Certification ISO 27001 : les étapes et la durée

Le certificat atteste qu'un système de management est conforme aux exigences d'ISO/IEC 27001 sur un périmètre donné : une activité, un site, un service, ou toute l'organisation. Il ne certifie pas qu'aucun incident n'arrivera, ni qu'un produit est sûr. Lisez toujours le périmètre inscrit sur le certificat d'un fournisseur : il peut ne couvrir qu'une partie de ses activités.

L'ISO rappelle qu'une certification délivrée par un organisme accrédité apporte une assurance supplémentaire, parce qu'un organisme d'accréditation a vérifié de façon indépendante la compétence du certificateur. Elle recommande aussi d'indiquer la version exacte de la norme, par exemple « certifié ISO/IEC 27001:2022 ».

En France, le Comité français d'accréditation (Cofrac) est l'unique instance d'accréditation. Il évalue la compétence et l'impartialité des organismes de certification. Pour ISO 27001, son document d'exigences spécifiques (CERT CEPE REF 35) s'appuie sur deux normes :

• ISO/IEC 17021-1, qui fixe les exigences générales applicables aux organismes qui auditent et certifient des systèmes de management ;
• ISO/IEC 27006-1:2024, qui les complète pour les SMSI, afin que les certifications soient délivrées de façon compétente, cohérente et impartiale. Elle encadre notamment le calcul de la durée des audits.

Avant de signer, vérifiez dans l'annuaire du Cofrac que l'organisme est bien accrédité pour ISO 27001 (ou, pour un organisme étranger, auprès de l'organisme d'accréditation de son pays). Le Cofrac prévoit qu'en cas de retrait d'accréditation ou de cessation d'activité, l'organisme informe ses clients pour qu'ils transfèrent leur certification ailleurs.

Le parcours décrit par les organismes, par exemple AFNOR Certification, suit le même enchaînement :

Entre l'étape 2 et la décision, les écarts relevés doivent être traités. Le chapitre audit ISO 27001 explique comment sont classés les constats et ce qu'on attend en réponse.

Il faut distinguer trois durées :

• La validité du certificat : trois ans, à condition de réussir les audits de surveillance annuels.
• La durée des audits : elle se compte en jours d'auditeur, calculés par l'organisme selon des règles fixées par ISO/IEC 27006-1, qui tiennent compte notamment de l'effectif du périmètre, du nombre de sites et de la complexité. Elle figure dans le devis.
• La durée de préparation : aucun texte officiel ne la fixe. Elle dépend du périmètre, du niveau de sécurité de départ et des moyens. Un point est sûr : le SMSI doit avoir fonctionné suffisamment pour produire les preuves attendues à l'étape 2, dont au moins un audit interne et une revue de direction.

Une fois certifié, le SMSI reste sous contrôle. Chaque année, un audit de surveillance vérifie un échantillon d'exigences et de mesures, le traitement des écarts précédents et les changements intervenus. Au bout de trois ans, un audit de renouvellement réexamine l'ensemble du système et ouvre un nouveau cycle.

Un changement important (nouveau site, nouvelle activité, extension du périmètre) doit être signalé à l'organisme, qui peut adapter l'audit suivant. Le passage d'une version de la norme à une autre suit un calendrier fixé au niveau international : pour la version 2022, les certificats devaient être transférés avant le 31 octobre 2025.

• Vérifier que les informations documentées exigées existent et sont à jour : périmètre, politique, processus et résultats de l'appréciation et du traitement des risques, déclaration d'applicabilité, objectifs, preuves de compétence, résultats de surveillance, programme et résultats d'audit interne, revue de direction, non-conformités et actions correctives.
• Mener un audit interne complet et traiter ses constats avant l'étape 2.
• Tenir une revue de direction documentée, avec des décisions.
• Préparer les interlocuteurs : chaque responsable de mesure doit pouvoir expliquer ce qu'il fait et montrer une preuve.
• Relire le périmètre : il doit être clair, avec ses interfaces et ses dépendances (hébergeur, prestataires, filiales).