La norme ISO 27001, c’est quoi ?
L’ISO/IEC 27001 est la norme internationale des systèmes de management de la sécurité de l’information (SMSI). Elle fixe les exigences auxquelles doit répondre un système de management qui protège la confidentialité, l’intégrité et la disponibilité des informations, qu’elles soient stockées sur des serveurs, dans le cloud ou sur papier. Publiée conjointement par l’ISO et l’IEC, elle porte officiellement le nom ISO/IEC 27001 ; dans la pratique, on parle simplement de la norme ISO 27001.
La version en vigueur est l’ISO/IEC 27001:2022, complétée par l’amendement Amd 1:2024 relatif au changement climatique. En France, elle est publiée sous la référence NF EN ISO/IEC 27001, reprise de la norme européenne EN ISO/IEC 27001:2023. La période de transition de trois ans pour les certificats fondés sur l’ancienne version s’est achevée le 31 octobre 2025 : depuis, la certification se fait uniquement selon la version 2022.
La norme repose sur une approche par les risques. Elle n’impose aucune technologie particulière, mais exige que vous appréciiez vos risques de manière systématique, que vous les traitiez de façon appropriée et que vous vérifiiez régulièrement l’efficacité de vos mesures. Selon l’ISO Survey 2022, plus de 70 000 certificats ont été recensés dans 150 pays et dans tous les secteurs d’activité.
À qui s’adresse la certification ISO 27001 ?
La norme s’applique aux organisations de toute taille et de tout secteur. Le certificat est particulièrement demandé lorsque des clients confient leurs données à un tiers : prestataires informatiques, hébergeurs et fournisseurs cloud, centres de données, éditeurs de logiciels, mais aussi cabinets de conseil, acteurs de la santé ou sous-traitants dont les donneurs d’ordre exigent la sécurité de l’information dans leurs contrats et appels d’offres.
Pour les PME, la norme est tout à fait adaptée : le périmètre et les mesures découlent de vos risques, et non de la taille d’un grand groupe. L’ISO a d’ailleurs publié un guide pratique dédié aux PME. L’essentiel est de bien définir le domaine d’application du SMSI, qui peut couvrir toute l’entreprise ou des sites, processus ou services clairement délimités.
Aucune loi n’impose de manière générale la certification ISO 27001 aux entreprises. En pratique, elle devient pourtant souvent incontournable, parce que des clients l’exigent contractuellement ou parce qu’un SMSI aide à mettre en œuvre de façon structurée des obligations réglementaires comme celles de la directive NIS 2. Certains secteurs réglementés peuvent exiger des preuves spécifiques : vérifiez les règles applicables à votre activité.
Exigences de l’ISO/IEC 27001:2022 : chapitres 4 à 10
La norme suit la structure harmonisée que l’ISO utilise pour toutes ses normes de systèmes de management. Les exigences auditables figurent aux chapitres 4 à 10, ce qui permet d’articuler facilement un SMSI avec un système de management de la qualité selon l’ISO 9001 ou avec d’autres systèmes.
Par rapport à la version précédente, le corps de la norme n’a été que légèrement modifié. Parmi les nouveautés : la planification des modifications du SMSI (6.3) et la prise en compte, lors de la revue de direction, de l’évolution des attentes des parties intéressées (9.3). Les changements les plus importants concernent l’annexe A.
- Chapitre 4 – Contexte : enjeux internes et externes, exigences des parties intéressées et domaine d’application du SMSI ; depuis l’Amd 1:2024, l’organisation détermine aussi si le changement climatique est un enjeu pertinent.
- Chapitre 5 – Leadership : engagement de la direction, politique de sécurité de l’information, rôles et responsabilités.
- Chapitre 6 – Planification : appréciation et traitement des risques, Déclaration d’applicabilité, objectifs de sécurité de l’information et planification des modifications.
- Chapitre 7 – Support : ressources, compétences, sensibilisation, communication et informations documentées.
- Chapitre 8 – Fonctionnement : maîtrise des processus, appréciation régulière des risques et mise en œuvre du plan de traitement, y compris pour les processus et services fournis par des prestataires.
- Chapitre 9 – Évaluation des performances : surveillance et mesure, audit interne et revue de direction.
- Chapitre 10 – Amélioration : amélioration continue, traitement des non-conformités et actions correctives.
