Cofrac : rôle, accréditation et certification ISO 27001 en 2026

Le Cofrac, ou Comité français d'accréditation, est l'unique instance nationale d'accréditation en France : il ne certifie pas les entreprises, il évalue et reconnaît la compétence et l'impartialité des organismes qui les certifient, les inspectent ou analysent leurs produits. Cette nuance change tout lorsqu'un donneur d'ordre exige un certificat ISO/IEC 27001 ou HDS : un certificat émis par un organisme accrédité Cofrac (ou par un homologue européen signataire des accords de reconnaissance) porte une garantie que n'offre pas un certificat « maison ». En 2026, avec la fin de la transition vers l'ISO/IEC 27006-1 et le renforcement des exigences de la chaîne d'approvisionnement numérique, savoir lire une accréditation devient une compétence de base pour un RSSI, un acheteur ou un dirigeant. Ce guide détaille le cadre légal, les normes d'accréditation, les cas où elle est obligatoire et une méthode concrète de vérification, en complément de notre guide complet de la norme ISO 27001.

Cofrac : définition, statut et mission de l'instance nationale

Chercher « cofrac def » ou « cofrac definition » revient souvent à confondre l'organisme avec un label. Le Cofrac est une association à but non lucratif créée en 1994, investie d'une mission de puissance publique. Son rôle consiste à s'assurer de la compétence et de l'impartialité des organismes d'évaluation de la conformité (OEC) : laboratoires d'essais, organismes d'inspection, organismes de certification de systèmes, de produits ou de personnes.

Une désignation inscrite dans le droit français

Le décret n° 2008-1401 du 19 décembre 2008 désigne le Comité français d'accréditation comme instance nationale d'accréditation. Son article 2 précise qu'il est le seul habilité à délivrer des certificats d'accréditation aux OEC, que l'accréditation soit obligatoire ou volontaire. Le texte prévoit aussi un commissaire du Gouvernement, le délégué interministériel aux normes, capable de s'opposer à une décision contraire à l'intérêt général.

Ce que fait réellement le comité au quotidien

Le cœur du métier est l'évaluation par les pairs. Des évaluateurs qualifiés et des experts techniques examinent la documentation de l'organisme candidat, observent ses auditeurs sur le terrain, puis un comité distinct prend la décision. Le décret confie au directeur général le contrôle des organismes accrédités, avec la possibilité de restreindre, suspendre ou retirer une accréditation en cas de perte de compétence ou de manquement grave.

Quatre sections pour des métiers très différents

L'activité est organisée en sections : Laboratoires, Santé humaine (biologie médicale notamment), Inspection et Certifications. Pour un projet de cybersécurité, c'est la section Certifications qui compte : elle accrédite les organismes certificateurs de systèmes de management, de produits et de personnes. Un laboratoire accrédité pour des essais électriques n'apporte donc aucune garantie sur un audit de système de management de la sécurité de l'information.

Accréditation, certification, qualification : trois notions à ne plus confondre

L'erreur la plus fréquente consiste à parler de « certification Cofrac ». En réalité, une certification cofrac n'existe pas au sens strict : le comité accrédite, l'organisme accrédité certifie. L'expression désigne en pratique un certificat émis sous accréditation, c'est-à-dire par un organisme dont la compétence pour cette norme précise a été reconnue. La nuance a des conséquences contractuelles directes dans un appel d'offres.

Qui évalue qui dans la chaîne de confiance

La chaîne comporte trois étages. L'entreprise met en œuvre un système de management, par exemple un SMSI (système de management de la sécurité de l'information). Un organisme certificateur audite ce système et délivre le certificat. L'instance d'accréditation évalue l'organisme certificateur. Enfin, les instances d'accréditation européennes se contrôlent mutuellement par évaluation entre pairs, ce qui ferme la boucle de confiance.

Tableau comparatif des trois mécanismes

Le tableau montre que seule la combinaison accréditation plus certification offre une évaluation par un tiers lui-même contrôlé. Une qualification d'État repose sur un autre circuit, et une auto-déclaration n'apporte aucune garantie indépendante. Pour une analyse de risque fournisseur, ces quatre niveaux de preuve doivent être pondérés différemment.

Le cadre européen : règlement 765/2008, EA et reconnaissance mutuelle

L'accréditation française s'inscrit dans le règlement (CE) n° 765/2008, qui harmonise l'organisation de l'accréditation dans l'Union européenne. Le texte définit l'accréditation comme l'attestation, par un organisme national, qu'un OEC satisfait aux normes harmonisées et aux exigences sectorielles applicables pour réaliser une activité spécifique d'évaluation de la conformité.

