La certification ISO 27001 atteste qu’une organisation gère la sécurité de son information de façon structurée, maîtrisée et en amélioration continue. Longtemps perçue comme réservée aux grands groupes, elle est aujourd’hui accessible aux PME, et de plus en plus demandée par les clients de Sécurité Off.
Quelles sont les étapes ? Combien de temps faut-il prévoir ? Quel budget engager ? Ce guide vous donne les repères essentiels pour lancer votre démarche ISO 27001, que votre entreprise soit à Tours, en Centre-Val de Loire ou ailleurs.
C’est quoi la norme ISO 27001 ?
Un système de management de la sécurité de l’information
ISO/IEC 27001 est la norme internationale de référence en cybersécurité. Elle ne dicte pas une liste d’outils à acheter : elle demande de mettre en place un système de management de la sécurité de l’information (SMSI). Concrètement, l’entreprise identifie ses risques, choisit les mesures adaptées pour les réduire, les applique, les contrôle et les améliore en continu.
La version 2022
La version en vigueur est ISO/IEC 27001:2022. Son annexe A propose 93 mesures de sécurité réparties en quatre thèmes : organisationnelles, liées aux personnes, physiques et technologiques. L’entreprise retient celles qui sont pertinentes au regard de ses risques et justifie ses choix dans une « déclaration d’applicabilité ».
Pourquoi une PME a intérêt à se faire certifier
- Gagner et conserver des clients : de nombreux donneurs d’ordre, notamment dans l’industrie, la santé ou le numérique, exigent désormais des garanties de sécurité de la part de leurs fournisseurs.
- Structurer sa cybersécurité : la démarche oblige à formaliser les responsabilités, les procédures et la gestion des incidents.
- Faciliter la conformité RGPD et NIS2 : l’analyse de risques, les mesures de sécurité et la gestion des incidents exigées par ISO 27001 recoupent largement les obligations du RGPD et de la directive NIS2. La certification n’est pas imposée par ces textes, mais elle constitue un socle solide pour y répondre.
Les 6 étapes vers la certification ISO 27001
- Cadrer le projet. Définissez le périmètre du SMSI (toute l’entreprise, un site, une activité), obtenez l’engagement de la direction et désignez un pilote.
- Analyser les risques. Recensez vos actifs (données, applications, équipements), les menaces et les vulnérabilités, puis évaluez les risques et décidez de leur traitement.
- Mettre en place les mesures. Déployez les mesures retenues : gestion des accès, sauvegardes, mises à jour, sécurité des fournisseurs, continuité d’activité…
- Documenter. Rédigez la politique de sécurité, la déclaration d’applicabilité et les procédures essentielles. L’objectif est d’être clair et utile, pas de produire de la paperasse.
- Former et sensibiliser. La norme exige que le personnel soit compétent et sensibilisé. Prévoyez une formation à la sécurité de l’information pour les profils clés et une sensibilisation régulière pour tous.
- Vérifier, puis passer l’audit. Réalisez un audit interne et une revue de direction, puis faites appel à un organisme certificateur accrédité. L’audit de certification se déroule en deux étapes : une revue documentaire, puis un audit sur le terrain.
Une fois obtenu, le certificat est valable trois ans, avec un audit de surveillance chaque année, puis un audit de renouvellement.
Durée et budget : à quoi s’attendre ?
La durée du projet
Il n’existe pas de durée standard. Elle dépend principalement de trois facteurs : la taille du périmètre, votre niveau de maturité de départ et la disponibilité de vos équipes. Une PME qui dispose déjà de bonnes pratiques avance bien plus vite qu’une entreprise qui part de zéro. Un pré-diagnostic permet d’établir un calendrier réaliste.
Les postes de coût
| Poste | Ce qu’il recouvre |
| Accompagnement | Diagnostic, analyse de risques, documentation, préparation à l’audit |
| Temps interne | Implication du pilote, de la direction et des équipes |
| Mesures techniques | Éventuels outils ou mises à niveau (sauvegarde, authentification multifacteur…) |
| Formation | Formation des profils clés et sensibilisation du personnel |
| Organisme certificateur | Audit initial, audits de surveillance annuels, renouvellement |
Le budget de l’audit de certification dépend notamment de l’effectif inclus dans le périmètre. Demandez plusieurs devis à des organismes accrédités et faites-vous accompagner pour éviter les coûts cachés liés à une préparation insuffisante.
Questions fréquentes
La certification ISO 27001 est-elle obligatoire ?
Non, c’est une démarche volontaire. Mais elle est de plus en plus demandée dans les contrats et les appels d’offres.
Quelle différence avec NIS2 ?
NIS2 est une obligation légale pour les entités concernées. ISO 27001 est une norme volontaire et certifiable, qui aide à répondre à une grande partie des exigences de NIS2.
Conclusion : un investissement qui ouvre des portes
La certification ISO 27001 est bien plus qu’un label : elle structure votre cybersécurité, rassure vos clients et prépare votre conformité RGPD et NIS2. Avec une méthode claire et un accompagnement adapté, elle est à la portée d’une PME.
Vous envisagez la certification ISO 27001 ? Nos experts basés à Tours vous accompagnent du pré-diagnostic jusqu’à l’audit, partout en Centre-Val de Loire. Contactez-nous pour évaluer votre niveau de maturité.