Certification ISO 27001 : étapes, durée et coûts
Pour une PME partant d'un niveau de maturité moyen, la certification ISO 27001 demande neuf à quinze mois et se déroule en neuf étapes. Le certificat est ensuite valable trois ans, sous réserve d'audits de surveillance annuels.
Cette page décrit le parcours complet, de la décision initiale au maintien du certificat.
Les préalables
Quatre conditions doivent être réunies avant d'engager la démarche.
Un engagement explicite de la direction, assorti d'un budget et d'un arbitrage sur le temps que les équipes pourront y consacrer.
Un périmètre pressenti, même provisoire.
Un responsable désigné, disposant d'un accès direct à la direction.
Une compréhension partagée de l'objectif commercial : accéder à un marché, répondre à l'exigence d'un client, réduire la charge des questionnaires de sécurité.
Choisir son organisme de certification
Seul un organisme accrédité peut délivrer un certificat reconnu. L'accréditation est prononcée par un organisme national d'accréditation. Un certificat délivré par un organisme non accrédité n'a pas de valeur sur le marché.
Point important : l'organisme qui certifie ne peut pas avoir conseillé votre entreprise sur la mise en place de son SMSI. Cette séparation est une règle d'indépendance stricte.
Les neuf étapes
| Nº | Étape | Durée | Contenu |
|---|---|---|---|
| 1 | Cadrage et décision | 1 à 2 mois | Décision de la direction, périmètre pressenti, budget, désignation d'un responsable. Choix d'un organisme accrédité. |
| 2 | Analyse d'écart | 2 à 4 semaines | Comparaison de l'existant aux exigences et aux 93 mesures. Produit la feuille de route et le chiffrage réaliste. |
| 3 | Conception du SMSI | 1 à 3 mois | Périmètre définitif, politique, méthodologie de risque, rôles. Appréciation des risques et Déclaration d'applicabilité. |
| 4 | Mise en œuvre | 3 à 9 mois | Déploiement des mesures, sensibilisation, mise en service des processus de gestion des incidents, des accès et des fournisseurs. |
| 5 | Période de preuve | 3 mois minimum | Le système doit fonctionner assez longtemps pour produire des enregistrements : journaux, revues d'accès, incidents traités, indicateurs. |
| 6 | Audit interne et revue de direction | 3 à 6 semaines | Exigés par la norme. Leur absence bloque l'audit de certification — c'est la cause d'échec la plus courante. |
| 7 | Audit externe, étape 1 | 1 à 2 jours | Revue documentaire et évaluation de la maturité. Conclut par un rapport et une date d'étape 2. |
| 8 | Audit externe, étape 2 | 2 à 10 jours | Audit d'efficacité. Entretiens, observation, échantillonnage des enregistrements. |
| 9 | Décision de certification | 4 à 8 semaines | Revue indépendante du dossier au sein de l'organisme, puis délivrance du certificat. |
Le rôle des auditeurs externes
L'audit de certification se déroule en deux étapes distinctes, et cette séparation a une raison d'être.
L'étape 1 évalue votre préparation
L'auditeur examine votre documentation — périmètre, politique, méthodologie de risque, Déclaration d'applicabilité, rapports d'audit interne et de revue de direction — et apprécie si vous êtes prêt. Il peut conclure au report de l'étape 2. C'est une protection pour vous autant que pour l'organisme.
L'étape 2 évalue votre efficacité
L'auditeur conduit des entretiens à tous les niveaux, observe des activités et échantillonne des enregistrements pour vérifier que les mesures produisent leurs effets. Il ne vérifie pas tout : il prélève, et la cohérence de l'échantillon fonde son jugement.
Les deux types de constats
Une non-conformité mineure est un écart isolé qui n'empêche pas la certification. Vous proposez un plan d'action, généralement dans les trente jours, et vous le mettez en œuvre sous surveillance.
Une non-conformité majeure — absence d'un processus exigé, défaillance systémique — bloque la certification jusqu'à résolution vérifiée, ce qui implique le plus souvent un audit complémentaire.
La décision de certification n'appartient pas à l'auditeur. Elle est prise par une instance indépendante au sein de l'organisme, sur la base du dossier d'audit.
