ISO/IEC 27001:2022 : comprendre la norme et décider de s'y engager
Un client vous demande si vous êtes certifié ISO 27001. Avant de répondre, il faut savoir ce que cette norme exige réellement, ce que la démarche coûte, et si elle sert votre entreprise.
Cette page répond à ces trois questions. Elle s'adresse autant au dirigeant qui doit arbitrer un budget qu'au responsable qui devra conduire le projet. Aucune connaissance technique préalable n'est nécessaire.
Ce que la norme exige, en une minute
ISO/IEC 27001:2022 est la norme internationale qui définit les exigences d'un système de management de la sécurité de l'information — un SMSI.
Elle ne prescrit aucune solution technique. Elle ne dit pas quel pare-feu acheter ni quel antivirus installer. Elle décrit un système de gestion : identifier vos risques, décider de ce que vous en faites, l'appliquer, en mesurer les effets, corriger.
Deux entreprises certifiées peuvent avoir des architectures de sécurité très différentes. Ce qu'elles ont en commun, c'est d'avoir su démontrer qu'elles pilotent la question.
À qui la certification sert vraiment
Elle sert quand un marché la conditionne. Un donneur d'ordre qui l'exige, un appel d'offres qui l'inscrit en critère, un secteur où elle est devenue la norme de fait.
Elle sert aussi quand le coût des questionnaires de sécurité devient absurde. Une PME qui remplit quinze questionnaires clients par an, chacun différent, économise du temps réel en présentant un certificat à la place.
Elle sert moins quand aucun client ne la demande et qu'aucun marché ne s'ouvre. Dans ce cas, le même budget investi directement dans des mesures de sécurité produit davantage d'effet.
Les trois choses à comprendre avant de décider
1. Ce qu'est un SMSI et sur quoi il repose
Un SMSI articule trois piliers : les personnes, les processus et les technologies. Aucun ne suffit seul. La norme confie par ailleurs la gouvernance à la direction, pas au responsable informatique — ce qui surprend beaucoup d'entreprises au moment de l'audit.
2. Comment le système fonctionne au quotidien
La norme organise le SMSI selon un cycle : planifier, déployer, contrôler, améliorer. Au centre de ce cycle se trouve la gestion des risques. Tout ce que vous mettez en place doit découler d'un risque identifié — la norme n'est pas une liste de bonnes pratiques à cocher.
3. Ce que la certification demande concrètement
Neuf étapes, deux audits externes distincts, un certificat valable trois ans assorti d'audits de surveillance annuels. Pour une PME partant d'un niveau de maturité moyen, comptez neuf à quinze mois.
ISO 27001, CMMC, PCCC : lequel vous concerne ?
Une PME québécoise de la chaîne d'approvisionnement de la défense peut être confrontée aux trois à la fois. Ils ne fonctionnent pas de la même manière.
| ISO/IEC 27001 | CMMC (États-Unis) | PCCC (Canada) | |
|---|---|---|---|
| Nature | Norme internationale, volontaire. Devient contraignante par la voie contractuelle. | Programme du département de la Guerre. Obligatoire lorsqu'inscrit au contrat. | Programme fédéral canadien. Obligatoire lorsqu'inscrit au contrat. |
| Information protégée | Toute information que vous jugez sensible. Vous définissez le périmètre. | Information contrôlée non classifiée confiée par le donneur d'ordre. | Information désignée confiée par le donneur d'ordre. |
| Socle technique | 93 mesures de l'Annexe A, plus les clauses 4 à 10. | 110 exigences du NIST SP 800-171 révision 2. | 98 exigences de l'ITSP.10.171, alignée sur la révision 3. |
| Qui décide | Vous, en fonction de votre marché. | Le donneur d'ordre, par l'évaluation de risque du contrat. | Le ministère de la Défense nationale, contrat par contrat. |
Ce qui a changé avec la version 2022
La version 2022 remplace celle de 2013. La période de transition s'est achevée le 31 octobre 2025 : tous les certificats valides aujourd'hui portent sur la version 2022.
Trois changements comptent pour une entreprise qui découvre la norme.
L'Amendement 1:2024 a ensuite ajouté la prise en compte du changement climatique parmi les enjeux à examiner.
Les mesures de l'Annexe A passent de 114 à 93, et leur structure passe de 14 chapitres à 4 thèmes : organisationnel, humain, physique, technologique.
Onze mesures apparaissent, qui reflètent l'évolution des usages : renseignement sur les menaces, sécurité de l'informatique en nuage, gestion des configurations, prévention de la fuite de données, filtrage web, codage sécurisé.
Une clause nouvelle impose de planifier les changements apportés au système plutôt que de les improviser.
Combien de temps, combien d'argent
La durée des audits suit des règles d'accréditation et dépend de l'effectif couvert. Une PME de 26 à 100 personnes se situe autour de cinq à huit jours d'audit pour le cycle initial.
Ces jours ne représentent qu'une part minoritaire du coût. L'essentiel est ailleurs : le temps interne, l'accompagnement éventuel et les mesures à déployer. Prévoyez un effort interne qui se compte en dizaines de jours-personnes sur l'année de préparation.
Questions fréquentes
- ISO 27001 est-elle obligatoire ?
- Non. Aucune loi ne l'impose. Elle devient contraignante uniquement par la voie contractuelle, lorsqu'un client ou un appel d'offres l'exige.
- Quelle différence entre ISO 27001 et ISO 27002 ?
- ISO 27001 énonce des exigences et se certifie. ISO 27002 est un guide de mise en œuvre détaillé des mesures de sécurité et ne se certifie pas. On se certifie ISO 27001 en s'aidant d'ISO 27002.
- Faut-il certifier toute l'entreprise ?
- Non. Vous définissez un périmètre. Mais attention à ne pas le réduire à l'excès : un certificat couvrant le seul service informatique rassure peu un client qui confie ses données à l'ensemble de l'entreprise.
- Combien de temps le certificat reste-t-il valable ?
- Trois ans, sous réserve d'audits de surveillance généralement annuels. Au terme des trois ans, un audit de recertification reprend l'ensemble du système.
- Une PME de 20 personnes peut-elle être certifiée ?
- Oui. La norme s'adapte à la taille de l'organisation : les exigences sont les mêmes, mais leur mise en œuvre est proportionnée. Des entreprises de moins de dix personnes sont certifiées.
- Un certificat ISO 27001 dispense-t-il du CMMC ou du PCCC ?
- Non. Les trois programmes sont indépendants et aucune réciprocité n'existe entre eux. En revanche, une ISO 27001 bien mise en œuvre répond intégralement à l'objectif d'environ six exigences sur dix du niveau 2 du PCCC. Le travail se réutilise ; le certificat, non.
L’accès est ouvert à toute entreprise immatriculée au Québec
Le diagnostic, dans la conversation avec l'agent IA, permet de comprendre votre situation et de vous orienter vers les ressources qui vous concernent.