L'essentiel en bref
- La version en vigueur est ISO/IEC 27001:2022. Tous les certificats délivrés selon la version de 2013 ont perdu leur validité le 31 octobre 2025.
- L'Annexe A compte 93 mesures en quatre thèmes : 37 organisationnelles, 8 liées aux personnes, 14 physiques et 34 technologiques. La plupart des start-ups et scale-ups en mettent en œuvre entre 60 et 80.
- Les chapitres 4 à 10 sont obligatoires et ne se désélectionnent pas. L'Annexe A est un catalogue de choix, les chapitres n'en sont pas un.
- Un certificat est valable trois ans, avec des audits de surveillance en première et deuxième année puis un audit de recertification en troisième année.
- La charge d'audit dépend du nombre de personnes incluses dans le périmètre, pas de l'ambition du projet. C'est ce qui explique l'écart entre les devis des organismes de certification.
Qu'est-ce que la norme ISO 27001 ?
ISO 27001 est la norme internationale de référence pour construire et exploiter un système de management de la sécurité de l'information, ou SMSI. Elle est publiée conjointement par l'Organisation internationale de normalisation et la Commission électrotechnique internationale au sein du comité ISO/IEC JTC 1/SC 27, et la norme est référencée sur le site de l'ISO.
Le mot clé est système. ISO 27001 ne vous remet pas une liste de pare-feu à installer et ne prescrit ni technologie ni fournisseur. Elle demande la preuve que vous exploitez un processus vivant de protection de l'information : vous évaluez les risques, décidez des mesures, les mettez en œuvre et vérifiez en continu si elles fonctionnent. Cette orientation processus est ce qui donne son poids au certificat. Elle signale à votre client que la sécurité est intégrée à votre façon de travailler et non assemblée la semaine précédant l'audit.
Tout ce que la norme exige sert au bout du compte trois propriétés de l'information, réunies sous le nom de triade DIC. La confidentialité garantit que les données sensibles ne sont accessibles qu'aux personnes autorisées. L'intégrité garantit que l'information reste exacte et complète et n'a pas été modifiée à l'insu de tous. La disponibilité garantit que les utilisateurs autorisés peuvent accéder à l'information quand ils en ont besoin. Chaque mesure de votre SMSI sert au moins l'un de ces trois objectifs, et une mesure qui n'en sert aucun est probablement superflue.
Une idée reçue courante : beaucoup d'équipes parlent de « certification SMSI » comme s'il s'agissait d'autre chose. Ce n'est pas le cas. La certification porte toujours sur ISO 27001 et le SMSI est l'objet que l'auditeur examine. Qui cherche une certification SMSI cherche exactement ce processus.
La version en vigueur est ISO/IEC 27001:2022, publiée en octobre 2022. Les entreprises détenant l'ancien certificat de 2013 avaient jusqu'au 31 octobre 2025 pour effectuer la transition. Cette échéance est passée, tout certificat délivré selon la version de 2013 est donc désormais invalide.
ISO 27001 en un coup d'œil
Qui a besoin d'une certification ISO 27001 ?
Toute entreprise qui traite les données d'autrui et veut vendre à des sociétés qui prennent la sécurité au sérieux. Cela concerne désormais une très large part du marché tech européen et c'est de plus en plus la réglementation, et non la seule pression commerciale, qui impose la question.
La certification est volontaire au sens juridique strict, mais plusieurs cadres rendent un SMSI pratiquement incontournable. La directive européenne NIS2 étend les obligations de cybersécurité à des milliers d'entreprises de taille intermédiaire dans les secteurs critiques et importants et les pratiques de management qu'elle exige recoupent étroitement ISO 27001. En Allemagne elle s'applique depuis le 6 décembre 2025 sans période de transition. Les informations officielles de la Commission européenne sont utiles si vous ne savez pas si votre secteur est concerné.
Les fournisseurs automobiles passent en plus une évaluation TISAX et de nombreux acheteurs grands comptes refusent simplement d'intégrer un fournisseur sans certificat de sécurité reconnu. Les questionnaires de sécurité des grands acheteurs font de plus en plus figurer ISO 27001 comme un critère binaire et non comme une préférence.
