Il existe peu de sujets où l'écart entre la réputation d'un document et le document lui-même soit aussi large. ISO/IEC 27001 passe pour un monument bureaucratique, une machine à produire des classeurs. Le texte normatif publié le 25 octobre 2022 fait dix-neuf pages.
Cette enquête est partie de là : ouvrir les catalogues, compter les certificats, chercher les prix publics, lire ce que les normes de certification exigent des auditeurs eux-mêmes. L'objectif n'est pas de dire s'il faut se certifier — cette question dépend de contraintes contractuelles que personne ne peut trancher à la place d'un dirigeant. Il est de dire ce que coûte l'opération, ce qu'elle produit, et ce qu'elle ne produit pas.
Trois résultats se dégagent. Le prix du savoir normatif est public et modeste. Le prix de la certification, lui, n'est publié nulle part en France. Et le certificat délivré au bout du parcours est accompagné, par exigence normative, d'une clause qui limite explicitement sa portée.
L'enquête en 30 secondes
Que contient réellement la norme, et combien coûte-t-elle ?
ISO/IEC 27001:2022 est une troisième édition, publiée le 25 octobre 2022, de dix-neuf pages, vendue 155 francs suisses sur la boutique en ligne de l'IEC. Ces dix-neuf pages contiennent dix chapitres d'exigences — contexte, leadership, planification, support, fonctionnement, évaluation des performances, amélioration — et une annexe A.
L'annexe A est la partie que tout le monde redoute. Elle est passée de 114 mesures réparties en 14 domaines dans l'édition 2013 à 93 mesures réparties en quatre thèmes : 37 mesures organisationnelles, 8 mesures liées aux personnes, 14 mesures physiques et 34 mesures technologiques. Sur ces 93 mesures, 58 ont été actualisées, 24 issues de fusions, et 11 sont nouvelles — dont la prévention des fuites de données, le filtrage web, la surveillance des activités et le codage sécurisé.
Mais l'annexe A n'est qu'une liste. Le mode d'emploi est vendu séparément : ISO/IEC 27002:2022, 152 pages, 227 francs suisses. La méthode d'appréciation du risque est un troisième document : ISO/IEC 27005:2022, 62 pages, 225 francs. Et les règles auxquelles obéira l'organisme qui viendra auditer sont dans un quatrième : ISO/IEC 27006-1:2024, 47 pages, 196 francs.
Le seul coût publiquement tarifé du dossier ISO 27001 (en francs suisses)
Huit cent trois francs suisses, deux cent quatre-vingts pages : voilà le seul montant vérifiable de toute cette enquête. Tout le reste est estimation.
Combien d'organisations sont réellement certifiées, en France et dans le monde ?
L'ISO Survey est le recensement annuel des certificats de systèmes de management. Son édition 2024, publiée fin septembre 2025, recense 96 709 certificats ISO/IEC 27001 valides dans le monde, couvrant 179 877 sites. La Chine en concentre 33 359. La France en compte 1 728.
L'édition précédente, portant sur 2023, en dénombrait 48 671. Le nombre a donc pratiquement doublé en un an — et il faut résister à la lecture évidente.
L'édition 2024 est la première compilée à partir de la base IAF CertSearch, alimentée par 76 organismes d'accréditation sur 77 et plus de 2 400 organismes certificateurs, au lieu des déclarations volontaires d'organismes certificateurs des éditions précédentes. Une partie du saut mesure donc une meilleure couverture, pas une croissance du parc. Le cabinet Oxebridge, qui a analysé l'édition le 30 septembre 2025, relève de surcroît que l'IAF reconnaît dans ses propres conditions d'utilisation que les données de CertSearch ne représentent pas tous les certificats connus, et que les organismes certificateurs accrédités par l'organisme allemand DAkkS n'ont pas participé — ce qui sous-estime mécaniquement l'Allemagne.
Une seconde divergence porte sur la France. La page consacrée à la norme par le groupe AFNOR, mise à jour le 4 juin 2026, annonce « environ 1 600 » certificats français, quand l'ISO Survey 2024 en compte 1 728. L'écart de 7 % n'a rien de scandaleux : les deux comptages ne sont ni à la même date ni sur le même périmètre — un même certificat peut couvrir plusieurs sites, et un site peut relever d'un certificat émis par un organisme étranger. Il rappelle simplement qu'il n'existe pas de registre français faisant autorité.
