ISO 27001 est rentable quand quelqu’un la demande déjà, dans un appel d’offres ou lors de l’évaluation de sécurité d’un client, ou quand NIS2 s’applique à vous. Le certificat est alors un coût lié au chiffre d’affaires, pas un projet de sécurité. Jugez sa première année, 50 000 à 150 000 € pour 26 à 125 personnes, à l’aune des contrats qu’il débloque. Si personne ne la demande, corrigez d’abord vos mesures de sécurité.
Ce guide couvre ce qu’apporte le certificat, quand il est rentabilisé, quand il n’en vaut pas encore la peine, le cas d’une petite entreprise, comment obtenir le même résultat pour moins cher, ce que le certificat ne vous dit pas, et une liste de contrôle.
| Votre situation | Rentable maintenant ? | Pourquoi |
|---|---|---|
| Un appel d’offres ou un contrat que vous visez exige ISO 27001 | Oui | Le certificat est une condition de ce chiffre d’affaires |
| Les évaluations de sécurité ralentissent ou bloquent vos ventes | Généralement | Il répond par avance à une grande partie des questionnaires standard |
| Vous vendez des services TIC à des banques ou des assureurs | Généralement | DORA les oblige à recourir à des prestataires qui respectent des normes adéquates en matière de sécurité de l’information |
| Vous êtes dans le champ de NIS2 | Généralement, comme moyen d’y parvenir | NIS2 demande les mesures, et un SMSI en fournit la plupart |
| Personne ne la demande, et MFA, correctifs et sauvegardes sont lacunaires | Pas encore | Vous certifieriez une couche de management posée sur des mesures faibles |
| Le client la veut dans trois mois | Pas à cette date | Le système doit généralement fonctionner trois mois avant l’étape 2 |
| Personne n’en sera responsable après l’audit | Pas encore | Les audits de surveillance reviennent chaque année |
Qu’apporte concrètement un certificat ISO 27001 ?
Quatre choses, qui justifient des budgets très différents.
L’accès aux contrats qui l’exigent
En pratique, les appels d’offres et les référencements fournisseurs dans les services financiers, la santé et le secteur public citent souvent ISO 27001 comme critère de sélection ou comme condition contractuelle. Elle y est un passage obligé de l’achat, pas une préférence. Traitez la dépense comme un coût de vente sur ce marché, pas comme un investissement de sécurité.
Les services financiers ont une raison juridique de la demander. DORA, applicable depuis le 17 janvier 2025, dispose que les entités financières « ne peuvent conclure des accords contractuels qu’avec des prestataires tiers de services TIC qui respectent des normes adéquates en matière de sécurité de l’information » (article 28(5)). DORA ne cite pas ISO 27001, mais en pratique un certificat est un moyen courant pour un fournisseur de le démontrer.
Des évaluations de sécurité plus courtes
Lorsqu’ils choisissent leurs mesures de sécurité de la chaîne d’approvisionnement, les clients soumis à NIS2 doivent tenir compte de « la qualité globale des produits et des pratiques de cybersécurité de leurs fournisseurs et prestataires de services » (article 21(3)). C’est pourquoi les questionnaires atteignent désormais des entreprises qui ne sont pas elles-mêmes réglementées.
D’après notre expérience, un certificat et une déclaration d’applicabilité répondent par avance à l’essentiel d’un VSA ou d’un CAIQ, et à la moitié ou plus d’un SIG. Les évaluateurs les acceptent souvent à la place de sections entières. Ils ne font pas disparaître les questionnaires, comme l’explique comment répondre à un questionnaire de sécurité.
Des preuves pour NIS2
Il n’existe pas de certificat NIS2 pour les entreprises. NIS2 exige les mesures de gestion des risques en matière de cybersécurité de l’article 21, qui doivent tenir compte, « s’il y a lieu, des normes européennes et internationales applicables ». Un SMSI couvre la plupart des dix mesures, comme le montre la correspondance établie dans ISO 27001 et NIS2.
Une autorité qui supervise une entité essentielle peut demander des « preuves de la mise en œuvre de politiques de cybersécurité, telles que les résultats des audits de sécurité effectués par un auditeur qualifié et les éléments de preuve sous-jacents correspondants » (article 32(2)(g)). Un système de management audité chaque année produit déjà une grande partie de ces éléments. La Belgique s’appuie directement sur ce point : les entités essentielles pouvaient franchir l’étape du 18 avril 2026 par une voie ISO 27001, la certification complète étant attendue d’ici avril 2027.