Combien ça coûte
La durée des audits n'est pas librement fixée par l'organisme. Elle suit des règles d'accréditation qui la dérivent de l'effectif couvert par le périmètre, ajustée selon la complexité, le nombre de sites et le secteur.
| Effectif au périmètre | Durée (étapes 1 + 2) | Commentaire |
|---|---|---|
| 1 à 25 | 3 à 5 jours | Très petite structure. L'audit reste souvent réalisable en grande partie à distance. |
| 26 à 100 | 5 à 8 jours | Cas typique d'une PME de services ou d'un éditeur logiciel. |
| 101 à 300 | 8 à 11 jours | Multi-sites possible, avec échantillonnage des implantations. |
| 301 à 1000 | 11 à 15 jours | Audit d'équipe, plusieurs auditeurs, planification sur plusieurs semaines. |
Ces jours d'audit ne représentent qu'une fraction du coût total, souvent minoritaire. L'essentiel de la dépense réside dans le temps interne, l'éventuel accompagnement et les mesures techniques à déployer. Une PME qui découvre la norme doit prévoir un effort interne qui se compte en dizaines de jours-personnes sur l'année de préparation.
Si vous visez aussi le CMMC ou le PCCC
Beaucoup de PME québécoises du secteur de la défense doivent traiter deux ou trois référentiels. L'ordre dans lequel vous les abordez change le coût total.
Commencer par l'ISO réduit la facture des autres
Une ISO 27001 correctement mise en œuvre répond intégralement à l'objectif d'environ six exigences sur dix du niveau 2 du Programme canadien de certification en cybersécurité. Le recouvrement avec le CMMC niveau 2 est du même ordre.
Concrètement, le périmètre, l'inventaire des actifs, la gestion des accès, la gestion des incidents, l'appréciation des risques et la discipline documentaire se réutilisent tels quels. Ce qui reste à construire se concentre sur trois zones : la journalisation détaillée, l'encadrement des services externes et la gestion des risques de la chaîne d'approvisionnement.
Mais aucun certificat n'en remplace un autre
Chaque programme impose sa propre évaluation, avec ses propres évaluateurs et ses propres preuves. Une décision américaine de novembre 2025 exclut par ailleurs toute réciprocité avec un programme de certification étranger : le CMMC ne reconnaît pas le programme canadien, et l'inverse n'est pas vrai non plus.
Le calendrier compte également. Le CMMC a suspendu la phase II de son déploiement en juillet 2026, tandis que le niveau 2 canadien est annoncé pour le printemps 2027, à titre provisoire. Une entreprise qui bâtit son socle pendant cette période d'incertitude se trouve mieux placée que celle qui attend la clarté.
Maintenir la certification
Le certificat est valable trois ans, mais il n'est pas acquis pour cette durée.
Des audits de surveillance interviennent généralement chaque année, le premier dans les douze mois suivant le dernier jour de l'étape 2. Ils sont plus courts — de l'ordre du tiers de la charge initiale — et portent sur un échantillon d'exigences, toujours accompagné de quelques points obligatoires : audit interne, revue de direction, traitement des non-conformités, évolution du périmètre.
À l'échéance des trois ans, l'audit de recertification reprend l'ensemble du système, avec une attention particulière à la performance sur l'ensemble du cycle.
Entre deux audits, vous devez signaler à votre organisme tout changement significatif : modification du périmètre, fusion, changement de direction, incident majeur. Dissimuler un tel changement expose à la suspension du certificat.
Les documents que la norme exige
Le socle documentaire est limité mais strict. Quinze informations documentées sont obligatoires ; tout le reste relève de votre choix.
