Base de connaissances · ISO 27001
ISO 27001 pour une PME : les étapes, la durée et ce que cela demande
ISO 27001 est un système de management de la sécurité de l'information certifiable, et non un projet informatique. Cette page présente les étapes du périmètre au certificat et indique qui fait quel travail. Elle est aussi honnête sur ce que personne ne peut vous promettre à l'avance : la durée. L'édition en vigueur est ISO/IEC 27001:2022.
Aide à la décision
ISO 27001 ou CyFun : la question est de savoir qui exige la preuve
Les deux peuvent servir de preuve pour NIS2. L'applicabilité de NIS2 à votre entreprise est déterminée par le test de périmètre officiel du CCB, et non par ce tableau.
| Votre situation | Orientation |
|---|---|
| Des clients ou des appels d'offres demandent explicitement un certificat ISO 27001 | ISO 27001 |
| Vous devez surtout démontrer que vous respectez la loi belge NIS2 | CyFun suffit souvent : une implémentation validée donne une présomption de conformité |
| Vous travaillez à l'international et vos clients ne connaissent pas CyFun | ISO 27001 est mieux connue à l'international. Vérifiez d'abord auprès de vos clients les plus importants |
| Vous êtes une entité essentielle et souhaitez un seul système pour les deux objectifs | C'est possible, à condition que le périmètre de certification couvre tous les systèmes pertinents (voir la section sur le périmètre) |
| Vous ne savez pas encore ce que vos clients vont demander | Une étape CyFun n'est pas une étape intermédiaire obligatoire vers ISO 27001. Choisissez en fonction de qui demande la preuve |
Les étapes
Du périmètre au certificat en neuf étapes
L'ordre est fixe. Ce qui varie, c'est la part de chaque étape que vous avez déjà réalisée.
| Étape | Ce qu'elle produit | Qui fait le travail |
|---|---|---|
| 1. Décision et mandat | Un objectif, un budget et un pilote interne désigné | La direction |
| 2. Délimiter le périmètre | Un périmètre écrit : sites, processus, systèmes, parties concernées | La direction et le pilote interne, avec l'accompagnateur |
| 3. Appréciation des risques | Méthode d'analyse des risques, registre des risques et plan de traitement des risques | Le pilote interne et les responsables de processus, l'accompagnateur veille à la méthode |
| 4. Choisir les mesures | Déclaration d'applicabilité : quelles mesures de l'annexe A s'appliquent et pourquoi | Le pilote interne, le partenaire IT et l'accompagnateur |
| 5. Mettre en œuvre les mesures | Politiques, procédures, mesures techniques et organisationnelles | Le partenaire IT réalise la partie technique, vos collaborateurs suivent les procédures, l'accompagnateur pilote le planning |
| 6. Faire fonctionner le système | Preuves : mesures, formations, incidents | Le pilote interne |
| 7. Audit interne | Rapport d'audit et liste des non-conformités | Une personne qui n'a pas elle-même élaboré le système |
| 8. Revue de direction | Décisions sur les résultats, les moyens et les améliorations | La direction |
| 9. Audit de certification | Le certificat, ou une liste de non-conformités à suivre | L'organisme de certification. L'accompagnateur prépare mais ne certifie pas |
Documentation
La norme demande moins de papier que beaucoup d'offres ne le laissent entendre
La norme énumère elle-même quelles informations documentées sont obligatoires. Cette liste est plus courte que ne le laissent supposer de nombreux dossiers documentaires. Utilisez le texte de la norme comme liste de contrôle définitive.
Documents à tenir à jour
Périmètre, politique de sécurité de l'information, informations sur le processus d'appréciation et de traitement des risques, déclaration d'applicabilité, plan de traitement des risques, objectifs, preuves de la maîtrise opérationnelle et programme d'audit.
Preuves à conserver
Compétence, résultats de l'appréciation et du traitement des risques, résultats de mesure, résultats d'audit, résultats de la revue de direction et nature des non-conformités avec les actions entreprises.
Ce qui n'est pas obligatoire
L'annexe A compte 93 mesures réparties en quatre thèmes : organisationnel, humain, physique et technologique. Vous ne documentez que les mesures que vous reprenez dans votre déclaration d'applicabilité. Une documentation supplémentaire est permise, mais la norme ne l'exige pas.
Durée
Une réponse honnête sur la durée est une liste de facteurs
Les prestataires aiment publier un nombre de mois. Un tel chiffre en dit peu sans connaître votre point de départ, et il n'existe pas de moyenne belge indépendante. Voici ce qui détermine la durée :
Votre situation de départ
Des politiques existantes, un inventaire des systèmes et un système qualité opérationnel raccourcissent le chemin.