Le parc mondial de certificats ISO/IEC 27001, tel qu'il est compté
0
Certificats ISO/IEC 27001 valides dans le monde en 2024, couvrant 179 877 sites
0
Certificats recensés dans l'édition 2023, avant le changement de méthode de collecte
0
Certificats en Chine, premier pays du classement à elle seule
0
Certificats en France — quand AFNOR annonce de son côté environ 1 600
Combien coûte une certification en France, et combien de temps prend-elle ?
C'est le trou de cette enquête, et il faut le dire d'emblée : aucun organisme certificateur accrédité opérant en France ne publie de tarif. Les grilles sont établies au cas par cas, sur devis, après questionnaire de périmètre.
Ce qui est en revanche encadré, c'est le volume d'audit. ISO/IEC 27006-1:2024 fournit en table C.1 un point de départ du nombre moyen de jours d'audit initial, calé sur le nombre de personnes réalisant un travail sous le contrôle de l'organisme dans le périmètre du système. Une journée d'audit y vaut normalement huit heures. Les organismes certificateurs accrédités par l'ANAB devaient appliquer cette édition à tous leurs clients au plus tard le 31 mars 2026. Les ordres de grandeur relayés par les praticiens sont de six jours d'audit initial pour une dizaine de personnes dans le périmètre, quatorze jours pour deux cents — chiffres à traiter comme des repères, la table elle-même n'étant pas publique.
La récurrence, elle, est fixée par ISO/IEC 17021-1:2015. Le programme d'audit d'une certification initiale comprend un audit initial en deux étapes, un audit de surveillance en première et en deuxième année suivant la décision de certification, puis un audit de recertification en troisième année avant expiration. Le premier audit de surveillance ne peut intervenir plus de douze mois après la date de la décision. Autrement dit : la dépense n'est pas un événement, c'est un abonnement de trois ans reconduit.
Reste le coût total. Les fourchettes qui circulent en France proviennent de cabinets de conseil et d'éditeurs de plateformes de conformité — c'est-à-dire d'acteurs qui vendent la prestation qu'ils chiffrent. Elles sont citées ici pour ce qu'elles sont. Une TPE y démarre autour de 4 000 euros la première année ; une PME se situe le plus souvent entre 8 000 et 30 000 euros ; une entreprise de taille moyenne dépasse 40 000 euros, certaines sources montant jusqu'à 80 000 euros pour une PME-ETI en incluant un accompagnement complet. La maintenance annuelle — audits de surveillance — est annoncée entre 1 500 et 4 000 euros. Le délai courant va de six à dix-huit mois selon la maturité initiale, avec une médiane annoncée autour de neuf à douze mois.
Ces montants n'incluent jamais le poste le plus lourd, parce qu'il ne fait l'objet d'aucune facture : le temps interne. Un responsable de projet, des équipes informatiques, les ressources humaines et la direction générale y consacrent des semaines de travail que personne ne consolide.
Quelles non-conformités font échouer un audit, et sait-on les compter ?
Non. Il n'existe aucune statistique publique, française ou internationale, des non-conformités relevées en audit ISO 27001, ni de leur répartition par exigence, ni de leur taux de transformation en refus de certification.
Ce qui circule à la place, ce sont des listes d'organismes certificateurs. La plus reprise, publiée le 10 mars 2023 par ISOQAR, énumère dix non-conformités récurrentes : défaut d'engagement de la direction, mesures insuffisantes sur les fournisseurs tiers, sécurité physique inadéquate, absence de tests de sécurité réguliers, plan de continuité non maintenu, surveillance insuffisante des accès à privilèges, appréciations du risque non renouvelées, insuffisance du contrôle des terminaux mobiles, non-conformité aux exigences légales, formation à la sécurité insuffisante. Son auteure indique explicitement avoir sélectionné, dans les constats de ses auditeurs, ceux qui reviennent régulièrement. C'est de l'expérience professionnelle mise en ordre, pas un décompte.
En revanche, la mécanique de traitement est, elle, normée avec précision. ISO/IEC 17021-1 exige qu'une non-conformité soit enregistrée contre une exigence identifiée, avec la preuve objective sur laquelle elle repose, et que l'auditeur s'abstienne de suggérer la cause de la non-conformité ou sa solution. L'organisme certificateur doit ensuite exiger du client qu'il analyse la cause, décrive la correction et les actions correctives, dans un délai défini — puis vérifier l'efficacité de ce qui a été fait avant de conclure.
