Certification ISO/IEC 27001:2022

Qu'est-ce que l'ISO/IEC 27001

L'ISO/IEC 27001 est la norme internationale qui spécifie les exigences pour établir, mettre en œuvre, maintenir et améliorer en continu un Système de Management de la Sécurité de l'Information (SMSI). Un SMSI est une approche systématique, fondée sur la gestion des risques, qui couvre les personnes, les processus et la technologie pour préserver la confidentialité, l'intégrité et la disponibilité de l'information.

L'édition actuelle, ISO/IEC 27001:2022, organise les mesures de référence de l'Annexe A en quatre thèmes (organisationnel, personnes, physique et technologique), appuyées par le catalogue de mesures de l'ISO/IEC 27002. La certification atteste que votre organisation a identifié ses risques, appliqué les mesures appropriées — documentées dans la Déclaration d'Applicabilité (SoA) — et exploite le système efficacement.

Avantages de la certification

• Confiance commerciale : le certificat est la réponse la plus directe aux questionnaires de sécurité des entreprises et aux appels d'offres exigeant l'ISO/IEC 27001.
• Gestion systématique des risques : identifiez et traitez les menaces avant qu'elles ne deviennent des incidents.
• Conformité réglementaire : le SMSI facilite la démonstration de la diligence requise face au RGPD, à NIS2, à DORA et aux clauses contractuelles de sécurité.
• Avantage concurrentiel : différenciez votre offre dans les processus de vente B2B et raccourcissez les cycles commerciaux.
• Amélioration continue : le cycle d'audit (certification, surveillance, renouvellement) maintient le système vivant et à jour.

Qui en a besoin ?

La norme s'applique à toute organisation, mais elle est particulièrement pertinente pour :

• Les éditeurs de logiciels et les entreprises SaaS qui traitent des données clients.
• Les prestataires de services informatiques, fournisseurs cloud, sociétés de conseil technologique et MSP.
• La fintech, l'insurtech et les services financiers soumis aux exigences des tiers et des régulateurs.
• Les organisations de santé, les cabinets professionnels et toute entreprise traitant des informations sensibles.
• Les entreprises dont les clients ou les appels d'offres exigent le certificat comme condition contractuelle.

Comment se déroule le processus de certification

BorealCert réalise l'intégralité du cycle de certification à distance, conformément aux techniques d'audit de l'ISO 19011 et aux lignes directrices de l'IAF sur l'audit à distance :

Étape	Contenu	Durée typique
Demande et devis	Définition du périmètre du SMSI, de la taille de l'organisation et prix fixe.	1 jour ouvré
Étape 1 — documentation	Revue à distance du périmètre, des politiques, de l'évaluation des risques, de la SoA et de la préparation.	1–2 jours d'audit
Étape 2 — mise en œuvre	Audit par visioconférence : entretiens, preuves des mesures et fonctionnement du SMSI.	2–5 jours selon la taille
Décision et délivrance	Revue indépendante par le comité de certification et délivrance du certificat.	Jusqu'à 10 jours ouvrés
Surveillance	Audits de suivi annuels pour maintenir la certification.	Annuel
Renouvellement	Audit complet avant l'échéance pour renouveler le cycle.	Tous les 3 ans

Questions fréquentes sur l'ISO/IEC 27001

Combien de temps faut-il à une PME pour se certifier ?

Si le SMSI est déjà mis en œuvre, le processus de certification s'achève généralement en 4–8 semaines. En partant de zéro, le calendrier dépend de la mise en œuvre ; l'audit d'étape 1 peut avoir lieu dès que la documentation essentielle est prête.

Un audit à distance est-il aussi valable qu'un audit sur site ?

Oui. Les techniques d'audit à distance sont reconnues par les lignes directrices internationales d'audit (IAF MD 4 et ISO 19011) et le certificat obtenu est identique. Nous évaluons l'éligibilité de chaque organisation pour garantir que la modalité à distance permet d'atteindre tous les objectifs de l'audit.

Quelle est la différence entre ISO/IEC 27001:2013 et l'édition 2022 ?

L'édition 2022 met à jour l'Annexe A (93 mesures regroupées en 4 thèmes, contre 114 mesures en 14 domaines en 2013) et introduit de nouvelles mesures comme le renseignement sur les menaces, la sécurité du cloud et la prévention des fuites de données. Les certificats de 2013 devaient migrer vers l'édition 2022 avant octobre 2025 ; BorealCert délivre exclusivement des certificats ISO/IEC 27001:2022.

Quelle documentation minimale faut-il ?

Politique et objectifs de sécurité, périmètre du SMSI, méthodologie et résultats de l'évaluation et du traitement des risques, Déclaration d'Applicabilité et preuves du fonctionnement des mesures (enregistrements, revues, audits internes et revue de direction).

Combien coûte la certification ?

Le prix dépend du nombre de personnes dans le périmètre, de la complexité technologique et du nombre de sites logiques. Les PME reçoivent généralement des devis fixes ; demandez le vôtre sans engagement via le formulaire de contact.

Comment mes clients peuvent-ils vérifier le certificat ?

Tous les certificats délivrés par BorealCert figurent dans notre registre public sur verify.borealcert.com, consultable par numéro de certificat à tout moment.