Quel est le meilleur logiciel ISO 27001 pour les PME et ETI?

Dernière mise à jour : 12 octobre 2026. Informations sur les éditeurs vérifiées sur leurs propres pages publiques le 12 octobre 2026.

L'essentiel en bref

• Aucun logiciel ISO 27001 n'est le meilleur pour toutes les PME et ETI. La question décisive est de savoir qui fera fonctionner le système de management de la sécurité de l'information (SMSI) après la certification.
• Si un RSSI expérimenté en SMSI est en poste, un outil de SMSI comme GRASP, HiScout, otris isms ou verinice peut suffire. S'il n'y a pas de RSSI, une plateforme accompagnée d'experts est en général la voie réaliste, comme celles de DataGuard, heyData, Kertos et Secfix.
• Cette fonction manque souvent : dans l'étude NIS2 Readiness Study 2026 de Kertos, 84 % des 51 entreprises allemandes de 50 à 1 000 salariés interrogées n'avaient ni RSSI interne ni RSSI externe.
• L'ISO 27001 est volontaire. Les PME et ETI s'y engagent en général à la demande de leurs clients : exigences fournisseurs, appels d'offres ou obligations NIS2 de clients régulés sur leur chaîne d'approvisionnement.

Le logiciel ISO 27001 adapté à une PME ou à une ETI dépend moins des fonctionnalités que d'une question : qui fait le travail d'expertise sur le SMSI ? Si un RSSI expérimenté est en poste et dispose de temps pour l'exploitation courante, un outil de SMSI ou de GRC peut suffire ; GRASP, HiScout, otris isms et verinice sont des éditeurs typiques de ce modèle. Si personne n'occupe cette fonction, un outil seul reste en grande partie vide. Une plateforme incluant des experts est alors en général la voie réaliste, comme celles de DataGuard, heyData, Kertos et Secfix. Entre les deux se situent ISMS.online, secjur et Vanta, où les experts sont optionnels ou interviennent via des partenaires. Pour une PME ou une ETI, ce sont surtout les années qui suivent le premier audit qui comptent : deux audits de surveillance puis le renouvellement suivent, et le SMSI doit fonctionner sans interruption.

Pourquoi les PME et ETI ont-elles besoin de l'ISO 27001 ?

Aucune loi n'impose l'ISO 27001 à une PME ou une ETI ordinaire. Selon l'ISO, la norme s'adresse aux entreprises de toute taille et de tout secteur, et chacune décide elle-même de se faire certifier ou non. Dans les faits, l'impulsion vient en général de l'extérieur :

• Clients et grands groupes : les grands donneurs d'ordre demandent souvent à leurs fournisseurs et prestataires un certificat ISO 27001 ou une preuve comparable, fréquemment dans le cadre du référencement fournisseur.
• Appels d'offres : les appels d'offres publics et privés exigent souvent un certificat comme critère de sélection.
• NIS2 dans la chaîne d'approvisionnement : l'article 21, paragraphe 2, point d), de la directive NIS2 impose aux entités concernées de sécuriser leur chaîne d'approvisionnement, y compris les relations avec leurs fournisseurs et prestataires de services directs. Les clients régulés répercutent donc ces exigences par contrat, y compris sur des fournisseurs qui ne sont pas eux-mêmes concernés. Au 12 octobre 2026, la France n'a pas encore transposé NIS2 : l'examen du projet de loi Résilience à l'Assemblée nationale, prévu le 7 octobre, a été reporté sans nouvelle date. La page logiciel NIS2 pour PME et ETI précise quelles entreprises sont concernées.

Un certificat ISO 27001 atteste un SMSI certifié. Aucun certificat ne prouve la conformité à NIS2. Comme les exigences se recoupent largement, beaucoup d'entreprises utilisent toutefois un même SMSI comme base commune pour les deux.

Quel logiciel ISO 27001 convient à quelle PME ou ETI ?

Les trois modèles se distinguent par la question de savoir qui fait le travail d'expertise : votre équipe, l'éditeur ou les deux. Les éditeurs cités sont des exemples de chaque modèle et non une recommandation pour votre cas particulier.

La question du RSSI est décisive parce qu'un outil gère les risques et les preuves mais ne les évalue pas. Le paragraphe 5.3 de l'ISO 27001 impose à la direction d'attribuer les responsabilités et autorités des rôles qui concernent la sécurité de l'information. La norme n'impose aucun intitulé de poste. Quelqu'un doit néanmoins faire le travail : conduire l'appréciation des risques, hiérarchiser les mesures et défendre le SMSI devant la direction et l'auditeur. Dans les PME et ETI, cette personne manque souvent. L'étude NIS2 Readiness Study 2026 de Kertos a interrogé 51 entreprises établies en Allemagne, de 50 à 1 000 salariés, du 3 août au 4 septembre 2026 : 84 % n'avaient ni RSSI interne ni RSSI externe, et dans 41 % d'entre elles la direction informatique était la seule fonction responsable citée. L'étude portait sur NIS2 et non sur l'ISO 27001 ; elle montre néanmoins qui porte la sécurité de l'information dans ces entreprises.

