ISO 27701 durée : combien de temps prévoir ?

La durée dépend du chemin choisi. La voie classique, avec un audit sur site par un organisme de certification, s'étend sur plusieurs mois : chaque phase attend la précédente et les dates d'audit se réservent à l'avance. Le parcours Zertify se déroule en ligne.

Le tableau compare les phases. Les durées de la voie classique sont des fourchettes indicatives pour une PME. Elles varient selon le nombre de traitements, de sites et de sous-traitants.

• Coût d'une certification

Les durées ci-dessous sont indicatives. Elles décrivent une PME qui part d'un niveau de maturité modeste en protection des données.

1. 01

   Préparation et analyse des écarts (1 à 3 mois)

   Vous déterminez votre rôle de responsable du traitement ou de sous-traitant, recensez les traitements de données personnelles et comparez la situation actuelle aux exigences de la norme. Le résultat est une liste de lacunes.

2. 02

   Documentation et mise en œuvre (3 à 9 mois)

   Registre des activités de traitement, évaluation des risques pour la vie privée, procédure pour les droits des personnes concernées, annonce des violations de données. C'est la phase la plus longue, car elle mobilise l'informatique, les RH et la direction.

3. 03

   Audit de stade 1 (1 à 2 jours)

   L'organisme de certification examine votre documentation et vérifie que vous êtes prêt pour la suite. La date se négocie 2 à 6 semaines à l'avance.

4. 04

   Audit de stade 2 (2 à 5 jours)

   L'auditeur vient sur place. Il contrôle par entretiens et par échantillons que les procédures sont réellement appliquées. Le créneau peut demander 1 à 3 mois d'attente.

5. 05

   Mesures correctives et décision (1 à 3 mois)

   Les non-conformités relevées doivent être corrigées et justifiées. L'organisme décide ensuite de délivrer ou non le certificat.

Deux entreprises de taille comparable peuvent se trouver à six mois d'écart. Quatre points expliquent la plupart des différences.

Édition de la norme

L'édition 2025 se certifie sans ISO 27001. L'édition 2019 en exige une. Qui vise l'édition 2019 sans système de management de la sécurité de l'information doit d'abord le construire, et le projet s'allonge nettement.

Registre des traitements

Une entreprise qui tient déjà un registre à jour pour la nLPD ou le RGPD gagne des semaines en phase de documentation.

Nombre de traitements et de sous-traitants

Un fournisseur SaaS avec de nombreux sous-traitants et plusieurs flux de données doit réunir plus de preuves qu'une petite fiduciaire.

Disponibilité de l'organisme

Les créneaux d'audit se réservent à l'avance. Ce délai ne dépend pas de vous, mais il compte dans le calendrier.

L'évaluation en ligne comprend 42 questions à réponse oui ou non. Quinze d'entre elles reprennent des exigences obligatoires de la norme et doivent toutes recevoir un oui. Parmi les 27 autres, 18 réponses oui au minimum sont nécessaires. Il faut environ une heure pour répondre.

Une fois l'évaluation réussie et le paiement effectué, G6 Agency AG émet le certificat sous licence de SICE, dans les 4 heures. SICE examine chaque évaluation avant l'émission. Le PDF porte un numéro et un code QR qui renvoient à une page de vérification publique.

Cette heure suppose que votre gestion de la protection des données existe déjà : registre, analyse des risques, procédure en cas de violation. Si ces éléments manquent, leur mise en place précède l'évaluation, et elle prend autant de temps sur les deux voies.

Le prix est de 799 CHF la première année, puis 529 CHF par an, re-audit en ligne annuel inclus.

• La norme ISO 27701
• Prix et rabais multi-normes
• Lancer l'évaluation gratuite

Le certificat Zertify est valable 3 ans. Chaque année, un court re-audit en ligne confirme que vos réponses restent exactes. Il est compris dans la redevance annuelle.

L'abonnement se renouvelle automatiquement chaque année. Vous le résiliez à tout moment dans votre compte client, avec effet à la fin de l'année en cours. Le certificat prend alors fin avec l'année payée.

Sur la voie classique, l'organisme de certification prévoit des audits de surveillance pendant le cycle de trois ans. Ce sont de nouvelles journées d'audit à planifier avec lui.

Un questionnaire fournisseur du service achats ou une offre avec date limite ne laissent pas la place à un projet de six à douze mois. Dans ce cas, le parcours en ligne tient le calendrier.

Si un contrat exige expressément un audit sur site par un organisme de certification, la voie classique reste nécessaire et le projet se planifie en conséquence. Le guide sur les voies de certification détaille la comparaison.

• Comparer les voies de certification
• Certification sans audit sur site
• ISO pour les PME