Oui, une entreprise sans équipe sécurité peut obtenir la certification ISO 27001. La norme certifie un système de management qui fonctionne, pas une note de sécurité, et s’adapte à votre taille et à votre risque. Ce que vous ne pouvez pas externaliser, c’est un responsable nommé et cinq décisions. En partant d’une situation non structurée, une entreprise de 20 à 250 personnes doit prévoir neuf à douze mois.
Ce guide couvre qui fait quoi, les cinq décisions que vous seul pouvez prendre, ce qu’il faut construire, les 93 mesures, les changements récents, le calendrier, les points où les petites entreprises bloquent et ce que le certificat laisse ouvert.
| Travail | Qui le fait |
|---|---|
| Décider du périmètre, de ce que vous protégez et de ce que vous ne ferez pas | Vous. Les consultants et les plateformes ne peuvent pas trancher ces points. |
| Porter la sécurité | Une personne nommée, qui a l’autorité de dire non et le temps de faire le travail |
| Accepter le risque | Une personne au bon niveau hiérarchique, explicitement et avec une raison |
| Produire les politiques et les autres documents | Des consultants ou des plateformes peuvent le faire, mais le personnel doit attester avoir pris connaissance des politiques |
| Audit interne | Vous, pour vous contrôler avant l’auditeur |
| Revue de direction | La direction, qui examine formellement les résultats |
| Audit de certification | L’auditeur, qui vérifie que le système existe et fonctionne |
Que certifie réellement ISO 27001 ?
Si vous êtes le CTO qui porte aussi la feuille de route, l’infrastructure et la moitié du support, voici ce qu’il faut comprendre avant de dépenser le moindre euro.
ISO 27001 ne certifie pas que votre entreprise est sécurisée. Elle certifie que vous disposez d’un système qui fonctionne pour décider de ce qui doit être protégé, choisir quoi faire, le faire, vérifier que c’est fait et corriger quand ce n’est pas le cas. Un auditeur ne teste pas votre pare-feu. Il vérifie que la machine censée s’occuper de votre pare-feu existe et tourne.
Cela a deux conséquences. La bonne : une petite entreprise peut réussir, car la norme s’adapte à votre taille et à votre risque. La moins confortable : vous pouvez réussir en laissant de vraies faiblesses en place, à condition d’avoir décidé délibérément à leur sujet et d’avoir consigné la décision. La dernière section y revient.
Quelles décisions un consultant ne peut-il pas prendre à votre place ?
Les consultants et les plateformes peuvent produire des documents. Ils ne peuvent pas trancher ces cinq points, et chaque projet qui dérive est un projet où ils sont restés ouverts.
Ce qui entre dans le périmètre. Quelles parties de l’entreprise, quels systèmes, quels sites et quels services le certificat couvre. Cette décision pèse sur le coût plus que toute autre. Elle détermine aussi si le certificat répond à la question que votre client pose réellement.
Ce que vous protégez, et contre qui. Pas une liste générique de menaces. Ce qui ferait vraiment mal à cette entreprise : une fuite de votre code source, une interruption de production de quatre jours, une violation de données clients, une fraude au paiement, le départ d’une personne clé avec l’unique copie de quelque chose.
Qui porte la sécurité. Une personne nommée, qui a l’autorité de dire non et le temps de faire le travail. La norme exige l’engagement de la direction, et c’est l’exigence que les entreprises simulent le plus souvent.
Le risque que vous acceptez. Toute organisation accepte des risques. ISO 27001 demande seulement que vous le fassiez explicitement, au bon niveau hiérarchique, avec une raison.
Ce que vous ne ferez pas. La moitié ingrate. Si vous ne mettez pas en place de cycle de développement sécurisé formel cette année, dites-le et expliquez pourquoi, plutôt que d’écrire une politique qui décrit une entreprise que vous n’êtes pas.
