Certification ISO 27001 : par où commencer vraiment, et ce que ça mobilise

La norme en une page

ISO 27001 est la référence internationale pour organiser la sécurité de l'information dans une entreprise. Elle demande de mettre en place un SMSI, pour système de management de la sécurité de l'information. Le sigle fait peur, la réalité l'est moins.

Un SMSI n'est ni un logiciel ni un classeur de procédures. C'est une manière de décider. Vous identifiez ce qui compte pour votre activité, vous évaluez ce qui peut mal tourner, vous choisissez les mesures que vous mettez en face, vous vérifiez qu'elles fonctionnent, et vous recommencez. La norme formalise ce cycle et demande que les décisions soient tracées.

L'annexe A liste 93 mesures de sécurité possibles, regroupées en quatre thèmes : organisationnel, humain, physique et technologique. Beaucoup pensent qu'il faut toutes les appliquer. C'est faux. Vous devez examiner chacune, décider si elle vous concerne, et justifier vos choix dans un document appelé déclaration d'applicabilité. Une mesure écartée pour une bonne raison est parfaitement acceptable.

Une précision utile avant d'aller plus loin : être conforme et être certifié sont deux choses différentes. Vous pouvez appliquer la norme sans jamais faire venir un auditeur, et en tirer un vrai bénéfice d'organisation. La certification ajoute la preuve délivrée par un tiers accrédité. Vous en avez besoin quand quelqu'un vous la demande.

Avant de vous lancer, trois questions

La démarche dure entre huit et quinze mois. Autant vérifier qu'elle a un sens pour vous avant d'engager les équipes.

Étape 1 : l'analyse d'écarts

Tout commence par un état des lieux. L'exercice consiste à comparer vos pratiques réelles aux exigences de la norme et aux 93 mesures de l'annexe A, mesure par mesure.

Concrètement, cela se passe en entretiens et en revue de documents. Comment gérez-vous les arrivées et les départs ? Qui a les droits d'administration, et depuis quand ? Où sont les sauvegardes, et quand ont-elles été restaurées pour de vrai ? Qui décide en cas d'incident ? Existe-t-il une liste des prestataires qui accèdent à vos données ?

Le livrable est une cartographie des écarts, classés par effort et par criticité. Vous y voyez ce qui est déjà en place sans être formalisé, ce qui manque vraiment, et ce qui demandera un investissement technique. Beaucoup de dirigeants découvrent à ce moment-là que la moitié du travail existe déjà, mais que rien n'est écrit.

Étape 2 : définir le périmètre

Le périmètre décrit ce que couvre votre certification : quelles activités, quels sites, quels systèmes, quelles équipes. C'est la décision la plus structurante de toute la démarche, et la plus souvent mal prise.

Trop large, le périmètre devient ingérable. Vous embarquez des services qui n'ont ni le besoin ni le temps, la documentation gonfle, et l'audit se transforme en épreuve. Trop étroit, il perd sa valeur : un client qui lit votre certificat verra qu'il ne couvre pas le service qu'il vous achète, et l'exercice n'aura servi à rien.

Un exemple pour rendre cela concret. Un éditeur de logiciel de quatre-vingts personnes se fait demander la certification par un client bancaire. Le bon périmètre couvre la plateforme livrée à ce client, l'hébergement, l'équipe de développement, le support et l'exploitation. Il n'a pas besoin d'inclure le service commercial ni la comptabilité, sauf s'ils manipulent les données du client. Le certificat mentionnera ce périmètre en toutes lettres, et c'est cette phrase que le client lira.

L'approche à retenir : partir des activités les plus exposées ou les plus stratégiques, celles pour lesquelles on vous demande la preuve. Le périmètre pourra s'élargir plus tard, aux audits de surveillance ou au renouvellement.

Étape 3 : construire le SMSI

C'est la phase longue, quatre à six mois selon la taille et le point de départ. C'est aussi celle que les prestataires décrivent le moins précisément, parce que c'est là que la charge tombe côté client.

Ce que cette phase produit réellement :

• une analyse de risques qui recense vos actifs, ce qui peut leur arriver, et ce que ça coûterait ;
• un plan de traitement qui associe à chaque risque une décision assumée, réduire, accepter, transférer ou éviter ;
• une politique de sécurité et les procédures qui en découlent, écrites pour être appliquées et non pour décorer ;
• une déclaration d'applicabilité qui justifie, mesure par mesure, ce que vous retenez et ce que vous écartez ;
• des indicateurs qui montrent que le dispositif vit, et des preuves que les décisions sont prises et revues.

Cette phase dépasse largement la direction informatique. Les ressources humaines interviennent sur les arrivées, les départs et les clauses des contrats de travail. Les achats interviennent sur les fournisseurs et les clauses de sécurité. Les métiers interviennent sur la classification des informations et sur la définition de ce qui est critique. La direction générale valide les décisions de risque, et cette validation n'est pas symbolique : l'auditeur la vérifiera.