Un système de management que vous ne construiriez pas autrement
Des responsables, un registre des risques, un audit interne et une revue de direction, selon un calendrier que quelqu’un d’extérieur à l’entreprise vérifie chaque année. Là où la sécurité n’est le travail de personne, ce calendrier externe est souvent la seule chose qui fait avancer le travail.
Quand ISO 27001 est-elle rentable ?
Quand les contrats qu’elle débloque valent plus que ses trois années de coûts. Les deux côtés de la balance sont plus faciles à estimer que la plupart des entreprises ne le pensent.
Le côté des coûts. Pour une entreprise de 26 à 125 personnes, la première année coûte environ 50 000 à 150 000 €, tout compris. Le chiffre qui circule, 50 000 à 80 000 €, laisse généralement de côté le temps interne, qui est le poste le plus important. Ensuite, l’organisme de certification facture environ un tiers des honoraires de l’audit initial chaque année de surveillance, et l’audit interne revient chaque année. Le détail par effectif se trouve dans ce que coûte ISO 27001.
Le côté des bénéfices. Comptez trois choses : la marge des ventes perdues ou bloquées à l’évaluation de sécurité au cours de la dernière année, les appels d’offres auxquels vous n’avez pas pu répondre, et les jours passés sur les questionnaires. Si NIS2 s’applique, l’essentiel du SMSI est un travail que vous devez faire de toute façon, et une approche raisonnable consiste à ne mettre en regard que le surcoût propre à la certification.
Ne la justifiez pas par les moyennes du coût d’une violation de données qui font les gros titres. Elles décrivent d’autres entreprises, et un certificat ne change pas à lui seul votre probabilité de subir une violation.
Une règle pratique : si vous pouvez nommer un contrat dont la marge couvre le coût sur trois ans, la décision est prise. Si vous ne pouvez en nommer aucun, votre achat est spéculatif.
GRILLE DE DÉCISION ISO 27001
A. QUI LA DEMANDE
Appel d'offres ou contrat exigeant ISO 27001 : oui / non (le nommer)
Ventes bloquées à l'évaluation sécurité, 12 mois : __ ventes, marge EUR __
Questionnaires par an x jours chacun : __ x __ jours
Dans le champ de NIS2 (essentielle / importante) : oui / non / incertain
Clients du secteur financier (DORA) : oui / non
B. CE QUE CELA COÛTE (voir le guide des coûts)
Première année, tout compris, avec temps interne : EUR __
Deuxième et troisième années, par an : EUR __
Responsable nommé et temps par mois : ______, __ jours
C. POINT DE DÉPART
MFA imposée sur les accès admin et à distance : oui / non
Délai fixé pour corriger les failles critiques : oui / non
Sauvegarde restaurée et chronométrée, 12 mois : oui / non
Accès des partants retirés de tous les systèmes : oui / non
DÉCISION
A nomme un contrat ou un appel d'offres -> certifier, périmètre limité
à ce service
A ne compte que des questionnaires -> bibliothèque de réponses
maintenant, certifier quand
la première condition
d'accès apparaît
Deux « non » ou plus en C -> corriger C d'abord, puis
certifier
Aucun responsable nommé en B -> pas encoreQuand la certification ISO 27001 n’est-elle pas encore rentable ?
Dans cinq situations, l’argent est d’abord plus utile ailleurs.
Personne ne la demande. Si aucun client, appel d’offres ou régulateur ne l’a citée, le certificat n’a aucun chiffre d’affaires en contrepartie. Répondez aux questionnaires à partir d’une bibliothèque de réponses bien tenue et certifiez-vous quand la première condition d’accès apparaît.
Les mesures de base manquent. ISO 27001 est une couche de management posée sur des mesures techniques, pas un substitut à ces mesures. Si la MFA n’est pas imposée, que les terminaux ne sont pas gérés et que les correctifs n’ont pas de rythme, le SMSI que vous construisez est une façade de gouvernance sur des fondations non sécurisées. Des jours de conseil ne corrigent pas un bucket de stockage ouvert sur Internet.
Personne ne le fera vivre au jour 366. Qui maintient le SMSI après le départ des consultants, avec un audit de surveillance chaque année ? Si la réponse est personne, vous avez acheté un cadre sans tableau. La question du responsable est traitée dans ISO 27001 sans équipe de sécurité.