Si vous voulez une version structurée de ces cinq points avant d’engager un budget, c’est l’objet d’un audit de sécurité vCISO indépendant (le vCISO est un RSSI externalisé). Il produit les décisions, les écarts classés par priorité et la feuille de route, et il est utile que vous vous certifiiez un jour ou non.
Quels documents et enregistrements exige la norme ISO 27001 ?
Une fois le jargon retiré, la norme exige une liste assez courte d’éléments qui doivent exister et rester vivants :
- Un périmètre défini. Un ou deux paragraphes, plus une frontière que vous pouvez défendre.
- Une méthode d’appréciation des risques et un registre des risques. Une façon reproductible d’identifier, de coter et de traiter les risques, et la trace de l’avoir fait. Pas un tableur rempli une fois en mars.
- Une déclaration d’applicabilité (DdA, Statement of Applicability). Chaque mesure de l’annexe A, marquée applicable ou non, avec une justification. C’est le document que les auditeurs lisent en premier, d’où notre article sur le périmètre et la déclaration d’applicabilité sans jargon.
- Des politiques que les collaborateurs ont réellement acceptées. Rédigées, approuvées, versionnées, et le personnel atteste en avoir pris connaissance. Une politique que personne n’a lue est un constat d’audit annoncé.
- Des preuves que les mesures fonctionnent. Des revues d’accès datées, des tests de restauration de sauvegarde avec leurs résultats, des enregistrements d’arrivées et de départs, des traces de correctifs, des revues de fournisseurs.
- Audit interne et revue de direction. Vous vous contrôlez avant l’auditeur, et la direction examine formellement les résultats.
- Actions correctives. Quand quelque chose échoue, il existe une trace de ce que vous avez fait.
L’essentiel relève de la tenue d’enregistrements plutôt que de la technologie. C’est la forme honnête du travail.
Combien de mesures compte ISO 27001, et s’appliquent-elles toutes ?
L’édition 2022 liste 93 mesures à l’annexe A, regroupées en quatre thèmes : organisationnelles, liées aux personnes, physiques et technologiques. L’édition 2013 en comptait 114 : la norme s’est donc raccourcie, et non allongée, surtout en fusionnant des éléments qui se recoupaient.
Deux éléments rendent ce chiffre moins inquiétant :
- Une part significative ne s’appliquera pas à vous, et le dire par écrit est une réponse légitime.
- Beaucoup correspondent à ce que vous faites déjà de façon informelle. Vous intégrez déjà des collaborateurs, vous faites déjà des sauvegardes et vous limitez déjà qui peut accéder à la production. Le travail consiste généralement à formaliser et à prouver l’existant, pas à partir de zéro.
Onze mesures étaient nouvelles en 2022. Elles prennent les petites entreprises au dépourvu, car elles n’ont jamais fait partie des anciens réflexes : renseignement sur les menaces, sécurité de l’information pour les services cloud, préparation des TIC pour la continuité d’activité, surveillance de la sécurité physique, gestion des configurations, suppression des informations, masquage des données, prévention des fuites de données, activités de surveillance, filtrage web et codage sécurisé. Si vous êtes un éditeur de logiciels, c’est sur la gestion des configurations, le codage sécurisé et la surveillance que portera l’effort réel.
Qu’est-ce qui a changé récemment dans ISO 27001 ?
Quatre points comptent en pratique.
L’édition 2013 n’existe plus. La période de transition s’est close le 31 octobre 2025. Tous les audits se font désormais sur la base des mesures de 2022, donc tout modèle, pack de politiques ou livrable de consultant qui fait référence à l’ancienne numérotation est périmé. Vérifiez-le avant de payer quoi que ce soit.
Le climat figure désormais dans les articles sur le contexte. L’amendement 1 de la norme a ajouté des considérations climatiques aux articles qui portent sur votre contexte et vos parties intéressées. Vous devez examiner si les conditions environnementales sont pertinentes pour votre sécurité de l’information, et consigner la conclusion dans un sens comme dans l’autre. Pour la plupart des éditeurs de logiciels, la réponse honnête tient en un court paragraphe sur la résilience physique des installations dont vous dépendez. C’est une exigence documentaire, pas une transformation verte.
