ISO 27001 : Guide complet pour les PME françaises en 2026

1. Qu'est-ce que l'ISO 27001 ?

La norme ISO/IEC 27001 est le référentiel international de management de la sécurité de l'information (SMSI). Publiée par l'Organisation internationale de normalisation (ISO), elle définit les exigences pour établir, mettre en œuvre, maintenir et améliorer en continu un système de management de la sécurité de l'information.

La version en vigueur est l'ISO 27001:2022, publiée en octobre 2022. Par rapport à la version 2013, elle introduit quatre nouveaux contrôles (menaces contre la continuité des activités, sécurité des services cloud, intelligence des menaces, gouvernance de la sécurité de l'information dans les projets) et restructure les 114 contrôles précédents en 93 contrôles regroupés en quatre thèmes : organisationnels, personnels, physiques et technologiques.

La certification ISO 27001 est délivrée par des organismes de certification accrédités (en France : AFNOR Certification, Bureau Veritas, SGS, DNV) après un audit de stage 1 (revue documentaire) et un audit de stage 2 (audit sur site). Le certificat est valable 3 ans, avec des audits de surveillance annuels et un audit de renouvellement à 3 ans.

2. Qui doit se certifier en 2026 ?

La certification ISO 27001 n'est pas légalement obligatoire en France — mais elle devient de facto incontournable dans quatre situations concrètes :

• Appels d'offres publics et grands comptes : depuis 2024, un nombre croissant d'appels d'offres de l'État, des collectivités et des grands groupes du CAC 40 intègrent ISO 27001 comme critère d'éligibilité ou de notation. Sans certification, vous êtes éliminé d'emblée.
• Sous-traitants d'OIV et d'OSE : les opérateurs d'importance vitale (OIV) et opérateurs de services essentiels (OSE) sont tenus d'imposer des exigences de sécurité à leurs sous-traitants. ISO 27001 est le moyen le plus direct de satisfaire ces exigences contractuelles.
• Secteur de la santé : le référentiel HDS (Hébergeur de Données de Santé), obligatoire pour tout hébergeur de données de santé en France, intègre ISO 27001 comme composante de base. Sans ISO 27001, pas de certification HDS.
• Conformité NIS2 : la directive NIS2, transposée en droit français par la loi du 7 juin 2025, impose aux entités essentielles et importantes de mettre en œuvre des mesures de gestion des risques de cybersécurité. L'ISO 27001 est le référentiel le plus directement applicable pour satisfaire ces obligations.

"En 2026, une PME qui répond à des appels d'offres B2B dans les secteurs de la finance, de la santé, de l'énergie ou du numérique sans ISO 27001 se ferme structurellement des marchés. Ce n'est plus un avantage différenciant — c'est un prérequis." — Responsable achats, groupe CAC 40, avril 2026

3. Le processus de certification en 6 étapes

1. 01

   Analyse des écarts (Gap analysis) — 4 à 8 semaines

   Évaluation de votre niveau de maturité actuel par rapport aux exigences ISO 27001:2022. L'analyse cartographie les contrôles déjà en place, identifie les lacunes et produit un plan d'action priorisé. C'est l'étape la plus sous-estimée : une bonne gap analysis économise 3 à 6 mois sur la suite du projet.

2. 02

   Définition du périmètre et politique SMSI — 2 à 4 semaines

   Définition formelle du périmètre du SMSI (quels systèmes, données, processus, sites), rédaction de la politique de sécurité de l'information, désignation du responsable SMSI et obtention de l'engagement de la direction (clause 5.1 de la norme).

3. 03

   Évaluation et traitement des risques — 6 à 10 semaines

   Identification des actifs informationnels, évaluation des menaces et vulnérabilités, calcul des niveaux de risque, sélection des contrôles de traitement. En France, la méthode EBIOS RM de l'ANSSI est la plus reconnue. Produire la Déclaration d'Applicabilité (SoA) qui justifie l'inclusion ou l'exclusion de chaque contrôle de l'Annexe A.

4. 04

   Mise en œuvre des contrôles — 3 à 6 mois

   Déploiement technique et organisationnel des contrôles sélectionnés : politiques et procédures, contrôles d'accès, gestion des incidents, plan de continuité, formation du personnel, tests de pénétration, gestion des fournisseurs. C'est la phase la plus longue et la plus coûteuse en ressources internes.

5. 05

   Audit interne et revue de direction — 4 à 6 semaines

   Audit interne obligatoire pour vérifier la conformité du SMSI avant l'audit de certification. Doit être réalisé par un auditeur indépendant (interne ou externe). Suivi d'une revue de direction formelle (compte rendu obligatoire). Les non-conformités identifiées doivent être traitées avant l'audit de certification.

6. 06

   Audit de certification (Stages 1 & 2) — 4 à 8 semaines

   Stage 1 : revue documentaire par l'organisme accrédité (AFNOR, Bureau Veritas…), identification des points à clarifier avant le stage 2. Stage 2 : audit sur site, entretiens avec les équipes, vérification des preuves. En cas de non-conformités majeures, un plan d'action est demandé avant la délivrance du certificat.

4. Coûts et délais réels pour une PME française

La question que posent 80 % des PME en premier : combien ça coûte vraiment ? Voici des chiffres tirés de projets réels accompagnés en France en 2025–2026.

Le budget se décompose ainsi pour une PME de 30 à 100 salariés (fourchette médiane) :

• Accompagnement conseil : 8 000 à 18 000 € (la part la plus variable)
• Audit de certification (Stage 1 + Stage 2) : 4 000 à 9 000 €
• Outils ISMS et GRC : 600 à 3 000 €/an (optionnel mais recommandé)
• Ressources internes mobilisées : 60 à 120 jours/homme (non facturés mais à budgéter)

Les coûts annuels post-certification comprennent les audits de surveillance (1 500–3 000 €/an) et le maintien des contrôles (variable selon la maturité atteinte).

5. ISO 27001 vs NIS2 : ce qu'il faut comprendre

La question revient systématiquement dans nos premiers échanges avec les PME : "On nous parle de NIS2 et d'ISO 27001 en même temps — est-ce que c'est la même chose ?"

Non, ce n'est pas la même chose — mais les deux se renforcent mutuellement. Voici les différences clés :

• Nature : ISO 27001 est un référentiel de certification volontaire. NIS2 (transposée par la loi du 7 juin 2025) est une obligation légale pour les entités essentielles et importantes dans des secteurs définis.
• Périmètre : ISO 27001 s'applique à toute organisation, quel que soit son secteur. NIS2 cible 18 secteurs spécifiques (énergie, transports, santé, eau, finance, numérique, espace…) et leurs sous-traitants critiques.
• Certification : ISO 27001 délivre un certificat reconnu internationalement. NIS2 impose des mesures mais ne délivre pas de certificat — la conformité est vérifiée par l'ANSSI et des audits réglementaires.
• Sanctions : ISO 27001 — aucune sanction légale pour absence de certification (sauf contrats). NIS2 — jusqu'à 10 M€ ou 2 % du CA mondial pour les entités essentielles, 7 M€ ou 1,4 % du CA pour les entités importantes.

La bonne stratégie : si vous êtes soumis à NIS2, l'ISO 27001 couvre 85 à 90 % des exigences NIS2. Lancer les deux chantiers séparément est une erreur coûteuse. Commencez par ISO 27001 — la conformité NIS2 en est un sous-produit naturel.

6. Les 5 erreurs qui font échouer les projets de certification

FAQ