ISO 27001 coût : ce que la certification coûte vraiment

Le prix de l'audit n'est qu'une ligne du budget. Pour comparer deux offres, il faut les décomposer poste par poste, sinon un devis bas à l'achat peut cacher des frais qui arrivent plus tard.

Audit de certification

Facturé par l'organisme de certification, en général sur la base du nombre de jours d'audit sur site.

Conseil externe

Facultatif, mais fréquent pour une première mise en place du SMSI : appréciation des risques, politique, déclaration d'applicabilité.

Temps interne

Les heures de la direction, de l'informatique et des responsables métiers. Ce poste ne figure sur aucune facture, il pèse pourtant lourd.

Outils et mesures techniques

Sauvegardes, gestion des accès, journalisation, formation. Une partie existe déjà dans la plupart des entreprises.

Coûts récurrents

Audits de surveillance chaque année, puis recertification à l'issue du cycle.

• Guide général sur le coût d'une certification

La voie classique repose sur un audit sur site réalisé par un organisme de certification, en deux étapes : un examen de la documentation, puis un audit de mise en oeuvre. Le nombre de jours d'audit dépend du nombre de collaborateurs, du nombre de sites et de la complexité des systèmes d'information.

À titre indicatif, une PME peut s'attendre à une facture d'audit initial située entre 5 000 et 20 000 CHF. Ces chiffres sont une fourchette de marché, pas un tarif : seul un devis de l'organisme choisi fait foi. Les frais de déplacement des auditeurs s'ajoutent souvent.

Demandez toujours un devis qui couvre les trois années du cycle, et pas seulement la première.

Un consultant qui accompagne la mise en place complète d'un SMSI facture, à titre indicatif, entre 10 000 et 50 000 CHF pour une PME, selon l'état de départ et la durée de l'accompagnement. Certaines entreprises s'en passent et construisent le système seules, ce qui déplace le coût vers le temps interne.

Ce temps interne se mesure en semaines de travail réparties sur plusieurs mois. Il se concentre sur quelques tâches récurrentes :

1. 01

   Appréciation des risques

   Recenser les actifs, les menaces et les vulnérabilités, puis évaluer chaque risque. C'est le travail le plus long.

2. 02

   Politique et objectifs

   Rédiger une politique de sécurité validée par la direction et fixer des objectifs mesurables.

3. 03

   Déclaration d'applicabilité

   Passer en revue les mesures de l'Annexe A et justifier celles que vous retenez ou écartez.

4. 04

   Sensibilisation

   Former les collaborateurs et conserver la preuve de cette formation.

5. 05

   Gestion des incidents

   Définir comment un incident est signalé, traité et analysé après coup.

Un certificat ISO 27001 classique est valable trois ans, mais l'organisme revient chaque année pour un audit de surveillance. Il est plus court que l'audit initial. À titre indicatif, comptez entre 3 000 et 8 000 CHF par passage.

À la fin du cycle, une recertification vérifie l'ensemble du système. Son coût se rapproche de celui de l'audit initial, un peu allégé si le SMSI a été entretenu. À cela s'ajoutent les heures internes pour préparer chaque visite, qui reviennent tous les ans.

Le tableau met côte à côte les deux approches. Les montants de la voie classique sont des fourchettes indicatives, ceux de Zertify sont le tarif publié.

• Comparer les voies de certification
• Certification sans audit sur site

Le certificat coûte 849 CHF (849 €) la première année, puis 569 CHF (569 €) par an, re-audit en ligne annuel compris. Il est valable trois ans. Le prix inclut la TVA suisse de 8,1 % pour les clients en Suisse et au Liechtenstein. Vous n'avez pas besoin de compte pour acheter.

La base est une auto-évaluation en ligne de 48 questions auxquelles on répond par oui ou par non. Treize d'entre elles reprennent des exigences obligatoires de la norme : toutes doivent recevoir un oui. Parmi les 35 autres, il faut au moins 24 oui. Après réussite et paiement, le certificat est émis dans un délai de 4 heures. Il est délivré par G6 Agency AG sous licence de SICE, et SICE examine chaque évaluation avant l'émission.

Chaque certificat se vérifie publiquement avec son numéro ou le code QR du PDF. Votre service achats ou un client qui vous envoie un questionnaire fournisseur peut le contrôler en quelques secondes.

L'abonnement se renouvelle chaque année automatiquement. Vous le résiliez à tout moment dans votre compte client, avec effet à la fin de l'année en cours ; le certificat prend alors fin avec l'année payée. Un rabais de 20 % s'applique pour deux normes, de 30 % dès trois normes, redevance annuelle comprise.

• Démarrer l'auto-évaluation gratuite
• Page de la norme ISO 27001
• Voir les tarifs