La certification ISO 27001 est la confirmation par un tiers accrédité que le Système de Management de la Sécurité de l'Information (SMSI) de votre organisation est conforme à ISO/IEC 27001:2022, la norme de référence actuelle en matière de management de la sécurité de l'information. Si des clients, des contrats ou des assureurs vous demandent une preuve de sécurité, le chemin commence par la définition du périmètre de votre SMSI et par un état des lieux préalable afin d'établir un budget et un calendrier réalistes avant d'engager des ressources.
Voici ce que cela signifie concrètement :
- Certification ≠ auto-déclaration. Un organisme de certification accrédité audite votre SMSI et délivre le certificat. L'ISO publie la norme ; l'ISO ne délivre pas de certificats.
- Cycle de trois ans. La certification initiale est suivie d'audits de surveillance annuels en années 1 et 2, puis d'une recertification complète en année 3.
- Déclencheur commercial. La plupart des organisations poursuivent la certification parce qu'un client, un assureur ou un contrat l'exige, et non parce qu'une loi l'impose.
- Première étape. Définissez le périmètre de votre SMSI et réalisez une analyse d'écarts ou un état des lieux avant de contacter un organisme de certification.
Table des matières
- Ce que signifie réellement la certification ISO/IEC 27001
- Pourquoi les organisations recherchent la certification ISO 27001
- La certification ISO 27001 est-elle obligatoire aux États-Unis ?
- Ce qu'exige réellement la norme : articles, Annex A et DdA
- Comment fonctionne le processus de certification, étape par étape
- Coût de la certification et délais
- Comment choisir un organisme de certification accrédité
- Les écueils courants qui retardent la certification
- Une liste de contrôle pré-audit compacte pour les phases 1 et 2
- Points clés à retenir
Ce que signifie réellement la certification ISO/IEC 27001
ISO/IEC 27001:2022 est la norme. La certification intervient lorsqu'un organisme indépendant et accrédité audite votre SMSI par rapport à cette norme et le juge conforme. La distinction est importante, car de nombreuses organisations affirment être « conformes à ISO 27001 » alors qu'elles suivent simplement la norme en interne. Pour une équipe achats en entreprise, conformité et certification ne sont pas synonymes.
La norme elle-même est publiée par l'Organisation internationale de normalisation (ISO) et la Commission électrotechnique internationale (IEC). Elle définit ce qu'un SMSI doit comprendre, de l'appréciation des risques à la revue de direction, mais elle ne précise pas quel organisme de certification utiliser ni la durée du processus. Cela relève d'un cadre distinct : ISO/IEC 17021 et ISO/IEC 27006, qui fixent les règles que les organismes de certification doivent respecter, notamment les formules obligatoires de durée d'audit basées sur l'effectif.
Un point qui déroute souvent les équipes : ISO 27001 et SOC 2 ne sont pas interchangeables. ISO 27001 certifie un système de management ; SOC 2 atteste de l'efficacité opérationnelle sur une période définie. De nombreuses organisations qui vendent à plusieurs types d'acheteurs finissent par poursuivre les deux, souvent de manière séquentielle. Une évaluation de maturité vous aide à décider de les mener simultanément ou successivement.
Pourquoi les organisations recherchent la certification ISO 27001
La justification commerciale de la certification est presque toujours liée aux achats. Les grands acheteurs institutionnels, notamment dans la finance, la santé et les marchés publics, considèrent de plus en plus la certification ISO 27001 comme un prérequis fournisseur de base plutôt que comme un facteur de différenciation.
- Éditeurs SaaS qui vendent aux grandes entreprises. Les équipes achats des grandes entreprises exigent couramment ISO 27001 comme condition d'intégration fournisseur. Sans elle, les contrats s'enlisent dans les revues de sécurité.
- Prestataires de services managés (MSP). Vous détenez un accès administrateur aux environnements de vos clients. La certification atteste que votre propre posture de sécurité a été vérifiée de manière indépendante.