Un seul organisme national par État membre

L'article 4 du règlement impose à chaque État membre de désigner un organisme national d'accréditation unique, fonctionnant sans but lucratif. Cet organisme ne peut ni proposer les services des OEC, ni faire de conseil, ni détenir d'intérêt dans un organisme qu'il évalue. L'article 6 interdit en outre la concurrence avec les OEC et entre organismes nationaux, afin d'éviter toute dérive commerciale de l'accréditation.

L'évaluation entre pairs et la présomption d'équivalence

Chaque organisme national se soumet à une évaluation entre pairs organisée par l'EA (European co-operation for Accreditation). L'article 11 en tire la conséquence pratique : les autorités nationales reconnaissent l'équivalence des accréditations délivrées par les organismes ayant réussi cette évaluation. Un certificat émis par un organisme accrédité par un homologue allemand ou belge du Cofrac peut donc, en principe, être accepté en France.

Accréditation transfrontalière et accords internationaux

Un organisme certificateur demande normalement son accréditation dans son pays d'établissement. L'article 7 prévoit des exceptions, notamment lorsque l'organisme national ne couvre pas l'activité demandée. Au-delà de l'Europe, les accords multilatéraux de l'IAF (International Accreditation Forum) et de l'ILAC étendent cette reconnaissance. Le Cofrac indique être signataire d'accords multilatéraux de ce type, ce qui facilite la reconnaissance de ses accréditations à l'export.

Devenir accrédité Cofrac : le parcours d'un organisme d'évaluation

Comprendre le parcours d'un organisme accrédité cofrac aide à juger la solidité d'un certificat. L'accréditation n'est ni un achat ni une adhésion : c'est une évaluation technique exigeante, répétée tout au long d'un cycle. Les conditions sont fixées par le comité au vu des normes homologuées et publiées sur son site, comme le prévoit l'article 3 du décret de 2008.

Les grandes étapes d'une accréditation initiale

1. Dépôt d'une demande avec le dossier documentaire et la portée souhaitée (normes, secteurs, sites).
2. Examen de recevabilité administrative et technique par la section concernée.
3. Évaluation au siège de l'organisme : système de management, impartialité, compétences, dossiers d'audit.
4. Observation d'audits réels chez des clients de l'organisme, dite évaluation en accompagnement ou en témoin.
5. Traitement des écarts, puis décision prise par des personnes distinctes de l'équipe d'évaluation.
6. Publication de l'attestation et de l'annexe technique décrivant la portée accréditée.

La séparation entre évaluation et décision n'est pas un détail : l'article 8 du règlement 765/2008 l'exige explicitement. Elle garantit qu'un évaluateur ne valide jamais seul son propre travail. Le même principe se retrouve ensuite chez les organismes certificateurs, où la décision de certifier une entreprise doit être prise par une personne n'ayant pas réalisé l'audit.

Surveillance, renouvellement et sanctions

Une fois accrédité, l'organisme reste sous surveillance : évaluations périodiques, nouvelles observations d'audits, analyse des plaintes. En cas de dérive, le comité peut réduire la portée, suspendre ou retirer l'accréditation. Les organismes certificateurs HDS dont l'accréditation a expiré, été suspendue ou retirée font d'ailleurs l'objet d'une liste publique sur le site de l'Agence du numérique en santé.

Les normes d'accréditation à connaître selon le type d'organisme

Chaque famille d'organismes est évaluée selon une norme de la série ISO/IEC 17000. Connaître ces références permet de vérifier qu'un organisme est accrédité pour le bon métier. Un organisme certificateur accrédité cofrac pour des produits selon l'ISO/IEC 17065 n'est pas, de ce seul fait, compétent pour certifier un système de management de la sécurité de l'information.

Les références principales

• ISO/IEC 17021-1 : organismes qui auditent et certifient des systèmes de management (ISO 9001, ISO 27001, ISO 22301).
• ISO/IEC 17065 : organismes qui certifient des produits, des procédés et des services.
• ISO/IEC 17024 : organismes qui certifient des personnes, par exemple des auditeurs.
• ISO/IEC 17025 : laboratoires d'essais et d'étalonnage, y compris certains laboratoires d'évaluation technique.
• ISO/IEC 17020 : organismes d'inspection.
• ISO/IEC 17029 : organismes de validation et de vérification, notamment pour des déclarations extra-financières.