Cette exigence d'abstention de l'auditeur est le point que les organisations découvrent le plus tard : l'auditeur constate un écart, il ne dit pas comment le combler. Les deux prestations sont d'ailleurs incompatibles, l'organisme certificateur ne pouvant pas conseiller l'entreprise qu'il certifie.
Que garantit un certificat ISO 27001, et que ne garantit-il pas ?
La réponse la plus solide n'est pas une opinion : elle est écrite dans la norme qui régit les certificateurs.
ISO/IEC 17021-1:2015 énumère ce que doit contenir un rapport d'audit. Parmi les éléments obligatoires figure, à l'alinéa o de la clause 9.4.8.2, « une clause de non-responsabilité indiquant que l'audit est fondé sur un processus d'échantillonnage de l'information disponible ». Le document qui atteste la conformité contient donc, par construction, la mention qu'il n'a pas tout regardé.
Le même texte prévoit un échantillonnage multisite lorsque plusieurs implantations réalisent la même activité, avec un programme et une justification documentés — et précise que l'échantillonnage n'est pas approprié lorsque les sites ne couvrent pas la même activité.
Trois limites en découlent, et elles ne sont pas des critiques de la norme : ce sont ses conditions d'emploi.
Un certificat couvre un périmètre, pas une entreprise. Le domaine d'application est défini par l'organisation elle-même et figure sur le certificat. Une filiale, une activité, un centre de données peuvent être dedans ou dehors. Lire le périmètre avant le logo est le seul geste utile face à un certificat fourni par un prestataire.
Un certificat atteste un système de management, pas un niveau technique. ISO/IEC 27001 spécifie les exigences pour établir, mettre en œuvre, tenir à jour et améliorer un système de management de la sécurité de l'information. La déclaration d'applicabilité justifie l'inclusion ou l'exclusion de chacune des 93 mesures de l'annexe A. Une mesure peut être écartée si le risque associé est traité autrement ou jugé non pertinent — à condition que la justification tienne.
Un certificat décrit un instant. Le cycle prévoit un audit par an. Entre deux passages, rien dans le dispositif ne mesure quoi que ce soit.
Le calendrier normatif et réglementaire qui encadre un SMSI français
Référentiel HDS — ISO 27001 devient obligatoire par ricochet
Le référentiel de certification des hébergeurs de données de santé, publié en novembre 2017 et piloté par l'Agence du numérique en santé, s'appuie sur ISO/IEC 27001 augmentée d'exigences sectorielles. Il donne lieu à deux certificats distincts, valables trois ans avec audit de surveillance annuel. Héberger des données de santé en France sans cette certification est illégal.
Les référentiels français alternatifs sont-ils plus exigeants ?
La question est mal posée, parce que les deux principaux référentiels français ne sont pas des alternatives : ils sont bâtis sur ISO 27001.
La certification HDS est obligatoire pour héberger des données de santé à caractère personnel en France. Son référentiel, publié en novembre 2017 et administré par l'Agence du numérique en santé, s'appuie sur ISO/IEC 27001 complétée d'exigences propres au secteur et au RGPD ; le parcours débouche sur deux certificats, l'un couvrant l'hébergement d'infrastructure physique, l'autre l'infogérance et les activités d'exploitation. Le certificat vaut trois ans, avec audit de surveillance annuel par un organisme accrédité.
La qualification SecNumCloud de l'ANSSI joue dans une autre catégorie. Sa version 3.2 ajoute des critères d'immunité aux législations extraterritoriales et se compte en plusieurs centaines d'exigences, auditées par un prestataire d'audit qualifié. Elle est valable trois ans avec un contrôle de maintien à dix-huit mois, et le nombre d'offres qualifiées reste de l'ordre de la dizaine — ce qui en dit long sur le niveau d'effort. Ce n'est pas une certification de système de management, c'est une qualification d'offre par une agence d'État.
Enfin, SOC 2 est fréquemment présentée comme l'équivalent américain d'ISO 27001. Ce n'en est pas un sur le plan formel : SOC 2 produit un rapport d'attestation émis par un cabinet comptable sur des critères de confiance, pas un certificat accrédité selon ISO/IEC 17021-1. Les deux se croisent souvent dans les appels d'offres ; ils ne relèvent pas du même régime de preuve.
Par où commencer sans s'y noyer ?
La norme impose elle-même un ordre, et c'est le seul plan de bataille dont on soit sûr qu'il ne sera pas contesté en audit.
