Un audit ISO 27001 ne se résume pas à une vérification ponctuelle de la sécurité informatique. La certification nécessite la mise en place d’un Système de Management de la Sécurité de l’Information (SMSI), avec une analyse des risques, des politiques, des procédures et des contrôles suivis dans le temps. Pour une entreprise qui part de zéro, le projet demande généralement 6 à 12 mois de préparation. Le budget peut atteindre 15 000 à 25 000 €, tandis que le certificat est délivré pour une période de 3 ans, avec des audits de surveillance entre deux renouvellements.
Combien de temps faut-il pour préparer une certification ISO 27001 ?
Un projet de 6 à 12 mois
La durée dépend principalement de la taille de l’entreprise, du périmètre retenu pour le SMSI et du niveau de maturité existant en matière de sécurité de l’information.
Une entreprise disposant déjà de politiques de sécurité, de procédures documentées et de contrôles bien établis pourra avancer plus rapidement. À l’inverse, une organisation partant sans dispositif formalisé devra consacrer davantage de temps à l’analyse des risques, à la documentation et à la mise en œuvre des mesures retenues.
📅 Six à douze mois constitue donc une estimation raisonnable pour préparer le projet dans de bonnes conditions.
L’audit de certification intervient après la préparation
L’audit réalisé par l’organisme certificateur intervient lorsque le SMSI est suffisamment mature pour être évalué. Il ne remplace pas le travail préparatoire réalisé par l’entreprise.
Le processus de certification comporte généralement plusieurs séquences, dont une revue documentaire puis un audit plus approfondi du système mis en place.
A lire aussi: Qu’est-ce que la certification ICA (AFNOR) et à quoi sert-elle ?
Combien de jours dure l’audit ISO 27001 ?
Phase 1 : la revue documentaire
La phase 1 porte principalement sur la documentation du SMSI. L’auditeur examine notamment le périmètre retenu, l’analyse des risques, les politiques et les documents permettant de vérifier que l’entreprise a construit son système de management.
Cette première phase dure généralement 1 à 2 jours, selon la taille et la complexité de l’organisation.
📄 L’objectif est notamment de déterminer si le système est suffisamment préparé pour passer à l’audit de certification proprement dit.
Phase 2 : l’audit terrain
La phase 2 est plus approfondie. L’auditeur vérifie sur le terrain la manière dont les exigences du SMSI sont appliquées.
Les entretiens avec les collaborateurs, l’examen des preuves et la vérification des contrôles occupent une place importante. L’entreprise doit être en mesure de démontrer que les procédures prévues sont effectivement appliquées.
La durée indicative se situe autour de 3 à 5 jours, avec des variations selon le périmètre et la taille de l’entreprise.
| Étape | Durée indicative | Principal objet |
| Préparation du SMSI | 6 à 12 mois | Mise en place du système |
| Phase 1 | 1 à 2 jours | Revue documentaire |
| Phase 2 | 3 à 5 jours | Vérification et entretiens |
| Cycle de certification | 3 ans | Certification et surveillance |
Combien coûte un audit ISO 27001 ?
Le prix de l’audit de certification
Le coût de l’audit initial réalisé par un organisme certificateur tiers peut se situer entre 5 000 € et 15 000 €.
Cette fourchette dépend notamment du nombre de salariés, du périmètre du SMSI, du nombre de sites concernés et de la complexité des activités couvertes.
Une petite entreprise avec un périmètre restreint n’aura donc pas nécessairement le même budget qu’un groupe disposant de plusieurs implantations ou d’un système informatique beaucoup plus complexe.
Le coût total dépasse celui de l’audit
💶 Le budget à prévoir ne se limite pas à la facture de l’organisme certificateur. La mise en conformité nécessite également du temps interne, des ressources techniques et parfois l’intervention d’un consultant spécialisé.
Le coût total du projet peut ainsi se situer autour de 15 000 à 25 000 € pour une structure de taille modeste à intermédiaire. Pour les organisations plus importantes, la facture peut dépasser 30 000 à 40 000 €.
| Poste | Estimation |
| Audit initial de certification | 5 000 à 15 000 € |
| Projet global de mise en œuvre | 15 000 à 25 000 € |
| Grande structure | 30 000 à 40 000 € ou davantage |
| Accompagnement externe | Variable selon le périmètre |
Le recours à un consultant peut augmenter le budget
🏢 Une entreprise peut réaliser une partie importante du projet avec ses propres ressources. Elle peut toutefois faire appel à un consultant pour l’analyse des risques, la documentation, la préparation aux audits ou la mise en place du SMSI.
Le coût supplémentaire dépend alors du nombre de jours d’intervention et de la complexité du projet. Il faut donc distinguer le prix de la certification du budget nécessaire pour atteindre le niveau de préparation attendu.
Quels documents faut-il préparer pour l’audit ISO 27001 ?
Le périmètre du SMSI
Le périmètre du SMSI, correspondant notamment à l’exigence de la clause 4.3, définit précisément les activités, services, sites et ressources couverts par le système.
Cette délimitation est importante car l’audit porte sur le périmètre déclaré. Une entreprise doit donc être capable d’identifier clairement les éléments inclus dans son système de management.
