ISO 27001:2022
ISO 27001 sans audit : le certificat par auto-évaluation en ligne
Vous répondez en ligne à 48 questions oui/non sur votre système de management de la sécurité de l'information. Aucun auditeur ne se déplace chez vous. SICE examine votre évaluation, puis le certificat est émis et reste vérifiable publiquement.
01: Définition
Que signifie ISO 27001 sans audit sur site ?
Il n'y a pas d'auditeur dans vos locaux, pas de journées d'entretiens et pas de visite à planifier. L'évaluation se fait en ligne, sous la forme d'une auto-évaluation structurée selon les exigences de la norme ISO 27001:2022.
La norme ne change pas. Elle demande un système de management de la sécurité de l'information (SMSI) fondé sur l'appréciation des risques, avec une déclaration d'applicabilité et des mesures de l'Annexe A. Ce qui change, c'est la manière dont vous en apportez la preuve à un tiers.
Le certificat Zertify est émis par G6 Agency AG sous licence de SICE (Swiss Institute of Certification and Education). SICE examine chaque auto-évaluation avant l'émission.
02: Procédure
Comment l'auto-évaluation remplace la visite
Un auditeur sur site pose des questions et consulte des documents. Ici, les questions sont fixées à l'avance et vous y répondez en vous appuyant sur ce que votre entreprise a réellement mis en place.
48 questions oui/non
Elles couvrent l'appréciation des risques, la politique et les objectifs de sécurité, les mesures de l'Annexe A, la déclaration d'applicabilité, la sensibilisation des collaborateurs et la gestion des incidents.
13 exigences obligatoires
Treize questions reprennent des exigences impératives de la norme. Toutes doivent recevoir la réponse oui.
24 oui sur 35
Parmi les 35 autres questions, au moins 24 réponses positives sont nécessaires pour réussir.
Examen par SICE
SICE contrôle l'auto-évaluation avant l'émission du certificat.
Certificat en 4 heures
Une fois l'évaluation réussie et le paiement effectué, le certificat vous parvient dans les 4 heures.
Répondre oui suppose que la politique de sécurité, l'analyse de risques et la déclaration d'applicabilité existent. Si un document manque, rédigez-le avant de répondre.
03: Portée
Ce que le certificat confirme, et ce qu'il ne remplace pas
Un certificat sans visite sur site doit rester lisible pour celui qui le reçoit. Voici ce qu'il dit exactement.
- Ce qu'il atteste
- Votre entreprise a répondu oui aux 13 exigences obligatoires et à au moins 24 des 35 autres questions. SICE a examiné cette auto-évaluation.
- Comment un tiers le contrôle
- Le PDF porte un numéro et un QR code. Votre client ou le service achats ouvre la page de vérification publique sans devoir vous écrire.
- Ce qui le maintient valable
- Un court ré-audit en ligne chaque année. Le certificat est valable 3 ans.
- Ce qu'il ne remplace pas
- Une visite sur site exigée par contrat. Si un client l'impose, la voie classique avec audit par un organisme de certification reste la bonne.
04: Public cible
Quelles entreprises choisissent la certification ISO 27001 sans audit ?
Le certificat convient aux entreprises qui reçoivent des questionnaires fournisseurs ou des appels d'offres demandant une preuve en matière de sécurité de l'information. Les prestataires informatiques, les éditeurs de logiciels et les fournisseurs de services cloud y sont confrontés presque chaque semaine. Il en va de même pour les boutiques en ligne et les entreprises qui traitent des données clients sensibles.
Les prestataires du secteur financier et de la santé sont aussi concernés, avec une réserve. Si votre contrat, votre autorité de surveillance ou un client précis impose un audit sur site, posez la question avant de choisir. Une réponse écrite de votre donneur d'ordre évite de refaire la démarche.
Le critère décisif est ailleurs : votre SMSI existe-t-il déjà ? Une PME qui a documenté ses risques et ses mesures peut obtenir le certificat sans projet de plusieurs mois. Une entreprise qui part de zéro devra d'abord construire ce système.
05: Comparaison
ISO 27001 sans audit ou audit classique : délai et coût
Les chiffres de la voie classique ne sont que des ordres de grandeur. Ils varient selon la taille de l'entreprise, le périmètre et l'organisme choisi. Demandez toujours une offre écrite.
| Critère | Zertify | Voie classique avec audit sur site |
|---|---|---|
| Évaluation | Auto-évaluation en ligne de 48 questions, examinée par SICE | Audit sur site par un organisme de certification |
| Délai | Certificat 4 heures après réussite et paiement | Plusieurs semaines à plusieurs mois (indicatif) |
| Coût | 849 CHF la première année, puis 569 CHF par an, ré-audit en ligne inclus | Plusieurs milliers de francs par cycle de certification (fourchette indicative) |
| Suivi annuel | Court ré-audit en ligne | Audits de surveillance périodiques |
| Vérification | Numéro et QR code, page publique | Selon l'organisme |
06: Zertify
Où Zertify s'inscrit dans votre démarche
Zertify délivre le certificat ISO 27001:2022 pour 849 CHF (849 €) la première année, puis 569 CHF (569 €) par an, ré-audit en ligne inclus. L'abonnement est annuel. Vous pouvez le résilier à tout moment dans votre compte client, pour la fin de l'année en cours. Dans ce cas, le certificat prend fin avec l'année payée.
Si vous visez plusieurs normes, la remise est de 20 % pour deux normes et de 30 % dès trois, également sur la cotisation annuelle. Pour les clients en Suisse et au Liechtenstein, la TVA suisse de 8,1 % est comprise. L'achat ne nécessite pas de compte.
L'auto-évaluation est gratuite. Elle vous montre en quelques minutes où se situe votre SMSI par rapport aux 13 exigences obligatoires.
07: FAQ
Questions fréquentes sur ISO 27001 sans audit
08: Guide
Pages associées
Testez votre SMSI avant de vous engager
L'auto-évaluation de 48 questions vous indique si votre entreprise remplit les exigences de l'ISO 27001:2022.
Gratuit et sans inscription.