Pas à elle seule. Un certificat ISO 27001 prouve qu’un organisme de certification a audité votre système de management pour un périmètre donné et l’a jugé conforme. Il ne prouve pas que les mesures sont solides. C’est vous qui décidez de ce qui est suffisant pour chaque mesure : un certificat authentique peut donc coexister avec des correctifs appliqués lentement, des journaux que personne ne regarde et une restauration que personne n’a chronométrée.
Ce guide couvre ce que prouve un certificat, les mesures qui passent l’audit sans bien fonctionner, la façon de vérifier qu’un certificat est authentique, ISAE 3402 et SOC 2, NIS2, et la manière de combler l’écart.
| Question | Le certificat y répond-il ? | Où se trouve la réponse |
|---|---|---|
| Existe-t-il un système de management audité ? | Oui, par échantillonnage lors de l’audit et de chaque audit de surveillance | Certificat, rapports d’audit |
| Le service que vous achetez est-il couvert ? | Seulement si vous lisez le périmètre | Énoncé du périmètre sur le certificat |
| Une intrusion serait-elle remarquée ? | Non | Couverture de détection, alertes testées |
| Combien de temps les vulnérabilités critiques restent-elles ouvertes ? | Non | Délais de correction issus du scanner et des tickets |
| L’entreprise peut-elle restaurer dans le délai promis ? | Non | Une restauration complète chronométrée |
| Le certificat est-il authentique et en cours de validité ? | Pas en le regardant | IAF CertSearch, l’organisme de certification |
Que prouve réellement un certificat ISO 27001 ?
Commençons par ce qui est juste. Un certificat n’est pas du théâtre. Il signifie qu’un tiers a examiné votre système de management par échantillonnage et constaté qu’il est opérationnel. Il ouvre des portes, raccourcit les revues de sécurité et décide souvent de votre éligibilité à un marché. Rien de ce qui suit ne plaide contre son obtention.
Le propos porte sur ce qu’il mesure. ISO/IEC 27001 est une norme de système de management. Vous appréciez les risques (paragraphe 6.1.2), décidez des mesures et les consignez dans une déclaration d’applicabilité (6.1.3), les mettez en œuvre, les auditez (9.2), les revoyez (9.3) et vous améliorez. L’annexe A liste 93 mesures de référence auxquelles comparer vos choix.
Le mot important est « décider ». La norme ne vous dit, pour aucune mesure, à quoi ressemble un bon niveau. Elle vous demande de décider, de documenter la décision et de montrer que la mesure est opérationnelle. Cette conception rend la norme utilisable aussi bien par une banque que par un éditeur de logiciels de douze personnes. C’est aussi là que se loge l’écart.
Un certificat est valable trois ans, avec des audits de surveillance la deuxième et la troisième année. Chaque audit procède par échantillonnage ; aucun ne mesure votre niveau de sécurité.
Peut-on être certifié ISO 27001 et mal sécurisé ?
Oui. Prenez quatre mesures opérationnelles d’ISO/IEC 27001:2022 et demandez-vous à quoi ressemble une mise en œuvre minimale qui passe l’audit.
A.8.8, gestion des vulnérabilités techniques. Les informations sur les vulnérabilités sont obtenues, l’exposition est évaluée et des mesures appropriées sont prises. La mesure ne fixe aucun délai ; c’est votre propre politique qui le fait. Un scan mensuel, un rapport et une procédure qui dit « corriger en fonction du risque » passent généralement l’échantillonnage, tandis que des constats critiques restent ouverts pendant des mois. La mesure demandait un processus, et elle l’a obtenu.
A.8.15, journalisation. Les journaux sont produits, stockés, protégés et analysés. La mesure ne dit ni à quelle fréquence ni avec quelle profondeur, si bien qu’une note de revue mensuelle peut prouver l’analyse. Personne ne teste si quelqu’un pourrait dire qui s’est connecté à la console d’administration mardi dernier, et depuis où.
A.8.16, activités de surveillance. Les réseaux, systèmes et applications sont surveillés pour détecter les comportements anormaux, et des actions sont menées pour évaluer les incidents potentiels. C’est l’écart le plus large. Une procédure documentée, des alertes par défaut et un responsable désigné peuvent passer l’audit alors que rien ne déclencherait d’alerte à deux heures du matin.
A.8.13, sauvegarde des informations. Les sauvegardes sont maintenues et régulièrement testées conformément à votre propre politique de sauvegarde. Restaurer quelques fichiers chaque trimestre peut suffire. Savoir si une restauration complète a été chronométrée par rapport à l’objectif de reprise promis à un client est une question que la mesure n’impose pas.
