Une entreprise de 20 à 250 personnes, qui part d’une situation normale, sans gestion structurée de la sécurité et sans personne dont la sécurité est le métier, doit prévoir neuf à douze mois jusqu’à la certification ISO 27001. La plupart des phases peuvent être compressées avec de l’argent et de la concentration. La période de preuves, non : le système de management doit généralement fonctionner pendant trois mois avant l’audit d’étape 2.
Ce guide couvre chaque phase, un plan mois par mois, la période de preuves, les raisons pour lesquelles les audits d’étape 2 glissent, ce qui ralentit un projet, ce qui le raccourcit et ce que la compression laisse de côté.
| Phase | Durée réaliste |
|---|---|
| Périmètre, appréciation des risques, déclaration d’applicabilité | 4 à 8 semaines |
| Combler les écarts qui comptent | 2 à 5 mois |
| Faire fonctionner le système pour accumuler des preuves | 3 mois minimum, 6 sont confortables |
| Audit interne et revue de direction | 2 à 4 semaines |
| Audit d’étape 1 | De quelques jours à deux semaines |
| Intervalle entre l’étape 1 et l’étape 2 | 4 à 6 semaines |
| Audit d’étape 2 | 1 à 2 semaines de temps calendaire |
| Décision de certification et émission du certificat | Jusqu’à 3 mois |
Combien de temps dure ISO 27001, du lancement au certificat ?
Additionnées, les phases paraissent pires que la réalité, car plusieurs d’entre elles se chevauchent. Voici le bon scénario pour un éditeur de logiciels de 40 personnes. Il est hébergé dans le cloud, et le périmètre couvre le produit et les équipes qui le construisent et l’exploitent.
| Mois | Ce qui se passe |
|---|---|
| 1 | Décisions, périmètre, appréciation des risques, déclaration d’applicabilité. Générateurs de preuves activés. Inventaire des fournisseurs lancé. |
| 2 à 4 | Remédiation. Le travail d’ingénierie avance en parallèle de la documentation. Les preuves s’accumulent. |
| 5 | Audit interne, puis revue de direction. Corrigez ce que l’audit interne révèle : c’est tout l’intérêt de le faire. |
| 6 | Audit d’étape 1. |
| 7 ou 8 | Audit d’étape 2, quatre à six semaines après l’étape 1. |
| 8 à 10 | Certificat émis, en tenant compte de la décision de certification. |
Cela suppose une responsabilité réelle et aucune surprise. Dix à douze mois est le chiffre le plus sûr à annoncer à votre conseil d’administration.
Si quelqu’un vous annonce trois mois, soit il délimite un périmètre très étroit, soit il prévoit d’assembler des preuves plutôt que de les produire. L’un des deux est un problème que vous rencontrerez à l’étape 2.
Quelle est la durée minimale avant l’audit d’étape 2 ?
Votre système de management doit avoir fonctionné pendant une durée minimale avant l’étape 2, généralement trois mois. Les auditeurs veulent voir un historique : des revues d’accès datées, des traces de correctifs, des tickets d’incident, une revue de direction qui a réellement eu lieu, des évaluations de fournisseurs classées au fil du temps.
C’est du temps calendaire, pas de l’effort. Vous ne pouvez ni l’acheter, ni le paralléliser, ni le raccourcir en travaillant le week-end. Toutes les autres phases se compressent avec de l’argent et de la concentration. Celle-ci, non.
Donc l’horloge qui compte démarre quand vos preuves démarrent, pas quand votre documentation est terminée. La plupart des projets procèdent dans le mauvais ordre. Ils passent trois mois à peaufiner des politiques et lancent l’horloge des preuves au quatrième mois, ce qui repousse la certification d’un trimestre entier sans aucun gain.
Activez dès la première semaine les tâches récurrentes et ennuyeuses : revues d’accès, traces de correctifs, conservation des journaux, premières évaluations de fournisseurs. Elles peuvent être imparfaites. Elles ne peuvent pas être absentes.
Pourquoi 40 % des audits d’étape 2 sont-ils reportés ?
