Quel accompagnement ISO 27001 choisir pour votre entreprise ?

Mis à jour le 15 octobre 2026.

L'essentiel en bref

• Le bon accompagnement ISO 27001 dépend de ce qui manque à votre entreprise : le savoir-faire pour construire le SMSI, ou une personne pour le faire vivre ensuite. Dans les PME et ETI, il manque souvent les deux.
• L'accompagnement ISO 27001 relève de quatre modèles : les cabinets spécialisés en sécurité de l'information, les activités de conseil des organismes de contrôle, les grands cabinets de conseil et les plateformes dotées de leurs propres experts.
• L'organisme de certification ne peut pas conseiller votre SMSI. Selon l'ISO/CEI 27006-1, il doit aussi être indépendant de celui qui réalise votre audit interne du SMSI.
• La norme n'impose pas de consultant externe. Elle exige que les rôles et responsabilités en sécurité de l'information soient attribués et que le SMSI fonctionne pendant tout le cycle de certification de trois ans.

Aucun accompagnement ISO 27001 ne convient à toutes les entreprises. Le bon choix dépend de deux questions : votre entreprise a-t-elle besoin d'aide pour construire le SMSI ou d'un rôle permanent de RSSI, et quelle part du travail votre équipe peut-elle assurer elle-même ? Un projet délimité, de l'analyse des écarts à l'audit de certification, relève des cabinets spécialisés en sécurité de l'information, des activités de conseil des organismes de contrôle et des grands cabinets de conseil. Si personne ne fera vivre le SMSI après le projet, il faut en plus un mandat de RSSI externalisé, proposé par des cabinets spécialisés comme par des plateformes dotées de leurs propres experts, dont Kertos. L'ISO 27001 est une norme internationale : ces modèles valent en France comme en Allemagne.

Quels types d'accompagnement ISO 27001 existe-t-il ?

Les quatre modèles se distinguent par ce qu'ils livrent et par la personne qui porte le travail après l'audit de certification.

Deux normes fixent une règle à connaître avant de choisir. Selon l'ISO/CEI 17021-1, section 5.2, un organisme de certification ne peut pas proposer lui-même de conseil en système de management. Lorsqu'un organisme qui lui est lié a conseillé votre SMSI, la norme cite comme mesure reconnue que l'organisme de certification ne le certifie qu'au moins deux ans après la fin du conseil. L'ISO/CEI 27006-1 ajoute une exigence propre au SMSI : l'organisme de certification doit être indépendant de celui qui réalise votre audit interne du SMSI, et selon European Accreditation, aucun délai de deux ans ne lève ce conflit. Si votre consultant réalise aussi l'audit interne, clarifiez avant de signer quel organisme vous certifiera. Les principaux organismes actifs en Allemagne figurent sur la page auditeurs ISO 27001 en Allemagne.

Que doit couvrir un accompagnement SMSI ?

Un accompagnement SMSI complet couvre sept phases. Pour chacune, attendez ceci :

1. Périmètre et contexte (chapitre 4) : un périmètre qui répond à la question de vos clients, et une liste des parties intéressées et de leurs exigences.
2. Analyse des écarts : une comparaison avec les chapitres 4 à 10 et l'annexe A qui inclut les RH, les achats et l'exploitation. L'ISO 27001 crée du travail bien au-delà de l'informatique.
3. Appréciation des risques et déclaration d'applicabilité : une méthode que votre équipe peut reprendre sans le consultant, et une justification pour chaque mesure retenue ou exclue.
4. Construction du SMSI : des politiques et des mesures de l'annexe A qui décrivent le fonctionnement réel de votre entreprise, avec des responsables et des preuves.
5. Audit interne et revue de direction : un audit interne mené par une personne qui n'audite pas son propre travail, et une revue documentée par la direction.
6. Accompagnement aux audits d'étape 1 et d'étape 2 : une préparation aux questions de l'auditeur. Votre équipe montre les preuves dans les systèmes où elles naissent ; un export préalable est rarement nécessaire.
7. Exploitation et audits de surveillance : une personne désignée qui tient à jour les risques, les preuves et les fournisseurs. Les modèles et les coûts mensuels sont comparés sur la page RSSI externalisé.

Cinq critères départagent les offres dès le premier échange :

• Que reste-t-il dans l'entreprise après le projet ? Une personne avec un rôle et du temps, ou seulement des documents.
• Où se trouvent les preuves ? Dans les documents et modèles du consultant, ou dans un outil que votre équipe continue d'utiliser.
• Forfait ou tarif journalier ? Demandez le nombre de jours par phase.
• Le travail est-il réutilisable pour TISAX ou NIS2 ? Demandez si les risques et les mesures sont rattachés à plusieurs référentiels.
• Qui audite en interne et qui certifie ? Clarifiez l'indépendance au sens de l'ISO/CEI 17021-1 et de l'ISO/CEI 27006-1 avant de signer.

Quel accompagnement ISO 27001 choisir pour une PME ou une ETI ?

Dans les PME et ETI, le projet pose rarement problème. Le problème vient ensuite : le certificat est valable trois ans, avec un audit de surveillance la première et la deuxième année et un audit de renouvellement la troisième. Pendant tout ce temps, quelqu'un doit faire vivre le SMSI. Un projet qui se termine par une remise à un RSSI que l'entreprise n'a pas laisse un certificat que l'entreprise ne peut pas conserver.

