ISO 27001 à Lugano : certificat en ligne, sans audit sur place

Lugano est une place financière et un pôle de services du Tessin. Les entreprises qui y traitent des données de clients se voient demander une preuve de leur sécurité de l'information : dans un questionnaire fournisseur, un appel d'offres ou un audit client. L'ISO 27001 est le référentiel que les services d'achat connaissent et acceptent.

Banques, gestionnaires de fortune et fiduciaires

Elles manipulent des données financières et personnelles. Leurs donneurs d'ordre et leurs partenaires veulent savoir comment ces données sont protégées.

Prestataires informatiques et éditeurs de logiciels

Un client qui confie son hébergement ou son application à un tiers demande le certificat avant de signer.

Cabinets et établissements de santé

Les dossiers de patients exigent des règles claires d'accès, de sauvegarde et de gestion des incidents.

E-commerce et services en ligne

Les données de clients et de paiement circulent entre plusieurs systèmes et sous-traitants. Le certificat montre que ces flux sont encadrés.

• L'ISO pour les petites et moyennes entreprises

La norme décrit comment construire un système de management de la sécurité de l'information, le SMSI. Au centre se trouve l'appréciation des risques : elle détermine quelles mesures de l'Annexe A vous appliquez, et pourquoi. L'édition 2022 a révisé ces mesures, notamment pour les services cloud, la protection des données et les cyberrisques.

Les exigences se répartissent sur les clauses 4 à 10, de la compréhension du contexte jusqu'à l'amélioration continue. Concrètement, une entreprise doit pouvoir montrer les éléments suivants.

1. 01

   Évaluer les risques

   Vous identifiez les risques qui pèsent sur vos informations et vous les classez.

2. 02

   Fixer une politique et des objectifs

   La direction signe une politique de sécurité et définit des objectifs mesurables.

3. 03

   Appliquer les mesures de l'Annexe A

   Vous retenez les mesures adaptées à vos risques et vous les mettez en oeuvre.

4. 04

   Établir la déclaration d'applicabilité

   Ce document liste les mesures retenues, écartées, et la raison de chaque choix.

5. 05

   Former les collaborateurs

   Chaque personne qui touche à des données connaît ses règles et sa responsabilité.

6. 06

   Gérer les incidents

   Vous consignez chaque incident de sécurité et vous en tirez des corrections.

• La norme ISO 27001 en détail

La voie classique passe par un organisme de certification. Ses auditeurs viennent dans vos locaux, examinent vos documents et interrogent vos équipes. Cette voie convient quand un client ou une autorité l'impose expressément. Pour beaucoup de PME, elle représente surtout du temps de préparation et de coordination.

Le tableau compare les deux approches. Les chiffres de la voie classique sont des ordres de grandeur indicatifs qui varient selon l'organisme et la taille de l'entreprise.

• Comparer les voies de certification
• Certification sans audit sur place

Zertify est une plateforme en ligne. Elle n'a pas de bureau à Lugano et n'en a pas besoin : aucune étape ne demande de présence physique. Que votre siège se trouve au centre-ville ou dans l'agglomération, vous passez par le même formulaire.

Le certificat repose sur votre auto-évaluation. Il est émis par G6 Agency AG sous licence de SICE (Swiss Institute of Certification and Education), et SICE examine chaque évaluation avant l'émission. Chaque année, un court réaudit en ligne confirme que votre SMSI est toujours en place.

Vous pouvez consulter les exigences détaillées sur la page de la norme, vérifier les conditions sur la page des prix, puis lancer l'auto-évaluation gratuite.

• Page ISO 27001
• Prix et conditions
• Démarrer l'auto-évaluation gratuite

Le travail se fait surtout avant le questionnaire. Les questions portent sur des éléments que votre entreprise doit déjà avoir ou mettre en place.

1. 01

   Rassembler vos documents

   Politique de sécurité, registre des risques, déclaration d'applicabilité, preuves de formation et procédure d'incidents. Ce qui manque, vous le rédigez avant de répondre.

2. 02

   Répondre aux 48 questions

   Treize d'entre elles reprennent des exigences obligatoires de la norme : toutes doivent recevoir un oui. Parmi les 35 autres, au moins 24 oui sont nécessaires pour réussir.

3. 03

   Passer l'examen et régler

   SICE examine l'évaluation. Une fois la réussite confirmée et le paiement effectué, G6 Agency AG émet le certificat.

4. 04

   Utiliser le certificat

   Vous recevez un PDF avec un QR code. Joignez-le à vos offres ou à vos réponses aux questionnaires fournisseurs. Le destinataire contrôle son authenticité sur la page de vérification.

5. 05

   Confirmer chaque année

   Le réaudit en ligne est court. Il maintient le certificat valable sur ses 3 ans de validité.

• Le déroulement en détail

Le certificat coûte 849 CHF la première année, puis 569 CHF par an, réaudit en ligne compris. Pour les clients en Suisse, la TVA de 8,1 % est incluse. Vous n'avez pas besoin de créer un compte pour acheter.

L'abonnement est annuel et se renouvelle automatiquement. Vous le résiliez à tout moment depuis votre espace client, pour la fin de l'année en cours. Dans ce cas, le certificat prend fin avec l'année payée.

Si vous visez plusieurs normes, par exemple l'ISO 9001 en plus de l'ISO 27001, une remise de 20 % s'applique pour deux normes et de 30 % à partir de trois. Elle porte aussi sur la redevance annuelle.

• Tous les prix
• Coût d'une certification ISO