Cyber-Management
FR / ENRéserver une consultation

ISO 27001

Certification ISO 27001 pour les PME : un chemin réaliste à votre taille.

Vos clients ou les appels d’offres demandent ISO 27001 ? Faites-vous certifier sans paperasse de grand groupe.

Réserver une consultation gratuite de 25 minutes

Êtes-vous concerné ?

Vos clients ou vos contrats la demandent-ils ?

ISO 27001 est volontaire. Les entreprises l’obtiennent parce que leurs clients la demandent. Oui à l’une de ces questions : elle mérite qu’on s’y arrête.

  • Un appel d’offres ou un grand client l’exigeBeaucoup d’acheteurs privés et publics en font une exigence minimale, parfois avant même de lire votre offre.
  • Vous fournissez des banques, des assureurs ou la santéIls contrôlent la sécurité de leurs fournisseurs, et un certificat répond d’un coup à la plupart de leurs questions.
  • Vous remplissez de longs questionnaires de sécuritéUn certificat répond d’un coup à bon nombre de ces questions, et accélère les renouvellements.
  • Votre assureur vous interroge sur votre organisation de la sécuritéLa certification est une réponse claire au moment du renouvellement.

Ce qui change pour vous

Un système de management de la sécurité, pas une liste technique.

ISO 27001 certifie la façon dont vous gérez la sécurité. Vous évaluez vos risques, choisissez les mesures adaptées, écrivez qui fait quoi et vérifiez que cela fonctionne. Un organisme certificateur accrédité vous audite ; le certificat vaut trois ans, avec un contrôle chaque année.

Pour une petite entreprise, c’est surtout une question de méthode, pas d’achat d’outils. La documentation reste proportionnée : une entreprise de 15 personnes n’a pas besoin des politiques d’un industriel de 500 personnes.

Le vrai coût de son absence est commercial : des appels d’offres perdus et des ventes plus lentes auprès des grands comptes. Le même travail vous donne aussi un socle solide pour NIS2, DORA et le volet sécurité du RGPD.

Par où commencer

Partir de votre situation, et ne construire que le nécessaire.

Ce que nous livrons

  • Un point sur où vous en êtes face à la norme, avec un plan chiffré jusqu’à la certification
  • Votre évaluation des risques et les mesures de sécurité choisies en conséquence
  • Des politiques que vos équipes liront et appliqueront vraiment
  • Un audit interne avant l’arrivée de l’organisme certificateur
  • Une aide au choix de l’organisme certificateur, et un accompagnement aux deux étapes d’audit

Qui fait quoi

Nous pilotons la certification. Votre prestataire informatique garde la partie technique.

Ce que nous pilotons

  • Fixer le périmètre et piloter l’évaluation des risques
  • Rédiger les politiques et la liste des mesures retenues
  • Former vos équipes et votre direction
  • Piloter l’audit interne
  • Vous préparer aux audits de certification

Ce qui reste chez votre prestataire informatique

  • Mettre en place les mesures techniques : droits d’accès, sauvegardes, journalisation, mises à jour
  • Conserver les traces que l’auditeur demandera
  • Corriger les constats techniques

Votre consultant est certifié Lead Auditor ISO 27001 (PECB) et Lead Implementer ISO 27001 (Advisera).

Pour commencer

Première étape : un point sur où vous en êtes.

Vous savez ce que la norme demande à une entreprise de votre taille et ce qui manque. Vous savez aussi ce que la certification coûterait en temps et en argent. Pas sûr d’être prêt ? Commencez par le Bilan de maturité cybersécurité (à partir de 1 900 €) : son montant est déduit si vous poursuivez dans les 60 jours.

Prix
Forfait fixe

Devis ferme après l'appel gratuit.

Réserver une consultation gratuite de 25 minutes

Pour votre DSI, DPO ou DAF

Ce que tout SMSI doit démontrer.
  1. 01Clause 4

    Contexte de l'organisation

    Compréhension de votre environnement métier, des parties intéressées et du périmètre du SMSI.

