Combien coûte une certification ISO 27001 ?

Il n’existe pas de prix unique pour une certification ISO 27001. Deux entreprises de même taille peuvent recevoir des devis très différents : le périmètre peut se limiter aux activités liées à un produit cloud ou couvrir plusieurs entités, sites et infrastructures.

Le budget comprend cinq postes :

1. l’audit de l’organisme certificateur ;
2. la préparation du système de management de la sécurité de l’information (SMSI), avec ou sans accompagnement externe ;
3. le temps que vos équipes consacrent au projet ;
4. les mesures de sécurité et les outils à mettre en place ;
5. les audits de surveillance et le maintien du SMSI après la certification.

Pour fixer un ordre de grandeur : une première certification demande généralement 6 à 12 mois, 9 en moyenne chez nos clients, et notre accompagnement ISO 27001 est proposé à partir de 3 000 € HT par mois. L’audit de certification, le temps de vos équipes et les éventuels achats d’outils s’ajoutent au prix de l’accompagnement.

011. Le prix de l’organisme certificateur

L’ISO, l’Organisation internationale de normalisation, publie la norme mais ne délivre pas les certificats : des organismes certificateurs indépendants s’en chargent. C’est vous qui choisissez le vôtre. Vérifiez son accréditation avant de signer.

En France, l’annuaire du Cofrac, le Comité français d’accréditation, indique la portée d’accréditation de chaque organisme. Elle doit mentionner ISO/IEC 27001 : une accréditation dans un autre domaine ne suffit pas.

Le prix dépend notamment :

• du périmètre du SMSI ;
• du nombre de personnes concernées ;
• du nombre de sites et d’entités ;
• de la complexité de l’organisation et du système d’information ;
• des éventuelles activités menées dans plusieurs pays.

Ces éléments déterminent le temps d’audit, calculé selon la norme ISO/IEC 27006-1:2024. L’effectif seul ne suffit donc pas à estimer le prix.

Demandez des devis à plusieurs organismes pour l’ensemble du cycle de certification, pas seulement pour l’audit initial. Celui-ci se déroule en deux étapes. La première examine la documentation du SMSI et vérifie que l’entreprise est prête pour la suite. La seconde contrôle, auprès de vos équipes, que les mesures sont appliquées.

Pour comparer les offres, assurez-vous qu’elles couvrent les mêmes éléments :

• l’audit initial, en deux étapes, et la décision de certification ;
• les audits de surveillance des années suivantes ;
• l’audit de renouvellement, avant la fin des 3 ans de validité du certificat ;
• les éventuels frais de déplacement ;
• les conditions applicables si un audit complémentaire devient nécessaire.

022. Le coût de la préparation

Avant l’audit de certification, l’entreprise doit définir le périmètre du SMSI, analyser ses risques, puis établir le plan de traitement des risques et la déclaration d’applicabilité, qui justifie le choix de chaque mesure. Elle doit aussi rédiger ses politiques, réunir les preuves, réaliser un audit interne et tenir une revue de direction.

Vous pouvez tout mener en interne ou confier une partie du travail à un prestataire. Dans ce cas, le devis doit préciser qui prépare les analyses et les documents, qui organise les preuves et qui suit les corrections.

L’audit interne mérite une ligne à part dans le budget. ISO 27001 exige qu’il soit objectif et impartial : la personne qui a construit le SMSI ne doit pas auditer son propre travail. Confiez-le à quelqu’un d’extérieur au projet, dans vos équipes ou chez un prestataire. Chez Ringover, un cabinet tiers l’a réalisé. Nous proposons aussi un audit interne, à partir de 6 000 € HT, pour les SMSI construits sans nous.

Le prix d’un accompagnement

Notre offre Accompagnement à la conformité s’adresse aux entreprises qui disposent d’un responsable de la sécurité des systèmes d’information (RSSI) ou d’une équipe sécurité. Elle est proposée à partir de 3 000 € HT par mois, en fonction des référentiels. Pour ISO 27001 seule, au prix d’appel, le budget varie ainsi selon la durée :

Ce tableau donne un ordre de grandeur, pas un devis. Le prix dépend du périmètre, de votre point de départ et de l’échéance. Une analyse de risques déjà exploitable, une gestion des accès tenue à jour et des preuves faciles à retrouver réduisent le travail. À l’inverse, un inventaire incomplet des systèmes demande davantage de cadrage et de collecte.