La pression du marché est structurelle. Selon le rapport de référence sur la conformité 2025, 81 pour cent des entreprises dans le monde détiennent déjà un certificat ISO 27001 ou prévoient d'en obtenir un, contre 67 pour cent l'année précédente. Pour une entreprise sans certificat, l'écart avec les concurrents certifiés se creuse à chaque trimestre d'attente.
Un second effet est régulièrement sous-estimé. Environ 70 pour cent des exigences d'ISO 27001 recoupent d'autres référentiels comme SOC 2, NIS2, le RGPD et TISAX. Les politiques, les mesures et les preuves constituées une fois pour ISO 27001 se réutilisent pour d'autres programmes d'audit. Construire un programme multi-référentiels autour d'un SMSI ISO 27001 réduit nettement le coût total, parce que vous ne repartez pas de zéro à chaque fois. Là où NIS2 et ISO 27001 se recoupent est traité dans notre article sur les recoupements entre NIS2 et ISO 27001.
Une différence importante toutefois : NIS2 ajoute des délais de notification obligatoires en cas d'incident, une alerte précoce à l'autorité compétente sous 24 heures et un rapport complet sous 72 heures, ainsi que des règles de responsabilité pour la direction. Les deux dépassent le champ d'ISO 27001. Les deux régimes se complètent, ils ne se remplacent pas.
Structure de la norme ISO 27001
La norme se divise en deux parties : les chapitres obligatoires qui définissent le système de management et l'Annexe A qui liste les mesures de sécurité sélectionnables. Comprendre cette séparation est la chose la plus utile à faire avant de démarrer, car une seule des deux parties est négociable.
Les chapitres 4 à 10 sont obligatoires
Ces sept chapitres forment le noyau non négociable. Un auditeur examine chacun d'entre eux.
- Le chapitre 4 exige que vous compreniez le contexte de l'organisme, y compris les attentes des parties intéressées pertinentes.
- Le chapitre 5 place la responsabilité explicitement sur la direction. Elle doit démontrer un engagement actif envers le SMSI et attribuer des responsabilités claires.
- Le chapitre 6 couvre la planification : méthodologie d'appréciation des risques, plan de traitement des risques et objectifs de sécurité.
- Le chapitre 7 traite du support : ressources, compétences, sensibilisation, communication et informations documentées.
- Le chapitre 8 régit la planification et la maîtrise opérationnelles, y compris l'exécution du plan de traitement des risques.
- Le chapitre 9 impose l'évaluation des performances par la surveillance, la mesure, les audits internes et les revues de direction.
- Le chapitre 10 porte sur l'amélioration continue et le traitement des non-conformités.
Ensemble, ils constituent le cycle Plan-Do-Check-Act sous forme normative. C'est ce qui distingue un système de management d'un projet de sécurité ponctuel.
L'Annexe A est un catalogue de choix
L'Annexe A est la partie que la révision de 2022 a modifiée. Le catalogue de mesures est passé de 114 à 93 et a été réorganisé de 14 domaines en quatre thèmes clairs. Onze mesures entièrement nouvelles ont été ajoutées, parmi lesquelles A.5.7 sur le renseignement sur les menaces, A.5.23 sur la sécurité de l'information pour les services cloud et A.5.30 sur la préparation des TIC à la continuité d'activité.
Vous ne mettez pas les 93 en œuvre. Vous sélectionnez les mesures que votre appréciation des risques justifie et vous motivez chaque inclusion et chaque exclusion dans une déclaration d'applicabilité. La plupart des start-ups et scale-ups se situent entre 60 et 80 mesures et se concentrent sur ce qui compte réellement pour leur infrastructure produit et leur environnement de données. Ce que chaque mesure exige est détaillé dans notre guide des 93 mesures de l'Annexe A.
De quoi se compose réellement un SMSI
Un système de management de la sécurité de l'information n'est pas un logiciel. C'est la combinaison de politiques, de processus, de procédures et de mesures avec laquelle votre entreprise pilote la sécurité de l'information de façon systématique et démontrable. Cinq composants le portent.
