La certification ISO 27001 au Luxembourg se déroule comme partout ailleurs : vous construisez un système de management de la sécurité de l’information (SMSI), vous le faites fonctionner pendant environ trois mois, puis vous réussissez un audit en deux étapes mené par un organisme de certification accrédité, qui délivre un certificat valable trois ans. Ce qui est propre au Luxembourg : qui accrédite les auditeurs (l’OLAS), la manière dont la loi NIS2 renvoie aux normes, et le statut PSDC des prestataires d’archivage, qui est lié à l’ISO/IEC 27001.
Ce guide présente qui peut vous certifier, le processus, le coût, la question de savoir si le droit luxembourgeois impose ISO 27001, ce qu’apporte le statut PSDC, et une liste de contrôle.
| Certification ISO 27001 au Luxembourg | |
|---|---|
| Norme | ISO/IEC 27001:2022 ; les certificats selon l’édition 2013 ont expiré à la fin de la transition, le 31 octobre 2025 |
| Qui certifie | Un organisme de certification accrédité selon l’ISO/IEC 17021-1 et l’ISO/IEC 27006, par l’OLAS ou un autre organisme d’accréditation de l’EA |
| Audits | Étape 1 (le système est-il conçu ?) et étape 2 (a-t-il fonctionné ?), à quatre à six semaines d’intervalle |
| Période de preuves | Environ trois mois de fonctionnement avant l’étape 2 |
| Certificat | Trois ans ; audits de surveillance la deuxième et la troisième année, renouvellement la quatrième année |
| Durée | Neuf à douze mois en partant de zéro, pour 20 à 250 personnes |
| Coût | Audit d’environ 7 000 à 26 000 € selon l’effectif ; 50 000 à 150 000 € tout compris la première année, pour 26 à 125 personnes |
Qui peut délivrer la certification ISO 27001 au Luxembourg ?
Un organisme de certification accrédité pour l’ISO/IEC 27001. L’accréditation signifie qu’un organisme d’accréditation a évalué l’organisme de certification au regard de l’ISO/IEC 17021-1, qui fixe les règles générales de la certification des systèmes de management, et de l’ISO/IEC 27006, qui ajoute les règles propres à la sécurité de l’information.
Au Luxembourg, cet organisme d’accréditation est l’OLAS (Office luxembourgeois d’accréditation et de surveillance), qui fait partie de l’ILNAS, l’institut national chargé de la normalisation, de l’accréditation et de la sécurité des produits. L’OLAS accrédite les organismes de certification de SMSI et publie la liste des organismes qu’il a accrédités sur le Portail Qualité. L’ISO/IEC 27006 a été révisée sous la forme de l’ISO/IEC 27006-1:2024 ; pour la certification PSDC, l’ILNAS n’a accepté l’accréditation selon l’édition 2015 que jusqu’au 31 mars 2026.
Rien ne vous oblige à choisir un organisme luxembourgeois. Un organisme de certification accrédité par n’importe quel organisme d’accréditation partie aux accords de la Coopération européenne pour l’accréditation (EA), comme BELAC en Belgique ou la DAkkS en Allemagne, délivre un certificat tout aussi valable. Les règles luxembourgeoises relatives au statut PSDC le disent précisément : une certification par un organisme accrédité par l’OLAS ou par tout autre signataire des accords EA.
Avant de comparer les devis, vérifiez trois points :
- L’accréditation de l’organisme couvre l’ISO/IEC 27001, et pas seulement l’ISO 9001 ou l’ISO 14001.
- L’accréditation est en cours de validité et mentionne l’ISO/IEC 27006.
- Les auditeurs peuvent auditer dans la langue de travail de vos équipes : français, allemand ou anglais.
Comment se déroule la certification ISO 27001 ?
Le processus compte six phases :
- Périmètre et déclaration d’applicabilité. Décidez quelles parties de l’entreprise le certificat couvre, puis lesquelles des 93 mesures de l’annexe A s’appliquent, et pourquoi. Voir le périmètre et la déclaration d’applicabilité ISO 27001.
- Appréciation des risques et analyse d’écarts. Identifiez ce qui manque, et classez-le par priorité.
- Correction des écarts et fonctionnement du système. Mettez les mesures en place et laissez le système de management fonctionner environ trois mois, afin de disposer d’enregistrements à auditer.
- Audit interne et revue de direction. Vérifiez vous-même avant que l’auditeur ne le fasse, et faites examiner formellement les résultats par la direction.
- Audits d’étape 1 et d’étape 2. L’étape 1 examine les documents ; l’étape 2, quatre à six semaines plus tard, vérifie si le système a réellement fonctionné. Voir les audits d’étape 1 et d’étape 2.
- Certificat et surveillance. L’organisme de certification prend sa décision et délivre le certificat. Des audits de surveillance suivent la deuxième et la troisième année.
En partant de zéro, une entreprise de 20 à 250 personnes doit prévoir neuf à douze mois. La façon dont ce temps se répartit est décrite dans combien de temps prend réellement ISO 27001. Si vous n’avez pas d’équipe de sécurité, commencez par ISO 27001 sans équipe de sécurité.
Combien coûte ISO 27001 au Luxembourg ?
