Une PME est-elle obligée de se certifier ISO 27001 ?

Non, aucune loi n'impose la certification ISO 27001 à une PME. La norme devient en revanche un argument de plus en plus demandé par les grands donneurs d'ordre, certains marchés publics ou des clients soumis eux-mêmes à des exigences de sécurité (RGPD, NIS2, secteur bancaire ou santé). Beaucoup de PME s'inspirent de la norme sans viser la certification, simplement pour structurer leur sécurité.

Combien de temps faut-il pour obtenir la certification ISO 27001 ?

Il n'existe pas de durée universelle : tout dépend de la maturité de départ et de la taille de l'organisation. La démarche comprend toujours un diagnostic initial, la mise en place du système de management (politiques, analyse de risques, mesures de sécurité), une période de fonctionnement réel avant l'audit, puis l'audit de certification lui-même en deux temps. Pour une petite structure, compter plusieurs mois de préparation sérieuse plutôt que quelques semaines.

Quelle est la différence entre ISO 27001, le RGPD et NIS2 ?

Le RGPD protège les données personnelles et NIS2 impose des obligations de cybersécurité à certains secteurs selon des seuils de taille. ISO 27001 est différente : c'est une norme volontaire et internationale qui structure l'ensemble de la sécurité de l'information (pas seulement les données personnelles) autour d'un système de management. Les trois démarches se recoupent largement : une PME déjà engagée dans l'une avance plus vite sur les autres.

Une petite entreprise peut-elle vraiment mettre en place un système de management comme celui-ci ?

Oui, la norme s'applique à des organisations de toute taille et de tout secteur et ne prescrit aucune solution technique imposée : elle demande d'identifier ses propres risques et d'appliquer des mesures proportionnées. Pour une PME, cela veut dire adapter l'ampleur de la démarche à la taille réelle de la structure, pas copier le dispositif d'un grand groupe.

Qui délivre le certificat et pendant combien de temps est-il valable ?

Le certificat est délivré par un organisme de certification accrédité (par exemple le Cofrac en France), à l'issue d'un audit en deux étapes. Il est valable trois ans, avec des audits de suivi réguliers pendant cette période pour vérifier que le système de management reste appliqué dans la durée, et non pas seulement au moment de l'audit initial.

ISO 27001 pour une PME : faut-il se faire certifier ?

De plus en plus de dirigeants de PME entendent parler d’ISO 27001 sans savoir si cela les concerne vraiment. Ce guide explique ce que couvre la norme, comment se déroule une certification, et dans quels cas elle a du sens pour une petite structure.

ISO 27001, qu’est-ce que c’est exactement ?

ISO/IEC 27001 est une norme internationale qui définit les exigences d’un système de management de la sécurité de l’information (SMSI). Dans sa version 2022, publiée par l’ISO, elle s’applique à des organisations de tout type et de toute taille, quel que soit leur secteur d’activité.

Contrairement à une checklist technique, la norme ne dit pas « installez tel pare-feu » ou « chiffrez vos disques ». Elle impose une démarche par les risques : identifier ce qui doit être protégé (données clients, contrats, savoir-faire, systèmes), évaluer les menaces qui pèsent dessus, puis choisir des mesures proportionnées. Deux PME certifiées ISO 27001 peuvent donc avoir mis en place des protections très différentes, tant que chacune a justifié ses choix.

Un point important pour qui envisage la certification : la norme précise que ses exigences centrales (ce que les spécialistes appellent les clauses 4 à 10) doivent toutes être respectées. On ne peut pas se déclarer conforme en n’en appliquant qu’une partie.

ISO 27001 face au RGPD et à NIS2

Une PME confond souvent ISO 27001 avec les obligations réglementaires qu’elle connaît déjà :

	Nature	Objet	Obligatoire ?
RGPD	Réglementation européenne	Protection des données personnelles	Oui, dès qu’il y a traitement de données personnelles
NIS2	Directive européenne transposée en droit français	Cybersécurité de certains secteurs, selon des seuils de taille	Oui, mais seulement pour les entités concernées
ISO 27001	Norme internationale volontaire	Sécurité de l’information dans son ensemble, via un système de management	Non, démarche volontaire

Les trois ne s’opposent pas : une PME qui a déjà structuré son registre de traitements RGPD ou ses mesures de cybersécurité pour NIS2 a déjà posé une partie des fondations qu’ISO 27001 demande. Côté secteur public, l’ANSSI note d’ailleurs qu’ISO 27001 peut appuyer la démarche d’homologation d’un système d’information, sans pour autant remplacer ses propres guides techniques ni la méthode d’analyse de risques EBIOS Risk Manager.

Les grandes étapes vers la certification

La démarche suit toujours le même schéma, que l’organisation fasse 8 ou 150 salariés :

Diagnostic initial (gap analysis) : comparer l’existant aux exigences de la norme et identifier les écarts.
Mise en place du système de management : politique de sécurité, analyse de risques formalisée, plan de traitement des risques, mesures organisationnelles, humaines, physiques et techniques choisies en conséquence.
Fonctionnement réel du système sur une période suffisante pour produire des preuves concrètes (journaux, comptes rendus, indicateurs) avant l’audit.
Audit de certification en deux temps, réalisé par un organisme accrédité : une revue documentaire, puis un audit sur le terrain qui vérifie que les mesures sont réellement appliquées.
Délivrance du certificat, valable trois ans, avec des audits de suivi réguliers pendant cette période pour maintenir la certification.

Ce n’est pas un projet qui se boucle en quelques semaines : la phase de préparation et de mise en œuvre réelle est presque toujours la plus longue, bien avant l’audit lui-même.

Faut-il viser la certification, ou juste s’en inspirer ?

Deux approches coexistent, et toutes deux ont de la valeur pour une PME :

S’inspirer de la norme sans certifier : utiliser sa structure (politique de sécurité, analyse de risques, mesures organisées par thème) pour mettre de l’ordre dans sa sécurité informatique, sans viser un audit externe. C’est souvent le point de départ le plus réaliste pour une petite structure.
Viser la certification : pertinent quand un client important, un appel d’offres ou un partenaire l’exige explicitement, ou quand la sécurité de l’information devient un argument commercial différenciant dans votre secteur.

Dans les deux cas, la logique est la même : ne pas chercher à tout sécuriser d’un coup, mais prioriser ce qui protège le plus votre activité, avec des mesures qui tiennent dans la durée plutôt qu’un dossier monté juste pour un audit.

Chez SPOC

Nous accompagnons les TPE et PME de Montpellier, de l’Hérault et d’Occitanie dans la sécurisation et la mise en conformité de leur système d’information, avec un seul interlocuteur pour piloter la démarche. Que vous souhaitiez simplement structurer votre sécurité ou préparer une certification ISO 27001, nous partons toujours d’un état des lieux concret de votre organisation.

Vous vous interrogez sur la pertinence d’ISO 27001 pour votre entreprise ? Contactez-nous pour en discuter.