Les politiques forment le socle. Elles fixent les règles selon lesquelles votre entreprise traite la sécurité. Ce qui compte, c'est qu'elles décrivent votre façon de travailler réelle. Si votre charte d'usage interdit quelque chose que votre équipe fait tous les jours, elle ne vaut rien et, en audit, c'est une non-conformité.
L'appréciation des risques ajuste le SMSI à votre situation. Vous constituez un inventaire de vos actifs informationnels, identifiez des scénarios de menace réalistes pour votre stack technique et votre secteur, évaluez vraisemblance et impact puis décidez par risque du traitement : réduire, transférer, éviter ou accepter en connaissance de cause. Le résultat va dans un registre des risques tenu comme un document vivant et non comme un tableur ponctuel.
Les mesures sont les mécanismes concrets qui réduisent le risque. Techniques comme le chiffrement et l'authentification multifacteur, physiques comme les restrictions d'accès et la protection des équipements, et administratives comme les politiques, les formations et les processus définis. Les administratives sont les plus souvent sous-estimées.
La gestion des incidents décide de ce qui se passe quand quelque chose tourne mal malgré tout. Pour une start-up, cela ne signifie pas un centre opérationnel de sécurité fonctionnant en continu. Cela signifie des procédures documentées, des rôles clairement nommés, des canaux de communication testés et l'engagement d'apprendre de chaque incident. Au premier incident sérieux, un playbook écrit fait la différence entre une réponse coordonnée et de l'improvisation.
L'amélioration continue maintient le système en vie. Les audits internes vérifient que les mesures agissent comme prévu, les revues de direction évaluent l'état d'ensemble et les actions correctives comblent les écarts identifiés. ISO 27001 exige ce cycle explicitement.
La différence pratique se voit à l'intégration d'un nouvel arrivant. Sans SMSI, quelqu'un explique oralement à un nouveau développeur comment les accès sont gérés, montre éventuellement la configuration des outils de sécurité et espère que tout ira bien. Avec un SMSI, il existe une politique de contrôle d'accès documentée, un processus de provisioning défini, un module de formation obligatoire et la preuve que chaque étape a été effectuée. Quand un auditeur ou un client demande comment vous gérez les accès, vous avez une réponse démontrable et non une déclaration d'intention.
ISO 27001 pour les start-ups et les scale-ups
Pour les jeunes entreprises, le périmètre est le levier le plus important. Une société de 25 personnes qui n'inclut que son produit et l'infrastructure associée mène un projet nettement plus réduit que celle qui couvre tout le groupe. Le périmètre détermine aussi la charge d'audit, car le nombre de jours d'audit suit le nombre de personnes concernées et non l'ambition du projet.
Pour la plupart des start-ups, un périmètre sensé couvre l'environnement de production, le traitement des données clients, les pratiques de développement et les systèmes internes qui les soutiennent directement. Les domaines qui ne traitent aucune information sensible n'ont pas à y figurer. Un périmètre resserré et défendable rend la certification atteignable plus vite sans diminuer la valeur du certificat.
L'erreur la plus fréquente à cette taille va dans l'autre sens. Les équipes resserrent tellement le périmètre que le certificat ne répond plus à la question de l'acheteur. Si votre plus gros client veut savoir si le portail client est couvert et que votre certificat ne couvre que l'informatique interne, vous avez réussi un audit sans rien gagner. Découpez le périmètre en fonction de ce que l'on demande réellement à vos équipes commerciales, puis élargissez-le au cycle suivant.
Un exemple concret : une société SaaS de 45 personnes inclut le produit, l'infrastructure et le support client dans son périmètre, désigne un responsable interne à environ la moitié de son temps de travail et construit le SMSI sur une plateforme plutôt que dans des tableurs. À cet effectif, l'audit de certification initiale représente environ huit jours et demi.
La deuxième raison pour laquelle les petites structures bloquent n'est pas le périmètre mais l'interprétation. La norme vous dit ce qui doit être atteint, pas ce qu'il faut faire lundi matin.