  2. 02Clause 5

    Leadership

    Engagement de la direction, politique sécurité et attribution des rôles et responsabilités.

  3. 03Clause 6

    Planification

    Évaluation des risques, plan de traitement des risques et objectifs de sécurité de l'information.

  4. 04Clause 7

    Support

    Ressources, compétences, sensibilisation, communication et information documentée.

  5. 05Clause 8

    Fonctionnement

    Mise en œuvre du plan de traitement des risques, gestion des processus de sécurité opérationnels et des changements.

  6. 06Clause 9

    Évaluation des performances

    Surveillance, mesure, audit interne (obligatoire) et revue de direction.

  7. 07Clause 10

    Amélioration

    Traitement des non-conformités, actions correctives et amélioration continue du SMSI.

  8. 08Annexe A

    93 contrôles sur 4 domaines

    Organisationnel (37), personnes (8), physique (14), technologique (34). Sélectionnés et justifiés dans votre Déclaration d'Applicabilité.

Pas de sanctions légales — mais le coût commercial s'accumule.

ISO 27001 est volontaire, donc pas d'amendes légales pour absence de certification. Le coût de l'absence de certification, en revanche, s'accumule : disqualification des appels d'offres, incapacité à satisfaire les exigences sécurité clients, perte de clients grands comptes dans les secteurs réglementés, primes d'assurance cyber plus élevées et couverture réduite, et incapacité à fournir des institutions financières réglementées ou des acheteurs publics.

Les organisations certifiées réutilisent aussi ISO 27001 comme socle pour NIS2, l'article 32 du RGPD, DORA et PCI DSS — des contrôles construits une fois, des preuves réutilisées — ce qui en fait le socle unique le plus rentable pour un programme multi-référentiels.

  • NIS2

    L'essentiel de l'art. 21

    couvert par un SMSI bien cadré ; restent les obligations propres à NIS2.

  • RGPD art. 32

    En appui

    des mesures techniques et organisationnelles exigées par le RGPD.

  • DORA

    Socle

    pour la gestion des risques TIC ; registre, TLPT et notification 4 h en plus.

Calendrier type

6 à 12 mois pour la plupart des PME partant d'un faible niveau initial. Des contrôles existants ou des travaux de conformité antérieurs accélèrent.

  1. Semaines 1–4

    Analyse d'écarts

    État actuel vs exigences ISO 27001, définition du périmètre du SMSI, plan d'action priorisé et chiffré.

  2. Mois 2–5

    Construction du SMSI

    Évaluation des risques, traitement, politiques, contrôles, Déclaration d'Applicabilité, déploiement du programme de formation.

  3. Mois 6

    Audit interne

    Audit interne indépendant sur toutes les clauses et les contrôles Annexe A sélectionnés. Actions correctives résolues.

  4. Mois 7–9

    Audit de certification

    Stage 1 (revue documentaire) puis Stage 2 (évaluation sur site) avec l'organisme certificateur accrédité de votre choix.

FAQ

Ce que nous demandent les DSI sur ISO 27001.

