Certification ISO 27001
Préparer la certification ISO 27001, étape par étape
ISO 27001 est la norme internationale qui reconnaît une entreprise bien organisée pour protéger ses informations. Nous vous aidons à bâtir une organisation de la sécurité à votre mesure, puis à vous présenter sereinement devant l’organisme qui délivre la certification. Pas d’usine à gaz : des règles que vous utiliserez vraiment.
Une certification demandée, une norme qui impressionne
Un appel d’offres exige la certification ISO 27001. Un client important vous la demande pour renouveler son contrat. Ou vous souhaitez simplement prouver le sérieux de votre organisation face à des concurrents plus gros. Vous ouvrez la norme, et vous découvrez un vocabulaire nouveau, des dizaines de mesures et une logique de management qui semble pensée pour des équipes entières.
Beaucoup de PME renoncent à ce stade, ou se lancent avec un cabinet qui produit une documentation épaisse que personne ne lira. Il existe une voie plus simple : construire un système proportionné, utile au quotidien, et qui tient la route en audit.
ISO 27001 en quelques mots
ISO 27001 est une norme internationale qui décrit comment mettre en place un système de management de la sécurité de l’information, souvent appelé SMSI. Un SMSI, c’est l’organisation qui permet d’identifier vos risques, de choisir les mesures de protection, de les appliquer et de les améliorer en continu. La norme est accompagnée d’une liste de mesures de sécurité de référence, dans laquelle vous choisissez celles qui s’appliquent à votre activité.
La certification est délivrée par un organisme certificateur accrédité, à l’issue d’un audit. CyberIris ne certifie pas : nous vous accompagnons pour être prêt, ce qui garantit aussi notre indépendance vis-à-vis de l’auditeur.
Ce que nous faisons dans notre accompagnement ISO 27001 PME
- Nous définissons avec vous le périmètre de certification, au plus juste : un service, un site, une activité, ou toute l’entreprise.
- Nous réalisons une analyse d’écart entre vos pratiques actuelles et les exigences de la norme.
- Nous menons l’analyse de risques, avec une méthode simple que vous saurez reprendre seul.
- Nous rédigeons avec vous la documentation obligatoire : politique de sécurité, déclaration d’applicabilité, procédures clés.
- Nous mettons en place les mesures techniques manquantes, par exemple la protection des postes par EDR, la protection de la messagerie ou la sauvegarde externalisée.
- Nous formons vos équipes, car la norme demande que chacun connaisse son rôle. Voir notre sensibilisation à la cybersécurité.
- Nous réalisons un audit interne à blanc avant l’audit de certification, pour corriger ce qui doit l’être.
- Nous vous accompagnons pendant l’audit de certification et pour traiter les éventuels écarts relevés.
Comment ça se passe
1
Cadrage
Nous fixons ensemble le périmètre, les objectifs et un calendrier réaliste.
2
Analyse d’écart
Nous mesurons le chemin à parcourir, en nous appuyant si besoin sur un audit de cybersécurité.
3
Construction du SMSI
Analyse de risques, choix des mesures, rédaction des documents, mise en œuvre.
4
Audit interne et revue de direction
Nous vérifions que tout fonctionne et préparons la revue par la direction, étape exigée par la norme.
5
Certification et suivi
Vous passez l’audit avec un organisme accrédité. Nous restons à vos côtés pour les audits de surveillance annuels.
La durée totale d’un projet dépend de votre point de départ et de votre périmètre : [durée type d’un projet ISO 27001 en PME À VALIDER].
Ce que vous obtenez
- Un SMSI dimensionné pour votre entreprise, pas pour un grand groupe.
- Une analyse de risques claire, que vous pourrez mettre à jour vous-même.
- L’ensemble de la documentation exigée par la norme.
- Une équipe formée et une direction impliquée.
- Un audit interne à blanc et un plan de correction.
- Un accompagnement jusqu’à l’audit de certification, puis dans la durée si vous le souhaitez.
Tarif indicatif
À partir de [montant À VALIDER] HT
Le prix dépend surtout du périmètre visé, du nombre de sites et de votre niveau de maturité actuel. Le coût de l’organisme certificateur est distinct et facturé directement par lui.
Pour qui
Notre accompagnement s’adresse aux PME des Hauts-de-France et de Savoie qui ont une raison concrète de viser la certification.
- Les prestataires informatiques et éditeurs de logiciels, souvent sollicités par leurs clients.
- Les PME industrielles qui travaillent pour de grands donneurs d’ordre.
- Les acteurs de la santé et du médico-social qui manipulent des données sensibles.
- Les cabinets de conseil, d’expertise comptable et les prestataires du secteur financier.
ISO 27001 peut aussi structurer une démarche NIS2 ou DORA. Pour une vue d’ensemble, consultez notre page conformité cybersécurité. Pour un pilotage dans la durée, pensez au RSSI externalisé.
Questions fréquentes sur l’accompagnement ISO 27001
Est-ce que CyberIris délivre la certification ISO 27001 ?
Non. La certification est délivrée par un organisme certificateur accrédité, indépendant. Notre rôle est de vous préparer et de vous accompagner jusqu’à l’audit, puis pendant les audits de suivi.
Une PME de 15 personnes peut-elle être certifiée ?
Oui. La norme s’applique à toutes les tailles d’organisation. L’essentiel est de dimensionner le système à votre réalité, ce que nous faisons dès le cadrage.
Faut-il certifier toute l’entreprise ?
Non. Vous pouvez choisir un périmètre limité, par exemple l’activité ou le service que vos clients veulent voir certifié. C’est souvent la meilleure façon de démarrer.
La certification est-elle valable à vie ?
Non. Elle est délivrée pour un cycle de trois ans, avec des audits de surveillance chaque année, puis un audit de renouvellement. Le SMSI doit donc vivre et s’améliorer.
Faut-il embaucher un responsable sécurité pour être certifié ?
Pas nécessairement. Un responsable interne doit porter le sujet, mais il peut s’appuyer sur un RSSI externalisé pour le pilotage et l’expertise.
ISO 27001 suffit-elle pour être conforme à NIS2 ?
Elle couvre une grande partie des attentes, mais pas automatiquement tout. Nous vérifions les points spécifiques à NIS2 si vous êtes concerné.
Que se passe-t-il si l’auditeur relève des écarts ?
C’est courant. Selon leur gravité, vous disposez d’un délai pour les corriger. Nous vous aidons à rédiger et mettre en œuvre le plan d’action correspondant.
Prêt à viser ISO 27001 sans vous noyer ?
Parlons de votre périmètre et de vos échéances. Nous vous proposons une démarche à votre taille.
Ou appelez-nous au 06 30 39 95 06.