ISO 27001 n'est pas un diplôme, mais un système qui tourne.
ISO 27001 est la norme internationale de la sécurité de l'information. Elle ne certifie pas un document : elle certifie un Système de Management de la Sécurité de l'Information (SMSI) qui vit, se mesure et s'améliore. Nous vous accompagnons vers la certification, délivrée par un organisme indépendant.
Sommaire
Un SMSI, pas un classeur de procédures
La confusion la plus coûteuse consiste à traiter ISO 27001 comme une pile de documents à produire pour décrocher un tampon. La norme ne demande pas des documents : elle demande un système de management, c'est-à-dire une manière durable de décider, d'agir et de vérifier.
Ce système repose sur une analyse des risques qui vous est propre. On ne coche pas 93 cases : on identifie ce qui menace réellement votre information, on décide comment le traiter, et on écrit une déclaration d'applicabilité qui justifie chaque contrôle retenu, ou écarté.
Et parce qu'un risque d'aujourd'hui n'est pas celui de l'an prochain, le SMSI est bâti pour tourner : mesurer, corriger, recommencer. La certification atteste que cette mécanique fonctionne, pas qu'un dossier est complet.
Le cycle de certification
- An 0CertificationAudits Stage 1 et 2
- An 1SurveillanceAudit de suivi
- An 2SurveillanceAudit de suivi
- An 3RecertificationLe cycle se rejoue
La certification est valable trois ans. Un audit de surveillance revient chaque année ; au terme du cycle, tout recommence. Ce n'est pas une ligne d'arrivée, c'est un rythme.
Ce que la norme exige vraiment
Une approche par les risques
Vos décisions de sécurité découlent de vos risques, pas d'un modèle générique.
Une amélioration continue
Le SMSI se mesure et se corrige en boucle, sans jamais se figer.
93 contrôles à arbitrer
L'Annexe A propose ; votre déclaration d'applicabilité dispose.
Le moteur : Planifier, Déployer, Contrôler, Améliorer
Sous la certification tourne une boucle, connue sous le nom de PDCA. Elle ne s'arrête jamais : chaque tour affine la sécurité du tour précédent. La certification n'est qu'un point sur cet anneau, franchi une première fois puis revisité à chaque audit.
La boucle PDCA
Planifier
Fixer le périmètre, cartographier les risques, définir les objectifs de sécurité et les contrôles à mettre en place.
Déployer
Mettre en œuvre les contrôles techniques et organisationnels, former les équipes, faire vivre les procédures.
Contrôler
Mesurer l'efficacité par des indicateurs, des audits internes et une revue de direction. Chercher les écarts.
Améliorer
Corriger les non-conformités, ajuster les contrôles, réintégrer les enseignements, puis relancer un tour.
Le chemin vers la certification
Là, en revanche, l'ordre compte : c'est une vraie séquence, du premier diagnostic à l'audit de certification. Nous la pilotons de bout en bout ; l'audit final, lui, revient à un organisme certificateur indépendant.
Du diagnostic à l’audit
01 · Mois 1
Analyse de contexte
Comprendre l'organisation, les parties intéressées, le périmètre du SMSI, et mesurer l'écart avec la norme.
02 · Mois 2
Analyse des risques
Identifier et évaluer les risques, bâtir le plan de traitement et rédiger la déclaration d'applicabilité (SOA).
03 · Mois 2-3
Documentation du SMSI
Écrire les politiques et procédures exigées par la norme, sans en faire un monument administratif.
04 · Mois 3-5
Mise en œuvre
Déployer les contrôles techniques et organisationnels, former les équipes, faire tourner le système.
05 · Mois 5-6
Audit interne
Auditer le SMSI de l'intérieur, tenir la revue de direction, corriger les non-conformités avant l'organisme.
06 · Mois 6-8
Audit de certification
Accompagner les audits Stage 1 (documentaire) et Stage 2 (efficacité) menés par l'organisme certificateur.
Certifié, et le cycle démarre
Le certificat est délivré pour trois ans. La séquence s'achève et la boucle prend le relais : dès l'année suivante, un audit de surveillance vérifie que le SMSI tourne toujours.
Les 93 contrôles de l'Annexe A
ISO 27001:2022 regroupe ses contrôles en quatre thèmes. Ce ne sont pas des étapes que l'on franchit l'une après l'autre : ils s'appliquent ensemble, dosés selon vos risques.
93contrôles répartis en 4 thèmes
A.5 · 37 contrôles
Organisationnels
Politiques, rôles et responsabilités, gestion des actifs, contrôle d'accès, relations fournisseurs.
A.6 · 8 contrôles
Personnes
Recrutement, sensibilisation, formation, processus disciplinaire, responsabilités après le contrat.
A.7 · 14 contrôles
Physiques
Périmètres sécurisés, accès physique, protection environnementale, sécurité du câblage.
A.8 · 34 contrôles
Technologiques
Sécurité réseau, chiffrement, gestion des vulnérabilités, développement sûr, journalisation.
Ce que la certification ouvre
Au-delà du sceau, un SMSI qui tourne produit des effets concrets, sur vos marchés, vos clients et votre exposition au risque.
Reconnaissance mondiale
Des certificats recensés dans 150 pays et dans tous les secteurs d'activité (ISO Survey 2022).
Accès aux marchés
Un pré-requis fréquent des appels d'offres publics et des grands comptes privés.
Confiance client
Une preuve indépendante de votre sérieux, opposable sans avoir à vous justifier.
Réduction des risques
Une identification proactive et un traitement systématique de vos risques d'information.
Conformité facilitée
Un socle qui accélère votre mise en conformité RGPD, NIS2 et sectorielle.
Amélioration continue
Un réflexe d'ajustement permanent, intégré au fonctionnement de l'entreprise.
Sources
Les faits de ce guide (structure de la norme, nombre de contrôles, durée du certificat) viennent de ces textes publics.
La norme
Sources consultées le 29 septembre 2026.
À lire aussi
RéglementationGuide · 8 min
Guide conformité (NIS2, RGPD, ISO 27001)
Qui est concerné par NIS2, le RGPD et ISO 27001 : critères, articles, sanctions et sources officielles.
Lire le guideDéfinitionArticle · 4 min
Qu'est-ce que le SIEM ?
Security Information and Event Management : comment centraliser, analyser et corréler les événements de sécurité pour détecter les menaces en temps réel.
Lire l'article
Faisons tourner votre SMSI.
Nos experts évaluent gratuitement votre maturité et tracent une feuille de route vers la certification, depuis l'écart initial jusqu'à l'audit Stage 2.