Les changements doivent être planifiés. L’article 6.3 impose de planifier les changements du système de management plutôt que de le laisser dériver. C’est l’article qui empêche votre SMSI d’être exact au premier mois et fictif au quatorzième.
Les auditeurs veulent des enregistrements, pas des instantanés. L’accent est passé de l’existence d’une politique à la preuve qu’une mesure a réellement fonctionné. Les preuves attendues couvrent généralement plusieurs mois d’enregistrements opérationnels, pas un instantané assemblé la semaine précédant l’audit. Prévoyez-le dès le départ, car reconstituer six mois de preuves après coup est impossible.
Combien de temps prend ISO 27001 sans équipe sécurité ?
Pour une entreprise de 20 à 250 personnes sans équipe sécurité, qui avance régulièrement plutôt qu’héroïquement :
| Phase | Durée |
|---|---|
| Définition du périmètre, appréciation des risques et déclaration d’applicabilité | 4 à 8 semaines |
| Combler les écarts qui comptent | 2 à 5 mois |
| Faire fonctionner le système assez longtemps pour disposer de preuves | 3 mois minimum, 6 sont plus confortables |
| Audit interne et revue de direction | 2 à 4 semaines |
| Audits d’étape 1 et d’étape 2 | À quelques semaines d’intervalle, plus le temps de traiter les constats |
Combler les écarts est la phase qui varie le plus, car elle dépend de la quantité de travail réel que l’évaluation fait apparaître. Neuf à douze mois est un délai réaliste pour une première certification quand l’entreprise part d’une situation normale, non structurée. Quiconque promet trois mois vous vend soit un périmètre très étroit, soit un assemblage de preuves plutôt que leur production. Sur ce que cela coûte et où va réellement l’argent, voir si ISO 27001 vaut 50 000 €.
Où les petites entreprises bloquent-elles avec ISO 27001 ?
Quatre schémas, dans l’ordre où nous les rencontrons.
Le périmètre a été tracé pour faciliter l’audit, pas pour répondre au client. Le certificat arrive, le client lit l’énoncé du périmètre et demande pourquoi son service n’y figure pas. Vous voilà à faire le travail deux fois.
Personne ne le porte après le lancement. Le projet a de l’énergie pendant six semaines, puis le CTO reçoit une échéance produit. Le signe le plus sûr d’un projet qui s’enlise est que la sécurité n’a jamais été, concrètement, le travail de quelqu’un.
La preuve n’est jamais devenue une habitude. Les mesures ont été conçues, mais rien n’enregistre leur fonctionnement, et le mois précédant l’audit tourne à la fouille archéologique.
Les fournisseurs ont été laissés pour la fin. Votre liste de fournisseurs est plus longue que vous ne le pensez, et la norme attend que vous ayez évalué et surveillé ceux qui comptent. Le même problème se pose sous d’autres régimes, comme l’explique notre article sur la sécurité de la chaîne d’approvisionnement et le risque fournisseur.
Si NIS2 arrive en même temps, faites le travail une seule fois. Le recouvrement est large, comme le montre normes de certification et ISO 27001 sous NIS2. Ce que la réglementation demande plus largement aux petites entreprises est traité dans NIS2 pour les PME. L’ensemble du parcours ISO 27001 est décrit sur notre page solution ISO 27001.
Que ne couvre pas un certificat ISO 27001 ?
ISO 27001 vérifie que vos mesures ont été choisies délibérément et fonctionnent comme décrit. Elle ne vérifie pas qu’elles suffisent face à un attaquant compétent. Ce sont deux tests différents, et c’est dans l’écart entre les deux que surviennent les compromissions d’entreprises certifiées.
