- Guide d’achat · Sécurité
- Sources vérifiées le 22/10/2026
- Lecture : 8 min
ISO 27001 : les étapes d’une certification, ce que fait un consultant et ce qu’il ne peut pas garantir
ParNicolas Finet· Mis à jour le 22 octobre 2026·Sources citées
- Périmètre
- Analyse de risques
- Mesures
- Audit interne
- Certification
La réponse courte
ISO 27001 certifie un système de management de la sécurité de l’information, pas un produit. La certification est délivrée par un organisme accrédité (ISO/IEC 17021-1, selon LRQA) ; un consultant prépare, il ne certifie pas et ne peut pas la garantir. Depuis le 31 octobre 2025, seule l’édition 2022 est valable, avec 93 mesures dans l’annexe A au lieu de 114 (CSA). Un consultant est utile pour cadrer le périmètre, mener l’analyse de risques et préparer l’audit.
L’essentiel
93 mesures
dans l’édition 2022
Elles remplacent les 114 de l’annexe A de 2013, selon la Cloud Security Alliance.
31 oct. 2025
fin de la transition
Les certificats de l’édition 2013 ont expiré ou été retirés.
3 rôles
vous, consultant, organisme
Le consultant prépare ; seul l’organisme accrédité certifie.
Aucune garantie
de certification
La décision appartient à l’organisme qui audite.
6 étapes
et leurs livrables
Du périmètre à l’audit de certification.
1 diagnostic
de démarrage
Six points à cocher avant de lancer le projet.
Qui fait quoi : le consultant n’est pas celui qui certifie
ISO 27001 est une norme de système de management de la sécurité de l’information (SMSI) : elle demande de décider d’un périmètre, d’analyser les risques et de choisir des mesures, puis de montrer que le système fonctionne. La certification est délivrée par un organisme de certification, qui réalise « l’audit officiel » et une évaluation indépendante de votre SMSI ; LRQA recommande de choisir un organisme accrédité selon ISO/IEC 17021-1 et de réserver l’auditeur tôt, car la demande augmente près des échéances (LRQA, transition ISO 27001:2022, consulté le 22 octobre 2026).
| Qui | Ce qu’il fait | Ce qu’il ne peut pas faire |
|---|---|---|
| Vous (la direction et les équipes) | Fixez le périmètre, portez les risques, appliquez les mesures | Déléguer la responsabilité du SMSI à un prestataire |
| Le consultant | Prépare : analyse de risques, politiques, mesures, audit interne, accompagnement | Délivrer la certification, ni la garantir |
| L’organisme de certification | Audite et délivre (ou refuse) le certificat | Vous conseiller sur la mise en œuvre, sans compromettre son indépendance |
Conséquence pratique : un consultant qui « garantit » la certification promet ce qu’il ne décide pas. Demandez-lui plutôt ce qu’il livre avant l’audit, et qui, parmi les organismes accrédités, vous auditera.
Les six étapes d’une certification
Les durées dépendent de la taille et de l’état de départ. Voici l’enchaînement, avec ce que chaque étape doit produire (la mise en forme en six étapes est la nôtre, d’après la structure de la norme décrite par les sources ci-dessous) :
- 1
Définir le périmètre
Quels sites, équipes, systèmes et données entrent dans le SMSI.
Livrable : Un périmètre écrit, validé par la direction.
- 2
Analyser les risques
Identifier les actifs et les menaces, évaluer et décider du traitement.
Livrable : Un registre des risques et un plan de traitement.
- 3
Choisir et appliquer les mesures
Retenir les mesures de l’annexe A utiles à vos risques, et justifier celles qui ne le sont pas.
Livrable : Une déclaration d’applicabilité et des mesures en place.
- 4
Documenter et faire vivre
Politiques, procédures, formation, suivi des incidents.
Livrable : Des preuves d’application, datées et conservées.
- 5
Auditer en interne
Vérifier le système avant l’organisme, et corriger les écarts.
Livrable : Un rapport d’audit interne et un plan d’action.
- 6
Passer l’audit de certification
Audit officiel par un organisme accrédité.
Livrable : Un certificat valable, ou une liste d’écarts à corriger.
L’édition 2022 : ce qui a changé et ce qu’il faut exiger
D’après la Cloud Security Alliance (CSA, préparer ISO/IEC 27001:2022, consulté le 22 octobre 2026), la mise à jour de 2022 remplace le jeu de mesures de l’annexe A : l’ISO/IEC 27002:2022 compte 93 mesures, qui remplacent les 114 de l’édition précédente. Elle ajoute aussi un nouveau paragraphe 6.3 « planification des changements », qui impose de modifier le SMSI de façon planifiée.
| Point | Édition 2013 | Édition 2022 |
|---|---|---|
| Mesures de l’annexe A | 114 mesures (A.5 à A.18) | 93 mesures, regroupées dans les chapitres 5 à 8 |
| Changements du SMSI | Pas de paragraphe dédié | Paragraphe 6.3 : changements planifiés |
| Certificats | Expirés ou retirés à la fin de la transition (31 octobre 2025) | Seule édition valable pour une certification aujourd’hui |
La période de transition était de trois ans (36 mois) : la transition des organisations certifiées devait être terminée au 31 octobre 2025, et les certificats de l’édition 2013 expirent ou sont retirés à la fin de chaque période de transition, selon la CSA. LRQA fait le même constat : le 31 octobre 2025, la période de grâce de trois ans a pris fin. Nous sommes en octobre 2026 : tout certificat ISO 27001 en cours de validité doit se référer à l’édition 2022. C’est une vérification simple à demander à un consultant ou à un fournisseur.
