ISO 27001 : quel temps prévoir en interne ?

Dans les entreprises que nous accompagnons, la préparation d’une première certification ISO 27001 prend 6 à 12 mois, 9 en moyenne. Le travail se répartit sur toute cette période, avec une implication différente pour la personne qui pilote le projet, la direction et les équipes techniques.

Le cadrage, l’analyse de risques et les semaines qui précèdent les audits demandent le plus de disponibilité. Entre ces périodes, le travail porte surtout sur la mise en œuvre des mesures, les décisions et la collecte des preuves.

Pour construire votre calendrier, estimez séparément la durée totale du projet et la disponibilité demandée à chaque rôle.

Ce que votre équipe doit prévoir

Il faut d’abord un responsable du projet : une personne qui suit l’avancement chaque semaine, obtient les réponses et fait aboutir les actions. Les autres contributeurs sont sollicités sur les sujets qui relèvent de leur métier. Leur charge dépend surtout des changements à réaliser et de l’état des preuves existantes.

Vos équipes interviennent pour :

• expliquer le produit, l’architecture et les pratiques existantes ;
• retrouver les configurations, les contrats et les preuves ;
• valider le périmètre, les risques et les priorités ;
• réaliser les changements qui demandent un accès aux systèmes ou une décision interne ;
• participer aux entretiens d’audit.

Chaque semaine, un workshop d’une heure avec le responsable du projet permet de suivre l’avancement et de prendre les décisions. Entre deux workshops, nous préparons les analyses et la documentation, examinons les preuves et répondons à vos questions en asynchrone. Quand une décision, un chantier technique ou un audit l’exige, nous nous voyons plus souvent, sans surcoût : nous ne facturons pas au temps passé.

Pourquoi la certification prend plusieurs mois

ISO 27001 demande de construire, puis de faire fonctionner, un système de management de la sécurité de l’information (SMSI). L’auditeur examine les documents, mais aussi les pratiques, les décisions prises, les preuves et la manière dont l’entreprise suit ses risques.

Le calendrier doit laisser le temps de :

• définir un périmètre cohérent ;
• mener l’analyse de risques et décider des traitements ;
• mettre en place les mesures manquantes ;
• accumuler des preuves issues du fonctionnement courant ;
• réaliser l’audit interne et tenir la revue de direction ;
• corriger les écarts avant l’audit de certification.

Les personnes à solliciter

Selon le périmètre, le projet mobilise la direction, le responsable du projet et plusieurs métiers. Dans les entreprises tech, les rôles suivants reviennent souvent.

Dans une petite équipe, une même personne cumule souvent plusieurs rôles. Le directeur technique (CTO) peut porter le cadrage technique, mais c’est à la direction de valider les risques acceptés et les moyens. Les sujets de ressources humaines, de contrats et de fournisseurs restent traités par les personnes qui s’en occupent au quotidien.

La charge selon les étapes

011. Cadrage et état des lieux

Nous commençons par comprendre le produit, son architecture, ses utilisateurs, les données traitées et les engagements pris envers vos clients. Nous fixons ensuite avec vous le périmètre à certifier, puis comparons l’existant aux exigences de la norme : c’est l’analyse d’écarts.

De votre côté, les personnes concernées partagent les documents existants et présentent leurs outils. Cette phase avance plus vite lorsque les actifs, les rôles et les principaux flux de données sont déjà identifiés.

022. Analyse de risques et choix des mesures

Nous préparons les scénarios de risque et les traitements possibles avec les personnes qui connaissent le produit et l’infrastructure. Vous gardez la décision sur les risques acceptés et sur les mesures à mettre en œuvre. Ces choix alimentent le plan de traitement des risques et la déclaration d’applicabilité, qui indique, parmi les 93 mesures de sécurité de l’annexe A de la norme, celles qui sont retenues ou écartées, et pourquoi.

Pour ne pas réunir tout le monde inutilement, nous envoyons à l’avance les décisions à prendre et n’invitons que les personnes concernées.

033. Mise en œuvre et collecte des preuves

C’est en général la phase la plus longue, mais pas toujours la plus chargée en réunions : l’essentiel avance entre deux workshops.

Nous examinons directement les configurations et les preuves, puis proposons des changements adaptés à votre architecture et à vos outils. Vos équipes gardent la main sur la production et vérifient que la documentation décrit bien leur fonctionnement.

Le point de départ fait toute la différence. Faire vivre une revue des accès déjà en place demande peu d’effort ; reprendre toute la gestion des identités, des comptes à privilèges et des arrivées et départs est un vrai chantier.

044. Audit interne et revue de direction

L’audit interne, mené par un auditeur extérieur au projet, mobilise plusieurs personnes pour des entretiens et des revues de preuves. Les écarts relevés doivent ensuite être corrigés ou faire l’objet d’un plan d’actions crédible.