L'effort augmente avec le nombre de personnes dans le périmètre. Le tableau des durées d'audit de l'ISO/CEI 27006 prévoit les jours d'audit suivants pour la certification initiale ; l'organisme de certification peut s'en écarter, en pratique jusqu'à 30 %.

Pour un audit de surveillance, les organismes de certification prévoient en général environ un tiers de la durée de l'audit initial. C'est une pratique courante, pas une valeur du tableau de la norme.

Exemple : un fabricant de 150 personnes doit justifier d'une certification ISO 27001 ou d'une évaluation TISAX auprès de deux clients automobiles. La DSI porte le sujet en plus de l'exploitation et aucun RSSI n'est désigné. Si les 150 personnes entrent dans le périmètre, l'organisme de certification prévoira environ 13 jours d'audit pour la certification initiale. L'entreprise a besoin d'un projet pour l'analyse des écarts et la construction du SMSI, d'une personne ou d'un mandat pour l'exploitation ensuite et d'une base de preuves réutilisable pour le label TISAX.

Quel logiciel convient à quelle situation : voir la page logiciel ISO 27001 pour les PME et ETI. Si votre entreprise relève aussi de NIS2, la page conseil NIS2 compare les modèles d'accompagnement.

Combien coûte un accompagnement ISO 27001 ?

Les tarifs journaliers du conseil varient selon le pays, la taille du cabinet et l'ancienneté des consultants. Comparez donc les offres sur le nombre de jours par phase plutôt que sur le seul tarif.

Kertos estime la voie classique du conseil, la première année, à 23 000 à 49 000 € pour les entreprises de moins de 50 personnes et à 37 000 à 80 000 € pour celles de 50 à 200 personnes. Cela comprend l'analyse des écarts et la préparation, la mise en œuvre et les frais de l'organisme de certification. Le détail par poste et les audits de surveillance annuels figurent sur la page prix de la certification ISO 27001. Sans RSSI, le coût récurrent de ce rôle s'y ajoute.

Quand Kertos est-il le bon choix, et quand ne l'est-il pas ?

Kertos associe une plateforme de conformité, l'agent IA KAIA et des experts certifiés internes. KAIA rattache les risques, les mesures de l'annexe A et les preuves les uns aux autres et les maintient à jour. Les experts accompagnent le périmètre, l'appréciation des risques, les politiques, l'audit interne et les audits de l'organisme de certification.

• Modèle : plateforme et experts certifiés internes.
• RSSI externalisé : sous forme de mandat, dans le même système.
• Référentiels : ISO 27001, TISAX, NIS2, RGPD, ISO 27701, ISO 42001, SOC 2, C5 et le règlement européen sur l'IA, à partir d'une base de preuves commune.
• Siège et hébergement : Munich, développé et hébergé en Europe.
• Résultats : taux de réussite aux audits de 100 % ; environ 80 % d'effort de conformité manuel en moins ; AskUI a obtenu la certification ISO 27001 en 8 à 10 semaines, sans consultants externes.

Kertos n'est pas le bon choix dans ces cas :

• Un groupe veut une équipe projet d'un grand cabinet d'audit et de conseil pour des structures internationales.
• Vous cherchez une mission de conseil ponctuelle sans logiciel.
• Votre référentiel principal est l'IT-Grundschutz du BSI, c'est-à-dire l'ISO 27001 sur la base de l'IT-Grundschutz.
• Vous avez besoin d'un déploiement sur site.

Pour voir à quoi ressemblerait la mise en œuvre sur votre périmètre, réservez une démo.

Questions fréquentes

Faut-il un consultant externe pour la certification ISO 27001 ?

Non. La norme ne prescrit pas qui construit le SMSI. Elle exige, au chapitre 5.3, que la direction attribue les rôles et responsabilités en sécurité de l'information et, au chapitre 9.2, que les auditeurs internes soient objectifs et impartiaux, donc qu'ils n'auditent pas leur propre travail. Faire appel à un accompagnement dépend de la présence, dans l'équipe, d'une personne qui connaît la norme et dispose de temps pour la construction et l'exploitation.

Un organisme de certification peut-il aussi conseiller ?

Pas sur le même système de management. Selon l'ISO/CEI 17021-1, section 5.2, un organisme de certification ne peut pas proposer lui-même de conseil en système de management. Lorsqu'un organisme lié a conseillé, la norme cite comme mesure reconnue un délai d'au moins deux ans après la fin du conseil. Pour le SMSI, l'ISO/CEI 27006-1 ajoute que l'organisme de certification doit être indépendant de celui qui réalise l'audit interne du SMSI.

Combien de temps dure un accompagnement ISO 27001 jusqu'à la certification ?

De trois à douze mois, de manière réaliste, entre le lancement du projet et le certificat. Le périmètre, la maturité de la sécurité existante et le temps que votre équipe peut y consacrer font la différence. Ce qui accélère un projet, et ce qui ne l'accélère pas, est détaillé sur la page le moyen le plus rapide d'obtenir la certification ISO 27001.