Normes sectorielles complémentaires

Pour certains schémas, une norme générique ne suffit pas. La sécurité de l'information ajoute l'ISO/IEC 27006-1, qui précise les compétences des auditeurs et le calcul du temps d'audit. Le référentiel HDS ajoute un référentiel d'accréditation spécifique publié par les autorités de santé. Une accréditation solide combine donc la norme générique, le complément sectoriel et, le cas échéant, un document d'exigences réglementaires.

Certification ISO 27001 : choisir un organisme certificateur accrédité

Pour un SMSI, l'organisme certificateur doit être accrédité selon l'ISO/IEC 17021-1 et l'ISO/IEC 27006-1:2024. Cette dernière ajoute les exigences propres à l'audit de la sécurité de l'information : compétences des auditeurs, durée minimale d'audit, revue des mesures de l'annexe A de l'ISO/IEC 27001:2022 et règles pour les audits à distance.

Une transition achevée au 31 mars 2026

L'ISO/IEC 27006-1:2024 remplace l'édition 2015 et son amendement de 2020. Selon le document obligatoire IAF MD 29, les organismes d'accréditation et les organismes certificateurs devaient avoir terminé leur transition au 31 mars 2026. En 2026, un certificateur ISO 27001 sérieux doit donc pouvoir montrer une accréditation alignée sur la nouvelle édition.

Ce que l'accréditation change pour votre audit

Un organisme accrédité doit appliquer des règles de calcul du temps d'audit, désigner des auditeurs dont la compétence est démontrée et respecter un cycle de trois ans avec audit initial en deux étapes puis audits de surveillance. Les étapes concrètes de stage 1 et stage 2 sont détaillées dans notre checklist d'audit de certification ISO 27001, utile pour préparer les preuves attendues.

Les certificats non accrédités

Certains organismes délivrent des certificats ISO 27001 sans aucune accréditation, parfois accompagnés de logos ressemblant à ceux d'instances officielles. Ces documents n'ont pas de valeur reconnue dans les marchés publics ni auprès de la plupart des grands donneurs d'ordre. Le risque est double : dépenser un budget de certification pour rien et donner une fausse assurance à la direction sur le niveau réel de maîtrise des risques.

Pour planifier le choix du certificateur au bon moment du projet, la feuille de route ISO 27001 en 12 étapes positionne cette décision après l'analyse de risques et avant l'audit interne. Anticiper ce choix évite de découvrir trop tard qu'aucun auditeur disponible ne couvre votre secteur.

HDS, Qualiopi, CSRD : quand l'accréditation devient obligatoire

Dans de nombreux domaines, l'accréditation est volontaire. Mais certains textes réglementaires imposent qu'une certification soit délivrée par un organisme accrédité. Le décret de 2008 rappelle que le comité intervient que l'accréditation soit obligatoire ou non. Trois schémas concernent directement les entreprises du numérique et du conseil en France.

L'hébergement de données de santé

Pour la certification des hébergeurs de données de santé, l'hébergeur doit choisir un organisme certificateur accrédité par le Cofrac ou par un équivalent européen. L'audit se déroule en deux étapes, documentaire puis sur site, et le certificat vaut trois ans avec un audit de surveillance annuel. Le référentiel en vigueur a été publié au Journal officiel en mai 2024.

L'Agence du numérique en santé publie la liste des organismes habilités. Un organisme ayant obtenu une recevabilité technique peut délivrer des certificats HDS pendant neuf mois, le temps de finaliser son accréditation. Les implications concrètes pour un hébergeur sont détaillées dans notre article HDS 2026 : guide de certification de l'hébergement de données de santé.

Qualiopi et la formation professionnelle

Les organismes de formation financés par des fonds publics ou mutualisés doivent être certifiés Qualiopi. La loi n° 2018-771 impose que les organismes certificateurs soient accrédités par le Cofrac ou un homologue européen. Pour un cabinet de cybersécurité qui forme ses clients, c'est souvent la première rencontre concrète avec l'accréditation, avant même un projet ISO 27001.

Organisme tiers indépendant et rapports de durabilité

La vérification des informations extra-financières fait intervenir un organisme tiers indépendant accrédité cofrac, ou OTI. Avec la directive CSRD, la certification des informations en matière de durabilité peut être confiée à un commissaire aux comptes ou à un OTI accrédité. Le cadre a toutefois évolué avec le paquet Omnibus, dont la transposition est attendue d'ici mars 2027 : les seuils et calendriers doivent être vérifiés au cas par cas.

