Certification ISO 27001 en PME et ETI : étapes, périmètre et durée

La certification ISO 27001 prouve qu'une entreprise gère la sécurité de ses informations avec méthode : elle identifie les risques, choisit les mesures pour les traiter et vérifie qu'elles fonctionnent. Un organisme accrédité l'évalue au cours d'un audit en deux étapes, puis délivre un certificat valable trois ans, contrôlé par des audits de surveillance au moins une fois par an.

Pour une PME ou une ETI, le chemin tient en cinq temps : choisir le périmètre, construire le système de management, le faire fonctionner, passer l'audit, puis le maintenir. IT Systèmes a été certifiée par AFNOR Certification en septembre 2026 : voici les étapes, ce qui décide de la durée et les pièges du périmètre.

La certification ISO 27001 en bref

• La norme : ISO/IEC 27001 fixe les exigences d'un système de management de la sécurité de l'information (SMSI), c'est-à-dire l'organisation qui protège les informations de l'entreprise et s'améliore dans la durée. La version en vigueur date de 2022.
• Le certificat : il est délivré par un organisme de certification accrédité (en France, par le COFRAC), jamais par un consultant ni par l'entreprise elle-même.
• La durée : le certificat vaut trois ans, avec des audits de surveillance au moins une fois par année civile, puis un audit de renouvellement.
• Le périmètre : le certificat ne couvre que les activités, les sites et les systèmes évalués. Il ne garantit pas l'absence d'incident.
• Le caractère volontaire : aucune loi n'impose la certification à une PME, mais certains acheteurs publics et grands comptes l'exigent dans leurs appels d'offres.

Étape 1 : choisir le périmètre

Le périmètre est la première décision, et la plus lourde de conséquences. Il dit ce que l'audit va examiner : quelles activités, quels sites, quels systèmes et quelles données. Tout ce qui est dedans devra être documenté, piloté et prouvé ; tout ce qui est dehors ne pourra pas être présenté comme certifié.

Trois questions aident à le fixer :

• Qui me demande la certification ? Si ce sont les clients d'une activité précise, c'est cette activité qu'il faut couvrir en priorité.
• Quelles informations dois-je protéger ? Les données des clients, les accès à leurs systèmes, les données de santé ou financières pèsent plus que le reste.
• Où sont les frontières ? Une activité exclue qui partage le même réseau, les mêmes comptes ou les mêmes prestataires crée des interfaces qu'il faudra décrire et sécuriser.

Un périmètre trop large allonge la préparation ; un périmètre trop étroit déçoit les clients qui lisent le certificat. Notre propre certificat en donne un exemple : il couvre nos activités de conseil, de réalisation de projets, de sécurité et d'infogérance, sur notre site de Malakoff. Le développement de logiciels sur mesure et les agents IA n'en font pas partie, et nous ne les présentons jamais comme certifiés.

Étapes 2 à 4 : construire et faire fonctionner le système

Faire l'état des lieux

L'analyse des écarts compare ce qui existe déjà (politiques, contrôles d'accès, sauvegardes, gestion des incidents) aux exigences de la norme. Elle donne la liste du travail à faire et évite de réécrire ce qui fonctionne.

Analyser les risques et choisir les mesures

Le cœur de la norme est l'analyse des risques : quelles menaces pèsent sur les informations du périmètre, avec quelle probabilité et quel impact. La norme s'appuie sur la méthode ISO/IEC 27005. Les mesures retenues sont ensuite comparées à l'annexe A de la norme, qui couvre les domaines organisationnels, physiques et technologiques, pour ne rien oublier.

La déclaration d'applicabilité liste chaque mesure de l'annexe A, dit si elle est appliquée ou non, et pourquoi. Une exclusion doit pouvoir se défendre au regard du périmètre et des risques : confier l'hébergement à un prestataire ne supprime pas la question de la sécurité physique, elle la déplace vers lui.

Faire tourner le système et garder les preuves

L'auditeur ne se contente pas de documents : il demande des preuves que le système fonctionne. Revues des droits d'accès, tests de restauration des sauvegardes, traitement des incidents, sensibilisation des salariés : chaque mesure doit laisser une trace datée. Avant l'audit, l'entreprise réalise son propre audit interne et une revue de direction, où la direction examine les résultats et décide des actions.

L'audit de certification, en deux étapes

L'audit initial se déroule toujours en deux étapes, menées par l'organisme de certification.

• Étape 1, la revue documentaire : l'auditeur vérifie que le périmètre, la politique de sécurité, l'analyse des risques, la déclaration d'applicabilité, l'audit interne et la revue de direction existent et tiennent debout. Il juge si l'entreprise est prête pour la suite.
• Étape 2, l'examen sur le terrain : l'auditeur rencontre les équipes, observe les pratiques et contrôle des échantillons de preuves pour vérifier que les mesures sont appliquées et efficaces.