La taille du périmètre
Plus de sites, de systèmes et de personnes signifie plus d'appréciation des risques, plus de mesures et un audit plus long.
Le temps du pilote interne
Sans heures réservées dans l'agenda, tout glisse. C'est le facteur le plus sous-estimé.
Le rythme du partenaire IT
Les mesures techniques dépendent de la disponibilité de celui qui les met en œuvre.
Les preuves que le système fonctionne
L'audit interne et la revue de direction font partie de la norme. Ils ne sont possibles que lorsque le système fonctionne depuis un certain temps.
Le planning de l'organisme de certification
Les dates d'audit ne sont pas toujours fixées au moment que vous souhaitez.
L'audit
Deux phases d'audit, un certificat avec une durée de validité et une accréditation qui compte
L'audit de certification se déroule en deux phases. Lors de la phase 1, l'auditeur examine votre documentation et votre degré de préparation. La phase 2 suit avec l'audit complet de la mise en œuvre dans la pratique. Le certificat est valable trois ans, avec des audits de surveillance annuels et une recertification avant son expiration. La durée de l'audit n'est pas librement choisie par l'organisme : l'ISO/IEC 27006 fixe un calcul basé sur le nombre de personnes dans le périmètre. Demandez ce calcul pour chaque offre, afin de comparer les organismes sur une même base. L'accréditation n'est pas un détail. Un organisme accrédité est lui-même placé sous la supervision d'un organisme d'accréditation, en Belgique BELAC, et ses certificats sont reconnus internationalement. Si vous souhaitez utiliser le certificat pour NIS2 en Belgique, l'organisme doit en outre, selon la FAQ du CCB, être habilité par le CCB. Vérifiez les deux avant de signer.
ISO 27001 pour NIS2
Ce n'est pas le certificat qui compte, mais le périmètreUn certificat au périmètre trop étroit ne prouve rien pour NIS2
Si vous souhaitez aussi utiliser ISO 27001 pour NIS2, tous les réseaux et systèmes d'information pertinents doivent relever du périmètre de certification. Selon la FAQ du CCB, le périmètre et la déclaration d'applicabilité doivent couvrir l'ensemble de l'entité NIS2, et le certificat d'une société mère ne prouve rien pour une filiale. L'équivalence avec CyFun se vérifie au moyen du tableau de correspondance sur le site web de CyFun, avec les colonnes Important et Essential. Pour les entités essentielles, le service d'inspection donne jusqu'au 18 avril 2027 la priorité aux mesures équivalentes à CyFun Important. Celui qui, au 18 avril 2027, ne dispose pas d'une certification couvrant des mesures équivalentes à Essential introduit un plan de remédiation : un certificat ISO 27001 couvrant au moins des mesures équivalentes à Important, accompagné d'un plan vers Essential. D'ici le 18 avril 2028, le niveau Essential doit être couvert (communication NCCA/JK/INS/2026-002 du 11 août 2026). Les entités importantes choisissent volontairement. L'explication complète se trouve sur les pages consacrées à NIS2 par rapport à ISO 27001 et à l'échéance.
ISO 9001
Si vous avez ISO 9001, vous ne partez pas de zéro
ISO 27001 et ISO 9001 partagent la même structure harmonisée, avec les chapitres 4 à 10. Vous pouvez en grande partie réutiliser le contexte, le leadership, la compétence, la maîtrise des documents, l'audit interne, la revue de direction et les actions correctives. Sont nouvelles l'appréciation des risques pour la sécurité de l'information, la déclaration d'applicabilité et les mesures elles-mêmes. Ce que votre système existant couvre déjà par exigence, vous le voyez sur la page consacrée à la réutilisation d'ISO 9001.
Après le certificat
Le certificat est le début d'un cycle annuel
Audit interne
Selon votre programme d'audit, en pratique chaque année. La norme exige des audits à intervalles planifiés.
Revue de direction
La direction examine les résultats, les incidents et les moyens, et consigne les décisions.
Mettre à jour les risques et la déclaration
Les nouveaux systèmes, fournisseurs ou menaces ont leur place dans le registre et dans la déclaration d'applicabilité.
Traiter les non-conformités
Chaque non-conformité reçoit une cause, une action et un contrôle du résultat.
Audit de surveillance
Visite annuelle de l'organisme de certification. Une recertification suit la troisième année.
Sensibilisation et compétence
Les nouveaux collaborateurs, les nouveaux outils et les nouveaux risques demandent une formation que vous pouvez démontrer.
Questions fréquentes
Réponses courtes
Envie de savoir quelle voie vous convient ?
Lors d'un premier entretien gratuit, nous examinons ensemble le périmètre et la voie à suivre. RGI dirige le parcours, la certification elle-même est réalisée par un organisme accrédité.