| Document | Contenu attendu |
|---|---|
| Périmètre du SMSI | Ce qui est couvert et ce qui ne l'est pas, avec les justifications d'exclusion. |
| Politique de sécurité de l'information | Approuvée par la direction, communiquée, disponible aux parties intéressées. |
| Processus d'appréciation des risques | Critères d'acceptation et de réalisation, pour des résultats cohérents et reproductibles. |
| Processus de traitement des risques | Méthode de sélection des options et des mesures. |
| Déclaration d'applicabilité | Les 93 mesures, leur statut, leur justification, leur état de mise en œuvre. |
| Objectifs de sécurité | Mesurables, avec responsables, ressources et échéances. |
| Preuves de compétence | Formations, habilitations, expérience des personnes affectées à des rôles de sécurité. |
| Procédures jugées nécessaires | Ce que vous estimez devoir écrire pour maîtriser vos processus. |
| Preuves de maîtrise opérationnelle | Démonstration que les processus se déroulent comme planifié. |
| Résultats des appréciations du risque | Registre des risques daté, à chaque itération. |
| Résultats du traitement des risques | Plan de traitement suivi, acceptations signées par les propriétaires du risque. |
| Résultats de surveillance et de mesure | Indicateurs, méthode de mesure, analyse. |
| Programme et résultats d'audit interne | Planification pluriannuelle, rapports, constats. |
| Résultats de la revue de direction | Compte rendu couvrant les entrées obligatoires et les décisions prises. |
| Non-conformités et actions correctives | Nature des écarts, actions engagées, résultats obtenus. |
Les cinq erreurs qui coûtent le plus cher
Acheter un jeu de modèles documentaires et les adapter superficiellement. L'auditeur détecte immédiatement une politique qui ne correspond à aucune réalité, et l'écart entre le document et la pratique constitue en lui-même une non-conformité.
Traiter la démarche comme un projet informatique. Le SMSI engage les ressources humaines, les achats, le juridique et la direction. Un projet porté par la seule équipe technique échoue sur les mesures organisationnelles et humaines, qui représentent près de la moitié de l'Annexe A.
Repousser l'audit interne et la revue de direction en fin de parcours. Ce sont des exigences à part entière, et leur absence est le motif de report d'étape 2 le plus fréquent.
Choisir un périmètre trop étroit pour réduire l'effort. Le certificat obtenu ne répond alors pas à la question que posent vos clients, et la démarche manque son objectif commercial.
Laisser mourir le système après l'obtention du certificat. Le premier audit de surveillance révèle un registre des risques non révisé, des indicateurs abandonnés et aucune action corrective. C'est un scénario courant, et il coûte plus cher à rattraper qu'à prévenir.
Questions fréquentes
- Combien de temps faut-il pour obtenir la certification ISO 27001 ?
- Neuf à quinze mois pour une PME partant d'un niveau de maturité moyen. Le facteur limitant est la période de preuve : le système doit avoir fonctionné au moins trois mois, avec un audit interne et une revue de direction réalisés, avant l'audit de certification.
- Peut-on échouer à l'audit de certification ?
- Oui, en cas de non-conformité majeure. Le certificat est alors bloqué jusqu'à résolution vérifiée, ce qui implique généralement un audit complémentaire. L'étape 1 sert précisément à réduire ce risque.
- Le consultant qui nous accompagne peut-il nous auditer ?
- Non. L'organisme qui certifie ne peut pas avoir conseillé votre entreprise sur la mise en place de son SMSI. Cette séparation est une règle d'indépendance stricte.
- Que se passe-t-il si nous manquons un audit de surveillance ?
- Le certificat peut être suspendu, puis retiré. Les audits de surveillance ne sont pas optionnels : ils conditionnent la validité du certificat sur les trois ans.
- Faut-il refaire tout le travail à la recertification ?
- Non. L'audit de recertification reprend l'ensemble du système, mais il est moins lourd que l'audit initial. Il examine surtout la performance du SMSI sur l'ensemble du cycle écoulé et votre capacité d'amélioration démontrée.
- Faut-il faire l'ISO 27001 avant le CMMC ou le PCCC ?
- Si un contrat de défense vous impose déjà une échéance, traitez-le en premier : l'obligation contractuelle prime. Dans tous les autres cas, commencer par l'ISO 27001 est plus économique, parce que la gouvernance qu'elle installe sert ensuite aux deux autres programmes. L'inverse fonctionne moins bien : le CMMC et le PCCC ne construisent pas de système de management.
L’accès est ouvert à toute entreprise immatriculée au Québec
Le diagnostic, dans la conversation avec l'agent IA, permet de comprendre votre situation et de vous orienter vers les ressources qui vous concernent.