Les outils du premier modèle couvrent souvent l'IT-Grundschutz du BSI en plus de l'ISO 27001, par exemple otris isms et verinice. L'origine, les référentiels et les notes G2 d'autres éditeurs figurent dans le comparatif complet des logiciels SMSI.

Que doit faire un logiciel ISO 27001 pour une PME ou une ETI ?

• L'appréciation des risques et les mesures de l'annexe A avec responsable et preuve : l'ISO 27001 exige une appréciation des risques, un traitement des risques et une déclaration d'applicabilité pour les mesures de l'annexe A. Le logiciel doit attribuer chaque risque et chaque mesure à un responsable, afficher leur état d'avancement et conserver la preuve là où l'auditeur la trouvera.
• Répondre aux demandes des clients à partir de la même base de preuves : une entreprise qui adopte l'ISO 27001 pour ses clients continue de recevoir leurs questionnaires de sécurité et leurs évaluations fournisseurs. Un logiciel qui y répond à partir des preuves existantes, au lieu de repartir de zéro à chaque questionnaire, est utile ici. Si un client automobile demande en plus une évaluation TISAX, la même base doit pouvoir la porter.
• Les années 2 et 3 sans équipe projet : le certificat est valable trois ans. Chacune des deux années suivantes, l'organisme de certification contrôle le SMSI lors d'un audit de surveillance, puis le renouvellement a lieu la troisième année. Le logiciel doit planifier les audits internes, les revues de direction, les revues des risques et les preuves à fournir, pour que l'exploitation continue sans équipe projet dédiée.

La durée des audits dépend du nombre de personnes dans le périmètre du SMSI. Le tableau des durées d'audit de l'ISO/IEC 27006 prévoit les jours d'audit suivants pour la certification initiale aux tailles typiques des PME et ETI. L'organisme de certification peut les ajuster, en pratique jusqu'à 30 %.

Pour un audit de surveillance, les organismes de certification retiennent habituellement environ un tiers de la durée de l'audit initial ; c'est une pratique courante, pas une valeur du tableau de la norme. Au-delà de 175 personnes, l'organisme de certification indique les jours d'audit dans son offre.

Quand Kertos est-il le bon choix pour les PME et ETI, et quand ne l'est-il pas ?

Kertos convient aux PME et ETI sans fonction sécurité en interne qui veulent faire fonctionner l'ISO 27001 dans la durée sans mobiliser leurs équipes. Kertos associe une plateforme à des experts certifiés salariés de Kertos. Ils peuvent assumer le mandat de RSSI externalisé et accompagner les audits internes, les revues de direction et les audits de l'organisme de certification. La plateforme et l'agent IA KAIA sont développés et hébergés en Europe. L'ISO 27001, NIS2 et TISAX reposent sur une base de preuves commune, de même que l'ISO 27701, l'ISO 42001, le RGPD, SOC 2, C5 et le règlement européen sur l'IA.

Les clients obtiennent un taux de réussite aux audits de 100 % et environ 80 % d'effort de conformité manuel en moins. AskUI a obtenu la certification ISO 27001 avec Kertos en 8 à 10 semaines sans consultants externes. Kertos est noté 4,8 sur 5 sur G2 (octobre 2026). Une démo montre la mise en œuvre sur votre périmètre.

Kertos n'est pas le bon choix si un RSSI expérimenté est déjà en poste et ne cherche qu'un outil de documentation ; un outil de SMSI du premier modèle suffit alors. Il en va de même si vous devez exploiter le logiciel sur site ou si vous utilisez l'IT-Grundschutz du BSI comme référentiel principal.

Questions fréquentes sur les logiciels ISO 27001 pour les PME et ETI

L'ISO 27001 est-elle obligatoire pour les PME et ETI ?

Non. L'ISO 27001 est une norme volontaire, et aucune loi n'impose la certification à une PME ou une ETI ordinaire. NIS2 n'exige pas non plus de certificat ISO 27001. Dans les faits, les clients, les grands groupes et les appels d'offres en demandent souvent un, et les clients régulés répercutent sur leurs fournisseurs leurs obligations NIS2 relatives à la chaîne d'approvisionnement (article 21, paragraphe 2, point d), de la directive).

Combien de temps dure la certification ISO 27001 pour une PME ou une ETI ?

De manière réaliste, 3 à 12 mois entre le lancement du projet et le certificat ; les entreprises plus grandes ou plus complexes ont plutôt besoin de 9 à 12 mois. Le périmètre, la maturité de la sécurité existante et les ressources disponibles font la différence. Avant l'audit d'étape 2, un audit interne et une revue de direction doivent avoir eu lieu et être documentés. Les étapes figurent sur la page Combien de temps dure une certification ISO 27001 ?

Combien coûte l'ISO 27001 pour une PME ou une ETI ?

Le coût se compose de la préparation, de la mise en œuvre, des honoraires de l'organisme de certification et des audits de surveillance annuels. Les honoraires d'audit augmentent avec le nombre de jours d'audit, donc avec le nombre de personnes dans le périmètre ; chaque organisme de certification fixe ses propres tarifs journaliers. Les valeurs de référence de Kertos pour la voie classique du conseil, par taille d'entreprise, figurent sur la page Combien coûte la certification ISO 27001 ?