Environ quatre organisations sur dix qui abordent l’étape 1 sans programme de sécurité géré doivent déplacer leur étape 2. Les preuves ne sont pas là quand l’auditeur arrive.
Le schéma est toujours le même. L’étape 1 est une revue documentaire, et la documentation est justement ce que les consultants savent bien produire : l’étape 1 se passe donc bien. L’étape 2 vérifie si le système documenté a réellement fonctionné. C’est là que s’effondre un projet qui a concentré la paperasse en début de parcours.
Les causes, dans l’ordre où nous les rencontrons :
- L’appréciation des risques ou la déclaration d’applicabilité est incomplète à l’étape 1, si bien que l’auditeur ne peut même pas établir ce qu’il est censé tester.
- Les enregistrements opérationnels manquent pour la fenêtre de trois mois. Les mesures ont été conçues, mais rien n’a enregistré leur fonctionnement.
- Des non-conformités majeures à l’étape 2 doivent être corrigées avant qu’un certificat puisse être émis. Cela ajoute des semaines, et parfois une nouvelle visite.
- Le périmètre a été mal délimité et doit être redéfini, ce qui invalide une partie du travail déjà fait. Lisez périmètre et déclaration d’applicabilité avant de vous engager sur une frontière.
Qu’est-ce qui rallonge un projet ISO 27001 ?
Cinq choses, dans l’ordre.
Une responsabilité qui n’est pas réelle. Le meilleur indicateur d’un projet qui dérive, c’est que la sécurité n’est le vrai travail de personne. Le projet a de l’énergie pendant six semaines, puis le CTO reçoit une échéance produit, et trois mois s’évaporent. Si vous ne pouvez pas nommer la personne et montrer le temps réservé dans son agenda, ajoutez un trimestre à votre estimation.
Des décisions laissées en suspens. Le périmètre, l’appétence au risque, ce que vous ne ferez pas cette année. Chaque semaine où l’une d’elles reste ouverte, c’est une semaine de travail menée autour d’elle, qui devra peut-être être refaite. Elles sont traitées dans les décisions que vous seul pouvez prendre.
La longue traîne des fournisseurs. Inventorier les fournisseurs, les classer, obtenir leurs informations de sécurité et les consigner. La contrainte, c’est le délai de réponse des autres, et c’est pourquoi cela devrait commencer dès la première semaine. Ce n’est jamais le cas.
Le travail d’ingénierie en concurrence avec la feuille de route. Gestion des configurations, séparation des environnements, développement sécurisé. De vraies semaines de vraie ingénierie, et le seul groupe où empiler de la documentation ne sert à rien.
Le planning de l’organisme de certification. Réservez plus tôt que cela ne semble nécessaire. Les créneaux d’audit ne sont pas toujours disponibles quand vous le souhaitez, et l’intervalle entre l’étape 1 et l’étape 2 est de toute façon de quatre à six semaines, par construction.
Comment raccourcir le calendrier ISO 27001 ?
Pas énormément, et méfiez-vous de quiconque prétend le contraire. Trois leviers sont réels :
- Lancez l’horloge des preuves dès la première semaine. Cela peut valoir jusqu’à un trimestre entier, et cela ne coûte rien.
- Délimitez le périmètre de façon délibérée plutôt que large. Un périmètre tracé pour répondre à la vraie question de votre client est plus petit que « toute l’entreprise », et plus petit veut dire plus rapide. Il met aussi moins de mesures en jeu, ce qui réduit les groupes 4 et 5 du travail sur les mesures.
- Connaissez vos écarts avant de commencer. L’essentiel de la variance dans la fourchette de deux à cinq mois de remédiation tient simplement au fait de ne pas savoir ce qui ne fonctionne pas. Un audit indépendant en amont transforme une inconnue en plan, et c’est ce qui distingue un projet d’une dérive.
Si vous menez NIS2 en même temps, faites le travail une seule fois. Le recouvrement est important, comme l’expose normes de certification et ISO 27001 sous NIS2. Pour une première certification sans équipe sécurité, commencez par ISO 27001 sans équipe sécurité, et côté budget, lisez 50 000 € pour ISO 27001, cela en vaut-il la peine ?. Le parcours est présenté sur notre page solution ISO 27001.