Pour une transition, la CSA précise que l’audit de transition couvre au minimum une analyse d’écarts, la mise à jour de la déclaration d’applicabilité et du plan de traitement des risques, et la mise en œuvre des mesures nouvelles ou modifiées, avec 0,5 jour d’auditeur de plus lorsqu’il est combiné à un renouvellement, ou 1,0 jour sinon.
Auto-diagnostic : êtes-vous prêt à lancer le projet ?
Ces six points sont notre grille de cadrage, tirée de la structure d’un SMSI (périmètre, risques, mesures, preuves, audit interne). Ils ne remplacent pas la norme. Cochez ce qui est acquis :
0/6
Cochez ce qui est acquis.
Faut-il un consultant pour préparer votre certification ISO 27001 ?
Cochez les situations qui vous concernent. Le résultat est notre lecture, pas une norme.
0 situation(s) cochée(s)
Un démarrage en interne est envisageable
Si votre périmètre est réduit et que vous avez des compétences en sécurité, commencez par le périmètre et l’analyse de risques, puis faites relire par un expert.
Sept questions à poser à un consultant ISO 27001
- 1
Qui certifie, et comment choisissons-nous l’organisme ?
Le consultant ne certifie pas : demandez-lui de quels organismes accrédités il connaît les exigences, sans qu’il vous en impose un.
- 2
Travaillez-vous sur l’édition 2022 ?
La réponse doit être oui, avec les 93 mesures et le paragraphe 6.3 intégrés.
- 3
Comment menez-vous l’analyse de risques ?
Demandez la méthode, un exemple de registre et la manière dont les risques sont validés par vos équipes.
- 4
Qui rédige la déclaration d’applicabilité ?
Vous devez pouvoir la défendre devant l’auditeur ; elle ne doit pas être une liste copiée.
- 5
Que se passe-t-il si l’audit révèle des écarts ?
Attendez un plan de correction et le coût de l’accompagnement supplémentaire, annoncé d’avance.
- 6
Que me laisse-t-on à la fin ?
Documentation, registre des risques et procédures doivent vous appartenir et rester utilisables sans le consultant.
- 7
Comment le système vit-il après la certification ?
Audit interne, revue de direction et amélioration continue doivent avoir un responsable chez vous.
Le brief à préparer avant de déposer votre projet
Huit éléments suffisent pour qu’un prestataire chiffre sans multiplier les allers-retours. Remplissez les champs : le brief se compose à droite. Laissez vide ce que vous ignorez ; un conseiller peut vous aider à le formuler.
Votre brief
Les raisons de la certification : à préciser L’échéance visée : à préciser Le périmètre envisagé : à préciser Taille de l’organisation : à préciser Certifications ou référentiels existants : à préciser Responsable désigné côté direction : à préciser Prestataires critiques : à préciser Budget et calendrier : à préciser
D’où viennent les informations de ce guide
Ce guide ne classe pas d’agences. Les faits viennent d’articles de la Cloud Security Alliance et de LRQA, un organisme de certification . Les six étapes, le diagnostic et l’arbre des rôles sont des aides de lecture construites par Sortlist.
- Cloud Security Alliance, préparer ISO/IEC 27001:2022 : 93 mesures remplaçant 114, paragraphe 6.3, transition de 36 mois, date du 31 octobre 2025 (consulté le 22 octobre 2026).
- LRQA, transition vers ISO 27001:2022 : fin de la période de grâce, organisme accrédité ISO/IEC 17021-1, audit officiel (consulté le 22 octobre 2026).
Pour les exigences exactes, consultez la norme ISO/IEC 27001:2022 et le site de votre organisme de certification. Ce contenu n’est pas un avis de conformité.
Questions fréquentes
Un consultant peut-il garantir l’obtention de la certification ?
Non. La certification est délivrée par un organisme de certification qui réalise l’audit officiel et une évaluation indépendante de votre système, selon LRQA. Un consultant prépare ; il ne décide pas.
Mon certificat ISO 27001:2013 est-il encore valable ?
Non. La période de transition s’est terminée le 31 octobre 2025 : les certificats de l’édition 2013 ont expiré ou été retirés, selon la Cloud Security Alliance. Seule l’édition 2022 est valable aujourd’hui.
Qu’est-ce qui change avec l’édition 2022 ?
Les mesures de l’annexe A passent de 114 à 93, regroupées dans de nouveaux chapitres, et un paragraphe 6.3 impose de planifier les changements du système, d’après la Cloud Security Alliance.
À propos de l’auteur
À propos de l'auteur : Nicolas Finet
Cofondateur et CEO de Sortlist. Entrepreneur passionné de marketing B2B et d’accompagnement de la croissance des entreprises, il met en relation depuis 2014 les entreprises avec les bonnes agences marketing partout en Europe. Ses sujets : stratégie digitale, développement commercial et croissance des marketplaces B2B. Il supervise cette méthodologie et les données derrière chaque classement Sortlist.