- Fournisseurs fintech et healthtech. Ces secteurs utilisent souvent ISO 27001 comme socle avant d'ajouter des contrôles SOC 2 ou HIPAA. Les régulateurs et les assureurs y sont attentifs.
- Contractants gouvernementaux. Les programmes d'achats fédéraux et étatiques font de plus en plus référence à ISO 27001 dans leurs cadres de gestion du risque fournisseur, même lorsque ce n'est pas formellement obligatoire.
Au-delà des achats, les bénéfices opérationnels sont bien réels. Un SMSI correctement mis en œuvre impose une appréciation structurée des risques, des procédures de gestion des incidents définies et une supervision documentée des fournisseurs. Les équipes qui traversent la certification constatent généralement que la fonction d'audit interne, obligatoire en vertu du chapitre 9.2, révèle des lacunes de contrôle qu'elles ignoraient. C'est précisément l'objectif. L'audit n'est pas la finalité ; le SMSI en exploitation l'est.
La certification ISO 27001 est-elle obligatoire aux États-Unis ?
Aucune loi fédérale américaine n'impose la certification ISO 27001. La norme est volontaire au regard du droit américain. Cela dit, « volontaire » ne signifie pas facultatif en pratique.
La réalité commerciale est que les clients, les assureurs et les contrats créent des exigences de facto. Un éditeur SaaS qui perd un contrat de 2 M$ parce qu'il ne peut pas produire un certificat ISO 27001 a vécu une exigence obligatoire, même si aucune loi ne l'imposait. Les scénarios courants dans lesquels la certification devient effectivement requise comprennent :
- Les questionnaires achats des grandes entreprises qui listent ISO 27001 comme critère éliminatoire
- La souscription d'assurance cyber, où les assureurs proposent des primes réduites ou exigent la certification pour des plafonds de garantie plus élevés
- Les programmes de gestion du risque fournisseur dans les secteurs réglementés de la banque, de la santé et des infrastructures critiques
- Les chaînes d'approvisionnement gouvernementales et de défense, où les cadres de sécurité font de plus en plus référence à ISO 27001
Avant de budgétiser la certification, examinez le libellé de vos contrats actuels et les questionnaires de risque fournisseur de vos cinq principaux clients. Cet examen vous indiquera si la certification est une exigence commerciale à court terme ou un investissement stratégique à moyen terme.
Ce qu'exige réellement la norme : articles, Annex A et DdA
ISO/IEC 27001:2022 s'articule autour de dix articles (les articles 4 à 10 constituent les exigences obligatoires) et de l'Annex A, qui liste 93 mesures organisées en quatre thèmes : Organisationnelles (37), Liées aux personnes (8), Physiques (14) et Technologiques (34). La révision de 2022 a consolidé les 114 mesures précédentes réparties en 14 domaines en cette structure plus lisible.
La Déclaration d'Applicabilité (DdA) est le document que les auditeurs considèrent comme central. Elle indique lesquelles des 93 mesures s'appliquent à votre organisation, lesquelles sont exclues, et la justification de chaque décision. Une DdA incomplète ou incohérente en interne est l'un des moyens les plus rapides d'échouer à la revue de phase 1.
Le jeu de documentation obligatoire comprend :
- Déclaration de périmètre du SMSI
- Politique de sécurité de l'information
- Méthodologie et résultats de l'appréciation des risques
- Plan de traitement des risques
- Déclaration d'Applicabilité
- Rapports d'audit interne (chapitre 9.2)
- Compte rendu de la revue de direction (chapitre 9.3)
- Rôles et responsabilités documentés
Toutes les mesures de l'Annex A n'ont pas à être mises en œuvre. Vous mettez en œuvre celles que votre appréciation des risques identifie comme applicables et documentez les exclusions dans la DdA. Pour un éditeur SaaS type, environ 80 à 90 % des 93 mesures seront applicables. Les mesures physiques relatives aux centres de données non gardés que vous n'exploitez pas constituent une exclusion légitime courante.