Comment dimensionner un SMSI pour qu'il grandisse avec vous au lieu de vous écraser dès le premier jour est traité dans notre guide de construction d'un SMSI pour start-ups.
Le chemin vers la certification : les quatre phases
La certification suit un déroulé prévisible : préparation, mise en œuvre, audit interne puis audit de certification externe. Trois à six mois constituent le cas normal. Les équipes qui gèrent tout dans des tableurs mettent régulièrement neuf à douze mois.
Deux points méritent une attention particulière, car ils produisent une part disproportionnée des non-conformités.
La déclaration d'applicabilité est le document le plus scruté de toute la procédure. Elle doit être parfaitement cohérente avec les résultats de votre appréciation des risques. Une mesure exclue sans motif défendable suggère à l'auditeur une appréciation bâclée, et il regardera de plus près.
La durée de collecte des preuves est régulièrement sous-estimée. L'audit d'étape 2 exige la preuve que les mesures fonctionnent depuis une période généralement comprise entre trois et six mois. Commencer trop tard oblige soit à décaler la date d'audit, soit à accepter des non-conformités formelles.
Si votre question porte simplement sur le temps que prend une certification ISO 27001, notre réponse courte y répond.
Les outils raccourcissent le travail de preuve, pas le travail de construction. Si vous pouvez démontrer vos mesures automatiquement, vous économisez les semaines passées à retrouver des captures d'écran et des exports de journaux. Les processus eux-mêmes doivent tout de même exister et il n'existe pas de raccourci pour cela.
De quoi se compose le prix
La facture comporte trois blocs : analyse d'écart et préparation, mise en œuvre du SMSI puis les frais d'audit de l'organisme de certification. Seuls les frais d'audit sont fixes. Les deux autres dépendent de la quantité de travail manuel consacrée à la documentation et à la collecte des preuves et c'est là que se joue le coût réel du projet.
Une erreur de budget répandue : les dirigeants provisionnent la facture d'audit et passent à côté du poste le plus lourd. Chez la plupart des entreprises de taille intermédiaire, les mois de temps humain consacrés à la documentation et à la collecte des preuves dépassent nettement les frais de l'organisme de certification, alors qu'ils n'apparaissent dans aucun devis. C'est aussi le seul poste que vous maîtrisez, car aucun logiciel ne réduit ce que facture l'organisme de certification.
Les montants précis par taille d'entreprise, ventilés sur les trois blocs et audit de surveillance inclus, figurent dans notre aperçu du prix d'une certification ISO 27001. La façon dont différentes approches modifient ce calcul est comparée dans notre panorama des meilleurs outils de conformité ISO 27001.
Le chemin retenu détermine les deux blocs maîtrisables à la fois. Quelle voie mène au certificat le plus vite, et comment reconnaître un prestataire capable de tenir ce rythme, est traité dans notre article sur la façon d'obtenir rapidement une certification ISO 27001.
Choisir son organisme de certification
Les certificats ne sont pas délivrés par l'ISO. Ils viennent d'un organisme de certification accrédité, et l'accréditation est accordée par un organisme national : le COFRAC en France, la DAkkS en Allemagne, l'UKAS au Royaume-Uni. Le COFRAC publie la liste de ses accréditations en systèmes de management. Parmi les organismes actifs en Europe figurent TÜV Nord, TÜV SÜD, BSI Group, Bureau Veritas et DNV.
La reconnaissance compte autant que la compétence. Un certificat émis par un organisme que votre acheteur ne connaît pas sera lu différemment dans un processus d'achat, même si l'audit qui l'a produit était rigoureux. Le chemin le plus pratique passe donc par vos propres clients : demandez aux deux ou trois plus importants quels organismes ils reconnaissent avant de signer quoi que ce soit.
Tout sceau qui ressemble à ISO 27001 ne provient pas d'un organisme accrédité. Un certificat non accrédité se remarque au plus tard lors de l'évaluation fournisseurs de votre client, et à ce moment-là vous avez dépensé de l'argent et des mois pour un document qui échoue à sa seule fonction. Comment repérer les prestataires douteux et les certificats sans valeur fait l'objet d'un article distinct.
