ISO 27001 renouvellement : garder son certificat valide

Le certificat Zertify a une durée de validité de 3 ans. Pour qu'il reste valable, vous le confirmez chaque année lors d'un réaudit en ligne. Aucun auditeur ne se déplace dans vos locaux et aucun jour de travail n'est à bloquer dans l'agenda de la direction.

Validité de 3 ans

C'est la période pendant laquelle le certificat porte votre numéro et peut être présenté à un client ou à un service achats.

Réaudit annuel

Il s'effectue en ligne. Il est compris dans la redevance annuelle et ne donne pas lieu à une facture supplémentaire.

Vérification publique

Chaque certificat se vérifie par son numéro ou par le code QR du PDF. Un client qui reçoit votre certificat peut le contrôler lui-même.

Le réaudit ne remplace pas le travail de l'année. Il vérifie que le système de management de la sécurité de l'information (SMSI) est toujours en place et vivant. Six points méritent un contrôle avant l'échéance.

1. 01

   Appréciation des risques

   Reprenez le registre des risques (chapitre 6). Un nouvel outil, un nouveau prestataire cloud ou un nouveau site doivent y figurer, avec une évaluation à jour.

2. 02

   Déclaration d'applicabilité

   Comparez la DdA avec les mesures de l'Annexe A réellement appliquées. Une mesure déclarée mais abandonnée est l'écart le plus fréquent entre le papier et la pratique.

3. 03

   Politique et objectifs

   La politique de sécurité doit être approuvée par la direction et les objectifs doivent avoir été relus (chapitres 5 et 6).

4. 04

   Sensibilisation

   Les personnes arrivées dans l'année ont-elles reçu leur formation ? Conservez la date et le contenu (chapitre 7).

5. 05

   Incidents

   Le journal des incidents doit contenir les événements de l'année, avec la cause et les mesures prises (chapitre 10).

6. 06

   Évaluation interne

   Une revue interne et une revue de direction documentées montrent que le système est suivi (chapitre 9).

• Exigences de la norme ISO 27001

Le certificat reste valable tant que la confirmation annuelle a lieu. Sans réaudit, il n'est pas confirmé pour l'année en cours. Pour une entreprise qui répond à des questionnaires fournisseurs, cela pose un problème concret : le client qui vérifie le numéro ne trouve plus un certificat à jour.

Planifiez donc le réaudit quelques semaines avant l'échéance, pas le dernier jour. Le temps gagné sert à corriger un écart éventuel, par exemple une formation non documentée.

L'abonnement est annuel et se renouvelle automatiquement. Vous pouvez le résilier à tout moment dans votre compte client, avec effet à la fin de l'année en cours. Dans ce cas, le certificat prend fin avec l'année payée.

• Questions fréquentes

Sur la voie classique, un organisme de certification réalise un audit initial, puis des audits de surveillance les années suivantes, et enfin un audit de recertification à la fin du cycle de trois ans. Chaque audit est planifié avec l'auditeur, souvent sur site, et facturé selon l'offre de l'organisme.

Le tableau compare les deux approches pour le maintien du certificat.

• Comparer les voies de certification
• Certification sans audit sur site

Le certificat repose sur une auto-évaluation en ligne de 48 questions auxquelles on répond par oui ou par non. Treize d'entre elles correspondent à des exigences obligatoires de la norme et doivent toutes recevoir un oui. Parmi les 35 autres, 24 réponses positives au minimum sont nécessaires. Le certificat est émis par G6 Agency AG sous licence de SICE, et SICE examine chaque évaluation avant l'émission. Il est livré dans les 4 heures après la réussite et le paiement.

Le prix est de 849 CHF (849 €) la première année, puis de 569 CHF (569 €) par an, réaudit en ligne inclus. Une remise de 20 % s'applique pour deux normes et de 30 % pour trois normes ou plus, y compris sur la redevance annuelle. Pour les clients en Suisse et au Liechtenstein, les prix comprennent la TVA suisse de 8,1 %. Un compte n'est pas nécessaire pour acheter.

• Page ISO 27001
• Prix et abonnement
• Démarrer l'auto-évaluation gratuite

Certains événements justifient une révision immédiate de l'appréciation des risques et de la déclaration d'applicabilité : le passage à un nouvel hébergeur, le lancement d'un produit qui traite des données clients sensibles, une reprise d'entreprise, un incident grave ou le départ de la personne qui pilote le SMSI.

Documenter ces changements au moment où ils surviennent évite de reconstituer l'année entière la veille du réaudit. Un simple journal daté, tenu par le responsable sécurité, suffit pour une PME.

• ISO pour les PME