Conseil pratique : Attribuez un responsable nommé et une date cible à chaque action de traitement des risques dans votre plan. Les auditeurs demanderont qui est responsable de chaque mesure. « L'équipe sécurité » n'est pas une réponse acceptable.
Comment fonctionne le processus de certification, étape par étape
Le chemin de la décision au certificat suit une séquence définie. Sauter des étapes ne fait pas gagner du temps ; cela crée des non-conformités qui coûtent plus de temps à corriger que l'étape elle-même n'en aurait pris.
- Définir le périmètre du SMSI. Décidez quelles parties de l'organisation, quels systèmes et quels sites relèvent du périmètre du SMSI. L'extension incontrôlée du périmètre est la cause la plus fréquente de dépassement de budget. Un périmètre bien délimité et défendable vaut mieux qu'un périmètre ambitieux.
- Nommer un responsable SMSI. Quelqu'un doit piloter le projet. Cette personne coordonne l'appréciation des risques, la documentation et l'audit interne. Pour les petites structures, il s'agit souvent du responsable informatique ou du RSSI ; pour les plus grandes, d'un rôle dédié à la conformité.
- Réaliser une analyse d'écarts ou un état des lieux. Cartographiez vos mesures actuelles par rapport aux exigences d'ISO/IEC 27001:2022. Cela vous indique ce que vous avez, ce qui manque et l'ampleur du travail à accomplir.
- Mettre en œuvre les mesures et constituer la documentation. Finalisez l'appréciation des risques, rédigez la DdA, élaborez les politiques et procédures, et collectez les preuves que les mesures fonctionnent. Cette phase est la plus longue.
- Réaliser un audit interne (chapitre 9.2). Obligatoire avant la phase 1. L'audit interne doit être structuré, documenté et lié à des actions correctives. Les auditeurs examineront spécifiquement les rapports d'audit interne lors de la phase 1 ; des enregistrements absents ou insuffisants bloquent fréquemment le passage à la phase 2.
- Tenir une revue de direction (chapitre 9.3). La direction doit formellement passer en revue la performance du SMSI, les résultats d'audit et le statut du traitement des risques. Le compte rendu doit être documenté.
- Audit de phase 1 (revue documentaire). L'organisme de certification examine la documentation de votre SMSI. La phase 1 dure généralement 1 à 2 jours, souvent à distance. L'auditeur vérifie si votre conception est solide : le périmètre est-il défini ? La DdA existe-t-elle et est-elle cohérente ? Les documents obligatoires sont-ils présents ?
- Traiter les constats de la phase 1. Corrigez toute non-conformité avant la phase 2. Une non-conformité majeure en phase 1 signifie que la phase 2 ne peut pas débuter avant sa résolution.
- Audit de phase 2 (mise en œuvre et efficacité). L'auditeur vérifie que les mesures sont réellement en fonctionnement conformément à ce qui est documenté. Cette phase est plus longue que la phase 1 et se déroule généralement sur site ou par session à distance avec partage d'écran et revue de preuves en temps réel. Une seule non-conformité majeure bloque la certification jusqu'à sa résolution.
- Décision de certification. Le comité de l'organisme de certification délivre le certificat si aucune non-conformité majeure non résolue ne subsiste. Les non-conformités mineures requièrent un plan d'actions correctives mais ne bloquent pas la délivrance.
- Audits de surveillance annuels (années 1 et 2). Des audits de moindre envergure vérifient que le SMSI continue de fonctionner. Les audits de surveillance couvrent un sous-ensemble de mesures et vérifient que les actions correctives issues de l'audit initial ont été clôturées.
- Recertification (année 3). Un cycle d'audit complet reprend. Les certificats suivent un cycle de trois ans : certification initiale, deux audits de surveillance, puis recertification.
