C'est presque toujours un grand compte, un appel d'offres ou un assureur qui déclenche la démarche. L'ISO 27001 est la norme internationale de référence en sécurité de l'information : elle démontre que vos risques sont identifiés, traités et pilotés. Nous menons les PME jusqu'au certificat, sur un périmètre proportionné à leur taille.
L'ISO 27001 définit les exigences d'un système de management de la sécurité de l'information (SMSI) : un cadre qui permet d'identifier vos risques, de choisir les mesures adaptées, de mesurer leur efficacité et de s'améliorer en continu.
Les mesures de sécurité sont sélectionnées à partir de l'annexe A, en fonction de votre analyse de risques, et justifiées dans la déclaration d'applicabilité.
Indépendance : P2CI vous prépare à la certification. Celle-ci est délivrée par un organisme de certification accrédité et indépendant.
Enjeux, parties intéressées et périmètre du SMSI.
Engagement de la direction, politique de sécurité, rôles et responsabilités.
Appréciation et traitement des risques, objectifs de sécurité.
Ressources, compétences, sensibilisation, communication, informations documentées.
Mise en œuvre du plan de traitement des risques.
Surveillance, mesures, audit interne et revue de direction.
Non-conformités, actions correctives et amélioration continue.
Les chapitres 4 à 10 se lisent en vingt minutes. Ce qu'ils coûtent en travail est une autre affaire, et c'est la question que personne ne pose avant de s'engager.
La norme exige un ensemble d'informations documentées. Pas une bibliothèque, mais une quinzaine de pièces qui doivent exister, être à jour, et surtout correspondre à ce que vous faites vraiment. Un auditeur repère en une demi-journée une procédure écrite pour le dossier et jamais appliquée.
La vraie question n'est donc pas combien de documents, mais qui les rédige. Dans une PME, il n'existe généralement personne dont c'est le métier. La direction n'a pas le temps, l'informatique a déjà son quotidien, et personne n'a jamais animé une analyse de risques. C'est là que le projet s'enlise, pas sur la technique.
Comptez, pour un périmètre de PME, de six à dix-huit mois. L'écart entre ces deux bornes ne tient presque jamais à la taille de l'entreprise : il tient à la régularité avec laquelle quelqu'un s'en occupe.
La déclaration d'applicabilité est la pièce que les auditeurs lisent en premier. C'est aussi celle que l'on bâcle le plus souvent, en cochant les 93 mesures sans justifier aucun choix.
Aucun cabinet ne vous donnera un prix unique, et pour une bonne raison : la facture se répartit entre trois acteurs distincts, dont un seul dépend de nous.
| Poste | Qui facture | Ce qui fait varier le montant |
|---|---|---|
| L'audit de certification | L'organisme certificateur | Le nombre de jours d'audit, calculé selon l'effectif compris dans le périmètre |
| Les mesures à déployer | Vos fournisseurs | L'écart entre votre situation actuelle et les mesures retenues |
| L'accompagnement | Le cabinet de conseil | Ce que vous prenez en charge en interne, et ce que vous déléguez |
Ce n'est ni l'audit ni le conseil, c'est le deuxième : les mesures elles-mêmes. Sauvegardes réellement testées, authentification forte généralisée, journalisation exploitable, cloisonnement du réseau. Une entreprise déjà bien tenue dépensera peu, une autre découvrira le montant de son retard.
C'est pourquoi nous commençons toujours par une analyse d'écarts. Avant elle, tout budget annoncé est une devinette.
Sa durée d'audit n'est pas négociable : elle découle des règles de la norme ISO/IEC 27006, en fonction du nombre de personnes comprises dans le périmètre. Un périmètre plus étroit coûte donc moins cher à auditer, ce qui est un argument de cadrage, pas un moyen de tricher.
Vérifiez son accréditation, délivrée en France par le Cofrac. Un certificat émis par un organisme non accrédité ne vaut rien devant un donneur d'ordre exigeant.
La version 2022 de la norme a restructuré les mesures de sécurité et en a introduit de nouvelles : renseignement sur les menaces, sécurité du cloud, préparation des TIC pour la continuité, masquage des données, codage sécurisé…
Politiques, rôles, gestion des actifs, fournisseurs, incidents, continuité, conformité.
Recrutement, sensibilisation, confidentialité, télétravail, signalement des événements.
Périmètres, contrôle d'accès physique, protection des équipements, bureau propre.
Authentification, journalisation, sauvegardes, vulnérabilités, cryptographie, développement sécurisé.
