Vous partez de zéro — ou presque
La certification est décidée, mais il n'existe ni SMSI, ni analyse de risques formalisée, ni politique de sécurité à jour. Il faut construire, pas seulement vérifier.
Accompagnement ISO 27001
ISO 27001 : la norme, puis l'accompagnement jusqu'à la certification.
ISO 27001 est la norme qui décrit comment une organisation protège ses informations : un système de management (SMSI), une analyse de risques, des mesures choisies dans l'annexe A, et des preuves que cela fonctionne au quotidien. Elle s'adresse aux PME et ETI qui doivent le montrer à un client, un assureur ou un appel d'offres. L'accompagnement vient ensuite : six à douze mois de pilotage, de PSSI, d'analyse de risques, de sensibilisation, d'audit interne et de préparation de la certification, au rythme que vos équipes peuvent tenir.
Vous voulez d'abord savoir où vous en êtes ? Commencez par un audit ISO 27001 d'analyse d'écarts: c'est souvent la première étape du programme.
Pour qui
L'accompagnement s'adresse aux entreprises qui doivent construire, pas seulement mesurer.
Vous n'avez pas de RSSI en interne
Le projet ISO 27001 a besoin d'un pilotage que vos équipes IT ou qualité ne peuvent pas porter seules, en plus de leur quotidien, pendant six à douze mois.
Vous avez une échéance à tenir
Un contrat, un appel d'offres ou un assureur attend une date de certification. Il faut un programme séquencé qui transforme cette échéance en plan de travail tenable.
Les vrais enjeux
Ce qui se joue entre la décision de se certifier et le certificat.
La certification ISO 27001 est rarement une fin en soi : elle conditionne des contrats, des appels d'offres et des relations avec des donneurs d'ordre exigeants. Un programme mal piloté a des conséquences concrètes :
- Un échec à l'audit de certification : une non-conformité majeure repousse la décision de plusieurs mois, impose un audit complémentaire facturé par l'organisme et fragilise le dossier auprès du client qui attend le certificat.
- Un marché perdu par défaut de preuve : dans les appels d'offres et les contrats grands comptes, la certification ISO 27001 est de plus en plus souvent un critère éliminatoire. Sans elle, l'offre n'est même pas analysée.
- Un SMSI qui s'essouffle après le premier certificat : sans pilotage dans la durée, les mesures se dégradent, les preuves ne se renouvellent pas et l'audit de surveillance de l'année suivante devient un risque au lieu d'une formalité.
L'accompagnement existe pour neutraliser ces trois risques : un programme séquencé, des preuves constituées au fil de l'eau et un SMSI conçu pour durer au-delà de la première certification.
Contenu du programme
Six chantiers, un seul objectif : un SMSI qui fonctionne et se prouve.
Pilotage du programme
Comités de pilotage, planning, arbitrages de direction, coordination entre DSI, métiers, RH et prestataires. Un projet ISO 27001 qui n'est pas piloté dérive — c'est le constat le plus fréquent.
PSSI et corpus documentaire
Rédaction de la politique de sécurité des systèmes d'information et des procédures qui en découlent, calibrées pour votre taille : assez pour être prouvables, jamais plus que ce que vos équipes peuvent appliquer.
Analyse de risques et SoA
Méthodologie d'analyse de risques adaptée à votre contexte, déclaration d'applicabilité justifiée, plan de traitement des risques suivi dans la durée.
Sensibilisation des équipes
La certification s'audite aussi auprès des collaborateurs. Sessions de sensibilisation, supports et exercices pour que les mesures soient connues et vécues, pas seulement écrites.
Audit interne et revue de direction
Préparation et conduite de l'audit interne, indicateurs du SMSI, revue de direction documentée — les preuves de fonctionnement que l'auditeur de certification exigera.
Interface avec l’organisme certificateur
Préparation du dossier, réponses aux demandes de l'auditeur, présence pendant les audits de certification et traitement des écarts relevés jusqu'à la décision.
Trajectoire type
Douze mois de programme, sans tunnel opaque.
La trajectoire ci-dessous est indicative : elle se resserre ou s'allonge selon votre maturité de départ et la date de certification visée. Elle est recalée à chaque comité de pilotage, jamais subie.
Étape 1
Mois 1 à 2 — Cadrage et gouvernance
Périmètre du SMSI, nomination des rôles, mise en place du pilotage de projet et du calendrier de certification avec l'organisme choisi.
Étape 2
Mois 2 à 4 — Analyse de risques et PSSI
Cartographie des actifs et des risques, rédaction de la PSSI et du corpus documentaire, première version de la déclaration d'applicabilité.
Étape 3
Mois 4 à 8 — Déploiement des mesures
Mise en œuvre des mesures de l'annexe A retenues : accès, sauvegardes, gestion des incidents, sensibilisation, clauses fournisseurs. C'est la phase la plus longue, et la plus honnête.
Étape 4
Mois 8 à 10 — Preuves et audit interne
Collecte des preuves de fonctionnement, indicateurs, audit interne complet, revue de direction et traitement des écarts détectés.
Étape 5
Mois 10 à 12 — Audit blanc et certification
Audit blanc dans les conditions réelles, corrections finales, puis accompagnement pendant les audits de phase 1 et phase 2 de l'organisme certificateur.
Budget / cadre
Combien coûte un accompagnement ISO 27001 pour une PME ?
