Comment obtenir la certification ISO 27001

Par Paul Gillet · Mis à jour le 2026-10-17

La norme ISO/IEC 27001 est la norme internationale relative à un système de management de la sécurité de l'information (SMSI) : la manière dont une organisation détermine les risques de sécurité qui comptent, les traite et s'améliore en continu. Contrairement à SOC 2, elle aboutit à un certificat, délivré par un organisme de certification accrédité et valable trois ans, avec des audits de surveillance intermédiaires.

Ce que la norme exige

• Les clauses 4 à 10 sont obligatoires : contexte et périmètre (4), leadership et politique (5), appréciation des risques, traitement des risques et objectifs (6), ressources, compétences, sensibilisation, communication et informations documentées (7), mise en œuvre du plan (8), surveillance, audit interne et revue de direction (9), ainsi que actions correctives et amélioration (10).
• L'annexe A répertorie 93 mesures réparties en quatre thèmes : organisationnel, humain, physique et technologique. Il s'agit d'un ensemble de référence, non d'une liste de contrôle : vous sélectionnez les mesures par le traitement des risques et justifiez chaque inclusion et chaque exclusion dans la déclaration d'applicabilité (SoA).

L'édition en vigueur est l'ISO/IEC 27001:2022 (avec un amendement de 2024 ajoutant le changement climatique aux clauses de contexte). La période de transition depuis l'édition 2013 s'est terminée le 31 octobre 2025 : tout certificat valide relève désormais de l'édition 2022.

Les étapes

1. Définir le périmètre (4.3) : quelles parties de l'organisation, quels sites et quels services. Les clients lisent le périmètre sur votre certificat ; assurez-vous qu'il couvre ce qu'ils achètent.
2. Obtenir l'engagement de la direction (5) : une politique de sécurité de l'information, des rôles et responsabilités attribués, et des ressources.
3. Définir une méthode d'appréciation des risques et la mettre en œuvre (6.1.2) : identifier les risques pesant sur la confidentialité, l'intégrité et la disponibilité, avec leurs propriétaires, leur vraisemblance et leur impact.
4. Traiter les risques (6.1.3) : choisir les mesures, les comparer à l'annexe A, puis rédiger la SoA et un plan de traitement des risques approuvé par les propriétaires de risques.
5. Fixer des objectifs de sécurité mesurables (6.2) et planifier les moyens de les atteindre.
6. Mettre en œuvre et exploiter (7 à 8) : politiques, procédures, formation et sensibilisation, mesures, ainsi que les preuves documentées de leur bon fonctionnement.
7. Mesurer et revoir (9) : surveiller le SMSI, réaliser un audit interne confié à une personne indépendante des activités auditées, et tenir une revue de direction.
8. Corriger les écarts constatés (10) : consigner les non-conformités et les actions correctives.
9. Audit de stade 1 : l'organisme de certification examine votre documentation et votre niveau de préparation.
10. Audit de stade 2 : l'organisme de certification vérifie que le SMSI fonctionne en pratique. Les non-conformités majeures doivent être levées avant la délivrance du certificat.

Choisir un organisme de certification

Faites appel à un organisme accrédité pour l'ISO/IEC 27001 par un organisme national d'accréditation membre de l'International Accreditation Forum (par exemple UKAS, ANAB, DAkkS ou JAS-ANZ), et vérifiez que son accréditation couvre votre périmètre. Les certificats délivrés par des organismes non accrédités sont moins coûteux, mais souvent rejetés par les clients.

Délai type

De nombreuses petites et moyennes organisations mettent six à douze mois entre le démarrage et l'obtention du certificat. Le SMSI doit fonctionner assez longtemps pour produire des enregistrements probants avant l'audit de stade 2 : au moins un audit interne, une revue de direction et la preuve que les mesures fonctionnent. Après la certification, attendez-vous à des audits de surveillance les deux premières années, puis à un audit de recertification la troisième année.

Les preuves que recherchent les auditeurs

• le périmètre, la politique de sécurité et les objectifs, accompagnés de leurs mesures ;
• la méthode d'appréciation des risques, le registre des risques et le plan de traitement des risques ;
• la déclaration d'applicabilité, avec ses justifications ;
• les enregistrements de compétences et de formation ;
• les rapports d'audit interne et les comptes rendus de revue de direction ;
• les journaux des non-conformités et des actions correctives ;
• les enregistrements opérationnels des mesures retenues : revues des droits d'accès, registres de changements, évaluations des fournisseurs, journaux d'incidents, sauvegardes.

Les pièges les plus fréquents

• Appréciations des risques génériques : les auditeurs demandent comment vos risques ont été identifiés et pourquoi chaque mesure a été retenue. Une liste générique sans propriétaires ne passe pas ce contrôle.
• Exclusions non justifiées dans la SoA : exclure une mesure exige une raison liée à vos risques ou à votre périmètre.
• Indépendance de l'audit interne : la personne qui a conçu le SMSI ne doit pas auditer son propre travail.
• Un périmètre trop restreint pour être utile : un certificat couvrant un seul bureau ne satisfera pas un client qui achète votre service cloud.

Comment ce site vous aide

ControlMapping répertorie chaque mesure de l'annexe A et chaque clause du SMSI, avec leurs équivalents dans dix autres référentiels. Les liens de l'annexe A vers NIST CSF 2.0 et SP 800-53 proviennent de correspondances publiées ; le texte des mesures relève du droit d'auteur de l'ISO, nous n'en affichons donc que les intitulés. Si vous suivez déjà SOC 2, NIST ou NIS2, le tableau ci-dessous et l'analyse d'écarts montrent ce qui peut être réutilisé. Le système de management couvrant les clauses 4 à 10 représente généralement le plus gros chantier nouveau.

Vous avez déjà un autre référentiel ?

Nombre d'exigences ISO 27001 auxquelles chaque référentiel que vous suivez peut-être déjà correspond. Ouvrez un rapport d'écarts pour la liste exigence par exigence.

Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · Faiblement liés partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Les décomptes proviennent des mêmes données que le analyse des écarts ; une correspondance signifie que les exigences sont liées, et non qu'une exigence en satisfait une autre.

Questions

Quelle est la durée de validité d'un certificat ISO 27001 ?

Trois ans, à condition de réussir les audits de surveillance annuels. Un audit de recertification est à réaliser avant l'expiration.

Faut-il mettre en œuvre les 93 mesures de l'annexe A ?

Non. Vous sélectionnez les mesures par le traitement des risques et justifiez chaque inclusion et chaque exclusion dans la déclaration d'applicabilité.

ISO 27001 ou SOC 2 : lequel est préférable ?

Aucun des deux n'est préférable, car les clients demandent des choses différentes. ISO 27001 est un certificat reconnu à l'international ; SOC 2 est un rapport d'attestation de type américain. Voir ISO 27001 vs SOC 2.

Ceci ne constitue pas un conseil juridique ou en conformité. Consultez le texte officiel ainsi que votre auditeur, évaluateur ou régulateur avant de vous y fier.