Certification ISO 27001 des systèmes de management de la sécurité de l'information
Certification ISO 27001 accréditée délivrée par un organisme de certification accrédité par l'UAF, basé à Dallas–Fort Worth (Texas). Un auditeur senior, une proposition à forfait fixe et des audits d'Étape 1 et d'Étape 2 ISO/IEC 27001:2022 réalisés en 2–8 semaines une fois votre SMSI prêt pour l'audit.
Page revue le 28 septembre 2026 par l'équipe de certification d'Accredify Global.
Qu'est-ce que la certification ISO 27001 ?
La certification ISO 27001 est la confirmation indépendante, par un organisme de certification accrédité, que votre système de management de la sécurité de l'information (SMSI) est conforme à l'ISO/IEC 27001. Elle montre à vos clients, partenaires et autorités de régulation que vous identifiez les risques liés à la sécurité de l'information et que vous les gérez au moyen de mesures efficaces dans la pratique.
Certification ISO 27001 et certification SMSI signifient la même chose : le certificat couvre votre SMSI, dans le périmètre que vous définissez. Nos auditeurs examinent la manière dont vous appréciez les risques et choisissez les mesures dans votre Déclaration d'applicabilité. Ils vérifient ensuite que ces mesures fonctionnent au quotidien, des revues des accès à la gestion des incidents en passant par la sécurité des fournisseurs.
Nos services de certification ISO 27001 sont assurés depuis notre siège de Dallas–Fort Worth (Texas), avec des audits dans 71 pays. Faites-vous certifier ISO 27001 seule ou avec l'ISO 27701, l'ISO 42001 ou l'ISO 9001.
L'ISO/IEC 27001:2022 est la seule édition selon laquelle vous pouvez être certifié
La transition depuis ISO/IEC 27001:2013 s'est achevée le 31 octobre 2025. Les certificats délivrés selon l'édition 2013 ne sont plus valides : tous les nouveaux audits de certification, de surveillance et de renouvellement de la certification utilisent désormais ISO/IEC 27001:2022. L'édition 2022 a réorganisé l'Annexe A en 93 mesures réparties en quatre thèmes : organisationnelles, liées aux personnes, physiques et technologiques. Parmi les nouvelles mesures figurent le renseignement sur les menaces, la sécurité des services cloud, la prévention des fuites de données et le codage sécurisé.
L'Amendement 1:2024 a ajouté le changement climatique aux articles sur le contexte. Vous devez désormais déterminer si le changement climatique est pertinent pour votre SMSI, et si les parties intéressées ont des exigences à ce sujet. Si votre SMSI correspond encore à l'ancien ensemble de mesures, nous le signalons lors de la revue du périmètre, avant l'Étape 1.
Sources : ISO/IEC 27001:2022 (iso.org) · Exigences de transition IAF MD 26
Qui a besoin de la certification ISO 27001 ?
La plupart des projets ISO 27001 démarrent lorsqu'un questionnaire de sécurité client, un contrat avec une grande entreprise ou un appel d'offres exige un certificat accrédité plutôt qu'une auto-évaluation.
Les grandes entreprises clientes utilisent un certificat ISO 27001 pour raccourcir l'évaluation de sécurité de leurs fournisseurs. Voir ISO 27001 pour le SaaS.
Les banques et les partenaires attendent la preuve que les données des clients et des transactions sont protégées par un système géré et audité.
L'ISO 27001 fournit une base certifiable qui facilite la conformité HIPAA et les évaluations de sécurité menées par les clients.
Les MSP et les prestataires d'infogérance détiennent des accès et des données de leurs clients, et ces derniers font de plus en plus de l'ISO 27001 une condition contractuelle.
Les usines connectées et les portails fournisseurs font entrer la sécurité de l'information dans l'homologation des fournisseurs et les audits clients.
Un périmètre ciblé permet aux startups de certifier d'abord un produit ou une plateforme, puis d'étendre le SMSI à mesure que l'entreprise se développe.
Comment obtenir la certification ISO 27001 : le processus de certification
Six étapes du premier appel au certificat, avec le même auditeur senior à chaque étape d'audit.