Si personne ne porte la sécurité chez vous, nous pouvons tenir ce rôle avec notre offre RSSI externalisé, de l’état des lieux jusqu’à l’audit, test d’intrusion ou audit technique inclus. Son prix d’appel est de 4 500 € HT par mois, avec un engagement de 12 mois.

Pour évaluer le travail avant de vous engager, commencez par une analyse d’écarts, qui confronte vos pratiques aux exigences de la norme. Proposée à partir de 6 000 € HT, elle livre les écarts priorisés et une feuille de route.

Aucun de ces montants n’inclut les frais de certification, facturés directement par l’organisme certificateur. Nous vous préparons à l’audit ; l’organisme vous évalue en toute indépendance.

033. Le temps consacré par l’équipe

Le temps passé en interne n’apparaît sur aucun devis. Il faut pourtant le prévoir, même avec un accompagnement.

Vos équipes devront :

• expliquer l’architecture, les rôles et les pratiques existantes ;
• décider du périmètre et du traitement des risques ;
• rassembler les configurations et les preuves demandées ;
• mettre en œuvre les changements techniques et organisationnels retenus ;
• participer à l’audit interne, à la revue de direction et à l’audit de certification.

La charge est la plus forte lors du cadrage, au moment des décisions qui engagent plusieurs responsables et dans les semaines qui précèdent les audits. Notre guide sur le temps à prévoir en interne détaille, rôle par rôle, ce qui est demandé et à quel moment.

Chez Ringover, le projet reposait sur l’équipe SRE, chargée de la fiabilité et de l’exploitation de la plateforme. En temps normal, elle nous retrouvait pour un workshop d’une heure à chaque sprint, soit toutes les deux semaines. Entre deux workshops, nous préparions les analyses et les documents ; l’équipe menait les actions qui demandaient ses accès. Après deux départs dans l’équipe, nous avons tenu un workshop d’une heure chaque jour avec Mathieu Rochette, RSSI de Ringover, pendant les deux semaines précédant l’audit interne.

Pour estimer cette charge, ne comptez pas seulement les réunions : ajoutez le temps de collecte, de validation et de mise en œuvre.

044. Le coût des mesures et des outils

ISO 27001 n’impose aucune liste d’outils à acheter. Les mesures découlent du périmètre et de l’analyse de risques. Dans une entreprise tech, plusieurs sont souvent déjà en place : authentification multifacteur, sauvegardes, journalisation, gestion des appareils, revues d’accès, suivi des vulnérabilités, gestion des incidents.

Des dépenses supplémentaires apparaissent lorsqu’une mesure manque ou ne couvre pas tout le périmètre. Il peut s’agir :

• d’une évolution de la gestion des identités et des accès, ou de la gestion des appareils ;
• d’une solution de sauvegarde ou de journalisation ;
• d’un test d’intrusion applicatif, à partir de 6 000 € HT chez nous ;
• de formations ou d’exercices de gestion des incidents ;
• de temps de développement ou d’administration système ;
• d’une plateforme de conformité, si le travail qu’elle automatise justifie son abonnement et son intégration.

Attendez l’analyse d’écarts avant d’acheter un outil. Vous saurez alors quelles preuves collecter, quelles intégrations sont utiles et ce que l’équipe peut continuer à gérer avec ses outils actuels.

Sur une infrastructure en majorité auto-hébergée, comme celle de Ringover, une plateforme collecte automatiquement moins de preuves : ses intégrations visent surtout les services des fournisseurs cloud et d’identité. C’est pour cette raison que Ringover a préparé sa première certification sans plateforme.

055. Les coûts après la certification

Le certificat est valable 3 ans, à condition que le SMSI continue de fonctionner. Il faut suivre les risques, les incidents et les objectifs, réaliser les audits internes et les revues de direction, traiter les écarts et tenir les preuves à jour.

Ajoutez au budget les audits de surveillance annuels, l’audit de renouvellement et le temps consacré au maintien du SMSI.

Les cinq postes en résumé

Le contenu de chaque accompagnement et de chaque mission est détaillé sur notre page Offres et tarifs.