Une entreprise peut détenir un certificat valide alors que :
- l’authentification multifacteur est activée, mais pas imposée sur l’ancien chemin d’accès que tout le monde utilise réellement,
- les sauvegardes tournent et sont testées en confirmant que la tâche a réussi, jamais en restaurant un système de bout en bout sous contrainte de temps,
- les journaux sont collectés mais personne ne les regarde, parce que la mesure disait collecter, pas détecter,
- une dépendance présentant une vulnérabilité critique connue reste en production parce que la fenêtre de correctifs a été documentée comme trimestrielle et que c’était la décision acceptée,
- une check-list de départ est signée alors que les jetons et les identifiants partagés de la personne restent valides.
Chacun de ces cas passe un audit. Chacun de ces cas est exploitable.
Les corriger relève d’un autre type de travail : imposer plutôt qu’activer, restaurer plutôt que vérifier le statut de la tâche, déclencher des alertes sur les journaux plutôt que les stocker, et raccourcir la fenêtre de correctifs pour ce qui est réellement exposé. Ce n’est pas plus de paperasse. C’est la moitié opérationnelle que le certificat ne demande pas et qu’un attaquant ne saute pas.
Traitez donc la certification comme l’échéance qui fait approuver le budget, et la liste des écarts qui se trouve en dessous comme ce que vous achetez réellement. Obtenez le certificat. Puis continuez, car le certificat est le plancher, pas le plafond.
Check-list ISO 27001 pour une entreprise sans équipe sécurité
- Nommez un responsable, qui a l’autorité de dire non et le temps de faire le travail.
- Tracez le périmètre autour de la question que pose votre client, pas autour d’un audit facile.
- Consignez ce que vous protégez, le risque que vous acceptez et ce que vous ne ferez pas cette année.
- Vérifiez que tout modèle ou pack de politiques utilise les mesures de 2022, pas la numérotation de 2013.
- Enregistrez des preuves dès le départ : revues d’accès, tests de restauration, enregistrements d’arrivées et de départs, traces de correctifs.
- Évaluez tôt les fournisseurs qui comptent, pas à la fin.
- Continuez à traiter la liste des écarts après l’obtention du certificat.
Questions fréquentes
Une petite entreprise peut-elle obtenir ISO 27001 sans équipe sécurité ?
Oui. ISO 27001 certifie que vous disposez d'un système de management qui fonctionne, pas que l'entreprise est sécurisée, et la norme s'adapte à votre taille et à votre risque. Ce que vous ne pouvez pas éviter, c'est un responsable nommé, qui a l'autorité de dire non et le temps de faire le travail.
Qui doit porter ISO 27001 dans une petite entreprise ?
Une personne nommée, qui a l'autorité de dire non et le temps de faire le travail. La norme exige l'engagement de la direction, et le signe le plus sûr d'un projet qui s'enlise est que la sécurité n'a jamais été, concrètement, le travail de quelqu'un.
Peut-on confier ISO 27001 à un consultant ?
En partie seulement. Les consultants et les plateformes peuvent produire les documents, mais ils ne peuvent pas décider de votre périmètre, de ce que vous protégez, de qui porte la sécurité, du risque que vous acceptez ni de ce que vous ne ferez pas. Les projets dérivent quand ces points restent ouverts.
Combien de temps prend ISO 27001 pour une petite entreprise ?
Neuf à douze mois est un délai réaliste pour une première certification, dans une entreprise de 20 à 250 personnes qui part d'une situation normale, non structurée. Le système doit fonctionner au moins trois mois pour produire des preuves, et six mois sont plus confortables.
Combien de mesures compte ISO 27001:2022 ?
93, listées à l'annexe A et regroupées en quatre thèmes : organisationnelles, liées aux personnes, physiques et technologiques. L'édition 2013 en comptait 114. Une part significative ne s'appliquera pas à une petite entreprise, et le dire par écrit est une réponse légitime.
