Certification ISO 27001

L’ISO/IEC 27001 est la norme internationale de référence pour les systèmes de management de la sécurité de l’information (SMSI). Dans sa version actuelle, ISO/IEC 27001:2022, cette norme définit les exigences permettant à une organisation d’établir, mettre en œuvre, maintenir et améliorer en permanence un dispositif structuré de protection de ses actifs informationnels.

La norme ISO 27001 repose sur une approche par les risques. Elle n’impose pas une liste figée de contrôles techniques, mais exige que l’organisation identifie ses risques, définisse des mesures de traitement adaptées et démontre leur efficacité.

La certification ISO 27001 repose sur 93 mesures de sécurité organisées en quatre thèmes : mesures organisationnelles, humaines, physiques et technologiques.

La directive NIS2 étend les obligations de cybersécurité à un périmètre élargi d’entités essentielles et importantes, dans dix-huit secteurs. Elle impose des mesures de gestion des risques et engage la responsabilité des dirigeants, mais n’exige aucune certification particulière.

ISO 27001 couvre une large part de ces exigences : analyse de risques, politique de sécurité, gestion des incidents, continuité d’activité, sécurité de la chaîne d’approvisionnement. Là où NIS2 fixe des obligations, la norme donne un cadre pour les organiser.

La différence tient à la preuve. Une organisation certifiée ISO 27001 dispose d’une évaluation conduite par un organisme accrédité indépendant, opposable à ses clients, à ses partenaires et aux autorités. L’auto-déclaration n’offre pas cette garantie.

Certi-Trust intervient comme organisme de certification : nous évaluons la conformité du système de management, sans intervenir dans sa conception ni dans sa mise en œuvre, conformément aux exigences d’impartialité d’ISO/IEC 17021-1.

Pour approfondir : NIS2 et ISO 27001, la certification qui prouve votre conformité et les entités concernées par NIS2, ainsi que le règlement DORA pour le secteur financier.

• Identifier, évaluer et traiter les risques liés à la sécurité de l’information.
• Protéger la confidentialité, l’intégrité et la disponibilité des données.
• Démontrer la conformité aux exigences légales et réglementaires (RGPD, NIS2, DORA, etc.).
• Instaurer une culture de sécurité pérenne au sein de l’organisation. 

• Signal de confiance fort pour les clients, partenaires et autorités de régulation. 
• Réduction de l’exposition aux incidents de sécurité et de leurs impacts financiers et réputationnels.
• Avantage concurrentiel décisif sur les marchés où la sécurité est un critère de sélection.
• Exigence croissante dans les appels d’offres publics et privés, en France et à l’international/
• Base reconnue pour l’articulation avec d’autres référentiels : ISO 27701, SOC 2, SecNumCloud, HDS.

Le périmètre détermine ce que couvre le certificat : les sites concernés, les activités incluses et les systèmes d’information qui entrent dans le système de management de la sécurité de l’information (SMSI).

Il est arrêté lors de la recevabilité, avant la contractualisation, et figure sur le certificat délivré. Une organisation peut faire certifier une seule activité, un site unique ou l’ensemble de ses implantations.

Deux documents le formalisent. La déclaration d’applicabilité recense les mesures de sécurité retenues et justifie celles qui ont été écartées. Le dimensionnement de l’audit fixe le nombre de jours nécessaires, à partir de l’effectif concerné, du nombre de sites et de la complexité du système d’information.

Un périmètre restreint réduit la durée de l’audit, mais limite d’autant la portée du certificat auprès des clients et des donneurs d’ordre. L’extension d’un périmètre existant se traite lors d’un audit de surveillance ou de renouvellement.

Il n’existe pas de tarif unique : une certification ISO 27001 se chiffre à partir du nombre de jours d’audit nécessaires, lui-même déterminé par des règles d’accréditation.

Quatre facteurs font varier ce nombre de jours :

• l’effectif entrant dans le périmètre ;
• le nombre de sites et leur dispersion géographique ;
• la complexité du système d’information et le recours à la sous-traitance ;
• les certifications déjà détenues, qui peuvent ouvrir la voie à un audit combiné.

Côté calendrier, comptez de trois à six mois entre la recevabilité et la décision de certification, selon la disponibilité des équipes et le délai de traitement des écarts relevés en phase 2. S’y ajoute, en amont, le temps que met l’organisation à mettre son SMSI en conformité : il dépend entièrement de sa maturité initiale.

Le cycle dure trois ans. Le budget se répartit entre l’audit initial (phases 1 et 2), deux audits de surveillance annuels et un audit de renouvellement à l’échéance.

Certi-Trust établit un devis après analyse du périmètre. Demander un devis de certification.

ISO 27001 s’articule avec plusieurs référentiels que Certi-Trust évalue également.

• ISO 27017 — mesures de sécurité propres aux services cloud.
• ISO 27018 — protection des données à caractère personnel hébergées dans le cloud.
• ISO 27701 — management de la protection de la vie privée.
• Certification HDS — hébergement de données de santé.

Notre statut d’organisme certificateur est détaillé sur les pages accréditations et agréments et procédures de certification.

Pour approfondir : le SMSI exigé par ISO 27001, les étapes de la certification et l’articulation avec NIS2.