Vérifier un certificat Cofrac : méthode en six étapes

Un certificat cofrac au sens courant, c'est-à-dire un certificat portant la mention d'accréditation, se vérifie en quelques minutes. La méthode ci-dessous convient aussi bien à l'acheteur qui évalue un prestataire cloud qu'au RSSI qui consolide les preuves de ses fournisseurs critiques. Elle repose uniquement sur des sources publiques et sur le document fourni par le tiers.

Les six contrôles à réaliser

1. Lire le certificat : norme et version, périmètre certifié, sites, date d'émission et date d'expiration.
2. Identifier l'organisme certificateur et repérer la marque d'accréditation avec son numéro.
3. Rechercher cet organisme dans l'annuaire officiel du comité ou de l'homologue étranger.
4. Ouvrir l'annexe technique et vérifier que la norme certifiée figure dans la portée accréditée.
5. Confirmer auprès de l'organisme certificateur que le certificat est valide et non suspendu.
6. Archiver la preuve (capture datée, référence, date de contrôle) dans le registre fournisseurs.

Le contrôle le plus souvent oublié est le quatrième : un organisme peut être accrédité pour l'ISO 9001 et délivrer un certificat ISO 27001 hors accréditation. Le logo apparaît alors parfois sur le papier à en-tête sans couvrir la norme concernée. Seule l'annexe technique fait foi pour savoir si l'activité précise a été évaluée.

Automatiser le suivi des échéances

Une fois les certificats collectés, le suivi des dates d'expiration peut être automatisé avec un simple script sur l'export du registre fournisseurs. L'exemple suivant lit un fichier CSV et signale les certificats expirés, proches de l'échéance ou dépourvus de vérification d'accréditation. Il ne remplace pas la consultation de l'annuaire, mais évite qu'une échéance passe inaperçue.

import csv
from datetime import date, timedelta

ALERTE = timedelta(days=90)
aujourdhui = date.today()

with open("registre_fournisseurs.csv", newline="", encoding="utf-8") as f:
    for ligne in csv.DictReader(f):
        fin = date.fromisoformat(ligne["date_expiration"])
        accredite = ligne["accreditation_verifiee"].strip().lower() == "oui"
        if fin < aujourdhui:
            statut = "EXPIRÉ"
        elif fin - aujourdhui <= ALERTE:
            statut = "À RENOUVELER"
        else:
            statut = "OK"
        if not accredite:
            statut += " / ACCRÉDITATION NON VÉRIFIÉE"
        print(f'{ligne["fournisseur"]:30} {ligne["norme"]:15} {fin} {statut}')

Retour terrain : Cas typique rencontré en mission — lors de la revue de la sous-traitance d'une ETI, un hébergeur présente un certificat de SMSI arborant la marque Cofrac, alors que l'annexe technique de son certificateur ne couvre que le management de la qualité. Le fournisseur a pourtant été classé à risque faible sur la seule foi de ce document. Je recommande de requalifier ce risque, d'exiger un plan d'assurance sécurité ou un droit d'audit, et de rendre la vérification de portée bloquante dès le référencement.

Liste des organismes accrédités Cofrac : consulter l'annuaire et lire une portée

La liste organismes accrédités cofrac n'est pas un document figé à télécharger : c'est un annuaire en ligne, accessible depuis la page d'accueil du comité via la recherche d'organismes accrédités. La recherche peut se faire par nom, par domaine ou par référentiel. Les listes publiées par des tiers sont pratiques mais vieillissent vite ; la source officielle reste la seule référence opposable.

Lire une annexe technique sans se tromper

L'attestation d'accréditation indique l'organisme, la norme d'accréditation et la période de validité. L'annexe technique, elle, détaille la portée : normes certifiables, secteurs d'activité, éventuelles restrictions et sites couverts. Pour l'ISO 27001, vérifiez la mention de l'ISO/IEC 27006-1. Pour la qualité ou l'environnement, les secteurs sont codés selon une nomenclature européenne : un organisme peut être accrédité pour certains secteurs seulement.

Les organismes accrédités à l'étranger

Un certificat peut provenir d'un organisme accrédité par une autre instance nationale. Dans ce cas, consultez l'annuaire de cette instance et vérifiez qu'elle est signataire des accords EA ou IAF pour l'activité concernée. La base mondiale IAF CertSearch permet aussi de rechercher certains certificats émis sous accréditation, avec une couverture qui dépend de la participation des organismes certificateurs.