Annexe A : 93 mesures de sécurité en quatre thèmes
L’annexe A de l’ISO/IEC 27001:2022 contient 93 mesures de sécurité de l’information, réparties en quatre thèmes. La version 2013 en comptait 114, réparties en 14 chapitres ; dans la nouvelle version, 82 mesures reprennent ce contenu de façon plus synthétique et 11 mesures sont nouvelles. Elles portent notamment sur le renseignement sur les menaces, l’utilisation des services cloud, la préparation des technologies de l’information et de la communication pour la continuité d’activité, la gestion des configurations, la suppression des informations, la prévention des fuites de données, le filtrage web et le codage sécurisé.
Toutes les mesures ne sont pas obligatoires : celles qui sont nécessaires découlent de votre traitement des risques. Le lien entre les deux est la Déclaration d’applicabilité. Elle liste les mesures nécessaires, justifie leur inclusion, indique si elles sont mises en œuvre et justifie l’exclusion de toute mesure de l’annexe A. Lors de l’audit, c’est l’un des documents centraux.
- Mesures organisationnelles (37) : politiques, contrôle d’accès, relations avec les fournisseurs, gestion des incidents de sécurité.
- Mesures applicables aux personnes (8) : vérifications préalables à l’embauche, sensibilisation et formation, travail à distance.
- Mesures physiques (14) : contrôle d’accès physique, protection des équipements, surveillance de la sécurité physique.
- Mesures technologiques (34) : protection contre les logiciels malveillants, sauvegarde, journalisation, cryptographie, développement sécurisé.
Prérequis : préparer votre SMSI à la certification
On certifie un SMSI déployé et efficace, pas un projet sur le papier. Avant de lancer l’audit de certification, les éléments suivants devraient être en place :
Si vous n’êtes pas sûr que votre SMSI soit prêt, vous pouvez demander à CERTUNION un pré-audit optionnel. Il met en évidence les écarts avant l’audit proprement dit, par exemple lorsque l’appréciation des risques, les mesures et la Déclaration d’applicabilité ne concordent pas.
- un domaine d’application défini et documenté, avec des interfaces claires vers les prestataires
- une politique de sécurité de l’information portée par la direction et des responsables désignés
- une appréciation des risques réalisée, avec plan de traitement et Déclaration d’applicabilité
- des mesures mises en œuvre, un personnel sensibilisé et des objectifs mesurables
- au moins un audit interne et une revue de direction dont les résultats sont documentés
Durée et coût de la certification ISO 27001
La procédure de certification elle-même, de la demande au certificat, dure en général 4 à 8 semaines, selon la taille et la complexité de votre organisation. Il faut la distinguer de la mise en place du SMSI, dont la durée dépend de votre point de départ et ne peut être estimée sérieusement qu’après un état des lieux. Prévoyez aussi du temps en interne pour les entretiens, les preuves et la correction d’éventuels écarts.
Chez CERTUNION, la certification ISO 27001 fait partie d’un forfait annuel qui comprend aussi la plateforme de gestion de votre système de management. Trois forfaits annuels sont proposés, prix par an : 789 € pour une norme (jusqu’à 25 salariés), 1 499 € pour trois normes au plus (jusqu’à 100 salariés) et 1 949 € pour les cinq normes (sans limite d’effectif).
Le prix annuel comprend la plateforme avec tous ses modules et l’audit de l’année : la certification initiale la première année – le certificat est délivré une fois l’audit réussi –, puis les audits de surveillance la deuxième et la troisième année. Le contrat court sur trois ans ; la quatrième année, la recertification bénéficie d’une remise de 20 %. Tous les prix s’entendent hors TVA et sont réservés aux professionnels, à l’exclusion des consommateurs. Les frais de déplacement et d’hébergement liés aux audits sur site sont facturés au réel.
Le nombre de jours d’audit dépend fortement de votre SMSI. Les principaux facteurs sont :
- le nombre de personnes travaillant dans le domaine d’application
- le nombre et la nature des sites, y compris centres de données et télétravail
- la complexité de votre système d’information, de vos processus et de vos obligations légales
- la part des processus externalisés, des services cloud et des prestataires
- la maturité du SMSI et le recours éventuel à un pré-audit
Quelle documentation exige l’ISO 27001 ?
La norme n’exige pas de manuel sous une forme particulière, mais des informations documentées à des endroits précis, notamment :
S’y ajoutent les documents que vous jugez nécessaires à l’efficacité de votre SMSI, par exemple des règles sur les accès, les sauvegardes ou les fournisseurs. Lors de l’audit, quelques documents tenus à jour convainquent davantage que des modèles volumineux que personne n’applique.