Étape 4 : l'audit à blanc

Un tiers indépendant vient chercher les non-conformités avant l'auditeur officiel. L'exercice dure généralement deux à quatre jours et se déroule dans les conditions réelles : entretiens, demandes de preuves, vérification sur pièces.

Ce qu'on y trouve le plus souvent n'a rien de spectaculaire. Des preuves qui existent mais qu'on met une heure à retrouver. Des revues d'habilitations planifiées et jamais faites. Un plan de traitement des risques dont trois actions sont en retard sans que personne l'ait signalé. Des collaborateurs qui appliquent les bonnes pratiques sans savoir qu'elles sont écrites quelque part, ce qui devient un problème quand l'auditeur pose la question.

Ces points se corrigent en quelques semaines. Non corrigés, ils deviennent des non-conformités à l'audit de certification, et le calendrier glisse.

Étape 5 : la certification

L'audit de certification se déroule en deux temps. Le premier passage, souvent appelé étape 1, porte sur la documentation et sur la maturité du système : l'auditeur vérifie que le SMSI existe, qu'il est cohérent, et que le périmètre tient debout. Le second, l'étape 2, se passe sur le terrain, auprès des équipes, et cherche les preuves que le système fonctionne au quotidien.

Entre les deux, il s'écoule en général un à deux mois, ce qui laisse le temps de traiter les remarques du premier passage.

Le certificat est valable trois ans. Il s'accompagne d'audits de surveillance annuels, plus courts, et d'un audit de renouvellement complet la troisième année. C'est le point que beaucoup découvrent après coup : obtenir le certificat ouvre un régime de maintien plutôt qu'il ne clôt un projet. Le SMSI doit vivre, les risques doivent être revus, les incidents traités et documentés, les indicateurs suivis, la revue de direction tenue.

Un point de calendrier à connaître : depuis le 31 octobre 2025, seule la version 2022 de la norme est certifiable, la version 2013 n'étant plus reconnue. Un amendement publié en février 2024 y a ajouté la prise en compte du changement climatique dans l'analyse du contexte. Si vous partez aujourd'hui, vous partez directement sur la bonne version.

Ce que la démarche mobilise vraiment

C'est la question qu'on nous pose en premier, et rarement celle à laquelle on répond en premier. Voici les ordres de grandeur, en charge et en organisation.

Sur les coûts, deux postes s'ajoutent : l'accompagnement si vous en prenez un, et l'organisme certificateur, qui facture ses journées d'audit selon votre effectif et votre périmètre. Les montants varient trop d'une situation à l'autre pour qu'un chiffre publié ait un sens. Demandez systématiquement deux ou trois devis à des organismes accrédités, et faites-les chiffrer sur le même périmètre écrit.

Les cinq pièges que nous voyons le plus souvent

• Le périmètre choisi pour faire joli. Large et flou, il donne un certificat impressionnant et une charge de maintien insoutenable. Le périmètre se choisit sur ce qu'on vous demande de prouver.
• La documentation écrite pour l'auditeur. Des procédures parfaites que personne n'applique se repèrent en quinze minutes d'entretien terrain. Un document court et suivi vaut mieux qu'un document complet et ignoré.
• Le responsable désigné sans temps ni mandat. Nommer quelqu'un en plus de son travail habituel, sans autorité pour solliciter les autres services, revient à retarder le projet de six mois.
• L'analyse de risques faite une fois puis oubliée. Elle date du mois trois du projet, plus rien ne l'a mise à jour, et l'entreprise a changé entre-temps. C'est la non-conformité la plus fréquente en audit de surveillance.
• La certification obtenue puis laissée mourir. L'énergie retombe le lendemain de l'audit. Douze mois plus tard, l'audit de surveillance arrive et il faut tout reprendre en urgence. Un rythme léger et régulier coûte moins cher qu'un sprint annuel.

ISO 27001 et NIS2 : faire le travail une fois

Beaucoup d'entreprises mènent aujourd'hui deux chantiers en parallèle sans voir qu'ils se recouvrent largement.

NIS2 n'exige aucune certification. Elle demande une gouvernance, une analyse de risques, des mesures de sécurité proportionnées, une maîtrise de la chaîne d'approvisionnement et une capacité à déclarer les incidents. Ce sont exactement les briques qu'un SMSI produit. Une entreprise certifiée ISO 27001 couvre l'essentiel des attentes NIS2, et surtout elle dispose des preuves, ce qui est la vraie difficulté quand un régulateur ou un client pose des questions.

Par où commencer cette semaine

Si le sujet est ouvert chez vous, trois choses tiennent en quelques jours et éclairent la décision.

Écrivez en une phrase qui vous demande la certification et pour quel service. Cette phrase deviendra votre périmètre.

Nommez la personne qui portera le sujet, et dites-lui quelle part de son temps elle y consacre. Sans cette décision, le reste attend.

Mesurez l'écart. Vous saurez alors si vous partez de loin ou si la matière existe déjà, et vous pourrez fixer un calendrier crédible au lieu d'un calendrier espéré.

Sortez du flou. Vous saurez quoi faire lundi matin, et pourquoi.