Là où les équipes trébuchent : erreurs courantes et non-conformités
La plupart des échecs au premier essai n'ont rien d'exotique. Ce sont les mêmes quelques schémas que les auditeurs constatent sans cesse.
Le périmètre est trop large dès le départ. La raison la plus fréquente pour laquelle une certification prend plus de temps que prévu est la tentative d'intégrer chaque système et chaque processus interne dans le premier périmètre. Commencez par l'environnement de production et les données clients, élargissez au cycle suivant.
La documentation est prise pour l'objectif. Les auditeurs vérifient que les mesures fonctionnent, pas qu'elles sont bien rédigées. Une politique de contrôle d'accès complète ne vaut rien si votre processus réel ne lui correspond pas. Construisez d'abord le processus réel, documentez ensuite ce que vous faites vraiment. La non-conformité la plus fréquente de toutes est une politique prévoyant des revues trimestrielles sans aucune trace des trois dernières.
L'effort de collecte des preuves est sous-estimé. Comme indiqué plus haut : trois à six mois de fonctionnement doivent être démontrables. Une collecte continue et automatisée règle cela structurellement. Une opération de dernière minute avant l'audit ne le règle pas.
La sécurité des fournisseurs est oubliée. Les mesures A.5.19 à A.5.22 couvrent les relations fournisseurs et la sécurité de la chaîne d'approvisionnement. Pour une société SaaS, votre fournisseur cloud, votre prestataire de paiement et vos principaux outils SaaS sont dans le périmètre. Les évaluations fournisseurs incomplètes sont l'une des catégories de non-conformités les plus régulières.
L'audit interne est traité comme une formalité. Un véritable audit interne avant l'étape 2 trouve les problèmes qui deviendraient sinon des non-conformités formelles et montre à l'auditeur externe que votre cycle de revue fonctionne. L'expédier, c'est se garantir une mauvaise surprise en étape 2.
Une cause se situe avant même le lancement du projet. Confier la certification au mauvais profil produit des non-conformités avant même la rédaction de la première politique.
Le schéma derrière ces cinq points est le même : ISO 27001 récompense les systèmes vivants et sanctionne le théâtre documentaire. Comment tenir vos preuves à jour en continu, pour qu'un audit de surveillance ne tourne jamais à la précipitation, est traité dans notre manuel d'automatisation ISO 27001.
La certification est un début, pas une fin
Le certificat n'est pas l'objectif. C'est le début d'une relation de trois ans avec votre organisme de certification. Des audits de surveillance en première et deuxième année confirment que le SMSI reste vivant et s'améliore ; un audit de recertification complet suit en troisième année.
C'est exactement là que la conformité gérée sur tableur se délite en silence. L'équipe projet se disperse après la célébration, la collecte des preuves s'endort et l'audit de surveillance suivant vire à l'exercice d'urgence. La conformité continue résout ce problème en transformant la collecte des preuves en processus de fond permanent plutôt qu'en événement annuel. Les équipes sereines au renouvellement sont celles qui n'ont jamais cessé de collecter.
Le même mécanisme joue vers l'extérieur. Un SMSI entretenu transforme les revues de sécurité de votre cycle de vente en confirmations rapides plutôt qu'en négociations. Vous passez de « nous prenons la sécurité au sérieux » à « voici notre certificat, voici notre déclaration d'applicabilité et voilà comment nous pilotons ces risques ».
Comment Kertos accompagne la certification
ISO 27001 n'a pas à absorber une année de votre équipe. Kertos associe une plateforme de conformité agentique à des experts certifiés qui travaillent à vos côtés. La plateforme fournit des modèles de politiques alignés sur ISO 27001:2022, rattache chaque tâche au chapitre qu'elle satisfait et collecte les preuves automatiquement via des intégrations avec les systèmes que vous utilisez déjà. Au lieu d'assembler des captures d'écran et des exports de journaux, les preuves s'accumulent en arrière-plan dès le jour où vous connectez vos systèmes. Face à une approche sur tableur, cela réduit l'effort manuel d'environ 80 pour cent.