La politique de sécurité de l’information
La politique de sécurité de l’information, prévue par la clause 5.2, formalise les orientations de l’organisation en matière de protection des informations.
Elle doit être cohérente avec les activités de l’entreprise et servir de référence pour les objectifs et mesures de sécurité retenus.
L’analyse et le traitement des risques
L’approche ISO 27001 repose largement sur l’évaluation des risques. L’entreprise doit définir une méthode permettant d’identifier et d’analyser les risques auxquels elle est exposée.
Elle doit ensuite déterminer les mesures permettant de traiter ces risques et conserver les éléments permettant de démontrer les décisions prises.
La déclaration d’applicabilité
📋 La Statement of Applicability (SoA), ou déclaration d’applicabilité, recense les mesures de sécurité retenues par l’organisation et justifie leur inclusion ou leur exclusion.
Dans la version 2022 de la norme, l’Annexe A comprend 93 contrôles répartis en quatre catégories :
- organisationnel ;
- humain ;
- physique ;
- technologique.
La SoA permet donc à l’auditeur de rapprocher les risques identifiés, les mesures retenues et les contrôles applicables au périmètre.
Les procédures et preuves d’application
L’entreprise doit également disposer de procédures et d’enregistrements permettant de démontrer que le SMSI n’existe pas uniquement sur le papier.
🔐 Les documents peuvent notamment concerner la gestion des incidents, les sauvegardes, les droits d’accès, la gestion des actifs, la sécurité des fournisseurs ou encore la continuité des activités, selon le périmètre retenu.
| Document ou élément | Objectif |
| Périmètre du SMSI | Définir les activités couvertes |
| Politique de sécurité | Formaliser les orientations |
| Méthode d’analyse des risques | Évaluer les risques |
| Rapport d’appréciation des risques | Documenter les résultats |
| Plan de traitement | Définir les actions à mener |
| SoA | Identifier les contrôles applicables |
| Procédures | Formaliser les pratiques |
| Enregistrements | Apporter des preuves d’application |
Quelles sont les principales exigences de l’ISO 27001 ?
Une approche fondée sur les risques
L’ISO 27001 ne demande pas simplement d’appliquer mécaniquement une liste de mesures. L’entreprise doit identifier les risques liés à la sécurité de l’information, les évaluer et déterminer la manière dont elle souhaite les traiter.
Cette analyse doit être maintenue dans le temps. Une modification importante de l’activité, du système informatique ou des menaces peut nécessiter une nouvelle évaluation.
Les 93 contrôles de l’Annexe A
La version 2022 de l’ISO 27001 comporte 93 contrôles dans son Annexe A. Ils sont répartis en quatre familles : organisationnelle, humaine, physique et technologique.
⚠️ Cela ne signifie pas qu’une entreprise doit appliquer indistinctement les 93 contrôles. Leur pertinence doit être déterminée à partir de l’analyse des risques et du périmètre du SMSI, avec une justification documentée dans la déclaration d’applicabilité.
L’audit interne et la revue de direction
La certification repose également sur une démarche d’amélioration continue. L’organisation doit notamment réaliser des audits internes et procéder à une revue de direction au moins une fois par an.
Ces travaux permettent de vérifier si le SMSI reste adapté, si les exigences sont respectées et si les actions décidées sont correctement suivies.
A voir également: Politique RSE : définition, enjeux et mise en place dans l’entreprise
Combien de temps le certificat ISO 27001 reste-t-il valable ?
Une certification sur trois ans
🏅 Le certificat ISO 27001 est généralement délivré pour un cycle de trois ans.
La certification ne signifie toutefois pas que l’entreprise n’est plus auditée pendant cette période. Des audits de surveillance sont réalisés pendant le cycle afin de vérifier que le SMSI reste conforme aux exigences.
Un renouvellement au terme du cycle
À l’issue des trois années, un audit de renouvellement intervient pour poursuivre la certification.
L’entreprise doit donc maintenir ses procédures, ses contrôles, ses analyses et ses preuves pendant toute la durée du cycle. Une certification ISO 27001 nécessite ainsi un travail continu et pas seulement une préparation avant l’audit initial.
| Période | Contrôle |
| Année 1 | Certification / surveillance selon le cycle |
| Année 2 | Audit de surveillance |
| Année 3 | Audit de surveillance et renouvellement |
| Nouveau cycle | Nouvelle certification |
Quels organismes peuvent réaliser la certification ?
Choisir un organisme certificateur reconnu
La certification doit être réalisée par un organisme tiers compétent pour ce type d’audit. Parmi les organismes présents sur le marché français figurent notamment AFNOR Certification, Bureau Veritas, Apave et BSI.
Le choix du certificateur peut dépendre du secteur d’activité, du périmètre géographique, de la taille de l’entreprise et des modalités d’audit proposées.
Ne pas confondre accompagnement et certification
Il est également important de distinguer le consultant qui accompagne la mise en place du SMSI de l’organisme qui réalise la certification.
Le premier peut aider l’entreprise à préparer son système. Le second intervient en tant que tiers pour évaluer sa conformité.
Laisser un commentaire