ISO 27001 obligatoire : ce qui est exigé et ce qui ne l'est pas

Non. ISO 27001 est une norme internationale d'application volontaire. Elle décrit comment construire un système de management de la sécurité de l'information (SMSI). Personne ne vous oblige à la suivre du seul fait qu'elle existe.

Dans la pratique, la question se pose autrement. Une norme n'a pas force de loi, mais un contrat, un cahier des charges ou un questionnaire fournisseur peuvent la rendre incontournable. L'obligation vient alors de votre client, pas de la norme.

Les lois sur la protection des données demandent des mesures de sécurité appropriées. Cela ne revient pas à exiger une certification ISO 27001. Si vous travaillez dans un secteur réglementé, renseignez-vous auprès de votre autorité de surveillance ou de votre association professionnelle.

• Questions générales sur la certification

Le besoin apparaît presque toujours dans un échange commercial. Voici les situations que rencontrent le plus souvent les PME.

Questionnaire fournisseur

Le service achats de votre client vous envoie un questionnaire de sécurité. Une des premières questions porte sur la certification ISO 27001. Sans certificat, vous devez documenter chaque réponse une à une.

Appel d'offres

Certains cahiers des charges font de la certification un critère d'exclusion, d'autres un critère de notation. Sans certificat, votre offre peut être écartée ou moins bien classée.

Contrat cadre

Une clause de sécurité peut obliger le prestataire à prouver son niveau de protection pendant toute la durée du contrat.

Audit client

Un grand client contrôle ses sous-traitants. Un certificat vérifiable raccourcit la discussion avec son auditeur.

Attentes de la branche

Chez les prestataires informatiques, les fournisseurs cloud, les acteurs de la finance, de la santé et du e-commerce, un SMSI certifié fait partie de ce qu'un client attend d'un partenaire qui traite ses données.

Lisez la formulation avant de décider. Les mots « certifié », « conforme » et « aligné sur » ne désignent pas la même chose.

• Comparer les voies de certification

Que la demande vienne d'un client ou de votre propre initiative, le contenu reste le même. La norme suit la structure commune des normes ISO : contexte, direction, planification, support, réalisation, évaluation des performances et amélioration. Six exigences en forment le noyau.

Apprécier les risques

Vous identifiez les risques qui pèsent sur vos informations et décidez lesquels traiter. Ce travail détermine les mesures de l'Annexe A que vous appliquez.

Fixer politique et objectifs

La direction définit par écrit ce qu'elle veut protéger et comment elle mesure le résultat.

Mettre en oeuvre les mesures

Les mesures de l'Annexe A, révisées dans l'édition 2022, couvrent notamment les services cloud, la protection des données et les cyberrisques.

Établir la déclaration d'applicabilité

Ce document liste les mesures retenues ou écartées, avec la justification de chaque choix.

Sensibiliser les collaborateurs

Chaque personne qui accède à des informations sensibles sait ce qu'on attend d'elle.

Gérer les incidents

Vous détectez, traitez et consignez les incidents de sécurité, puis vous en tirez les enseignements.

• La norme ISO 27001 en détail

Quand la demande arrive avec une échéance, procédez dans cet ordre.

1. 01

   Relire la demande

   Notez le terme exact, le périmètre concerné et la date limite. Vérifiez si le client précise un type d'audit.

2. 02

   Faire l'état des lieux

   Contrôlez que votre politique de sécurité, votre appréciation des risques et votre procédure d'incidents existent par écrit.

3. 03

   Choisir la voie

   Demandez au client si un certificat issu d'une auto-évaluation en ligne lui suffit. S'il exige un audit sur place, la voie classique s'impose.

4. 04

   Passer l'auto-évaluation

   Répondez aux questions en ligne. Si une exigence obligatoire manque, comblez-la dans l'entreprise avant de poursuivre.

5. 05

   Envoyer le certificat

   Joignez le PDF à votre réponse. Votre interlocuteur peut saisir le numéro ou scanner le QR code pour ouvrir la page de vérification.

• Voir le déroulement en détail
• ISO pour les petites et moyennes entreprises

Zertify délivre le certificat sur la base d'une auto-évaluation en ligne, sans audit sur place. Elle compte 48 questions auxquelles vous répondez par oui ou non. Treize d'entre elles reprennent des exigences obligatoires de la norme et doivent toutes recevoir un oui. Sur les 35 autres, il faut au moins 24 oui.

G6 Agency AG émet le certificat sous licence de SICE (Swiss Institute of Certification and Education), et SICE examine chaque évaluation avant l'émission. Le certificat arrive dans les 4 heures après la réussite et le paiement. Chaque certificat se vérifie publiquement par son numéro et son QR code. Un court ré-audit en ligne le confirme chaque année.

Le prix est de 849 CHF la première année, puis de 569 CHF par an, ré-audit en ligne inclus. Le certificat est valable 3 ans. L'abonnement annuel se résilie à tout moment dans l'espace client, pour la fin de l'année en cours. Dans ce cas, le certificat prend fin avec l'année payée. Aucun compte n'est nécessaire pour acheter. Pour les clients en Suisse et au Liechtenstein, les prix incluent la TVA suisse de 8,1 %.

• Certificat ISO 27001
• Tarifs et rabais multi-normes
• Démarrer l'auto-évaluation gratuite