Coût de la certification et délais
Les coûts et les délais varient considérablement selon la taille de l'organisation, la maturité du SMSI et l'étendue du périmètre. Les chiffres ci-dessous sont des fourchettes indicatives ; vos chiffres réels dépendent de l'effectif, du nombre de sites et du recours à des consultants externes.
| Élément de coût ou de délai | Fourchette indicative | Variables clés |
|---|---|---|
| Les audits de certification initiale se situent généralement entre 8 000 et 30 000 $ et plus ; les audits de surveillance se situent couramment entre 6 000 et 8 000 $. | Effectif, sites, périmètre | |
| Consultant externe (optionnel) | Variable selon les cas | Modèle d'intervention, durée |
| Temps interne mobilisé | Significatif | Taille de l'équipe, niveau de maturité initial |
| La durée entre la mise en œuvre et l'obtention du certificat varie considérablement selon la maturité initiale et l'étendue du périmètre | Maturité initiale, étendue du périmètre | |
| La durée de l'audit de phase 1 est généralement d'un à deux jours, souvent à distance | Souvent à distance | |
| Durée de l'audit de phase 2 | Proportionnelle à l'effectif | Selon les formules ISO/IEC 17021 |
La durée des audits n'est pas négociable. Les organismes de certification appliquent des formules dérivées d'ISO/IEC 17021 qui imposent des durées d'audit en fonction de l'effectif et du niveau de risque. À titre indicatif : les organisations de 1 à 25 salariés nécessitent généralement 5 à 7 jours d'audit ; 26 à 45 salariés, 8 à 9 jours ; 126 à 175 salariés, 12 à 13 jours. Ne pas tenir compte des jours d'audit obligatoires conduit à des calendriers irréalistes et à des conflits de planification avec l'organisme de certification choisi.
Budgétisez le cycle complet de trois ans dès le départ. Les audits de surveillance ne sont pas facultatifs, et les organisations qui traitent la certification comme un projet ponctuel sont souvent surprises par les coûts de l'année 2. Les erreurs courantes de budgétisation ISO 27001 incluent la sous-estimation du temps interne et l'oubli du coût des actions correctives déclenchées par les constats de la phase 1.
Comment choisir un organisme de certification accrédité
L'accréditation est ce qui distingue un certificat accepté par les équipes achats des grandes entreprises d'un certificat qu'elles rejetteraient. Un organisme de certification accrédité a été évalué de manière indépendante par rapport à ISO/IEC 17021 et ISO/IEC 27006 par un organisme national d'accréditation. Aux États-Unis, cet organisme est l'ANAB (ANSI National Accreditation Board). Depuis janvier 2026, le Forum international d'accréditation (IAF) a fusionné avec Global ACI, qui gère désormais la base de données des accréditations et des certificats. Pour vérifier l'accréditation d'un organisme de certification, consultez directement la base de données Global ACI ou le répertoire de l'ANAB.
Parmi les organismes de certification bien connus opérant sur le marché américain figurent BSI (British Standards Institution), DNV et A-LIGN, entre autres. Chacun présente des points forts différents en termes d'expérience sectorielle, de profondeur des équipes d'audit et de capacité d'audit à distance. Aucun n'est automatiquement le bon choix pour votre organisation.
Questions à poser à tout organisme de certification pressenti avant de signer :
- Votre accréditation ISO/IEC 27001 est-elle à jour, et pouvez-vous fournir le numéro de certificat d'accréditation ?
- Comment calculez-vous les jours d'audit, et quelle est l'estimation pour notre effectif et notre périmètre ?
- Quelle est votre politique concernant les audits à distance par rapport aux audits sur site pour la phase 2 ?
- Quelle est l'expérience de votre auditeur principal dans notre secteur ?
- Comment gérez-vous les conflits d'intérêts si vous nous avez précédemment fourni des services de conseil ?