La version 2013 n'a plus cours. La période de transition s'est achevée le 31 octobre 2025 : depuis cette date, les certificats délivrés sur la version 2013 ne sont plus valables. Si un fournisseur vous présente un certificat, regardez l'édition qu'il mentionne. Et si vous lisez encore quelque part qu'il existe 114 mesures réparties en 14 chapitres, vous avez sous les yeux une documentation périmée : la révision de 2022 les a regroupées en 93 mesures et 4 thèmes, dont 11 entièrement nouvelles.
Un projet structuré en étapes claires, que nous pilotons avec vous jusqu'à l'audit de certification, et au-delà.
Définition du périmètre (activités, sites, services), des enjeux et de l'organisation projet.
Identification et évaluation des risques, avec une méthode reconnue (ISO 27005, EBIOS Risk Manager).
Choix et justification des mesures de l'annexe A.
Politiques, procédures, mesures techniques, sensibilisation des équipes.
Vérification de l'efficacité du SMSI et correction des écarts.
Étape 1 (revue documentaire) puis étape 2 (évaluation de la mise en œuvre) par l'organisme certificateur.
Audits de surveillance annuels, puis audit de renouvellement au terme du cycle de 3 ans.
Évaluation de votre situation face aux exigences de la norme et estimation de l'effort à fournir.
Animation d'ateliers et formalisation de l'appréciation et du traitement des risques.
Politique de sécurité, déclaration d'applicabilité, procédures et enregistrements, sans surcharge.
Pilotage du projet, préparation des équipes et présence lors des audits de certification.
Réalisation de vos audits internes annuels et audits blancs avant l'organisme certificateur.
RSSI à temps partagé, suivi des indicateurs, préparation des audits de surveillance.
Le plus souvent entre 6 et 18 mois, selon la taille du périmètre, votre niveau de maturité initial et la disponibilité de vos équipes. L'analyse d'écarts permet d'établir un calendrier réaliste.
L'ISO 27001 fixe les exigences du SMSI : c'est la norme certifiable. L'ISO 27002 est un guide de bonnes pratiques qui détaille la mise en œuvre des mesures de sécurité listées dans l'annexe A.
Oui. Le périmètre peut porter sur une activité, un service ou un site, à condition d'être clairement défini et cohérent. Nous vous aidons à choisir un périmètre qui a du sens pour vos clients tout en restant maîtrisable.
Oui. Le SMSI couvre une grande partie des mesures exigées par l'article 21 de NIS2 et fournit un cadre robuste pour la sécurité des données personnelles exigée par l'article 32 du RGPD. Pour la vie privée, la norme ISO 27701 permet d'aller plus loin.
La question n'a pas de réponse unique, parce que la facture se partage entre trois acteurs. L'organisme certificateur facture ses jours d'audit, dont le nombre découle des règles de la norme ISO/IEC 27006 selon l'effectif compris dans le périmètre. Vos fournisseurs facturent les mesures à déployer, et c'est de loin le poste le plus variable : tout dépend de l'écart entre votre situation et la cible. Le conseil facture ce que vous ne prenez pas en charge en interne.
Un chiffre annoncé avant l'analyse d'écarts ne repose sur rien. Celle-ci coûte peu et transforme une inconnue en budget.
Le critère décisif est l'accréditation, délivrée en France par le Cofrac. Un certificat émis par un organisme non accrédité n'a aucune valeur devant un donneur d'ordre exigeant, et vous l'apprendrez au pire moment, pendant un appel d'offres.
Au-delà, comparez la durée d'audit proposée et la connaissance de votre secteur. Nous restons à l'écart de ce choix : un cabinet qui prépare à la certification ne peut pas être juge et partie.
Oui, et c'est le cas le plus fréquent chez nos clients. La norme n'exige aucun poste en particulier, elle exige que les responsabilités soient attribuées et que les personnes concernées soient compétentes. Ce qu'il faut, c'est un interlocuteur interne disponible, souvent le dirigeant ou le responsable informatique, et quelqu'un pour porter la méthode. C'est notre rôle.
Cela arrive très souvent, et ce n'est pas un échec. Une non-conformité mineure donne lieu à un plan d'action, et le certificat est délivré. Une non-conformité majeure doit être corrigée avant la délivrance, ce qui décale l'obtention de quelques semaines.
C'est précisément l'intérêt d'un audit blanc avant le passage de l'organisme : les écarts se découvrent pendant qu'il est encore temps, et non devant l'auditeur.
Non. Il vaut trois ans, sous réserve d'audits de surveillance annuels, puis un audit de renouvellement au terme du cycle. Un SMSI laissé à l'abandon entre deux audits se voit immédiatement : les enregistrements manquent, la revue de direction n'a pas eu lieu, les indicateurs ne sont pas suivis.
C'est la raison pour laquelle nous proposons un maintien du SMSI. Obtenir le certificat est un projet, le conserver est une habitude.
Commençons par une analyse d'écarts pour mesurer le chemin à parcourir.
