Certification ISO 27001 : étapes, coût et durée pour une PME

La certification ISO 27001 atteste qu’une organisation a mis en place un système de management de la sécurité de l’information (SMSI) conforme à la norme internationale ISO/IEC 27001, dans sa version 2022. Pour l’obtenir, il faut définir un périmètre, analyser les risques, appliquer les mesures adaptées, puis réussir l’audit d’un organisme de certification accrédité. Le certificat est valable 3 ans, avec un audit de suivi chaque année. La démarche est volontaire : aucune loi ne l’impose de façon générale, mais de nombreux clients l’exigent de leurs prestataires.

Ce guide s’adresse aux dirigeants de TPE et PME, notamment éditeurs de logiciels, hébergeurs, prestataires informatiques ou sous-traitants qui manipulent des données sensibles, et qui se voient demander la certification ISO 27001 par un client ou dans un appel d’offres. Les informations ont été vérifiées en octobre 2026 auprès de l’ANSSI et d’un organisme accrédité.

Qu’est-ce que la norme ISO 27001 ?

L’ISO/IEC 27001 est une norme internationale certifiante. Selon l’ANSSI, elle fixe les exigences à mettre en œuvre et à maintenir pour un système de management de la sécurité de l’information, avec un objectif : protéger les informations et les processus les plus sensibles de l’organisation contre les menaces. Elle couvre les dimensions organisationnelles, humaines, physiques et technologiques de la sécurité, et pas seulement l’informatique.

La norme repose sur trois idées :

• une approche par les risques : vous identifiez ce qui pourrait porter atteinte à la confidentialité, à l’intégrité ou à la disponibilité de vos informations, puis vous décidez comment traiter chaque risque ;
• des mesures de sécurité de référence, listées dans l’annexe A de la norme : vous retenez celles qui s’appliquent à votre situation et justifiez les exclusions dans une déclaration d’applicabilité ;
• l’amélioration continue : le système est mesuré, audité et revu par la direction à intervalles réguliers.

La norme ISO/IEC 27002 complète ce dispositif en donnant des recommandations pour mettre en œuvre les mesures. Elle n’est pas, elle, certifiante.

Pourquoi être certifié ISO 27001 ?

• Répondre aux exigences des clients : grands comptes, acteurs publics et entreprises réglementées demandent de plus en plus une preuve de maturité en sécurité à leurs fournisseurs.
• Gagner des appels d’offres : la certification peut être un critère de sélection, voire un prérequis.
• Structurer la sécurité : rôles définis, procédures écrites, gestion des incidents, sauvegardes testées.
• Réduire les risques : la démarche oblige à regarder en face les points faibles et à les traiter.
• Préparer les obligations à venir : la directive européenne NIS 2 étend les exigences de cybersécurité à de nombreuses entités de 17 secteurs, classées en entités essentielles et importantes, avec enregistrement auprès de l’ANSSI, mesures de gestion des risques et notification des incidents. L’ANSSI a publié pour cela un référentiel, le ReCyF. Un SMSI déjà en place facilite ce travail, sans dispenser de vérifier ses obligations propres.

Un certificat n’est pas une garantie d’invulnérabilité : il atteste qu’un cadre de gestion de la sécurité existe et fonctionne sur le périmètre audité. Les questions de sécurité se posent d’ailleurs dès le choix de vos outils, par exemple lorsque vous passez à un ERP dans le cloud.

Comment obtenir la certification ISO 27001 : les étapes

1. Obtenir l’engagement de la direction : la norme exige que la direction fixe la politique de sécurité, attribue les responsabilités et les moyens.
2. Définir le périmètre : toute l’entreprise, ou seulement une activité, un site ou un service (par exemple votre plateforme en ligne). Un périmètre réaliste rend la première certification accessible.
3. Analyser les risques : l’ANSSI renvoie à l’ISO/IEC 27005:2022 pour l’analyse de risques, et préconise sa propre méthode EBIOS Risk Manager pour l’homologation de sécurité.
4. Choisir et appliquer les mesures : contrôle des accès, gestion des mots de passe, sauvegardes, chiffrement, sécurité des postes, gestion des fournisseurs, sensibilisation du personnel, plan de continuité.
5. Rédiger la déclaration d’applicabilité et la documentation exigée par la norme.
6. Former et sensibiliser les collaborateurs : un clic sur un lien piégé ou un mot de passe réutilisé suffit souvent à déclencher un incident.
7. Réaliser un audit interne et une revue de direction pour vérifier que le système fonctionne avant l’audit externe.
8. Passer l’audit de certification auprès d’un organisme accrédité, qui examine la documentation puis la mise en œuvre réelle des mesures sur le terrain.