Vous ne savez pas si votre appréciation des risques et votre Déclaration d'applicabilité passeraient l'Étape 1 ? Une revue du périmètre gratuite vous le dit avant l'auditeur.
Réserver une revue gratuite du périmètre d'auditOrganisme de certification ISO 27001 ou consultant ISO 27001
De nombreux acheteurs recherchent un consultant ISO 27001 alors que ce dont ils ont besoin, c'est du certificat. Les deux rôles sont différents, et les règles d'accréditation les maintiennent séparés.
| Question | Organisme de certification (Accredify Global) | Consultant ISO 27001 |
|---|---|---|
| Ce qu'elle fait | Audite votre SMSI de manière indépendante et délivre le certificat ISO 27001. | Vous aide à concevoir et à mettre en place le SMSI : politiques, appréciation des risques et mesures de sécurité. |
| Peut-il délivrer un certificat ? | Oui, dans le cadre de son périmètre d'accréditation. | Non. Seul un organisme de certification peut délivrer un certificat ISO 27001. |
| Indépendance | Doit rester impartial. Selon l'ISO/IEC 17021-1, il ne peut pas certifier un SMSI qu'il a aidé à mettre en place. | Travaille à vos côtés, et ne peut donc pas certifier aussi le résultat. |
| Quand vous en avez besoin | Toute organisation qui souhaite obtenir un certificat accrédité. | Uniquement si vous n'avez pas la capacité interne de construire le SMSI. |
Vous travaillez déjà avec un consultant, ou vous construisez votre SMSI en interne avec une plateforme de conformité ? Aucun problème. Nous auditons le système que vous avez construit, quel que soit celui qui vous a aidé à le construire.
Ce qui distingue un audit ISO 27001 chez Accredify Global
Les questions que les acheteurs posent le plus souvent lorsqu'ils comparent des sociétés de certification ISO 27001, avec nos réponses dès le départ.
L'auditeur qui cadre votre certification dirige l'Étape 1, l'Étape 2 et la surveillance. Les constats citent les preuves et l'article de l'ISO 27001 ou la mesure de l'Annexe A sur lesquels ils reposent, afin que les équipes d'ingénierie et de sécurité puissent agir.
L'Étape 2 échantillonne des événements réels : revues des accès, enregistrements d'arrivées et de départs, restaurations de sauvegardes, corrections de vulnérabilités et tickets d'incident. Ce sont les preuves auxquelles les équipes sécurité des clients font confiance.
Les équipes cloud peuvent être auditées à distance, et les sites comportant des mesures physiques peuvent être visités, conformément à ISO 19011:2018 et à l'IAF MD 4:2018. Nous confirmons le format lors de la revue du périmètre.
Déjà certifié ailleurs ? Un audit de transfert examine votre certificat et les éventuelles non-conformités ouvertes, puis aligne votre cycle d'audit sans réinitialiser votre historique de certification.
Exigences de la certification ISO 27001 : ce que l'audit évalue
L'audit couvre le système de management des articles 4 à 10 et les mesures de l'Annexe A que vous sélectionnez dans votre Déclaration d'applicabilité.
Périmètre et contexte du SMSI
Un périmètre défini couvrant les systèmes, les sites et les équipes concernés, avec les parties intéressées et les considérations climatiques consignées.
Appréciation et traitement des risques
Une méthode reproductible pour identifier les risques liés à la sécurité de l'information, les évaluer et décider du traitement de chacun.
Déclaration d'applicabilité
Les 93 mesures de l'Annexe A répertoriées, avec une décision justifiée d'inclusion ou d'exclusion pour chacune.
Mesures de maîtrise en fonctionnement
Contrôle d'accès, journalisation, sauvegardes, gestion des changements, sécurité des fournisseurs et réponse aux incidents, avec des enregistrements qui le prouvent.
Audit interne
Un audit interne de l'ensemble du SMSI, réalisé par des personnes compétentes et objectives, avant l'audit de certification.
Revue de direction
La direction passe en revue la performance du SMSI, les risques et les résultats d'audit, et prend des décisions qui sont enregistrées.