Le périmètre d'abord. Il détermine tout le reste — y compris la facture, puisque le nombre de personnes qui travaillent dans son champ est la variable d'entrée de la table de durée d'audit. Un périmètre restreint et défendable coûte moins cher qu'un périmètre large et flou, et il s'étend ensuite.
L'appréciation du risque ensuite, avec une méthode documentée. La norme exige qu'il y en ait une, pas qu'elle soit celle d'ISO/IEC 27005 ni celle d'EBIOS Risk Manager. C'est cette appréciation qui commande la sélection des mesures, et non l'inverse — inverser les deux est la manière la plus fiable de produire un système que l'audit invalidera.
La déclaration d'applicabilité enfin, qui justifie l'inclusion ou l'exclusion de chacune des 93 mesures. C'est le document que l'auditeur lit en premier, parce qu'il expose d'un coup la cohérence — ou l'absence de cohérence — entre les risques déclarés et les mesures retenues.
Et puisque l'auditeur ne dira ni la cause ni la solution, une répétition interne préalable n'est pas un luxe : l'audit interne et la revue de direction sont exigés par la norme avant même le passage de l'organisme certificateur.
Ce que cette enquête n'a pas pu établir
Quatre limites, sans détour.
Aucun prix public de certification n'existe en France. Les fourchettes citées plus haut proviennent de cabinets de conseil et d'éditeurs de plateformes de conformité qui vendent la prestation. Elles ne sont ni auditées, ni comparables entre elles, ni fondées sur des échantillons publiés. Cette enquête les rapporte en les nommant plutôt que de les taire, mais elles ne valent pas devis.
Le taux d'échec ou d'abandon d'une démarche de certification n'est documenté nulle part. Ni les organismes d'accréditation, ni l'ISO, ni les organismes certificateurs ne publient le nombre de dossiers engagés qui n'aboutissent pas, ni le nombre de certificats suspendus ou retirés. La fin de la transition depuis l'édition 2013, le 31 octobre 2025, aurait été une occasion de mesure : elle n'a produit aucune statistique publique.
La série de l'ISO Survey est rompue. Le passage à la base IAF CertSearch en 2024 interdit de lire le doublement du parc mondial comme une croissance. Aucun retraitement rétrospectif n'a été publié qui permettrait de reconstituer une série homogène.
Le nombre d'organismes certificateurs accrédités par le COFRAC pour l'ISO/IEC 27001 n'a pas pu être consolidé. L'annuaire du COFRAC permet la recherche organisme par organisme, mais ne publie pas de décompte par norme. Les grands noms présents en France sont identifiables ; leur nombre exact ne l'est pas depuis une source publique.
FAQ
Combien coûte une certification ISO 27001 pour une PME française ?
Aucun organisme certificateur accrédité ne publie de tarif : le prix est établi sur devis après questionnaire de périmètre. Les fourchettes qui circulent, issues de cabinets qui vendent l'accompagnement, situent la première année entre 8 000 et 30 000 euros pour une PME, avec une maintenance annuelle annoncée entre 1 500 et 4 000 euros. Le seul coût publiquement tarifé est celui des documents normatifs : 803 francs suisses pour les quatre normes utiles.
Combien de temps faut-il pour obtenir la certification ?
Les délais annoncés par les praticiens vont de six à dix-huit mois selon la maturité initiale, avec une médiane autour de neuf à douze mois. Le cycle qui suit est fixé par ISO/IEC 17021-1 : audit initial en deux étapes, audit de surveillance en première et deuxième année, audit de recertification en troisième année, le premier audit de surveillance devant intervenir dans les douze mois suivant la décision.
Un certificat ISO 27001 prouve-t-il qu'une entreprise est sécurisée ?
Il prouve qu'un système de management couvrant un périmètre déclaré a été jugé conforme à un instant donné. ISO/IEC 17021-1 impose d'ailleurs que le rapport d'audit contienne une clause précisant que l'audit repose sur un échantillonnage de l'information disponible. Lire le périmètre figurant sur le certificat est le geste de vérification le plus utile.
Faut-il ISO 27001 pour héberger des données de santé en France ?
La certification obligatoire est la certification HDS, dont le référentiel s'appuie sur ISO/IEC 27001 augmentée d'exigences sectorielles et RGPD. Le parcours aboutit à deux certificats distincts selon l'activité — hébergement d'infrastructure physique ou infogérance —, valables trois ans avec audit de surveillance annuel par un organisme accrédité.
L'enquête en slides