Qui délivre la certification ISO 27001 ?

La certification est prononcée par un organisme de certification accrédité, à l’issue d’un audit. En France, l’accréditation des organismes qui certifient des systèmes de management de la sécurité de l’information est délivrée par le Cofrac, selon la norme ISO/IEC 17021-1. Vérifiez cette accréditation avant de signer, et comparez plusieurs propositions : périmètre couvert, nombre de jours d’audit, conditions de suivi.

Combien coûte la certification ISO 27001 et combien de temps faut-il ?

Aucun barème officiel n’existe. Le budget dépend surtout de trois éléments :

La durée varie aussi selon votre point de départ : une entreprise qui a déjà des procédures de sécurité écrites ira plus vite qu’une structure qui part de zéro. Construisez un planning réaliste avec votre équipe avant de promettre une date à un client.

Exemple fictif : un éditeur de logiciel de 25 salariés limite son premier périmètre à sa plateforme SaaS et à l’équipe qui l’exploite. Il désigne un responsable de la sécurité, réalise son analyse de risques, met en place une authentification renforcée et des sauvegardes testées, forme l’équipe, puis passe un audit interne avant l’audit externe. Il étendra le périmètre lors du renouvellement.

Maintenir et renouveler la certification

Selon l’ANSSI, la certification ISO 27001 est valable 3 ans, avec un audit de suivi et une revue de direction chaque année. En cas de défaillance, l’organisation peut perdre sa certification. Concrètement, le SMSI doit vivre : mise à jour de l’analyse de risques à chaque changement important, suivi des incidents, indicateurs, actions correctives. Les outils numériques que vous ajoutez, comme la signature électronique ou un logiciel de paie en ligne, entrent dans votre gestion des fournisseurs et doivent être évalués.

Certification de l’entreprise ou certification des personnes ?

Ne confondez pas la certification ISO 27001 de l’organisation avec les certifications individuelles, comme « ISO 27001 Lead Implementer » ou « ISO 27001 Lead Auditor ». Celles-ci attestent des compétences d’une personne pour mettre en œuvre ou auditer un SMSI. Elles sont utiles pour votre responsable de la sécurité, mais ne certifient pas l’entreprise.

Questions fréquentes

La certification ISO 27001 est-elle obligatoire ?

Non. L’ANSSI la présente comme une démarche facultative. Elle peut toutefois devenir incontournable si vos clients ou un cahier des charges l’exigent.

Quelle est la version en vigueur de la norme ?

La version de référence est l’ISO/IEC 27001:2022.

Quelle différence entre ISO 27001 et ISO 27002 ?

L’ISO 27001 fixe les exigences du système de management et sert de base à la certification. L’ISO 27002 est un guide de bonnes pratiques pour mettre en œuvre les mesures de sécurité.

Une TPE peut-elle être certifiée ?

Oui, la norme s’applique à toute organisation, quelle que soit sa taille. Un périmètre bien délimité et une documentation proportionnée rendent la démarche réaliste.

Par où commencer

• Identifiez le client ou le marché qui motive la certification.
• Délimitez un premier périmètre réaliste.
• Faites un état des lieux de vos pratiques de sécurité.
• Consultez la fiche de l’ANSSI L’homologation de sécurité et l’ISO/IEC 27001:2022 pour situer la norme parmi les démarches de sécurité.

Ce contenu général, vérifié en octobre 2026, ne remplace pas l’avis d’un spécialiste de la sécurité de l’information ou d’un avocat adapté à votre situation, notamment pour vos obligations contractuelles et réglementaires.

Informations vérifiées en octobre 2026.