ISO 27001 dans les appels d'offres publics et privés

Dans un marché public, l’acheteur vérifie que les candidats disposent des capacités nécessaires à l’exécution du marché. L’article L2142-1 du code de la commande publique encadre ce pouvoir : les conditions de participation sont « liées et proportionnées à l’objet du marché ou à ses conditions d’exécution ». Un certificat ISO 27001 se justifie donc d’autant mieux que le marché porte sur des services informatiques, l’hébergement de données ou l’exploitation de systèmes d’information.

Les documents que l’acheteur peut demander sont limités à une liste fixée par arrêté (article R2143-11). Cette liste figure dans l’arrêté du 22 mars 2019, annexé au code. Deux de ses dispositions concernent les certificats :

• l’article 3 autorise la demande de certificats de qualification professionnelle établis par des organismes indépendants, l’acheteur acceptant alors « tout moyen de preuve équivalent » ;
• l’article 4 autorise la demande de certificats attestant le respect de normes d’assurance de la qualité, délivrés par des organismes indépendants, « fondés sur les normes européennes » et « certifiés par des organismes accrédités ».

L’article 4 vise expressément la qualité et la gestion environnementale. Les acheteurs qui demandent un certificat ISO 27001 le rattachent aux capacités techniques et professionnelles du candidat, et en pratique appliquent la même logique : organisme indépendant, accréditation, équivalences admises.

Le certificat relève de l’appréciation de la candidature. Les mesures de sécurité propres au marché, comme la localisation de l’hébergement ou le plan d’assurance sécurité, figurent plutôt dans le cahier des charges et dans l’offre.

L’acheteur ne peut pas réserver le marché aux seuls titulaires d’un certificat délivré en France. L’article 4 de l’arrêté lui impose d’accepter « les certificats équivalents d’organismes établis dans d’autres Etats membres ».

Lorsqu’un candidat ne peut pas obtenir le certificat dans les délais pour des raisons qui ne lui sont pas imputables, l’acheteur accepte d’autres mesures équivalentes, à condition que le candidat démontre qu’elles correspondent à celles qui sont exigées. La charge de la preuve repose alors sur le candidat.

Un candidat en groupement n’a pas à réunir seul toutes les capacités : selon l’article R2142-25, l’appréciation des capacités d’un groupement est globale. Ce qui compte est que le membre qui exécute la prestation concernée soit couvert. Un candidat peut aussi s’appuyer sur les capacités d’un autre opérateur, par exemple un sous-traitant certifié (article R2142-3).

Aucun texte n’encadre les consultations privées : le donneur d’ordre fixe librement ses exigences. Les grands comptes demandent fréquemment un certificat ISO 27001 en annexe de la réponse, assorti d’un questionnaire de sécurité, d’un plan d’assurance sécurité ou d’un droit d’audit.

Ces demandes se sont multipliées avec NIS2 et DORA. Une entité soumise à NIS2 doit traiter la sécurité de ses fournisseurs directs (article 21). Une entité financière doit évaluer ses prestataires de services TIC avant de contracter et imposer des clauses précises dans les contrats (DORA, articles 28 et 30). Le certificat ne remplace pas ces démarches, mais il répond à une partie des questionnaires de sécurité fournisseurs. La page ISO 27001 ou SOC 2 traite le cas des donneurs d’ordre nord-américains.

Public ou privé, l’acheteur qui reçoit un certificat ISO 27001 en contrôle plusieurs mentions :

• la validité : dates de délivrance et d’expiration, statut actif, ni suspendu ni retiré ;
• la version : ISO/IEC 27001:2022, la transition des certificats de la version 2013 s’étant achevée le 31 octobre 2025 ;
• le périmètre : les activités, les services et les sites concernés par le marché y figurent-ils ?
• l’entité certifiée : la raison sociale correspond-elle à celle du candidat, ou à une autre société du groupe ?
• l’accréditation : le certificat porte-t-il la marque et le numéro de l’accréditeur, et l’accréditeur est-il signataire des accords de reconnaissance mutuelle européens (EA) et internationaux (Global ACI, qui a succédé à l’IAF en 2026) ?

La vérification de la validité d’un certificat se fait auprès de l’organisme qui l’a délivré. La portée d’accréditation de l’organisme se consulte sur le site de l’accréditeur, cofrac.fr en France ; la page certification accréditée détaille ce que l’accréditation change.

Le périmètre du certificat est la mention la plus souvent mal lue. Un certificat qui couvre le développement logiciel d’un siège ne couvre pas l’hébergement exploité depuis un autre site. L’acheteur compare la portée inscrite avec l’objet du marché, lot par lot.

Un marché pluriannuel dure souvent plus longtemps que le cycle de certification, qui est de trois ans avec des audits de surveillance au moins annuels. Les documents du marché peuvent prévoir la production du certificat renouvelé pendant l’exécution. Un périmètre peut être étendu à tout moment, lors d’un audit d’extension distinct, ou à l’occasion d’un audit de surveillance ou de renouvellement : le nouveau certificat mentionne alors les activités ajoutées.

Certi-Trust est un organisme d’évaluation : il réalise la certification ISO 27001 sous accréditation COFRAC n° 4-0612. Il ne rédige pas de réponses aux appels d’offres et ne conseille pas les organisations qu’il certifie. Pour échanger avec un auditeur sur votre périmètre : nous contacter.

Un acheteur public peut-il exiger la certification ISO 27001 ?
Il peut demander un certificat délivré par un organisme indépendant, si cette exigence est liée et proportionnée à l’objet du marché. Il doit alors accepter les certificats équivalents d’organismes établis dans d’autres États membres et, dans certains cas, d’autres preuves équivalentes.

Un certificat non accrédité est-il recevable ?
L’arrêté du 22 mars 2019 se réfère, pour les certificats qualité, à des certificats « certifiés par des organismes accrédités ». Un certificat non accrédité n’apporte pas cette preuve, et l’acheteur peut en apprécier la valeur au regard de ce que prévoient les documents de la consultation.

Le certificat d’une société sœur du groupe suffit-il ?
Pas en soi. L’acheteur vérifie que l’entité qui exécutera le marché figure sur le certificat. Si un autre membre du groupe intervient, le candidat peut s’appuyer sur ses capacités en le présentant comme tel dans sa candidature.

Un certificat ISO 27001:2013 est-il encore valable ?
Non. La période de transition vers la version 2022 s’est achevée le 31 octobre 2025 : les certificats ISO/IEC 27001:2013 ne sont plus valides depuis cette date.