Pour une PME, un accompagnement ISO 27001 se situe le plus souvent à partir de 2 500 € HT par mois, sur un programme de 6 à 12 mois. Ce n’est pas un tarif catalogue figé : le devis suit la durée, le périmètre du SMSI et le niveau d’implication attendu.
| Cadre | Rythme / périmètre | Budget HT |
|---|---|---|
| Engagement mensuel (référence) | Pilotage du programme + chantiers SMSI après cadrage | À partir de 2 500 € HT / mois |
| Durée typique | 6 à 12 mois selon maturité, périmètre et rythme des équipes | Total = mensualité × durée (après cadrage) |
| Ce qui fait varier | Périmètre SMSI, maturité de départ, implication consultants vs équipes | Engagement ferme après cadrage |
- · Durée réelle jusqu’à l’audit de certification (souvent 6–12 mois)
- · Périmètre du SMSI : sites, systèmes, fournisseurs, exigences clients
- · Niveau d’implication : coaching vs prise en charge documentaire
Questions fréquentes
Qu'est-ce que la norme ISO 27001, et à qui s'adresse-t-elle ?
ISO 27001 est la norme internationale de management de la sécurité de l'information. Elle fixe le SMSI : politique, analyse de risques, mesures applicables, preuves et amélioration. Elle concerne les PME et ETI qui doivent prouver leur posture à un tiers, qu'elles partent de zéro ou d'un existant incomplet. L'accompagnement est le programme qui construit ce SMSI jusqu'à l'audit de certification ; il ne remplace pas l'organisme certificateur.
Quelle différence entre accompagnement ISO 27001 et audit ISO 27001 ?
L'audit ISO 27001 est une mission ponctuelle : il mesure votre écart par rapport à la norme et produit un plan. L'accompagnement ISO 27001 est un programme de six à douze mois qui construit et fait vivre le SMSI jusqu'à la certification.
Combien de temps dure un accompagnement ISO 27001 jusqu'à la certification ?
En général entre 6 et 12 mois selon la maturité de départ, la taille du périmètre et le rythme que vos équipes peuvent tenir. Une promesse plus courte suppose un SMSI déjà largement construit.
Faut-il un RSSI en interne pour mener le projet ?
Non. C'est précisément l'objet de l'accompagnement : nous pilotons le programme aux côtés d'un référent interne, sans que vous ayez à recruter. Après la certification, un RSSI externalisé peut prendre le relais pour faire vivre le SMSI.
Qui délivre la certification ISO 27001 au bout du programme ?
Un organisme de certification accrédité, indépendant de Securigeek. Nous préparons le dossier et assistons vos équipes pendant les audits, mais nous ne nous substituons jamais au certificateur : c'est une exigence d'impartialité.
Quel budget prévoir pour un accompagnement ISO 27001 ?
Pour une PME, comptez à partir de 2 500 € HT par mois sur un programme de 6 à 12 mois. Le total dépend de la durée, du périmètre du SMSI et du niveau d'implication attendu ; l'engagement ferme est contractualisé après le cadrage.
Exemples de méthode
Comment aborder ces situations ?
Ces scénarios fictifs illustrent des besoins possibles et des objectifs de travail. Ils ne décrivent pas des missions réalisées ni des résultats obtenus chez des clients.
Scénario fictif · Conformité et gouvernance
Préparer une trajectoire NIS2 sans immobiliser la direction
ETI multi-sites confrontée à des attentes clients, à des dépendances cloud fortes et à une gouvernance sécurité encore dispersée.
Objectif : Cadrer les obligations, définir les arbitrages des 90 premiers jours et organiser le suivi des preuves.
Scénario fictif · Cadre commercial
Choisir entre audit ponctuel et accompagnement régulier
PME avec peu de ressources internes qui doit arbitrer entre audit ponctuel, accompagnement RSSI et besoin de détection.
Objectif : Comparer les options d’accompagnement selon la maturité, les contraintes et les preuves attendues.
Scénario fictif · Secteur public
Structurer la preuve et la continuité pour un établissement public
Organisation publique avec plusieurs acteurs, prestataires nombreux et besoin de relier sécurité, continuité et arbitrages de direction.
Objectif : Clarifier le pilotage, identifier les contrôles prioritaires et organiser les preuves pour les parties prenantes.
Capacités d'intervention
Ce que l'on doit réellement savoir faire
La crédibilité ne vient pas d'un organigramme fictif. Elle vient de capacités utiles, de modes de restitution sérieux et d'une lecture cohérente des arbitrages à rendre.
Gouvernance, SOC, cloud et IAM: les sujets qui structurent vraiment une trajectoire cyber serieuse pour une PME ou une ETI.
Évaluer
Évaluations de posture, revues techniques, tests d'intrusion, audit cloud, IAM et restitutions exploitables.
Audit 360°Test d'intrusionAudit CloudAudit Web & APIAudit IAM
Protéger
Détection continue, supervision utile, durcissement cloud, investigation et amélioration de la posture opérationnelle.
SOC 24/7Sécurité CloudPack SouverainRemédiation coordonnée
Gouverner
Pilotage, arbitrage, feuille de route, comités, exigences clients et trajectoires réglementaires.
RSSI externaliséNIS2DORAISO 27001Coordination direction / DSI
Former
Réduction du risque humain par la sensibilisation, les campagnes de phishing simulé et la culture sécurité.
SensibilisationPhishing simuléCulture sécurité