ISO 27001:2022
ISO 27001 durée : de quelques heures à plusieurs mois selon la voie choisie
Par la voie classique avec audit sur site, une PME compte en général de 6 à 12 mois, selon une estimation indicative. Avec Zertify, l'évaluation en ligne prend environ une heure et le certificat est délivré dans les 4 heures après la réussite et le paiement.
01: Réponse courte
Combien de temps faut-il pour obtenir la certification ISO 27001 ?
Une PME qui part de zéro et passe par un organisme de certification avec audit sur site doit prévoir de 6 à 12 mois. Ce chiffre est indicatif. Il varie avec l'effectif, le périmètre du SMSI et le temps que la direction peut y consacrer.
La plus grande partie de cette durée ne se passe pas à l'audit. Elle sert à construire le système : apprécier les risques, rédiger la politique de sécurité, choisir les mesures de l'Annexe A, former les collaborateurs. Les jours d'audit proprement dits se comptent sur les doigts d'une main.
Le parcours Zertify repose sur une autre méthode. Il n'y a ni audit sur site à planifier, ni dossier à déposer. L'évaluation se fait en ligne, en une heure environ.
02: Voie classique
Les phases de la certification ISO 27001 avec audit sur site
La voie classique se déroule en cinq phases. Les durées ci-dessous sont des ordres de grandeur, pas des engagements d'un organisme de certification.
Préparation et analyse des écarts : 1 à 3 mois
Vous définissez le périmètre, vous recensez les actifs et vous comparez vos pratiques actuelles aux exigences de la norme et aux mesures de l'Annexe A. Le résultat est une liste d'écarts à combler.
Documentation et mise en oeuvre : 3 à 9 mois
C'est la phase la plus longue. Vous réalisez l'appréciation des risques, rédigez la politique et les objectifs de sécurité, établissez la déclaration d'applicabilité et mettez les mesures en place. La sensibilisation du personnel démarre ici.
Audit interne et revue de direction : 1 à 2 mois
La norme exige d'évaluer la performance du système avant l'audit externe (chapitre 9). Quelqu'un vérifie le SMSI en interne, puis la direction en examine les résultats.
Audit étape 1 : 1 à 2 jours
L'organisme de certification examine votre documentation et contrôle que vous êtes prêt pour l'étape suivante. Il signale les points faibles avant l'audit principal.
Audit étape 2 et décision : 2 à 5 jours d'audit, puis 2 à 6 semaines
L'auditeur vérifie sur place que les mesures sont appliquées. Les écarts constatés doivent être corrigés avant la décision de certification, ce qui peut rallonger le délai.
03: Calendrier
Calendrier comparé : voie classique et voie Zertify
Le tableau met les deux parcours face à face, phase par phase. Les durées de la voie classique sont des fourchettes indicatives.
| Phase | Voie classique (durée indicative) | Voie Zertify |
|---|---|---|
| Préparation et analyse des écarts | 1 à 3 mois | Vous vérifiez vos pratiques avant de répondre aux questions |
| Documentation et mise en oeuvre | 3 à 9 mois | Pas de dossier à déposer, les mesures doivent exister dans l'entreprise |
| Audit interne et revue de direction | 1 à 2 mois | Pas d'étape séparée dans le parcours en ligne |
| Audit étape 1 | 1 à 2 jours | Aucun audit sur site |
| Audit étape 2 | 2 à 5 jours, quelques semaines plus tard | Contrôle de l'évaluation par SICE |
| Décision et émission du certificat | 2 à 6 semaines | Dans les 4 heures après réussite et paiement |
| Total | 6 à 12 mois ou plus | Environ une heure d'évaluation, puis certificat dans les 4 heures |
La ligne « Préparation » de la voie Zertify mérite une remarque. Si votre entreprise n'a encore ni politique de sécurité ni processus d'incident, vous ne pourrez pas répondre oui honnêtement. Le temps de mise en place dépend alors de votre point de départ.
04: Facteurs
Ce qui allonge ou raccourcit une certification ISO 27001
Deux entreprises de taille comparable n'ont pas forcément le même calendrier. Cinq éléments pèsent sur la durée.
- Taille et périmètre
- Un SMSI limité à une équipe de développement avance plus vite qu'un périmètre qui couvre plusieurs sites, plusieurs services cloud et tous les sous-traitants.
- Maturité de départ
- Si vous disposez déjà d'une sauvegarde testée, d'une gestion des accès et d'une procédure d'incident, l'analyse des écarts sera courte. Sinon, la phase de mise en oeuvre s'étire.
- Disponibilité de la direction
- La politique de sécurité, l'acceptation des risques et la revue de direction demandent des décisions de la direction. Quand elles attendent un agenda libre, le projet s'arrête.
- Écarts constatés à l'audit
- Un écart majeur à l'étape 2 oblige à corriger puis à faire vérifier la correction. Chaque tour supplémentaire ajoute des semaines.
- Agenda de l'organisme de certification
- Les créneaux d'audit ne sont pas toujours disponibles à la date souhaitée. Prévoyez une marge entre la fin de la préparation et l'audit.
05: Zertify
Comment Zertify ramène le délai à quelques heures
L'évaluation compte 48 questions auxquelles vous répondez par oui ou non. Treize d'entre elles reprennent des exigences obligatoires de la norme : toutes doivent recevoir un oui. Sur les 35 autres, au moins 24 oui sont nécessaires pour réussir. L'évaluation prend environ une heure.
SICE examine chaque évaluation avant l'émission. Le certificat est délivré par G6 Agency AG sous licence de SICE, dans les 4 heures après la réussite et le paiement. Un numéro et un QR code sur le PDF permettent à votre client de le contrôler sur la page de vérification publique.
Le prix est de 849 CHF la première année, puis 569 CHF par an, audit en ligne annuel inclus. Le certificat est valable 3 ans. Vous n'avez pas besoin de compte pour commander.
Pour le contenu de la norme, voir la page consacrée à ISO 27001:2022.
06: Après
Que se passe-t-il après la délivrance du certificat ?
Le certificat Zertify reste valable 3 ans. Chaque année, un court audit en ligne confirme que vos réponses restent exactes. Si vous résiliez l'abonnement dans votre espace client, le certificat s'arrête à la fin de l'année payée.
La voie classique demande aussi un suivi après la certification, avec des audits de surveillance dont le rythme et la durée dépendent de l'organisme choisi.
Pour décider quelle voie correspond à votre situation, par exemple face à un questionnaire fournisseur ou à un appel d'offres, le guide de comparaison détaille les différences.
07: FAQ
Questions fréquentes sur la durée d'une certification ISO 27001
08: Guide
Pages liées
Vérifiez en une heure où en est votre entreprise
L'auto-évaluation ISO 27001 compte 48 questions et vous indique immédiatement si vous remplissez les exigences.
Gratuite et sans inscription.