Rien de tout cela ne critique les auditeurs. Un audit de certification vérifie que les mesures que vous avez déclarées fonctionnent comme décrit, pas que votre sécurité est bonne.
À quelles questions un certificat ne répond-il pas ?
Celles qui intéressent réellement un client, quoi que demande le questionnaire :
- Le remarqueriez-vous ? Si quelqu’un se trouvait dans votre environnement en ce moment, quelque chose vous le signalerait-il, et en combien de temps ?
- Combien de temps les problèmes connus restent-ils ouverts ? Non pas si vous scannez, mais votre délai médian de correction d’un constat critique.
- Pouvez-vous réellement restaurer ? Non pas si les sauvegardes tournent, mais si une restauration a été chronométrée de bout en bout par rapport à l’objectif promis.
- Le compte d’une personne partie peut-il encore se connecter ? Non pas si vous avez un processus de départ, mais s’il a couvert les jetons, les connexions SaaS, le bureau d’enregistrement des noms de domaine et le portail de facturation.
Un certificat peut être tout à fait authentique alors que les quatre réponses sont mauvaises. Ce n’est pas une faille. C’est le périmètre de l’instrument.
L’écart se creuse avec le temps. La certification récompense la stabilité : le moyen le moins coûteux de conserver un certificat est de garder le système tel qu’il est décrit. La sécurité récompense le changement, parce que le parc informatique ne cesse d’évoluer. Et une mission de conseil cadrée sur la certification se termine à la délivrance du certificat, souvent avant que les écarts techniques soient comblés.
L’écart apparaît souvent sous la forme d’une question client : quel est votre délai moyen de détection ? Le certificat n’a pas de réponse. Répondre aux questionnaires de sécurité explique comment répondre avec des preuves.
Comment vérifier qu’un certificat ISO 27001 est authentique ?
En pratique, le problème courant n’est pas un certificat falsifié, mais un certificat authentique qui couvre autre chose que ce que vous achetez. Vérifiez les deux.
- Lisez le certificat. L’ISO/IEC 17021-1 (paragraphe 8.2.2) exige qu’il identifie l’organisation certifiée et ses sites, la date d’octroi, la date d’expiration ou de renouvellement, un code unique, la norme et son édition, le périmètre, ainsi que le nom, l’adresse et la marque de l’organisme de certification.
- Vérifiez l’édition et les dates. Il doit indiquer ISO/IEC 27001:2022. La transition depuis l’édition 2013 a pris fin le 31 octobre 2025.
- Regardez le symbole d’accréditation. Il montre que l’organisme de certification est accrédité, pas l’entreprise certifiée. Il doit appartenir à un organisme national d’accréditation ; dans l’UE, chaque État membre en désigne un seul (règlement (CE) n° 765/2008, article 4, paragraphe 1).
- Vérifiez que l’organisme est accrédité pour ISO/IEC 27001. L’accréditation se fait par schéma : les organismes de certification de SMSI sont accrédités selon l’ISO/IEC 17021-1 et l’ISO/IEC 27006-1:2024, qui a remplacé l’ISO/IEC 27006:2015. Une accréditation pour la seule ISO 9001 ne la couvre pas. Consultez le registre de l’organisme d’accréditation.
- Cherchez dans IAF CertSearch. IAF CertSearch est la base de données mondiale des certificats de systèmes de management accrédités, créée par l’International Accreditation Forum. Global ACI, qui a remplacé l’IAF et l’ILAC le 1er janvier 2026, y renvoie toujours. Depuis le 26 octobre 2024, l’IAF MD 28 impose aux organismes de certification accrédités de téléverser au moins une fois par mois le numéro, la norme, la date d’expiration et le statut (actif, suspendu ou retiré) de chaque certificat. Quelques vérifications sont gratuites.
- Interrogez l’organisme de certification. Selon l’ISO/IEC 17021-1 (paragraphe 8.1.2), il doit, sur demande, indiquer le statut, la norme, le périmètre et le site d’un client certifié. MD 28 autorise que certains enregistrements soient confidentiels ou exclus : une absence dans la base est donc une raison de poser la question, pas une preuve de fraude.
- Comparez le périmètre avec ce que vous achetez. « Développement et exploitation de la plateforme » et « support informatique au siège » sont des certificats très différents. L’ISO/IEC 27006 prévoit que le certificat fasse référence à une version précise de la déclaration d’applicabilité ; en pratique, demandez-la sous accord de confidentialité. Le périmètre et la déclaration d’applicabilité explique ce qu’il faut y chercher.