L’échéance est plus courte que la période de preuves. En partant de zéro, prévoyez neuf à douze mois. Le système doit généralement fonctionner trois mois avant l’étape 2, comme l’explique combien de temps prend réellement ISO 27001. Un client qui veut un certificat dans huit semaines peut accepter un périmètre convenu, un plan daté et la preuve que le travail a commencé. Posez la question avant de payer pour compresser le calendrier.
Le périmètre ne couvrirait pas ce que le client achète. Un périmètre étroit qui exclut le service concerné ne répond à personne.
Rien de tout cela ne plaide contre la norme. Cela plaide pour un ordre : les mesures, puis le système de management, puis le certificat. Le certificat suit le travail, et quand il arrive, il a un sens.
ISO 27001 est-elle rentable pour une PME ?
Souvent, mais plus tard que ne le laisse croire la pression commerciale.
Une entreprise plus petite paie des honoraires d’audit plus faibles, mais le total diminue moins qu’on ne le pense. La durée d’audit dépend du nombre de personnes dans le périmètre, et une entreprise de 1 à 10 personnes a tout de même besoin d’environ cinq jours d’audit, soit environ 7 000 à 9 000 €. Les parties fixes ne diminuent pas en proportion. Il vous faut toujours un responsable nommé, un registre des risques, un audit interne objectif et impartial (clause 9.2), une revue de direction et, en pratique, environ trois mois de preuves avant l’étape 2.
Une petite entreprise peut réussir l’audit, car la norme certifie un système de management et non un score de sécurité. La question est celle du calendrier. En pratique, une entreprise de dix personnes qui vend à d’autres petites entreprises tire généralement davantage de mesures de base et d’une bibliothèque de réponses aux questionnaires, jusqu’à ce que le premier client cite le certificat. Un éditeur de logiciels de quarante personnes qui vend à des banques, des assureurs ou des organismes publics rencontrera l’exigence dans la plupart des gros contrats, et a intérêt à commencer avant que l’un d’eux ne se bloque.
Comment obtenir le même résultat pour moins cher ?
Le résultat dont la plupart des petites entreprises ont besoin, c’est le oui d’un client précis ou la réussite d’un appel d’offres précis. Cinq façons de l’obtenir pour moins cher :
- Demandez ce que le client acceptera. Un certificat maintenant, un certificat à une date inscrite dans le contrat, ou une déclaration d’applicabilité et un plan daté en attendant. La réponse change à la fois le budget et le calendrier.
- Limitez le périmètre au service que le client achète. La durée d’audit se calcule sur les personnes incluses dans le périmètre, qui est donc le principal levier sur les honoraires. L’énoncé du périmètre est aussi ce que lit l’acheteur.
- Corrigez le socle technique avant de rédiger des politiques. MFA imposée, délais de correctifs, sauvegardes restaurées, terminaux gérés et processus de départ qui fonctionne : ce sont les écarts qui reviennent dans presque toutes les entreprises sans fonction sécurité. Les outils qui les comblent produisent aussi les enregistrements que l’auditeur échantillonne.
- Menez ISO 27001 et NIS2 une seule fois. Un seul ensemble de mesures et un seul registre de preuves, mis en correspondance avec les deux. Deux projets paient deux fois la même analyse d’écarts et les mêmes preuves.
- Budgétez les deuxième et troisième années avant de signer. Les audits de surveillance, l’audit interne et la revue de direction reviennent. Un programme chiffré uniquement jusqu’au certificat s’arrête au certificat.
Notre démarche est décrite sur la page ISO 27001. En résumé : « Comment construire une sécurité qui facilite la conformité ? » a un retour clair. « Comment acheter la conformité en espérant que la sécurité suive ? » a une facture de renouvellement.
Que ne vous dit pas un certificat ISO 27001 ?
Si vos mesures sont suffisamment bonnes. La norme exige bien d’évaluer les performances de sécurité de l’information ainsi que l’efficacité du système de management de la sécurité de l’information (clause 9.1), et l’auditeur échantillonne des enregistrements, pas seulement des politiques. Mais c’est vous qui choisissez les mesures et ce qui compte comme efficace. La norme ne fixe aucun seuil de qualité pour une mesure prise isolément.
Pensez aux voies d’entrée habituelles dans une petite entreprise : un service cloud mal configuré, un terminal non corrigé, un mot de passe hameçonné, un compte aux privilèges excessifs. Chacune a sa mesure dans l’annexe A : A.8.9 gestion de la configuration, A.8.8 gestion des vulnérabilités techniques, A.6.3 sensibilisation et formation, A.8.2 droits d’accès privilégiés. Chacune peut être satisfaite par un processus documenté alors que le problème reste ouvert. Un scan mensuel dont les constats restent ouverts pendant des mois peut quand même satisfaire à A.8.8. Ce n’est pas un défaut de l’audit. C’est le périmètre de l’instrument.