Que laisse de côté un calendrier ISO 27001 compressé ?
Toutes les astuces de compression qui circulent fonctionnent. Réduisez fortement le périmètre, achetez un pack de politiques, tenez la période de preuves au minimum, soyez généreux dans la déclaration d’applicabilité, et vous pouvez détenir un certificat valide en six mois. La norme autorise tout cela.
Ce qu’il faut savoir, c’est où le temps a été pris. La compression ne se fait jamais sur la documentation, car c’est ce que l’auditeur lit en premier et elle coûte peu à produire. Elle se fait sur la remédiation. La liste d’écarts qui aurait demandé quatre mois de travail est triée jusqu’aux seuls points qui bloquent l’audit. Le reste part dans une feuille de route qui cesse discrètement d’être relue.
La réponse honnête est donc la suivante : la certification prend six à douze mois. Devenir défendable prend le temps que demande votre liste d’écarts, et le certificat ne vous dit pas lequel des deux vous avez acheté.
Si l’échéance est un contrat client et que le certificat débloque réellement du chiffre d’affaires, compressez. Prenez le certificat, et gardez la moitié non traitée de la liste d’écarts à un endroit où elle est relue chaque trimestre. C’est une décision d’entreprise légitime. L’erreur n’est pas de compresser le calendrier. C’est de le compresser, puis de croire que le certificat signifiait que vous aviez terminé.
Check-list du calendrier ISO 27001
- Prévoyez neuf à douze mois en partant de zéro, et annoncez dix à douze à votre conseil d’administration.
- Nommez la personne responsable du projet et montrez le temps réservé dans son agenda.
- Tranchez d’abord les décisions en suspens : périmètre, appétence au risque, ce que vous ne ferez pas cette année.
- Activez la production de preuves et l’inventaire des fournisseurs dès la première semaine.
- Connaissez vos écarts avant le démarrage du projet, pas à mi-parcours de la remédiation.
- Réservez tôt l’organisme de certification, et prévoyez quatre à six semaines entre l’étape 1 et l’étape 2.
- Si vous compressez pour un contrat, gardez le reste de la liste d’écarts sous revue trimestrielle.
Questions fréquentes
Peut-on obtenir la certification ISO 27001 en trois mois ?
Pas depuis une situation de départ normale. Une entreprise de 20 à 250 personnes qui part de zéro doit prévoir neuf à douze mois. Une offre à trois mois signifie généralement un périmètre très étroit, ou des preuves assemblées plutôt que produites, un problème que vous rencontrerez à l'étape 2.
Combien de temps le SMSI doit-il fonctionner avant l'audit de certification ?
Généralement trois mois avant l'audit d'étape 2, et six sont confortables. Les auditeurs veulent un historique : des revues d'accès datées, des traces de correctifs, des tickets d'incident et une revue de direction qui a réellement eu lieu.
Combien de temps s'écoule entre l'étape 1 et l'étape 2 d'ISO 27001 ?
Quatre à six semaines, par construction. L'étape 2 dure ensuite une à deux semaines de temps calendaire, et la décision de certification et le certificat peuvent prendre jusqu'à trois mois de plus.
Pourquoi les audits ISO 27001 d'étape 2 sont-ils reportés ?
Généralement parce que les preuves ne sont pas là. Environ quatre organisations sur dix qui abordent l'étape 1 sans programme de sécurité géré doivent déplacer leur étape 2, typiquement parce que l'appréciation des risques ou la déclaration d'applicabilité est incomplète, ou parce que des enregistrements opérationnels manquent.
Quel est le moyen le plus rapide d'obtenir la certification ISO 27001 ?
Commencez à enregistrer des preuves dès la première semaine, délimitez le périmètre de façon délibérée plutôt que large, et connaissez vos écarts avant de commencer. Une compression forte peut produire un certificat valide en six mois, mais le temps est pris sur la remédiation, pas sur la documentation.