À quoi ressemble un faux certificat ISO 27001 ?
L’ISO ne délivre aucun certificat et n’autorise personne à utiliser son logo en lien avec la certification : un logo ISO ou la mention « certifié par ISO » est donc un signal d’alerte. Tout comme une édition 2013, l’absence de date d’expiration ou de numéro, et une marque d’accréditation provenant d’un organisme qui n’est pas un organisme national d’accréditation reconnu. L’accréditation n’est pas obligatoire, et l’ISO précise qu’un organisme non accrédité n’est pas forcément peu recommandable. Mais aucun organisme d’accréditation n’a vérifié sa compétence, et CertSearch ne le référencera pas.
VÉRIFICATION DU CERTIFICAT ISO/IEC 27001
Fournisseur : Date de vérification :
Numéro du certificat :
Édition ISO/IEC 27001:2022 [ ]
Date d'émission : Date d'expiration :
Organisme de certification :
Accrédité pour ISO/IEC 27001 par :
Organisme national d'accréditation, registre vérifié [ ]
Enregistrement trouvé dans IAF CertSearch [ ]
Statut : actif / suspendu / retiré
Si absent, confirmé par l'organisme de certification [ ]
Énoncé du périmètre (copié mot pour mot) :
Le service que nous achetons est dans le périmètre [ ]
Version de la DdA référencée : DdA reçue [ ]
Signaux d'alerte : logo ISO / édition 2013 / sans expiration /
sans numéro / marque d'accréditation inconnue
À revérifier avant : (date d'expiration ou prochain audit de surveillance)ISO 27001, ISAE 3402 et SOC 2 : quelle différence ?
Un certificat ISO 27001 se résume à une réussite ou un échec par rapport à une norme. Il ne rend compte d’aucun résultat de mesure individuel.
ISAE 3402 est une norme d’assurance de l’IAASB : un auditeur rend compte des contrôles d’un prestataire de services qui sont pertinents pour le contrôle interne de ses clients sur l’information financière. Un rapport de type 1 couvre la conception des contrôles à une date donnée. Un rapport de type 2 y ajoute leur efficacité opérationnelle sur toute une période, avec les tests et leurs résultats.
SOC 2 est un rapport de l’AICPA, émis par un cabinet d’expertise comptable (CPA), sur les contrôles liés à la sécurité, à la disponibilité, à l’intégrité du traitement, à la confidentialité ou à la protection de la vie privée. Un rapport de type 2 se rapproche davantage d’une réponse à la question « les contrôles ont-ils fonctionné ? », mais seulement pour les contrôles et la période qu’il décrit. Aucun de ces rapports n’est un certificat.
Un certificat ISO 27001 suffit-il pour NIS2 ?
Non, et il n’existe pas de certificat NIS2. L’article 21 exige des mesures appropriées au risque. Les autorités de supervision peuvent demander des « preuves de la mise en œuvre de politiques de cybersécurité, telles que les résultats des audits de sécurité effectués par un auditeur qualifié ». C’est l’article 32, paragraphe 2, point g), pour les entités essentielles, et l’article 33, paragraphe 2, point f), ex post, pour les entités importantes. Un certificat aide ; après un incident, ce qu’ont réellement fait les mesures compte davantage. ISO 27001 et NIS2 montre où un SMSI couvre la directive et où il ne suffit pas.
Comment combler l’écart ?
Pas en multipliant les audits. L’audit n’est pas le facteur limitant.
Rendez les mesures opérationnelles testables, pas seulement contrôlables sur pièces. Restaurez une sauvegarde et chronométrez-la. Choisissez au hasard une personne partie et cherchez des identifiants encore actifs. Suivez un constat du scanner jusqu’à sa clôture, avec une date. Intégrez ces tests au programme d’audit interne pour qu’ils soient exécutés selon un calendrier.
Associez une échéance aux constats, pas seulement un responsable. Une vulnérabilité qui a un responsable mais pas d’échéance reste une vulnérabilité. Le chiffre qui compte est la durée pendant laquelle les vulnérabilités critiques restent ouvertes, et d’après notre expérience, peu de petites entreprises le mesurent.
Laissez l’outillage produire les preuves. La détection, la gestion des vulnérabilités, la posture de sécurité cloud et la vérification des sauvegardes génèrent des enregistrements comme sous-produit. Faites-les fonctionner et vous obtenez à la fois les preuves et la sécurité réelle, ce qui est le but.