La conformité est un instantané. La sécurité est une posture. Le certificat repose sur un échantillon, vérifié une fois par an. Votre environnement change chaque semaine.
Combler cet écart, c’est évaluer vos mesures avec des chiffres plutôt qu’avec des documents : combien de temps les constats critiques restent ouverts, la couverture MFA des comptes d’administration aujourd’hui, la durée de la dernière restauration complète. Collectés à la main avant un audit, ces chiffres sont périmés dès leur arrivée. Collectés en continu depuis vos systèmes, avec une personne qui examine les exceptions, ils servent à la fois l’auditeur, les questions de suivi du client et une autorité NIS2. C’est ainsi que fonctionne la plateforme CloudSoul : une collecte automatisée, avec une expertise humaine dans la boucle. Pour savoir d’abord lesquels de vos écarts relèvent de la documentation et lesquels sont techniques, commencez par un audit de sécurité.
Liste de contrôle pour décider d’une certification ISO 27001
- Nommez le contrat, l’appel d’offres ou le régulateur qui la demande, et renseignez-vous sur ce qu’il acceptera.
- Mettez le coût sur trois ans en regard de la marge qu’elle débloque, pas des statistiques de violations de données.
- Vérifiez le socle : MFA imposée, délais de correctifs, restauration chronométrée, accès des partants retirés.
- Tracez le périmètre autour du service que le client achète.
- Nommez le responsable pour les deuxième et troisième années, avec du temps réservé dans son agenda.
- Si NIS2 s’applique, prévoyez un seul programme et un seul registre de preuves pour les deux.
- Comptez neuf à douze mois en partant de zéro, et donnez une date au client.
- Continuez à suivre la liste des écarts après l’obtention du certificat.
Sources
- ISO/IEC 27001:2022, Systèmes de management de la sécurité de l’information, Exigences, clauses 9.1 et 9.2 et annexe A, ISO.
- Directive (UE) 2022/2555 (NIS2), articles 21 et 32, EUR-Lex.
- Règlement (UE) 2022/2554 (DORA), articles 28(5) et 64, EUR-Lex.
- Centre pour la Cybersécurité Belgique, « NIS2: 18 April 2026 deadline, what essential entities must have in place », mis à jour le 16 avril 2026, CCB.
Questions fréquentes
ISO 27001 est-elle rentable pour une petite entreprise ?
Oui, quand un client, un appel d'offres ou un régulateur la demande déjà, car le certificat devient alors une condition du chiffre d'affaires. Si personne ne la demande et que des mesures de base comme la MFA imposée, l'application des correctifs et des sauvegardes testées font défaut, corrigez d'abord ces points et certifiez-vous quand la première condition d'accès apparaît.
Quels sont les avantages de la certification ISO 27001 ?
Elle vous fait passer les appels d'offres et les référencements fournisseurs qui l'exigent, elle répond par avance à une grande partie des questionnaires de sécurité des clients, et elle est un moyen largement utilisé de démontrer les mesures de l'article 21 de NIS2. Elle vous donne aussi un système de management avec des responsables, un registre des risques et des audits annuels.
Comment savoir si ISO 27001 est rentable ?
Mettez le coût sur trois ans en regard de la marge brute des contrats qu'elle débloque et du temps qu'elle fait gagner sur les évaluations de sécurité. Pour une entreprise de 26 à 125 personnes, la première année coûte environ 50 000 à 150 000 €, tout compris. Si vous pouvez nommer un contrat dont la marge couvre le coût sur trois ans, la décision est prise.
ISO 27001 suffit-elle à sécuriser une entreprise ?
Pas à elle seule. Elle certifie qu'un système de management existe et fonctionne, et l'organisation choisit elle-même ses mesures et ce qui compte comme efficace. Un scan de vulnérabilités mensuel dont les constats restent ouverts pendant des mois peut quand même satisfaire à la mesure sur les vulnérabilités techniques.
ISO 27001 est-elle obligatoire pour NIS2 ?
Non. NIS2 exige les mesures de gestion des risques en matière de cybersécurité de l'article 21, pas un certificat, et il n'existe pas de certificat NIS2 pour les entreprises. ISO 27001 est un moyen largement utilisé de mettre ces mesures en place et de démontrer que c'est fait.