- Quel est votre délai habituel entre la fin de la phase 2 et la délivrance du certificat ?
Conseil pratique : Demandez un exemple de rapport d'audit à l'organisme de certification avant de signer. La qualité de la documentation de leurs constats vous en dit beaucoup sur l'utilité de l'audit en tant qu'outil d'amélioration, et pas seulement comme exercice de conformité.
Les écueils courants qui retardent la certification
La plupart des retards de certification sont prévisibles. Les mêmes erreurs se répètent dans les organisations de toute taille.
- Périmètre sous-estimé, puis élargi. Définir un périmètre trop étroit pour gagner du temps, puis découvrir en cours de mise en œuvre que des systèmes ou des équipes clés doivent être intégrés. Les modifications de périmètre une fois la mise en œuvre commencée sont coûteuses.
- DdA incomplète ou incohérente. Des mesures listées comme applicables dans la DdA sans preuve correspondante, ou des mesures exclues sans justification documentée. Les auditeurs le signalent immédiatement.
- Enregistrements d'audit interne insuffisants. L'audit interne doit être structuré et documenté, avec les constats suivis jusqu'à la clôture des actions correctives. Un document d'une page indiquant « nous avons tout vérifié et tout va bien » ne passera pas la phase 1.
- Traiter la revue de direction comme une formalité. Les comptes rendus de la revue de direction doivent montrer que la direction a réellement examiné les données de performance du SMSI, le statut du traitement des risques et les résultats d'audit. Des comptes rendus génériques copiés depuis un modèle constituent un signal d'alarme.
- Sondage insuffisant des preuves. Savoir qu'une mesure existe ne suffit pas. Les auditeurs sondent les preuves que la mesure fonctionne de manière cohérente. Les journaux de contrôle d'accès, les enregistrements de réalisation des formations et la documentation des revues fournisseurs doivent être consultables à la demande.
- Délais irréalistes. Les organisations qui compriment la mise en œuvre à six semaines arrivent généralement à la phase 1 avec des lacunes documentaires et sans audit interne. L'organisme de certification ne peut alors pas passer à la phase 2.
Conseil pratique : Organisez une simulation formelle de la phase 1 quatre à six semaines avant votre date d'audit prévue. Demandez à quelqu'un qui ne connaît pas votre SMSI de chercher les documents obligatoires en utilisant uniquement votre système de gestion documentaire. S'il ne trouve pas la DdA en moins de deux minutes, votre auditeur rencontrera le même problème.
Une liste de contrôle pré-audit compacte pour les phases 1 et 2
Utilisez cette liste de contrôle dans les dernières semaines précédant votre audit externe. Elle n'est pas exhaustive ; considérez-la comme un seuil minimal, non comme un plafond. Une liste de contrôle complète pour la certification ISO 27001 couvre l'intégralité de la séquence de mise en œuvre en 80 étapes.
Éléments essentiels pour la phase 1 (revue documentaire) :
- Déclaration de périmètre du SMSI, signée et gérée en versions
- Politique de sécurité de l'information, approuvée par la direction générale
- Déclaration d'Applicabilité, avec les 93 mesures traitées et les exclusions justifiées
- Résultats de l'appréciation des risques, documentés avec la méthodologie expliquée
- Plan de traitement des risques, avec des responsables nommés et des dates cibles
- Rapport d'audit interne (chapitre 9.2), avec les constats et le statut des actions correctives
- Compte rendu de la revue de direction (chapitre 9.3), attestant de l'implication de la direction
Exemples de preuves pour la phase 2 (vérification de la mise en œuvre) :
- Journaux de contrôle d'accès démontrant l'application du principe du moindre privilège
- Enregistrements d'incidents (même en l'absence d'incidents, documentez le processus et les quasi-incidents)
- Enregistrements de réalisation des formations pour l'ensemble du personnel dans le périmètre
- Documentation des revues de sécurité fournisseurs (revues annuelles des fournisseurs clés)
- Résultats des analyses de vulnérabilités ou des tests d'intrusion avec suivi de la remédiation
- Enregistrements de gestion des changements pour les systèmes dans le périmètre
- Preuves référencées aux mesures de la DdA de l'Annex A, organisées de façon à ce que l'auditeur puisse suivre le fil
Présentez les preuves dans un dossier partagé ou un système de gestion documentaire organisé par thème de l'Annex A. Les auditeurs travaillant à distance demanderont des preuves spécifiques pendant la session ; si vous cherchez dans des fils d'e-mails pour retrouver un enregistrement de revue fournisseur, vous perdez du temps et de la crédibilité simultanément.