Que contient concrètement la norme ?
ISO/IEC 27001 spécifie un Système de Management de la Sécurité de l'Information (SMSI) en deux parties. Le cadre de management : 10 clauses sur la façon de le planifier, le faire fonctionner, le surveiller et l'améliorer. L'Annexe A : un référentiel de 93 contrôles sur quatre domaines (organisationnel, personnes, physique, technologique). Elle n'impose pas de liste fixe : vous évaluez vos risques et justifiez vos choix dans une Déclaration d'Applicabilité.
Qui a typiquement besoin d’ISO 27001 ?
Elle est volontaire, mais commercialement essentielle pour beaucoup de PME : entreprises technologiques et éditeurs SaaS face aux achats des grands comptes ; fournisseurs de banques et d'assureurs, que DORA oblige à contrôler leur chaîne d'approvisionnement ; santé et sciences du vivant ; cabinets d'avocats, d'expertise comptable et de conseil qui détiennent des données clients confidentielles ; fournisseurs d'acheteurs publics dont les cadres d'achat la listent pour les contrats informatiques et de données ; et toute entreprise dont l'assureur interroge la gouvernance de la sécurité.
Quelle est la différence entre ISO 27001 et ISO 27002 ?
ISO 27001 est la norme de certification — elle définit les exigences que le SMSI d'une organisation doit satisfaire, et c'est la base des audits de certification tiers. ISO 27002 est la norme de guidance de mise en œuvre — des conseils détaillés sur comment mettre en œuvre chacun des 93 contrôles de l'Annexe A. ISO 27001 c'est le *quoi* ; ISO 27002 c'est le *comment*. On se certifie sur ISO 27001, pas 27002.
La certification ISO 27001 doit-elle couvrir toute l'organisation ?
Non. Vous définissez le périmètre du SMSI pendant la planification. Beaucoup d'organisations commencent par un département, une ligne de service ou un environnement de traitement, puis l'étendent. Pour une PME, un périmètre couvrant toute l'organisation est souvent le plus pratique, car les opérations sont plus simples. Dans tous les cas, le périmètre doit être documenté et justifié.
Une petite entreprise (moins de 20 salariés) peut-elle réalistiquement obtenir la certification ?
Oui — et les petites entreprises se certifient fréquemment plus vite que les grandes organisations précisément parce que leur périmètre est plus simple et la prise de décision plus rapide. La documentation du SMSI est proportionnée à la taille et à la complexité de l'organisation : une SaaS de 15 personnes n'a pas besoin du même volume de politiques qu'un industriel de 500 personnes.
Quel organisme certificateur devons-nous utiliser ?
Un organisme accrédité par un organisme national d'accréditation membre de l'IAF (le COFRAC en France). Les organismes reconnus incluent AFNOR Certification (France), TÜV SÜD et DEKRA (Allemagne), TrustCB (Pays-Bas), AENOR (Espagne), CISQ (Italie), SQS (Suisse), plus les acteurs paneuropéens comme Bureau Veritas, BSI, LRQA, SGS, Intertek et DNV. Nous sommes indépendants de tous les organismes certificateurs et vous aidons à choisir le bon pour votre pays et votre secteur.
Que se passe-t-il si nous échouons à l'audit Stage 2 ?
Un échec pur est rare quand on est bien préparé. Plus souvent, le Stage 2 relève des non-conformités majeures à résoudre dans un délai défini (typiquement 90 jours) avant la délivrance du certificat. Les non-conformités mineures n'empêchent pas la certification ; elles sont traitées au premier audit de surveillance. Notre audit interne avant certification sert à faire émerger les problèmes avant l'auditeur externe.
ISO 27001 aide-t-elle à la conformité RGPD ?
Oui — ISO 27001 répond directement à l'exigence de l'article 32 du RGPD concernant les mesures techniques et organisationnelles de sécurité appropriées. Un SMSI certifié démontre aux autorités de contrôle (la CNIL en France) que votre organisation a mis en œuvre et maintient une approche structurée de la protection des données personnelles. ISO 27001 ne couvre pas toutes les obligations RGPD — base légale, droits des personnes, AIPD et exigences DPO nécessitent un travail RGPD spécifique séparé.

À découvrir

Les prochaines étapes naturelles.

ISO 42001

Le pendant IA. SMIA et SMSI partagent le squelette Annexe SL — construits ensemble, les éléments communs ne sont faits qu'une fois.

En savoir plus

ISO 27701

La norme certifiable de management de la vie privée, autonome depuis son édition 2025 et souvent auditée avec ISO 27001.

En savoir plus

NIS2

NIS2 renvoie aux normes européennes et internationales ; un SMSI couvre une grande partie de l'article 21, pas la totalité.

En savoir plus

DORA

Un socle solide pour la gestion des risques TIC de DORA — hors registre d'information, TLPT et notification sous 4 heures.

En savoir plus
Retour au hub conformité