Le client Kertos AskUI a été certifié en une dizaine de semaines, sans consultants externes et sans bloquer son équipe d'ingénierie. Emidat a bouclé sa certification complète en deux mois et demi, également sans conseil externe. Sur l'ensemble de la base clients, le taux de réussite aux audits est de 100 pour cent, ce qui reflète surtout la différence entre arriver à un audit d'étape 2 avec des mois de preuves collectées en continu et y arriver avec une documentation assemblée dans l'urgence.
Parce que Kertos est conçu en Europe et hébergé sur une infrastructure européenne, la plateforme répond aussi aux attentes de résidence des données que NIS2 et le RGPD font peser sur vous.
Si ISO 27001 figure sur votre feuille de route, l'étape suivante est une démonstration au cours de laquelle nous traçons votre chemin concret vers la certification.
Questions fréquentes
Combien de temps prend une certification ISO 27001 ?
Trois à six mois constituent le cas normal. La maturité et l'automatisation sont les facteurs déterminants : les équipes qui gèrent tout dans des tableurs mettent régulièrement neuf à douze mois, celles qui disposent d'une plateforme dédiée et d'un accompagnement expert nettement moins.
La certification ISO 27001 est-elle obligatoire ?
Pas au sens de la loi. Des cadres comme NIS2 et TISAX, ainsi que les exigences des achats grands comptes, la rendent toutefois pratiquement nécessaire pour de nombreuses entreprises tech européennes.
Une start-up de 15 personnes peut-elle être certifiée ISO 27001 ?
Oui. ISO 27001 est conçue pour s'adapter à toute taille d'entreprise. Une petite structure a généralement un paysage applicatif plus simple, moins de processus et moins de coordination, donc un périmètre plus resserré et un audit plus maîtrisable. Ce qui compte n'est pas la taille de l'équipe mais qu'une personne porte le programme et fasse avancer la collecte des preuves.
Avons-nous besoin de consultants externes ?
Pas nécessairement. Beaucoup d'entreprises atteignent la certification avec une plateforme de conformité et les ressources de leur organisme de certification. Les consultants apportent le plus de valeur là où la complexité réglementaire est forte ou la capacité interne très limitée. Dans tous les cas, ce qui compte est de savoir si le SMSI est vécu ensuite ou s'il n'existait que pour l'audit.
Quelle est la différence entre ISO 27001 et ISO 27002 ?
ISO 27001 est la norme certifiable qui définit les exigences du système de management. ISO 27002 est un guide d'accompagnement qui explique comment les mesures de l'Annexe A se mettent en œuvre en pratique. La certification porte sur 27001 et vous consultez 27002 pour le détail.
Combien de mesures compte ISO 27001:2022 ?
L'Annexe A compte 93 mesures en quatre thèmes : 37 organisationnelles, 8 liées aux personnes, 14 physiques et 34 technologiques. La plupart des start-ups et scale-ups en mettent en œuvre 60 à 80 et motivent inclusions comme exclusions dans la déclaration d'applicabilité.
Que se passe-t-il si nous échouons à l'audit d'étape 2 ?
Un échec pur et simple est rare. L'auditeur relève plus souvent des non-conformités. Les mineures appellent un plan d'actions correctives dans un délai fixé, les majeures un audit complémentaire des domaines concernés. La cause la plus fréquente de mauvaise surprise reste les lacunes de preuve, c'est-à-dire des mesures documentées mais dont le fonctionnement n'est pas démontrable.
À quelle fréquence faut-il se recertifier ?
Le certificat est valable trois ans, avec des audits de surveillance annuels en première et deuxième année puis un audit de recertification complet en fin de cycle. Pour un aperçu de tous les référentiels couverts et de la place d'ISO 27001 aux côtés de SOC 2, du RGPD et de NIS2, consultez notre page consacrée à la certification ISO 27001.
