Certification ISO 27001 : faites de votre cybersécurité une preuve de confiance.

Qu’est-ce que la norme ISO 27001 ?

L’ISO/IEC 27001 définit les exigences d’un système de management de la sécurité de l’information (SMSI) : un ensemble de politiques, de processus, de rôles et de mesures qui protège la confidentialité, l’intégrité et la disponibilité de l’information, selon une logique d’amélioration continue.

La version en vigueur est l’ISO/IEC 27001:2022, complétée en 2024 par un amendement qui demande de considérer le changement climatique dans l’analyse du contexte. La période de transition depuis la version 2013 s’est achevée le 31 octobre 2025 : les certificats encore délivrés selon l’ancienne version ne sont plus valides.

La norme est certifiable : un organisme de certification accrédité (en France, par le COFRAC) vérifie lors d’un audit que le SMSI répond aux exigences et qu’il fonctionne réellement. Elle s’accompagne de guides non certifiables, dont l’ISO/IEC 27002, qui détaille la mise en œuvre de chaque mesure.

Pourquoi viser la certification ?

• Répondre aux exigences des clients : la certification est de plus en plus demandée dans les appels d’offres, les questionnaires sécurité et les contrats, en particulier par les grands comptes et le secteur public.
• Disposer d’une preuve unique : un certificat remplace une partie des audits et questionnaires répétés de vos clients.
• Préparer les autres référentiels : un SMSI couvre une large part des exigences de NIS2, de DORA et de TISAX, et constitue un prérequis de la certification HDS.
• Piloter la sécurité par les risques : la direction décide en connaissance de cause des risques qu’elle accepte, réduit ou transfère.

Ce que la norme exige : chapitres 4 à 10 et annexe A

Les exigences du système de management

Les 93 mesures de l’annexe A

La version 2022 regroupe les mesures de sécurité en quatre thèmes : 37 mesures organisationnelles, 8 liées aux personnes, 14 physiques et 34 technologiques. Onze mesures sont nouvelles, dont le renseignement sur les menaces, la sécurité des services cloud, la préparation des TIC à la continuité, la gestion des configurations, la suppression et le masquage des données, la prévention des fuites, la surveillance des activités, le filtrage web et le codage sécurisé.

Toutes les mesures ne sont pas obligatoires : chacune est retenue ou exclue, avec justification, dans la déclaration d’applicabilité (DdA), au regard de l’analyse de risques.

Les documents incontournables

• périmètre du SMSI et politique de sécurité de l’information ;
• méthode et résultats de l’appréciation des risques, plan de traitement ;
• déclaration d’applicabilité ;
• objectifs de sécurité et indicateurs ;
• preuves de compétence et de sensibilisation ;
• programme et rapports d’audit interne, comptes rendus de revue de direction ;
• registre des non-conformités et actions correctives.

Comment se déroule la certification ?

1. Audit initial, étape 1 : revue documentaire et vérification que le SMSI est prêt à être audité (périmètre, analyse de risques, DdA, audit interne et revue de direction réalisés).
2. Audit initial, étape 2 : vérification sur le terrain que les processus et les mesures fonctionnent, par entretiens, observations et échantillons de preuves.
3. Décision de certification après traitement des éventuelles non-conformités. Le certificat est valable trois ans.
4. Audits de surveillance annuels les deux années suivantes, puis audit de renouvellement la troisième année.

Le SMSI doit avoir fonctionné suffisamment longtemps avant l’audit pour produire des preuves : au moins un cycle d’audit interne et de revue de direction, et des indicateurs suivis sur quelques mois.

Les pièges les plus fréquents

• Un périmètre mal choisi : trop large, le projet s’enlise ; trop étroit, le certificat ne répond pas aux attentes des clients.
• Une analyse de risques générique, copiée d’un modèle, qui ne permet pas de justifier la déclaration d’applicabilité.
• Une documentation sans application : l’auditeur échantillonne des preuves (revues des droits, sauvegardes, sensibilisations) sur la période écoulée.
• Une direction absente : l’engagement de la direction et la revue de direction sont vérifiés.
• Un SMSI porté par une seule personne, qui ne survit pas à son départ.

Une feuille de route type

1. Cadrage : objectifs, périmètre, organisation du projet, calendrier cible.
2. Audit d’écart par rapport aux chapitres 4 à 10 et à l’annexe A.
3. Analyse de risques (par exemple avec EBIOS Risk Manager) et plan de traitement.
4. Mise en œuvre : politiques, procédures, mesures techniques, sensibilisation, déclaration d’applicabilité.
5. Faire vivre le SMSI : indicateurs, audit interne, revue de direction.
6. Audit à blanc puis choix de l’organisme de certification et audit initial.

La durée dépend du périmètre, de la maturité de départ et des ressources mobilisables : pour une PME ou une ETI au périmètre bien délimité, elle se compte généralement en mois plutôt qu’en semaines.

Nos accompagnements ISO 27001 : quelques cas clients

SecuriTrust a réalisé plus de 100 accompagnements ISO 27001, de la mise en conformité à l’audit interne. Quelques exemples :

• Sunrise (dispositifs médicaux) : mise en conformité ISO 27001 en s’appuyant sur un système ISO 13485 existant.
• Proges Plus (hébergeur) : accompagnement vers la conformité ISO 27001.
• Sogefi (équipementier automobile) : accompagnement à la conformité ISO 27001.
• Verspieren (courtage en assurance) : audit annuel du SMSI.
• Groupe ADP et BRGM : audits internes ISO 27001.
• Polyconseil (conseil numérique) : RSSI externalisé et mise en conformité ISO 27001.

Voir tous nos cas clients

Questions fréquentes

Pour aller plus loin

Articles du blog

• Déclaration d'applicabilité ISO 27001 : la construire sans se perdre dans les 93 mesures