique, car elle change la discussion avec votre organisme de certification. Vous ne négociez pas un délai. Vous argumentez sur la profondeur des preuves.
Un exemple concret : une entreprise SaaS de 45 personnes inclut le produit, l'infrastructure et le support client dans son périmètre, réalise son audit interne six semaines avant la date de phase 2 et découvre elle-même que les évaluations fournisseurs manquent pour trois sous-traitants. C'est exactement le genre de point qui devient un constat externe. Parce que l'équipe le referme en amont, elle aborde l'audit avec une correction documentée plutôt qu'avec une lacune ouverte. Les mesures concernées sont détaillées dans notre article sur les 93 mesures de l'annexe A.
Non-conformités : ce que majeure et mineure signifient vraiment
C'est ici que se loge le plus grand malentendu de toute la procédure. La plupart des équipes lisent « majeure » comme un jugement sur la gravité d'un manquement. Ce n'est pas la définition. L'ISO/IEC 17021-1 définit au paragraphe 3.12 une non-conformité majeure comme celle qui affecte l'aptitude du système de management à atteindre les résultats escomptés. Le paragraphe 3.13 définit la non-conformité mineure en miroir, comme celle où cette aptitude n'est justement pas affectée. Ce qui détermine le classement, c'est donc l'effet sur le système, ni le nombre de cas concernés ni l'intuition de l'auditeur. European Accreditation rappelle explicitement que les organismes de certification ne doivent pas s'écarter de cette définition, ce qui constitue un argument solide lorsqu'un classement vous paraît disproportionné.
Les délais ont eux aussi leur légende tenace. Les 90 jours fréquemment évoqués pour soumettre les actions correctives ne figurent nulle part dans la norme. L'ISO/IEC 17021-1 exige seulement, au paragraphe 9.4.9, que l'organisme de certification demande au client d'analyser la cause et de décrire la correction et l'action corrective « dans un délai défini ». La durée de ce délai relève de l'organisme de certification, et elle se négocie avant la signature du contrat.
Un seul délai est en revanche normatif et non négociable. Si l'organisme de certification ne peut pas vérifier la mise en œuvre des corrections d'une non-conformité majeure dans les six mois suivant le dernier jour de l'audit de phase 2, le paragraphe 9.5.3.2 impose un nouvel audit de phase 2 avant toute recommandation de certification. La norme est consultable auprès de l'ISO. Laisser traîner les corrections après l'audit ne coûte donc pas une reprise, mais un second audit.
Jours d'audit, audits de surveillance et recertification
La charge d'un audit SMSI se déduit du nombre effectif de personnes dans le périmètre, et non du chiffre d'affaires ni du nombre de mesures retenues. Les règles de calcul figurent dans l'annexe C normative de l'ISO/IEC 27006-1:2024, complétée par l'annexe D informative sur les méthodes de calcul. European Accreditation a précisé que la réduction par racine carrée s'applique par catégorie d'activité et non à l'effectif total en équivalents temps plein.
Puisque le périmètre détermine la charge, la tentation est de le tracer le plus étroitement possible. Le calcul ne fonctionne pas toujours. Miriam Mindt, experte en sécurité de l'information et conformité, explique dans cette vidéo pourquoi un périmètre étroit peut créer, par les interfaces et les exceptions qu'il génère, plus de travail qu'il n'en épargne. La vidéo est en anglais :
Un détail est mal cité étonnamment souvent : l'IAF MD 5 s'applique aux systèmes de management de la qualité, de l'environnement et de la santé et sécurité au travail, et expressément pas aux SMSI. Si un prestataire vous détaille des jours d'audit en s'appuyant sur MD 5, il utilise le mauvais tableau. Cela signifie aussi que les offres de différents organismes ne sont comparables que dans une certaine mesure, tant que vous ignorez quel nombre effectif de personnes et quelles catégories d'activité chacun a retenus. Comment repérer les prestataires douteux et les certificats sans valeur fait l'objet d'un article distinct.
Après la certification initiale viennent les audits de surveillance en première et deuxième année. Plus courts que l'audit de certification, ils se concentrent sur les chapitres du référentiel ainsi que sur un sous-ensemble de mesures, avec une attention particulière aux non-conformités mineures restées ouvertes l'année précédente. Le cycle complet et les obligations courantes entre deux audits sont décrits dans notre synthèse sur le maintien et la recertification ISO 27001.