Documents que l'auditeur demandera
- Périmètre du SMSI et politique de sécurité de l'information
- Méthodologie d'appréciation et de traitement des risques
- Rapport d'appréciation des risques et plan de traitement des risques
- Déclaration d'applicabilité
- Objectifs de sécurité de l'information et leur mesure
- Preuves de compétence et de sensibilisation
- Procédures opérationnelles pour les mesures que vous avez sélectionnées
- Résultats de la surveillance et de la mesure
- Programme et résultats des audits internes
- Résultats de la revue de direction
- Non-conformités et actions correctives
- Enregistrements des modifications du SMSI
Mesures de l'Annexe A par thème
| Organisationnelles (A.5) | 37 mesures |
|---|---|
| Liées aux personnes (A.6) | 8 mesures |
| Physiques (A.7) | 14 mesures |
| Technologiques (A.8) | 34 mesures |
Toutes les mesures n'ont pas à s'appliquer. Les exclusions sont acceptables lorsque votre Déclaration d'applicabilité les justifie au regard de vos risques et de votre périmètre.
Ce que disent nos clients de leur audit ISO 27001
« Obtenir la certification ISO/IEC 27001 avec Accredify Global a changé la donne pour Spino Inc dans le renforcement de notre système de management de la sécurité de l'information (SMSI). Leur équipe d'audit accréditée par l'UAF a apporté une clarté technique exceptionnelle tant à notre revue documentaire d'Étape 1 qu'à notre évaluation d'Étape 2, ce qui nous a permis de valider nos mesures de sécurité sans perturbation opérationnelle. »
« En tant que grande entreprise au service des marchés mondiaux, démontrer une protection solide des données et la conformité à l'ISO 27001 est essentiel. Accredify Global a réalisé un audit de certification efficace et approfondi qui a satisfait les exigences de nos clients et renforcé notre posture globale face aux risques. Leurs auditeurs sont professionnels, objectifs et très compétents. »
Coût et délais de la certification ISO 27001
La certification ISO 27001 n'a pas de prix catalogue. Les honoraires dépendent du nombre de jours d'audit nécessaires à votre périmètre, qui dépend principalement de l'effectif, des sites et de la complexité de votre SMSI. Une revue du périmètre gratuite vous permet d'obtenir une proposition unique à prix forfaitaire pour votre périmètre réel, sans coûts cachés ajoutés par la suite.
Ce qui détermine vos jours d'audit (et votre prix)
- Effectif inclus dans le périmètre du SMSI, y compris les prestataires disposant d'accès
- Nombre de sites, et s'ils exercent les mêmes activités
- Étendue du périmètre : produits, systèmes, plateformes cloud et types de données
- Les mesures de l'Annexe A incluses dans votre Déclaration d'applicabilité
- Maturité du SMSI, et certification de l'ISO 27001 conjointement avec l'ISO 27701 ou l'ISO 42001
Durée de la certification ISO 27001
| Audit d'Étape 1 + Étape 2 | 2–8 semaines une fois prêt pour l'audit |
|---|---|
| Validité du certificat | 3 ans |
| Audits de surveillance | Tous les 12 mois |
Être prêt pour l'audit signifie que votre SMSI fonctionne depuis assez longtemps pour produire des enregistrements : une appréciation des risques achevée, un audit interne et une revue de direction. Si vous partez de zéro, prévoyez un délai de mise en œuvre avant l'audit.
ISO 27001, SOC 2, NIST CSF, ISO 27701 et ISO 42001 : les différences
L'ISO 27001 est souvent la colonne vertébrale d'un programme de sécurité. Voici comment elle se compare aux référentiels sur lesquels les clients vous interrogent en parallèle.
| Référentiel | Ce que vous obtenez | Lien avec l'ISO 27001 |
|---|---|---|
| SOC 2 | Un rapport d'attestation émis par un cabinet CPA agréé selon les normes de l'AICPA | Fort recouvrement des mesures. Les acheteurs américains demandent souvent SOC 2, les acheteurs internationaux l'ISO 27001. Voir ISO 27001 vs SOC 2. |
| NIST CSF 2.0 | Un cadre volontaire ; aucun certificat n'existe | De nombreuses équipes structurent leur programme avec le NIST CSF et le prouvent avec un certificat ISO 27001. |
| ISO 27701 | Certification du management de la protection de la vie privée | Fréquemment certifiée avec ISO 27001 pour couvrir le traitement des données personnelles et soutenir les travaux liés au GDPR. |
| ISO 42001 | Certification de système de management de l'intelligence artificielle | Partage la même structure de système de management, de sorte qu'un seul programme d'audit intégré peut couvrir les deux. |
Comment choisir entre les sociétés de certification ISO 27001
Les questions à poser à tout organisme de certification ISO 27001 avant de signer, et les réponses d'Accredify Global.