Audit Cofrac : ce que vit une entreprise certifiée

L'expression audit cofrac prête à confusion. Une entreprise certifiée ISO 27001 n'est jamais auditée par le comité au sens d'une certification. En revanche, elle peut voir un évaluateur du Cofrac assister à son audit de certification : il s'agit d'observer l'auditeur de l'organisme certificateur, pas de juger le SMSI de l'entreprise. Cette observation en témoin fait partie de l'évaluation de l'organisme accrédité.

Comment se passe une observation en témoin

L'organisme certificateur demande l'accord de son client et prévient de la présence de l'évaluateur. Pendant l'audit, celui-ci note la méthode de l'auditeur : échantillonnage, qualité des questions, traçabilité des preuves, formulation des écarts. Les constats éventuels visent l'organisme certificateur. Pour l'entreprise, l'impact se limite généralement à une personne supplémentaire en réunion et à une rigueur accrue de l'auditeur.

Préparer ses équipes à cette présence

Prévenez les interlocuteurs que l'évaluateur peut poser des questions de clarification, rappelez les règles de confidentialité et prévoyez un espace adapté. Dans une PME, cette situation intervient souvent lors du premier cycle, au moment où le projet est encore fragile. Notre roadmap ISO 27001 pour PME en 9 mois intègre ce type d'aléa dans le planning de préparation.

Coût, délais et critères de choix du certificateur accrédité

Le choix d'un organisme certificateur accrédité ne se résume pas au prix journalier. La durée d'audit découle de règles normatives liées à l'effectif, à la complexité et au nombre de sites. Deux devis très différents pour un même périmètre doivent conduire à demander le détail du calcul. Le coût global d'un cycle de trois ans inclut l'audit initial, les surveillances et le renouvellement.

Les critères qui comptent vraiment

• Portée d'accréditation couvrant la norme, la version et votre secteur d'activité.
• Disponibilité d'auditeurs maîtrisant votre environnement technique (cloud, OT, santé, finance).
• Capacité à réaliser des audits combinés, par exemple ISO 27001 et HDS, sur un seul calendrier.
• Transparence sur le calcul du temps d'audit et sur les conditions des audits à distance.
• Reconnaissance du certificat par vos clients clés, en France comme à l'international.

Pour estimer le budget complet d'une PME, accompagnement et audits compris, consultez notre analyse certification ISO 27001 PME : coût, délais et étapes 2026. Elle détaille les postes de dépense et les leviers pour éviter une seconde campagne d'audit coûteuse.

Erreurs fréquentes et signaux d'alerte

Les mêmes erreurs reviennent dans les dossiers d'appels d'offres et les revues fournisseurs. Elles tiennent rarement à une fraude délibérée ; elles proviennent plutôt d'une méconnaissance de la différence entre accréditation et certification. Les identifier tôt évite de fonder une décision d'achat ou une analyse de risque sur une preuve fragile.

Les confusions les plus courantes

Première confusion : croire que le comité délivre lui-même des certificats ISO 27001. Deuxième : se contenter du logo sans ouvrir l'annexe technique. Troisième : accepter un certificat dont le périmètre exclut précisément le service acheté, par exemple un SMSI limité au siège alors que la prestation est opérée depuis un autre site. Ces trois points se vérifient en moins de dix minutes.

Les signaux qui doivent alerter

Méfiez-vous d'un certificat obtenu en quelques jours, sans audit sur site ni à distance documenté, d'un organisme introuvable dans tout annuaire d'instance nationale ou d'une marque d'accréditation inconnue. Un certificat sans date d'expiration ou sans périmètre précis doit aussi être questionné. Dans ces cas, demandez le rapport d'audit ou une attestation complémentaire avant toute décision.

À lire aussi : la certification CSPN des produits par l'ANSSI ; la qualification PDIS des prestataires de détection.

Questions fréquentes

Conclusion

Le Cofrac n'est pas un label à afficher, mais le socle qui rend un certificat crédible. Comprendre la différence entre accréditation et certification, connaître les normes ISO/IEC 17021-1 et 27006-1, et savoir lire une annexe technique permet de choisir un certificateur solide et de contrôler sérieusement les preuves de ses fournisseurs. En 2026, ce réflexe s'impose pour tout projet ISO 27001 ou HDS.

Pour aller plus loin, notre guide complet ISO 27001 détaille les exigences du SMSI, et l'article dédié à l'hébergement de données de santé en 2026 précise le dispositif HDS. Ces deux lectures complètent la méthode de vérification présentée ici.