Les enregistrements d'audit interne constituent le point d'échec le plus fréquent en phase 1. Les auditeurs examinent spécifiquement les rapports d'audit interne et les preuves de la revue de direction ; des enregistrements absents ou insuffisants bloquent le passage à la phase 2 plus souvent que tout autre écart.
Comment Ismscalculator vous aide à planifier votre budget et votre calendrier
Avant de contacter un organisme de certification ou de recruter un consultant, vous avez besoin d'une vision réaliste de ce que la certification coûtera et du temps qu'elle prendra pour votre organisation spécifique. C'est précisément ce à quoi Ismscalculator est conçu pour répondre.
La plateforme génère des estimations de coûts et d'efforts en temps réel, adaptées à la taille de votre entreprise, à votre secteur et à votre niveau de maturité en sécurité. Elle couvre l'ensemble du tableau de mise en œuvre : honoraires d'audit, temps interne mobilisé, coûts de conseil et cycle de surveillance continu. Une évaluation de maturité sur les quatre thèmes de mesures ISO/IEC 27001:2022 vous montre où votre SMSI est solide et où il doit progresser avant d'investir dans des mesures dont vous n'aurez peut-être pas besoin.
La boîte à outils comprend des diagrammes de Gantt personnalisables pour les phases de mise en œuvre, des comparaisons de références modèles pour valider vos estimations, et la possibilité de sauvegarder et de comparer plusieurs scénarios, comme la mise en œuvre en interne par rapport à une assistance par consultant. Le bilan de préparation gratuit en 2 minutes vous donne une base immédiate avant tout engagement.
Points clés à retenir
La certification ISO 27001 requiert des preuves documentées du fonctionnement d'un SMSI conforme, un cycle d'audit de trois ans et un organisme de certification accrédité — et non simplement un document de politique.
| Point | Détails |
|---|---|
| Certification vs. conformité | L'ISO publie la norme ; des organismes tiers accrédités délivrent les certificats après les audits de phases 1 et 2. |
| Cycle de trois ans | Budgétisez la certification initiale, deux audits de surveillance annuels et la recertification complète en année 3. |
| DdA et audit interne | La Déclaration d'Applicabilité et les enregistrements d'audit interne sont les deux documents que les auditeurs examinent le plus attentivement en phase 1. |
| Fourchette de coûts | Les audits de certification initiale se situent généralement entre 8 000 et 30 000 $ et plus ; les audits de surveillance se situent couramment entre 6 000 et 8 000 $. |
| Ismscalculator | Réalisez le bilan de préparation gratuit en 2 minutes pour obtenir une estimation de coûts et d'efforts personnalisée avant de contacter un organisme de certification. |
Ce que la plupart des guides passent sous silence
La plupart des guides ISO 27001 consacrent leur énergie à la structure de la norme sans s'attarder suffisamment sur la décision qui détermine réellement le succès de la certification : le périmètre. Les organisations qui définissent un périmètre trop large épuisent leur budget à mettre en œuvre des mesures pour des systèmes qui n'apportent aucune valeur à la certification. Celles qui définissent un périmètre trop étroit obtiennent un certificat que les acheteurs institutionnels remettent immédiatement en question, car il exclut les systèmes qui traitent réellement les données clients.
