Certification ISO 27001 — Accompagnement Complet

ISO 27001 est la norme internationale de référence pour la sécurité de l'information. Elle définit les exigences pour établir un Système de Management de la Sécurité de l'Information (SMSI). Se certifier permet de démontrer à vos clients, partenaires et régulateurs que vous protégez leurs données de manière systématique. C'est aussi un avantage compétitif majeur pour les appels d'offres et un accélérateur de conformité NIS2 et DORA.

Comptez en général 9 à 14 mois pour une première certification, selon votre taille et votre maturité initiale. Une PME de 50 personnes avec des bases solides peut être certifiée en 6-8 mois. Une ETI de 500 personnes partant de zéro nécessitera plutôt 12-14 mois. Notre gap analysis initiale permet de définir un planning réaliste dès le démarrage.

Non, ce n'est pas une exigence formelle de la norme. ISO 27001 exige qu'un « responsable du SMSI » soit désigné, mais ce rôle peut être cumulé (DSI, DG, responsable qualité). Nous pouvons également intervenir en tant que RSSI externalisé pendant la durée du projet et transférer les compétences à un collaborateur interne.

Le coût varie selon la taille de l'organisation et le périmètre. Pour une PME (50-100 salariés), comptez 30 000 à 60 000 € pour l'accompagnement complet. Pour une ETI (200-500 salariés), le budget se situe entre 60 000 et 150 000 €. À cela s'ajoutent les frais de l'organisme certificateur (5 000 à 15 000 €). Nous privilégions les solutions open source pour réduire les coûts de licences logicielles.

Absolument. ISO 27001 couvre environ 80% des exigences de la directive NIS2. Les deux cadres partagent les mêmes fondamentaux : analyse de risques, gestion des incidents, continuité d'activité, contrôle d'accès, sensibilisation. Les 20% restants (notification obligatoire aux autorités, supply chain security renforcée) sont couverts par des compléments spécifiques que nous intégrons à notre démarche.

Les non-conformités mineures (observations) sont courantes et ne bloquent pas la certification : vous disposez d'un délai (généralement 90 jours) pour les traiter. Les non-conformités majeures nécessitent une correction avant la délivrance du certificat. Notre audit blanc (Phase 5) vise précisément à éliminer tout risque de non-conformité majeure avant l'audit officiel. C'est pourquoi notre taux de réussite est de 100%.

Non. Le certificat ISO 27001 est valable 3 ans. Pendant cette période, vous devez passer des audits de surveillance annuels (années 1 et 2) pour vérifier que le SMSI est maintenu et amélioré. Au bout de 3 ans, un audit de renouvellement complet est nécessaire. Nous pouvons également vous accompagner sur le maintien et le renouvellement de la certification.

ISO 27001 est une certification internationale reconnue dans plus de 150 pays. SOC 2 est un rapport d'audit américain (AICPA) principalement demandé par les clients nord-américains. ISO 27001 est prescriptive (93 contrôles Annexe A) tandis que SOC 2 offre plus de flexibilité sur les contrôles. En Europe, ISO 27001 est nettement plus valorisée. Si vous avez des clients aux États-Unis, les deux sont complémentaires — et ISO 27001 facilite l'obtention du SOC 2.