- domaine d’application du SMSI (4.3) et politique de sécurité de l’information (5.2)
- processus d’appréciation et de traitement des risques (6.1.2, 6.1.3)
- Déclaration d’applicabilité (6.1.3 d) et objectifs de sécurité de l’information (6.2)
- preuves de compétence (7.2) et informations sur la maîtrise du fonctionnement (8.1)
- résultats de l’appréciation et du traitement des risques (8.2, 8.3)
- résultats de la surveillance et de la mesure (9.1), programme et résultats d’audit (9.2), revue de direction (9.3)
- non-conformités et actions correctives (10.2)
Avantages de la certification ISO 27001
Un SMSI certifié apporte avant tout de la clarté : vous savez quelles informations sont critiques, quels risques existent et qui est responsable de quoi. Le certificat rend ce travail visible pour vos clients et partenaires.
Une certification n’empêche pas les attaques. Elle démontre en revanche que votre organisation connaît ses risques, choisit ses mesures de façon ciblée, vérifie régulièrement leur efficacité – et qu’un organisme indépendant l’a contrôlé.
- la confiance des clients et partenaires qui vous confient leurs données
- de meilleures chances dans les appels d’offres et les évaluations fournisseurs qui exigent une preuve
- moins d’efforts pour répondre aux questionnaires de sécurité, car de nombreuses réponses s’appuient sur le SMSI
- une gestion organisée des incidents de sécurité et de la continuité d’activité
- une base solide pour mettre en œuvre les obligations de NIS 2 ou de l’article 32 du RGPD
ISO 27001, NIS 2, RGPD et normes associées
La directive (UE) 2022/2555, dite NIS 2, impose aux entités concernées des mesures de gestion des risques en matière de cybersécurité (article 21) : analyse des risques, gestion des incidents, continuité des activités, sécurité de la chaîne d’approvisionnement, cryptographie, contrôle d’accès, formation, entre autres. Nombre de ces points recoupent l’ISO/IEC 27001 et son annexe A, et l’article 25 invite les États membres à encourager l’utilisation de normes européennes et internationales. Un certificat ne remplace pas pour autant l’examen de la loi nationale de transposition, notamment pour les obligations de notification.
Il en va de même pour le RGPD : l’article 32 exige des mesures techniques et organisationnelles appropriées pour assurer la sécurité du traitement. Un SMSI aide à les mettre en œuvre et à les démontrer, mais il ne couvre pas les autres obligations de protection des données, comme les bases légales, l’information des personnes ou leurs droits.
Grâce à la structure harmonisée, l’ISO/IEC 27001 se combine avec l’ISO 9001 (qualité), l’ISO 22301 (continuité d’activité) ou l’ISO 50001 (énergie) dans un système de management intégré : politique, approche par les risques, audit interne et revue de direction sont alors menés ensemble plutôt qu’en double.
Le processus de certification
Demande
Vous nous présentez votre organisation, vos sites et le périmètre souhaité pour votre SMSI. Le premier échange est sans engagement.
Analyse et choix du forfait
Nous précisons le périmètre, le nombre de personnes concernées, les sites et les processus externalisés ; vous choisissez le forfait annuel adapté.
Pré-audit (optionnel)
Si vous le souhaitez, nous évaluons au préalable où en est votre SMSI, par exemple la cohérence entre traitement des risques et Déclaration d’applicabilité.
Audit de certification
Sur site ou à distance, nos auditeurs examinent la documentation, l’appréciation des risques, la Déclaration d’applicabilité et l’efficacité réelle des mesures, par des entretiens et des échantillons.
Certificat
Après un audit réussi, CERTUNION délivre le certificat pour le domaine d’application défini. Il est en général valable trois ans.
Audits de surveillance
Des audits de surveillance annuels vérifient que votre SMSI reste efficace, y compris lorsque de nouveaux risques, systèmes ou prestataires apparaissent.
Questions fréquentes
Qu’est-ce que la certification ISO 27001 ?
La certification ISO 27001 est la confirmation, par un organisme de certification indépendant, que le système de management de la sécurité de l’information d’une organisation répond aux exigences de l’ISO/IEC 27001:2022. Elle repose sur un audit de la documentation, de l’appréciation des risques et de l’efficacité des mesures. Elle porte sur un domaine d’application défini, et non sur un produit ou une personne.
Combien coûte la certification ISO 27001 ?
Chez CERTUNION, la certification ISO 27001 fait partie d’un forfait annuel avec la plateforme. Trois forfaits annuels sont proposés, prix par an : 789 € pour une norme (jusqu’à 25 salariés), 1 499 € pour trois normes au plus (jusqu’à 100 salariés) et 1 949 € pour les cinq normes (sans limite d’effectif). Le prix annuel couvre la plateforme avec tous ses modules et l’audit de l’année – la certification initiale la première année, puis deux audits de surveillance. Le contrat court sur trois ans ; la recertification de la quatrième année bénéficie d’une remise de 20 %. Prix hors TVA, réservés aux professionnels ; frais de déplacement et d’hébergement des audits sur site facturés au réel. Prévoyez en parallèle les coûts internes de mise en place et de fonctionnement du SMSI, par exemple pour le personnel, la formation et les mesures techniques.
