ISO 27018
ISO 27018 durée : combien de temps prévoir ?
Avec un audit sur site par un organisme de certification, la démarche s'étend sur six à douze mois, selon une fourchette indicative. Avec Zertify, l'évaluation en ligne prend environ une heure. Le certificat vous parvient dans les 4 heures après réussite et paiement.
01: Vue d'ensemble
Deux voies, deux ordres de grandeur
La durée d'une certification ISO 27018 dépend d'abord de la voie choisie. La voie classique, avec un audit sur site par un organisme de certification, se compte en mois. La voie Zertify se déroule en ligne et se compte en heures.
Les durées indiquées pour la voie classique sont des fourchettes indicatives. Elles varient avec la taille de l'entreprise, le nombre de sites et l'état de votre système de management de la sécurité de l'information. Votre fournisseur de services cloud, votre équipe juridique et votre direction technique y contribuent tous.
02: Voie classique
Les phases d'une certification ISO 27018 avec audit sur site
Cinq étapes se suivent, et chacune attend la fin de la précédente. Les durées ci-dessous sont indicatives.
Préparation et analyse des écarts : 2 à 6 semaines
Vous comparez vos pratiques actuelles aux exigences : limitation des finalités, suppression et restitution des données personnelles, sous-traitants ultérieurs, notification des violations.
Documentation et mise en œuvre : 2 à 6 mois
Politiques, contrats avec les sous-traitants ultérieurs, procédure de suppression, processus de notification, analyse d'impact. Cette étape est la plus longue, car elle change des pratiques et pas seulement des documents.
Audit de phase 1 : 1 à 2 jours
L'auditeur examine votre documentation et vérifie que vous êtes prêt pour la phase 2. Les écarts relevés demandent ensuite 2 à 6 semaines de correction.
Audit de phase 2 : 2 à 5 jours
L'auditeur contrôle sur site que les mesures fonctionnent réellement : entretiens, preuves, échantillons. Les non-conformités doivent être corrigées avant la suite.
Décision de certification : 2 à 6 semaines
L'organisme examine le rapport d'audit, puis émet le certificat. Au total, la démarche dure environ six à douze mois.
03: Calendrier
Calendrier comparé des deux voies
Le tableau met les phases de la voie classique en regard de la voie Zertify.
| Phase | Voie classique (indicatif) | Voie Zertify |
|---|---|---|
| Préparation et analyse des écarts | 2 à 6 semaines | Évaluation en ligne d'environ 1 heure |
| Documentation et mise en œuvre | 2 à 6 mois | Pas d'étape séparée |
| Audit de phase 1 | 1 à 2 jours, puis 2 à 6 semaines de correction | Pas d'audit sur site |
| Audit de phase 2 | 2 à 5 jours sur site | Pas d'audit sur site |
| Décision et émission du certificat | 2 à 6 semaines | Dans les 4 heures après réussite et paiement |
| Total | 6 à 12 mois environ | Quelques heures |
04: Facteurs
Ce qui rallonge ou raccourcit la certification ISO 27018
Deux entreprises du même secteur n'ont pas le même calendrier. Quatre points expliquent l'essentiel des écarts.
- Un système ISO 27001 déjà en place
- ISO 27018 complète ISO 27001 par des mesures de protection des données personnelles. Si votre système de management de la sécurité est établi, il reste surtout ces mesures à ajouter.
- Les sous-traitants ultérieurs
- Vous devez savoir qui traite les données en aval et le prouver par des contrats. Rassembler ces informations prend du temps quand les prestataires sont nombreux.
- Suppression et restitution
- Une procédure sur le papier ne suffit pas. L'auditeur veut voir qu'un client peut récupérer ses données et qu'elles sont effacées ensuite.
- Le calendrier de l'organisme
- Les dates d'audit se réservent à l'avance. Un audit de phase 2 manqué repousse le certificat de plusieurs semaines.
05: Voie Zertify
Comment Zertify ramène la durée à quelques heures
Zertify remplace la succession des phases par une évaluation en ligne. Vous répondez à 32 questions par oui ou non, ce qui prend environ une heure. Onze d'entre elles sont des exigences obligatoires de la norme : toutes doivent recevoir un oui. Parmi les 21 autres, il faut au moins 14 oui pour réussir.
SICE examine chaque évaluation avant l'émission du certificat. G6 Agency AG, sous licence de SICE, émet ensuite le certificat, qui vous parvient dans les 4 heures après réussite et paiement. Le PDF porte un numéro et un QR code qui mènent à une page de vérification publique.
Le prix est de 799 CHF en première année, puis 529 CHF par an, re-audit en ligne annuel inclus. Le certificat est valable 3 ans, et un court re-audit en ligne le confirme chaque année.
06: Préparation
Que rassembler avant l'évaluation d'une heure ?
L'heure annoncée suppose que les réponses sont à portée de main. Quatre éléments évitent de chercher en cours de route.
La liste de vos sous-traitants ultérieurs
Avec les contrats ou les clauses de protection des données qui les lient à vous.
Votre procédure de suppression et de restitution
Qui l'exécute, dans quel délai, et comment le client reçoit ses données.
Votre processus de notification des violations
Qui décide, qui informe le client, et dans quels délais.
Vos analyses d'impact relatives à la protection des données
Les dernières versions, avec la date et le responsable.
Si une exigence obligatoire n'est pas remplie, la réponse est non et l'évaluation n'est pas réussie. Répondez selon vos pratiques réelles, pas selon celles que vous prévoyez.
07: FAQ
Questions fréquentes sur la durée d'ISO 27018
08: Guide
Pages associées
Vérifiez en une heure où vous en êtes
L'auto-évaluation ISO 27018 vous montre immédiatement si vous remplissez les 11 exigences obligatoires.
Gratuit et sans inscription.