| Question à poser | La réponse d'Accredify Global |
|---|---|
| Êtes-vous accrédités, et puis-je le vérifier ? | Oui. Nous sommes accrédités par l'UAF dans le cadre de l'IAF MLA. Consultez notre périmètre dans l'annuaire UAF, et tout certificat que nous délivrons sur IAF CertSearch. |
| Qui dirige réellement l'audit ? | Un auditeur senior dédié, de l'appel de cadrage jusqu'au certificat, puis tout au long de la surveillance. |
| Comment l'audit est-il tarifé ? | Un forfait fixe, déterminé par les jours d'audit qu'exige votre périmètre. Aucun coût caché n'est ajouté une fois que vous l'avez accepté. |
| Construirez-vous aussi notre SMSI ? | Non. En tant qu'organisme de certification, nous restons indépendants : nous auditons le SMSI au lieu de le rédiger pour vous. |
| Pouvez-vous auditer à distance des équipes entièrement cloud ? | Oui, lorsque le périmètre le permet. Les sites comportant des mesures physiques peuvent nécessiter une visite sur place. |
| Pouvons-nous transférer depuis un autre organisme ? | Oui. Un audit de transfert préserve votre historique de certification et aligne le cycle d'audit. |
| Combien de temps prendra la certification ? | Généralement 2–8 semaines pour l'Étape 1 et l'Étape 2, une fois votre SMSI prêt pour l'audit. |
Certification ISO 27001 en Inde
Les sociétés de services informatiques, les exportateurs de SaaS, les BPO et les fintechs indiens ont souvent besoin de l'ISO 27001 parce que leurs clients américains, britanniques et européens l'exigent. Nous auditons les organisations indiennes à distance, sur site ou en mode hybride, et le certificat peut être vérifié par les clients étrangers sur IAF CertSearch.
Le coût de la certification ISO 27001 en Inde obéit à la même règle que partout ailleurs : les jours d'audit nécessaires à votre périmètre. Indiquez-nous votre effectif, vos sites et vos systèmes, et nous vous adresserons une proposition à prix forfaitaire. Voir Certification ISO en Inde.
Ce que vous recevez
Couvre le périmètre défini de votre SMSI, valable trois ans avec un audit de surveillance annuel.
Chaque constat est relié aux preuves et à l'article ou à la mesure de l'Annexe A sur lequel il repose.
Les clients peuvent vérifier votre certificat sur IAF CertSearch et sur notre page de vérification des certificats.
Certificat et libellé du périmètre prêts pour les revues de sécurité des fournisseurs et les appels d'offres.
Dates et domaines prioritaires de vos audits de surveillance annuels, convenus à l'avance.
Ajoutez ISO 27701, ISO 42001 ou ISO 9001 au même programme d'audit dès que vous êtes prêt.
Formation ISO 27001 pour votre équipe
Des formations animées par un formateur avec des exercices d'audit appliqués, pour les personnes qui piloteront et auditeront votre SMSI.
Questions fréquentes sur la certification ISO 27001
Des réponses claires sur les coûts, les délais, les exigences, les consultants et le choix d'un organisme de certification.
Qu'est-ce que la certification ISO 27001 ?
La certification ISO 27001 est la confirmation indépendante, par un organisme de certification accrédité, que le système de management de la sécurité de l'information (SMSI) d'une organisation est conforme à l'ISO/IEC 27001. Elle montre aux clients et aux partenaires que les risques liés à la sécurité de l'information sont gérés au moyen de mesures efficaces dans la pratique. Elle est vérifiée au moyen d'audits d'Étape 1 et d'Étape 2.