Les clients de Kertos rapportent que la préparation de ces audits de suivi est le moment où le travail en continu porte ses fruits. Un avis publié sur G2 le résume ainsi :
La recertification est le moment où le formalisme se resserre. L'ISO/IEC 17021-1 exige au paragraphe 9.6.3.1.1 que la démarche soit planifiée en temps utile pour permettre le renouvellement avant l'expiration du certificat. Si les corrections ne sont pas vérifiées à cette date, l'organisme ne doit pas recommander la recertification ni prolonger la validité (paragraphe 9.6.3.2.4). Le certificat expire alors. Selon le paragraphe 9.6.3.2.5, l'organisme peut rétablir la certification dans un délai de six mois à condition que les activités en suspens soient achevées, faute de quoi un nouvel audit de phase 2 au minimum s'impose. Ces six mois constituent une fenêtre de rétablissement et non une prolongation : dans l'intervalle, vous n'êtes pas certifié, et c'est précisément dans cette brèche que tombe, l'expérience le montre, la prochaine évaluation fournisseur d'un grand compte.
Si vous cherchez le parcours complet, de la préparation au certificat, les étapes sont détaillées dans notre synthèse sur le processus de certification ISO 27001.
Tout ce que vous venez de lire suppose une chose : un SMSI réellement exploité au quotidien et non un SMSI qui n'existe que pour la date d'audit. Comment le dimensionner pour qu'il traverse ces audits sans bloquer votre équipe, c'est le sujet de notre guide sur la mise en place d'un SMSI pour les startups.
Comment Kertos prépare l'audit
L'écart entre un audit de phase 2 serein et un audit sous tension tient presque toujours à l'état des preuves. Kertos associe une plateforme de conformité agentique à des experts certifiés qui connaissent le cycle d'audit par la pratique. La plateforme rattache chaque tâche au chapitre de la norme dont elle relève et collecte les preuves automatiquement, via des intégrations avec les systèmes que vous exploitez déjà. Au lieu de rassembler captures d'écran et exports de journaux avant l'échéance, vos enregistrements s'accumulent en arrière-plan.
Pour l'audit lui-même, c'est la traçabilité qui compte. Lorsque l'auditeur tire un échantillon, par exemple une demande d'accès isolée du trimestre écoulé, c'est à cet instant que votre mesure est soit prouvée, soit seulement affirmée. Cette chaîne qui va de la politique à la tâche puis à la preuve unitaire est précisément ce que la plateforme entretient, consultable dans les deux sens.
Sur l'ensemble de la base clients, le taux de réussite aux audits est de 100 pour cent. Si un audit de certification ou de surveillance approche chez vous, une démonstration est l'occasion de dérouler votre feuille de route d'audit.
Questions fréquentes
Qu'est-ce qu'une certification SMSI ?
La confirmation formelle, par un organisme de certification accrédité, que votre système de management de la sécurité de l'information satisfait aux exigences de la norme ISO 27001. Il n'existe pas de certificat SMSI distinct : la certification porte toujours sur la norme. Le certificat est valable trois ans.
Comment se déroule un audit ISO 27001 ?
En deux phases. La phase 1 vérifie si documentation, périmètre, audit interne et revue de direction composent un SMSI auditable. La phase 2 vérifie par échantillonnage si les chapitres 4 à 10 et les mesures retenues fonctionnent en pratique. Viennent ensuite les audits de surveillance en première et deuxième année.
Que se passe-t-il en cas de non-conformité majeure ?
Vous devez en analyser la cause, la corriger et prouver la mise en œuvre avant que l'organisme puisse recommander la certification. Si la vérification n'intervient pas dans les six mois suivant le dernier jour de l'audit de phase 2, le paragraphe 9.5.3.2 de l'ISO/IEC 17021-1 impose un nouvel audit de phase 2.
Combien de temps dure un audit ISO 27001 ?
Les jours d'audit se calculent à partir du nombre effectif de personnes dans le périmètre, selon les règles de l'annexe C de l'ISO/IEC 27006-1:2024. Seul le calcul de votre organisme de certification fait foi. Les durées issues de l'IAF MD 5 concernent les systèmes qualité, environnement et santé et sécurité au travail, pas les SMSI.
Que vérifie un audit de surveillance ?
Les chapitres 4 à 10 du référentiel ainsi qu'un sous-ensemble des mesures de l'annexe A, auxquels s'ajoutent les non-conformités restées ouvertes l'année précédente et les preuves que les audits internes, les revues de direction et les appréciations des risques ont effectivement eu lieu. Les audits de surveillance sont plus courts que l'audit de certification, mais ce ne sont pas des formalités.
