Certification ISO 27018
ISO 27018 coût : ce que la certification coûte vraiment
Par la voie classique, la certification ISO 27018 se compose de frais d'audit, de conseil et de semaines de travail interne, puis d'audits de suivi chaque année. Zertify la propose à 799 CHF la première année, puis 529 CHF par an, réaudit en ligne compris. Ce guide détaille chaque poste pour que vous puissiez comparer.
01: Postes de coût
De quoi se compose le coût d'une certification ISO 27018 ?
ISO 27018 s'adresse aux fournisseurs cloud qui traitent des données personnelles pour le compte de leurs clients. Elle complète ISO 27001 par des mesures de protection des données. Le budget dépend donc de ce que votre entreprise a déjà en place : des processus documentés, des contrats avec les sous-traitants, une procédure en cas de violation de données.
Quatre postes reviennent dans chaque projet.
Audit de certification
Facturé par l'organisme de certification en jours d'auditeur, plus les frais de déplacement et le rapport.
Conseil externe
Facultatif, mais fréquent quand l'entreprise n'a pas de responsable de la protection des données ou de la qualité.
Temps interne
Direction, IT et personnes en charge de la protection des données consacrent des heures à la documentation et aux preuves.
Coûts récurrents
Audits de surveillance chaque année, puis audit de recertification à la fin du cycle.
02: Audit sur site
Combien coûte l'audit d'un organisme de certification ?
Les tarifs varient avec la taille de l'entreprise, le nombre de sites, le périmètre du service cloud et le nombre de jours d'audit. À titre indicatif, l'audit initial d'une PME se situe entre quelques milliers de francs et plus de dix mille francs. Ces fourchettes sont indicatives : seule l'offre écrite de l'organisme fait foi.
Les frais de déplacement et de rédaction du rapport s'ajoutent souvent au prix de base. Demandez une offre détaillée à plusieurs organismes et vérifiez ce qu'elle inclut avant de signer.
L'audit sur site mobilise aussi vos équipes pendant plusieurs jours. Ce temps ne figure sur aucune facture, mais il pèse sur le budget.
03: Conseil et interne
Conseil externe et charge interne : les coûts que l'on oublie
Aucune norme n'impose de passer par un consultant. Beaucoup d'entreprises le font quand même pour gagner du temps. À titre indicatif, un accompagnement coûte de quelques milliers à plusieurs dizaines de milliers de francs selon l'ampleur du travail.
Le travail interne se compte plutôt en semaines, réparties entre la direction, l'IT et la personne qui suit la protection des données. Les exigences d'ISO 27018 donnent la liste des chantiers :
- Transparence et limitation des finalités
- Vous documentez quelles données vous traitez, pour quelle finalité et sur instruction de qui.
- Suppression et restitution
- Vos clients doivent pouvoir récupérer ou faire effacer leurs données personnelles. Cela suppose une procédure testée.
- Sous-traitants ultérieurs
- Chaque prestataire auquel vous confiez des données est intégré dans vos exigences de protection.
- Analyses d'impact et notifications
- Les analyses d'impact et le processus de notification des violations doivent exister et être applicables.
04: Coûts récurrents
Audits de surveillance et recertification : ce qui revient chaque année
Le cycle habituel de la voie classique s'étend sur trois ans : audit initial, audits de surveillance annuels, puis audit de recertification. Un audit de surveillance coûte indicativement moins cher que l'audit initial. Il revient pourtant chaque année, avec la même mobilisation des équipes.
À chaque échéance, l'entreprise prépare ses preuves : évaluation des performances (chapitre 9 de la structure des normes ISO), actions correctives et amélioration continue (chapitre 10). Ce travail entre rarement dans le devis de départ.
La recertification ramène un audit complet. Pour comparer deux offres, additionnez donc les trois années plutôt que de regarder le seul prix de l'audit initial.
05: Comparaison
Voie classique et Zertify : comparaison des coûts
Le tableau met en regard les postes d'une certification avec audit sur site et ceux de Zertify. Les montants de la voie classique sont des ordres de grandeur indicatifs.
| Poste | Voie classique (indicatif) | Zertify |
|---|---|---|
| Audit initial | De quelques milliers à plus de dix mille CHF, audit sur site | Pas d'audit sur site : auto-évaluation en ligne, examinée par SICE |
| Conseil externe | Facultatif, de quelques milliers à plusieurs dizaines de milliers de CHF | Non nécessaire : 32 questions à traiter en ligne |
| Charge interne | Plusieurs semaines de préparation, plus les jours d'audit | Le temps de répondre aux questions et de réunir vos preuves |
| Suivi annuel | Audit de surveillance facturé chaque année | Réaudit en ligne compris dans les 529 CHF par an |
| Fin de cycle | Audit de recertification complet | Certificat valable 3 ans, confirmé chaque année par le réaudit en ligne |
| Délai jusqu'au certificat | Plusieurs mois | Dans les 4 heures après réussite et paiement |
06: Prix Zertify
Le prix de la certification ISO 27018 chez Zertify
Zertify facture 799 CHF (799 €) la première année, puis 529 CHF (529 €) par an, réaudit en ligne annuel compris. Le certificat est valable 3 ans. Les prix incluent la TVA suisse de 8,1 % pour les clients en Suisse et au Liechtenstein. Vous n'avez pas besoin de compte pour acheter.
L'abonnement est annuel et se renouvelle automatiquement. Vous le résiliez à tout moment dans votre espace client, avec effet à la fin de l'année en cours. Dans ce cas, le certificat prend fin avec l'année payée. Si vous certifiez plusieurs normes, la remise est de 20 % pour deux normes et de 30 % pour trois normes ou plus, y compris sur la redevance annuelle.
Le parcours commence par une auto-évaluation de 32 questions auxquelles on répond par oui ou non. Onze d'entre elles reprennent des exigences obligatoires de la norme et doivent toutes recevoir un oui. Il faut en outre au moins 14 oui parmi les 21 autres questions. Le certificat est émis par G6 Agency AG sous licence de SICE, qui examine chaque évaluation avant l'émission. Chaque certificat se vérifie publiquement avec son numéro ou le code QR du PDF.
Vos clients ou votre service achats reçoivent ainsi un justificatif qu'ils peuvent contrôler eux-mêmes, par exemple en réponse à un questionnaire fournisseur ou à un appel d'offres.
07: Questions fréquentes
Questions sur le coût d'ISO 27018
08: Guide
Pages liées
Vérifiez si votre entreprise remplit les exigences ISO 27018
Répondez aux 32 questions en ligne et voyez où vous en êtes avant de payer quoi que ce soit.
Gratuit et sans inscription.