La certification ISO 27001 est-elle la même chose que la certification SMSI ?
Oui. L'ISO 27001 est la norme relative aux systèmes de management de la sécurité de l'information ; les deux termes désignent donc la même chose. Tous deux décrivent un certificat accrédité couvrant le SMSI dans le périmètre que vous définissez.
Quelle est la différence entre certification et accréditation ?
La certification, c'est lorsqu'un organisme de certification audite votre SMSI et délivre un certificat ISO 27001. L'accréditation, c'est lorsqu'un organisme d'accréditation évalue l'organisme de certification lui-même. Accredify Global est accrédité par l'UAF dans le cadre de l'IAF MLA, ce qui explique pourquoi ses certificats peuvent être vérifiés sur IAF CertSearch.
Selon quelle version de l'ISO 27001 devons-nous nous faire certifier ?
ISO/IEC 27001:2022, y compris l'Amendement 1:2024. La transition depuis l'édition 2013 s'est achevée le 31 octobre 2025. Les certificats délivrés selon l'ISO/IEC 27001:2013 ne sont plus valables, et tous les audits utilisent désormais l'édition 2022.
Qui peut délivrer un certificat ISO 27001 ?
Seul un organisme de certification peut délivrer un certificat ISO 27001. Pour que vos clients et les appels d'offres l'acceptent, choisissez un organisme de certification accrédité dans le cadre de l'IAF MLA. Ses certificats peuvent alors être vérifiés sur IAF CertSearch.
Ai-je besoin d'un consultant ISO 27001 ou d'un organisme de certification ?
Vous avez besoin d'un organisme de certification pour être certifié. Un consultant est facultatif et vous aide seulement à construire le SMSI. Les règles d'accréditation de l'ISO/IEC 17021-1 interdisent à un organisme de certification de faire du conseil sur le système qu'il certifie. Accredify Global audite le SMSI que vous construisez, que ce soit en interne, avec un consultant ou avec une plateforme de conformité.
Comment obtenir la certification ISO 27001 ?
Définissez le périmètre de votre SMSI, réalisez une appréciation des risques et sélectionnez les mesures dans une Déclaration d'applicabilité. Faites fonctionner le SMSI suffisamment longtemps pour réaliser un audit interne et une revue de direction, puis faites-le auditer par un organisme de certification accrédité. Avec Accredify Global, le parcours comprend une revue du périmètre gratuite, la demande, l'audit d'Étape 1, l'audit d'Étape 2, la décision de certification et la surveillance annuelle.
Combien de temps prend la certification ISO 27001 ?
Avec Accredify Global, les audits d'Étape 1 et d'Étape 2 durent généralement de 2 à 8 semaines une fois votre SMSI prêt pour l'audit. Être prêt pour l'audit signifie disposer d'une appréciation des risques, d'une Déclaration d'applicabilité, d'un audit interne et d'une revue de direction achevés. Les organisations qui partent de zéro ont besoin d'un temps de mise en œuvre avant l'audit.
Quelle est la différence entre un audit d'Étape 1 et un audit d'Étape 2 ?
L'Étape 1 examine la conception de votre SMSI : périmètre, politiques, appréciation des risques, Déclaration d'applicabilité et état de préparation à l'Étape 2. L'Étape 2 vérifie si le SMSI et les mesures sélectionnées fonctionnent réellement, en échantillonnant des enregistrements et en interrogeant les personnes qui les mettent en œuvre.
Quelles sont les exigences de la certification ISO 27001 ?
L'ISO 27001 exige un périmètre de SMSI défini, l'engagement de la direction, une politique de sécurité de l'information et un processus d'appréciation et de traitement des risques. Vous avez également besoin d'une Déclaration d'applicabilité couvrant les 93 mesures de l'Annexe A, des enregistrements correspondants, d'un audit interne, d'une revue de direction et d'actions correctives.
Combien coûte la certification ISO 27001 ?
Le coût de la certification ISO 27001 dépend du nombre de jours d'audit requis par votre périmètre. Les principaux facteurs sont l'effectif inclus dans le périmètre, le nombre de sites, l'étendue du périmètre, les mesures de l'Annexe A retenues dans votre Déclaration d'applicabilité et la maturité du SMSI. Accredify Global examine gratuitement votre périmètre et émet une proposition unique à prix forfaitaire, sans coûts cachés ajoutés par la suite.