Combien de temps faut-il pour obtenir la certification ISO 27001 ?
La procédure de certification dure en général 4 à 8 semaines entre la demande et le certificat, selon la taille et la complexité de votre organisation. Elle suppose un SMSI déjà en place, avec appréciation des risques, audit interne et revue de direction. La durée de mise en place du SMSI lui-même dépend de votre point de départ.
Quelle est la durée de validité d’un certificat ISO 27001 ?
Les certificats sont en général valables trois ans. Pendant cette période, des audits de surveillance annuels vérifient que votre SMSI reste efficace et continue de s’améliorer. Avant la fin des trois ans intervient le renouvellement de la certification, afin que la preuve reste valable sans interruption auprès de vos clients.
La certification ISO 27001 est-elle obligatoire ?
Aucune loi n’impose de manière générale la certification ISO 27001 aux entreprises. Elle est toutefois souvent exigée par contrat, par de grands clients, des acheteurs publics ou dans les chaînes d’approvisionnement. Un SMSI conforme à l’ISO/IEC 27001 aide en outre à mettre en œuvre de façon structurée des obligations légales comme les mesures de gestion des risques de NIS 2.
Quels sont les prérequis pour la certification ISO 27001 ?
Votre SMSI doit être déployé et fonctionner de manière démontrable : domaine d’application défini, politique de sécurité de l’information, appréciation des risques avec plan de traitement, Déclaration d’applicabilité, mesures mises en œuvre, ainsi qu’au moins un audit interne et une revue de direction. La norme n’impose ni taille minimale d’entreprise ni logiciel particulier.
Que contient l’annexe A de l’ISO 27001 ?
L’annexe A de l’ISO/IEC 27001:2022 liste 93 mesures de sécurité réparties en quatre thèmes : organisationnelles, applicables aux personnes, physiques et technologiques. Elle sert de référence pour vérifier qu’aucune mesure nécessaire n’a été oubliée. Les mesures retenues ou exclues, avec leur justification, figurent dans la Déclaration d’applicabilité.
Quelle différence entre ISO 27001 et ISO 27002 ?
L’ISO/IEC 27001 contient les exigences applicables à un SMSI et c’est selon elle que l’on certifie. L’ISO/IEC 27002:2022 est un guide qui détaille les 93 mesures de l’annexe A et donne des recommandations de mise en œuvre. On ne peut pas se faire certifier selon l’ISO/IEC 27002 ; elle aide au travail concret.
La certification ISO 27001 suffit-elle pour NIS 2 ?
Pas automatiquement. La directive NIS 2 exige à l’article 21 des mesures qui recoupent largement l’ISO/IEC 27001 et encourage l’utilisation de normes internationales. Elle prévoit aussi des obligations qu’un SMSI ne couvre pas à lui seul, comme les notifications aux autorités prévues par la loi nationale. Un SMSI est une base solide, pas un avis juridique.
Une organisation certifiée ISO 27001 respecte-t-elle automatiquement le RGPD ?
Non. L’ISO/IEC 27001 soutient la sécurité du traitement exigée par l’article 32 du RGPD, car les risques et les mesures techniques et organisationnelles sont pilotés de façon systématique. En revanche, un audit de SMSI ne vérifie pas les bases légales, l’information des personnes ou l’exercice de leurs droits. La protection des données nécessite donc sa propre évaluation.
ISO 27001 ou TISAX : que choisir ?
C’est le plus souvent votre client qui décide. TISAX est le dispositif d’évaluation et d’échange de l’industrie automobile, porté par l’association ENX et fondé sur le catalogue VDA ISA. Son résultat est un label valable trois ans, et non un certificat ISO. Un SMSI selon l’ISO/IEC 27001 facilite la préparation, mais ne remplace pas un label TISAX exigé.
Une personne peut-elle être certifiée ISO 27001 ?
Non : l’ISO/IEC 27001 certifie des systèmes de management d’organisations, pas des personnes. Les compétences des professionnels, par exemple comme responsable de la sécurité de l’information ou auditrice, se démontrent par une certification de personnes. Il s’agit d’une démarche distincte avec son propre examen ; vous trouverez plus d’informations sur notre page consacrée à la certification de personnes.