C’est ainsi que fonctionne la plateforme CloudSoul : une plateforme automatisée avec une expertise humaine dans la boucle, qui réunit les mesures et les constats techniques dans un seul registre de preuves. Un audit de sécurité vous indique quels écarts relèvent de la documentation et lesquels sont techniques, avant d’investir dans l’un ou l’autre. Le programme de certification est présenté sur la page ISO 27001.
Obtenez le certificat. Il en vaut la peine. Puis répondez séparément aux quatre questions, car le certificat ne le fait pas.
Liste de contrôle du certificat ISO 27001
- Confirmez que le périmètre couvre le service ou les systèmes qui comptent.
- Vérifiez que le certificat porte sur ISO/IEC 27001:2022 et qu’il est en cours de validité.
- Confirmez que l’organisme de certification est accrédité pour ISO/IEC 27001.
- Trouvez le certificat dans IAF CertSearch, ou faites-le confirmer par l’organisme de certification.
- Demandez la version de la déclaration d’applicabilité à laquelle le certificat fait référence.
- Pour votre propre SMSI, chronométrez une restauration complète par rapport à votre objectif de reprise.
- Mesurez combien de temps les vulnérabilités critiques restent ouvertes, pas seulement si vous scannez.
- Chaque trimestre, choisissez au hasard une personne partie et vérifiez si des accès sont encore actifs.
Sources
- ISO/IEC 27001:2022, paragraphes 6.1.2, 6.1.3, 9.2, 9.3 et mesures 8.8, 8.13, 8.15, 8.16 de l’annexe A, ISO.
- ISO/IEC 17021-1:2015, paragraphes 8.1.2 et 8.2.2, ISO.
- ISO/IEC 27006-1:2024, ISO.
- ISO, Certification : l’ISO ne certifie pas, utilisation du logo, accréditation, ISO.
- IAF MD 28:2023, Upload and Maintenance of Data on IAF Database, IAF.
- IAF CertSearch, base de données et FAQ.
- Lancement de Global Accreditation Cooperation Incorporated, 1er janvier 2026, IAF.
- Règlement (CE) n° 765/2008, article 4, EUR-Lex.
- ISAE 3402, Assurance Reports on Controls at a Service Organization, IAASB.
- SOC 2, SOC for Service Organizations: Trust Services Criteria, AICPA.
- Directive (UE) 2022/2555 (NIS2), articles 21, 32 et 33, EUR-Lex.
Questions fréquentes
La certification ISO 27001 signifie-t-elle qu'une entreprise est sécurisée ?
Pas à elle seule. Elle signifie qu'un organisme de certification a audité le système de management de la sécurité de l'information de l'entreprise selon ISO/IEC 27001 pour un périmètre donné et l'a jugé conforme. La norme laisse l'entreprise décider du niveau de chaque mesure : un certificat authentique peut donc coexister avec des correctifs lents, des journaux que personne ne surveille et une reprise jamais testée.
Comment vérifier qu'un certificat ISO 27001 est authentique ?
Cherchez-le dans IAF CertSearch, la base de données mondiale des certificats de systèmes de management accrédités, et faites-le confirmer par l'organisme de certification qui y figure. Vérifiez que cet organisme est accrédité pour ISO/IEC 27001, que le certificat porte sur l'édition 2022 et est en cours de validité, et que le périmètre couvre le service que vous achetez.
Quels sont les signes d'un faux certificat ISO 27001 ?
Un logo ISO ou la mention « certifié par ISO », puisque l'ISO ne délivre aucun certificat. Également une édition 2013, l'absence de date d'expiration ou de numéro de certificat, une marque d'accréditation provenant d'un organisme qui n'est pas un organisme national d'accréditation reconnu, et un certificat que ni IAF CertSearch ni l'organisme de certification ne peut confirmer.
Quelle est la différence entre ISO 27001 et ISAE 3402 ou SOC 2 ?
ISO 27001 certifie qu'un système de management est conforme à une norme. ISAE 3402 et SOC 2 sont des rapports d'assurance sur les contrôles d'un prestataire de services, et un rapport de type 2 indique s'ils ont fonctionné efficacement sur une période. ISAE 3402 vise l'information financière des clients ; SOC 2 la sécurité, la disponibilité, l'intégrité du traitement, la confidentialité ou la protection de la vie privée.
Un certificat ISO 27001 suffit-il pour NIS2 ?
Il n'existe pas de certificat NIS2. NIS2 exige des mesures de gestion des risques appropriées au risque, et les autorités peuvent demander des preuves de la mise en œuvre, comme les résultats d'audits de sécurité. Un certificat ISO 27001 est une preuve utile, mais il ne remplace pas cette évaluation.