Quelle est la durée de validité d'un certificat ISO 27001 ?
Trois ans. Des audits de surveillance annuels au cours de cette période confirment que le SMSI est toujours maintenu, et un audit de renouvellement de la certification est requis avant l'expiration du certificat.
La certification ISO 27001 est-elle obligatoire ?
L'ISO 27001 n'est généralement pas imposée par la loi, mais elle est souvent exigée dans la pratique. Les grandes entreprises clientes, les partenaires et les appels d'offres font souvent d'un certificat accrédité une condition pour travailler avec vous. C'est particulièrement courant pour les éditeurs SaaS, les fintechs, les healthtechs et les fournisseurs de services managés.
Les startups peuvent-elles obtenir la certification ISO 27001 ?
Oui. Les startups certifient souvent un périmètre ciblé, comme un produit ou une plateforme, ce qui limite la taille de l'audit. Les exigences sont les mêmes que pour les grandes entreprises, mais les jours d'audit, et donc le coût, varient en fonction de vos effectifs et de votre périmètre.
Quelle est la différence entre l'ISO 27001 et SOC 2 ?
L'ISO 27001 est une certification internationale de votre système de management de la sécurité de l'information, délivrée par un organisme de certification accrédité. SOC 2 est un rapport d'attestation émis par un cabinet CPA agréé selon les normes de l'AICPA. Les mesures se recoupent largement ; les acheteurs américains demandent souvent SOC 2, et les acheteurs internationaux l'ISO 27001.
Comment choisir un organisme de certification ISO 27001 ?
Vérifiez qu'il est accrédité dans le cadre de l'IAF MLA et que ses certificats figurent sur IAF CertSearch. Demandez ensuite qui dirige l'audit, comment les honoraires sont fixés et s'il peut auditer votre environnement à distance. Enfin, demandez combien de temps dureront l'Étape 1 et l'Étape 2.
Comment vérifier un certificat ISO 27001 ?
Les certificats ISO 27001 accrédités peuvent être vérifiés sur IAF CertSearch. Les certificats délivrés par Accredify Global peuvent également être vérifiés sur notre page de vérification des certificats.
Combien coûte la certification ISO 27001 en Inde ?
En Inde, le coût suit la même règle qu'ailleurs : les jours d'audit qu'exige votre périmètre, selon les effectifs concernés, les sites et l'étendue du périmètre. Accredify Global audite les organisations indiennes à distance, sur site ou en format hybride et remet une proposition à prix fixe après une revue du périmètre gratuite.
Puis-je passer à Accredify Global si je suis déjà certifié ISO 27001 ?
Oui. Il s'agit d'un audit de transfert, et non d'une première certification. Nous examinons votre certificat existant, son périmètre et les éventuelles non-conformités ouvertes, puis nous alignons votre cycle d'audit. Il suit les lignes directrices de l'IAF relatives au transfert et ne réinitialise pas votre historique de certification.
Proposez-vous une formation d'auditeur principal ISO 27001 ?
Oui. Accredify Global propose des formations ISO 27001 animées par un formateur : auditeur principal, auditeur interne et sensibilisation, avec des exercices d'audit appliqués fondés sur l'ISO/IEC 27001:2022.
Dans quels délais pouvons-nous démarrer le processus de certification ISO 27001 ?
Réservez une revue gratuite du périmètre. Nous confirmons votre périmètre et vous remettons une proposition à forfait fixe ; une fois celle-ci acceptée, nous planifions l'audit d'Étape 1 en fonction de l'état de préparation de votre SMSI.
Obtenez une proposition unique à prix forfaitaire pour le périmètre réel de votre SMSI
Parlez-nous de vos systèmes, de vos sites, de vos effectifs et du client ou de l'appel d'offres qui demande l'ISO 27001. Nous vous recommanderons un parcours de certification et un calendrier, et vous remettrons une proposition à prix fixe.
Réservez votre revue gratuite du périmètre d'audit →