La revue de direction se prépare en amont : performance du SMSI, état des risques, incidents, atteinte des objectifs, décisions attendues. La réunion elle-même peut alors être courte.

055. Audit de certification

L’audit initial se déroule en deux étapes : un examen documentaire, puis des entretiens avec vos équipes et une analyse des preuves. Le responsable du projet et les personnes interrogées doivent être disponibles. Gardez aussi du temps pour retrouver une preuve ou préciser une réponse pendant l’audit.

La certification est délivrée par un organisme indépendant. En France, vérifiez dans l’annuaire du Cofrac, le Comité français d’accréditation, que la portée d’accréditation de l’organisme choisi couvre bien ISO/IEC 27001.

Ce que nous prenons en charge

Une grande partie du travail de préparation nous revient :

• le cadrage, l’analyse de risques et la documentation ;
• l’examen des configurations et des preuves existantes ;
• des propositions de changements adaptés à votre architecture et à vos outils ;
• les options et nos recommandations pour chaque décision à prendre ;
• le suivi des actions et des éléments manquants ;
• la préparation de l’audit interne, de la revue de direction et de l’audit de certification.

Certaines actions restent forcément de votre côté : accepter un risque, modifier la production, valider une procédure, négocier un contrat ou répondre sur vos pratiques pendant l’audit.

La documentation part des pratiques de vos équipes. Les personnes qui l’appliqueront la relisent pour vérifier qu’elle correspond au fonctionnement réel et qu’elles pourront la tenir à jour après l’audit.

La répartition dépend aussi de votre organisation. Si un responsable de la sécurité des systèmes d’information (RSSI) ou une équipe sécurité pilote déjà le sujet chez vous, nous l’épaulons : c’est l’offre Accompagnement à la conformité. Sinon, notre RSSI externalisé tient ce rôle, de l’état des lieux à l’audit.

Le cas Ringover

Chez Ringover, un workshop d’une heure avait lieu toutes les deux semaines, à chaque sprint de l’équipe SRE, chargée de la fiabilité et de l’exploitation de la plateforme. De notre côté, nous préparions les analyses, les documents et les décisions à prendre. L’équipe réalisait les actions qui demandaient ses accès : collecte des preuves, mise en œuvre des mesures techniques, déploiement des outils.

À l’été 2025, avant l’audit interne, deux personnes ont quitté l’équipe SRE. Pendant les deux semaines précédant cet audit, nous avons tenu un workshop d’une heure chaque jour avec Mathieu Rochette, RSSI de Ringover. La mission n’a pas été modifiée : elle ne reposait pas sur un volume d’heures. L’audit interne a eu lieu à la date prévue, et Ringover a obtenu la certification en 12 mois, en mai 2026, avec une seule non-conformité mineure.

La leçon vaut pour tout calendrier : la charge culmine avant les audits, et c’est là qu’un départ ou une absence pèse le plus. Gardez donc de la marge avant chaque audit.

Quatre questions pour estimer la charge interne

Pour passer d’une durée globale à un calendrier réaliste, répondez à quatre questions.

Qui pilotera le projet ?

Une personne doit suivre les décisions, les contributeurs et les échéances. Elle n’a pas besoin de tout faire elle-même, mais elle doit savoir qui solliciter et obtenir les arbitrages. Comptez pour elle au moins l’heure du workshop hebdomadaire, plus le temps de suivre les actions.

Qui devra intervenir ?

Identifiez qui connaît l’infrastructure, les ressources humaines, les fournisseurs et les contrats, et qui peut décider au nom de la direction. Précisez ensuite les sujets de chacun.

Qu’est-ce qui existe déjà ?

Listez les documents, analyses, configurations et preuves disponibles. Vous distinguerez ainsi ce qui reste à formaliser des changements techniques à réaliser.

Quand les audits sont-ils prévus ?

Réservez des créneaux pour les entretiens, les corrections et la recherche de preuves. Évitez de placer l’audit interne ou l’audit de certification pendant une période où les principaux responsables sont absents ou mobilisés par une livraison critique.

Les signes d’une charge sous-estimée

Le calendrier est probablement trop optimiste si :

• personne n’est clairement responsable du projet ;
• toute la connaissance du produit repose sur une seule personne ;
• le périmètre n’est pas stabilisé ;
• l’équipe ne sait pas retrouver les configurations ou les preuves ;
• la date de l’audit de certification est fixée sans marge après l’audit interne ;
• aucun temps n’est réservé aux changements techniques identifiés en cours de projet.

Un bon calendrier laisse du temps pour les décisions, les corrections et les audits, sans obliger l’équipe à suspendre son travail courant.

Pour établir le budget complet, ajoutez à cette charge interne le coût de l’accompagnement et de l’audit de certification. Vous trouverez aussi le détail de notre accompagnement ISO 27001 et nos tarifs.