Le bon périmètre est celui qui couvre ce qui importe à vos clients, et non celui qui est le plus facile à certifier. Cela semble évident, mais la pression pour obtenir rapidement un certificat pousse les équipes vers la voie de moindre résistance. Un éditeur SaaS qui certifie uniquement son environnement de développement en excluant son infrastructure de production obtient un certificat qui ne résistera pas à un questionnaire fournisseur sérieux.
Le second point que les guides minimisent est la fonction d'audit interne. La plupart des organisations traitent le chapitre 9.2 comme une exigence administrative. Les organisations qui tirent le plus de valeur de la certification traitent l'audit interne comme un véritable exercice de test des mesures, mené trimestriellement plutôt qu'une seule fois avant la phase 1. Au moment où l'auditeur externe arrive, elles disposent d'un an d'historique d'audit interne démontrant que le SMSI fonctionne réellement. Cette base probante est ce qui distingue une phase 2 sereine d'une phase 2 stressante.
Pour les organisations américaines en particulier : vérifiez l'accréditation ANAB de tout organisme de certification que vous présélectionnez. Un certificat délivré par un organisme non accrédité ne satisfera pas la plupart des exigences achats des grandes entreprises, et vous ne le saurez qu'au moment où un contrat sera déjà en péril.
Ismscalculator vous donne un budget clair avant tout engagement
Les coûts de certification prennent les organisations par surprise parce que la plupart des guides donnent des fourchettes sans contexte. Ismscalculator comble cette lacune. Saisissez la taille de votre entreprise, votre secteur et votre niveau de maturité actuel, et la plateforme produit une estimation personnalisée couvrant les honoraires d'audit, l'effort interne, les coûts de conseil et le cycle complet de surveillance sur trois ans, avec des comparaisons de références modèles afin que vous puissiez situer vos chiffres par rapport à la référence du modèle.
Pour les équipes en phase de planification initiale, le bilan de préparation gratuit en 2 minutes vous donne une base immédiate : où en est votre SMSI aujourd'hui, quels écarts doivent être comblés avant la phase 1, et une estimation approximative des coûts et du calendrier que vous pouvez présenter à la direction. Pour les équipes plus avancées, l'évaluation complète de préparation produit un profil de maturité détaillé domaine par domaine avec un plan d'action priorisé. Les deux sont plus rapides qu'un appel de conseil et vous fournissent des chiffres réellement défendables lors d'une discussion budgétaire.
Sources de référence et lectures complémentaires
Les affirmations de cet article s'appuient sur des sources primaires et faisant autorité. Voici où aller pour vérification et approfondissement.
- ISO/IEC 27001:2022 — Le document normatif de référence. Les organisations doivent consulter cette page pour confirmer la version actuelle de la norme (2022 a remplacé l'édition 2013) et lorsqu'elles communiquent le périmètre de certification à leurs clients.
- ANAB (ANSI National Accreditation Board) — Le principal organisme d'accréditation américain pour les organismes de certification ISO 27001. Utilisez le répertoire de l'ANAB pour vérifier que l'accréditation d'un organisme de certification est à jour avant de signer un contrat d'audit.
- Global ACI — Depuis janvier 2026, la base de données des organismes de certification accrédités et des certificats délivrés est gérée par Global ACI (anciennement IAF/ILAC). Effectuez une recherche ici pour confirmer la validité d'un certificat.
- ISO/IEC 17021 et ISO/IEC 27006 — Les normes qui régissent la manière dont les organismes de certification doivent conduire les audits, notamment les formules obligatoires de durée d'audit. Pertinentes pour évaluer l'estimation de jours d'audit d'un organisme de certification pour votre organisation.
Pour la préparation à l'audit ISO 27001 spécifique aux entreprises du secteur financier, les équipes des secteurs réglementés trouveront utile de consulter les exigences probatoires sectorielles et les guides de correspondance des mesures avant la phase 1.