Les écarts constatés deviennent des non-conformités. Pour chacune, l'entreprise analyse la cause et présente un plan d'action, dans un délai fixé par l'organisme (six semaines après l'audit chez TÜV NORD, par exemple). Tant qu'elles ne sont pas résolues, aucun certificat n'est délivré. La décision de certification est prise ensuite par l'organisme, pas par l'auditeur seul.

Après la certification : surveillance et renouvellement

Le certificat n'est pas un trophée qu'on accroche au mur. Pendant ses trois ans de validité, l'organisme revient au moins une fois par année civile, et la première fois au plus tard douze mois après la décision de certification. Ces audits de surveillance portent sur une partie des mesures, sur les changements et sur le traitement des écarts précédents. Avant l'expiration, un audit de renouvellement ouvre un nouveau cycle de trois ans.

Si le système cesse de fonctionner, la certification est perdue. Il faut donc prévoir dès le départ qui fait vivre le système au quotidien : le suivi des risques, les revues d'accès, l'audit interne annuel et la revue de direction.

Combien de temps prévoir ?

Il n'existe pas de durée type, et il faut se méfier des promesses chiffrées. Le délai dépend de quatre facteurs :

• la taille du périmètre : un site et une activité se préparent plus vite que plusieurs sites et plusieurs métiers ;
• le point de départ : une entreprise qui a déjà des politiques écrites, des sauvegardes testées et un suivi des incidents part avec une longueur d'avance ;
• le temps de fonctionnement : l'auditeur veut voir le système tourner, avec un audit interne et une revue de direction réalisés avant l'audit ;
• la disponibilité de l'organisme : les dates d'audit se réservent à l'avance.

Le bon réflexe consiste à partir de la date à laquelle la certification est attendue (un appel d'offres, une demande d'un grand compte) et à remonter le calendrier, en commençant par l'état des lieux.

Notre propre certification

IT Systèmes est certifiée ISO/IEC 27001 par AFNOR Certification pour ses activités de conseil, de réalisation de projets, de sécurité et d'infogérance, sur son site de Malakoff (certificat n° 2026/119451.1, valable du 21/09/2026 au 20/09/2029). Le certificat électronique, consultable sur le site d'AFNOR, fait foi.

Nous avons donc vécu les étapes décrites ici : le choix du périmètre, la construction du système, l'audit en deux étapes et la préparation des audits de surveillance. Le détail de ce que couvre notre certificat et de ce qu'il change pour nos clients se trouve dans notre article IT Systèmes certifié ISO 27001.

Getting support

Une PME peut mener la démarche seule, mais elle gagne du temps avec un regard extérieur sur le périmètre, l'analyse des risques et la préparation de l'audit. Notre offre gouvernance, risques et conformité du SI vous accompagne de l'audit préparatoire à l'audit final. Pour faire le point sur votre sécurité avant de vous lancer, voir notre audit de sécurité informatique. Si vous êtes aussi concerné par la directive européenne, lisez notre guide NIS2 : mon entreprise est-elle concernée ?

Frequently asked questions

La certification ISO 27001 est-elle obligatoire ?

Non. C'est une démarche volontaire. Elle devient en revanche une condition dans certains appels d'offres et chez les clients qui exigent des preuves de sécurité de leurs prestataires.

Combien de temps dure un certificat ISO 27001 ?

Trois ans, avec des audits de surveillance au moins une fois par année civile, puis un audit de renouvellement avant l'expiration.

Qui délivre la certification ISO 27001 ?

Un organisme de certification accrédité, par exemple AFNOR Certification en France. Un consultant peut accompagner la préparation, mais il ne délivre pas le certificat.

Peut-on certifier seulement une partie de l'entreprise ?

Oui. Le certificat porte sur un périmètre choisi (activités, sites, systèmes). Ce qui est hors périmètre ne doit pas être présenté comme certifié.

IT Systèmes est-elle certifiée ISO 27001 ?

Oui, par AFNOR Certification, pour ses activités de conseil, de réalisation de projets, de sécurité et d'infogérance, sur son site de Malakoff (certificat n° 2026/119451.1, valable du 21/09/2026 au 20/09/2029).

Sources

• ANSSI, L'homologation de sécurité et la norme ISO/IEC 27001, fiche méthode, mai 2025, consulté le 12/11/2026.
• TÜV NORD, Description du processus de certification, révision de janvier 2026, consulté le 12/11/2026.
• AFNOR Certification, Cybersécurité, la vigilance est de mise, consulté le 12/11/2026.
• Legiscope, Certification ISO 27001 en France, consulté le 12/11/2026.