Les honoraires d’audit dépendent du nombre de personnes dans le périmètre, selon les mêmes règles d’accréditation partout :
| Effectif dans le périmètre | Jours d’audit de certification | Honoraires typiques aux tarifs journaliers d’Europe de l’Ouest |
|---|---|---|
| 1 à 10 | 5 | 7 000 à 9 000 € |
| 16 à 25 | 7 | 10 000 à 13 000 € |
| 26 à 45 | 8,5 | 12 000 à 16 000 € |
| 46 à 65 | 10 | 14 500 à 19 000 € |
| 86 à 125 | 12 | 17 500 à 22 500 € |
Les audits de surveillance coûtent chaque année environ un tiers de l’audit initial, et le renouvellement environ deux tiers. L’audit est le plus petit poste. Tout compris, avec l’accompagnement d’un consultant, le temps de vos propres équipes et la correction des écarts, une entreprise de 26 à 125 personnes doit prévoir environ 50 000 à 150 000 € la première année. Le détail complet figure dans le coût de la certification ISO 27001.
ISO 27001 est-elle obligatoire au Luxembourg ?
Non. Aucune loi luxembourgeoise n’impose la certification ISO 27001 de manière générale. Elle entre en jeu de trois façons :
- NIS2. La loi du 5 mai 2026 impose aux entités essentielles et importantes de prendre les mesures de gestion des risques de l’article 12. L’article 12(1) précise que ces mesures tiennent compte de l’état des connaissances et, s’il y a lieu, des normes européennes et internationales applicables. ISO 27001 est le moyen le plus courant de les mettre en place et de le démontrer. L’article 15 permet à l’autorité compétente d’exiger des produits, services ou processus certifiés dans le cadre de schémas européens de certification de cybersécurité, ce qui est tout autre chose que la certification ISO 27001. La correspondance entre les deux référentiels est détaillée dans ISO 27001 et NIS2.
- Clients. Les clients réglementés doivent gérer la sécurité de leurs fournisseurs, et un certificat répond à une grande partie de leurs questionnaires de sécurité.
- Statut PSDC. Pour les prestataires d’archivage et de dématérialisation, la certification nationale est liée à l’ISO/IEC 27001, comme expliqué ci-dessous.
Qu’est-ce que le statut PSDC, et quel est son lien avec ISO 27001 ?
Le PSDC (prestataire de services de dématérialisation ou de conservation) est un statut luxembourgeois destiné aux organisations qui numérisent des documents papier ou conservent des archives numériques. Il découle de la loi du 25 juillet 2015 relative à l’archivage électronique.
- L’ILNAS accorde le statut à une organisation certifiée selon la norme nationale ILNAS 106. Depuis le 8 septembre 2025, la certification doit suivre la norme ILNAS 106:2024.
- La norme ILNAS 106 est liée à l’ISO/IEC 27001 : l’ILNAS attend que la migration vers ILNAS 106:2024 soit achevée au plus tard six mois après l’obtention par l’organisation de la certification ISO/IEC 27001:2022.
- Seul un organisme de certification accrédité par l’OLAS, ou par un autre signataire des accords EA, selon l’ISO/IEC 17021-1 et l’ISO/IEC 27006, peut délivrer la certification.
- L’OLCN (Organisme luxembourgeois de la confiance numérique) supervise les PSDC. Perdre la certification, c’est perdre le statut.
Si vous numérisez ou archivez des documents pour des clients, ou si vous voulez que vos propres archives aient une valeur juridique, planifiez ISO 27001 et ILNAS 106 comme un seul programme. Les détails figurent sur le Portail Qualité.
Liste de contrôle de la certification ISO 27001 pour les entreprises luxembourgeoises
- Décidez ce que le certificat doit couvrir, en fonction de ce que vos clients achètent.
- Présélectionnez des organismes de certification accrédités pour l’ISO/IEC 27001, par l’OLAS ou un autre membre de l’EA, et vérifiez la langue de l’audit.
- Budgétez sur trois ans : la certification, deux audits de surveillance, puis le renouvellement.
- Commencez à consigner les preuves dès la première semaine ; l’étape 2 en demande environ trois mois.
- Si vous relevez de NIS2, faites correspondre vos mesures ISO 27001 aux mesures de l’article 12 et menez un seul programme.
- Si vous archivez ou numérisez des documents, planifiez ILNAS 106 en parallèle d’ISO 27001.
- Réservez tôt l’organisme de certification ; l’étape 1 et l’étape 2 sont espacées de quatre à six semaines.
La façon dont CloudSoul mène le programme, de l’analyse d’écarts au certificat, est présentée sur la page ISO 27001.
Sources
- ILNAS, Portail Qualité, Prestataires de services de dématérialisation ou de conservation, mis à jour le 14 juillet 2025.
- ILNAS, Portail Qualité, Politique de transition de l’OLAS pour l’ISO/IEC 27006, 5 octobre 2020.
- Loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité, Legilux.
- IAF MD 5, durée d’audit des audits de surveillance et de renouvellement.
Questions fréquentes
Qui délivre les certificats ISO 27001 au Luxembourg ?
Les organismes de certification accrédités pour l'ISO/IEC 27001 selon l'ISO/IEC 17021-1 et l'ISO/IEC 27006. Au Luxembourg, l'organisme d'accréditation est l'OLAS. Il fait partie de l'ILNAS et publie la liste des organismes qu'il a accrédités. Un organisme accrédité par un autre organisme d'accréditation européen partie aux accords EA est tout aussi valable.
ISO 27001 est-elle obligatoire au Luxembourg ?
Non. Aucune loi luxembourgeoise n'impose la certification ISO 27001 de manière générale. La loi NIS2 du 5 mai 2026 exige des mesures de gestion des risques qui tiennent compte des normes européennes et internationales applicables, et ISO 27001 est le moyen le plus courant de mettre ces mesures en place et de les démontrer.
Combien de temps prend la certification ISO 27001 au Luxembourg ?
Un délai de neuf à douze mois est réaliste pour une entreprise de 20 à 250 personnes qui part de zéro. Le système de management doit fonctionner environ trois mois avant l'audit d'étape 2, et l'étape 2 a généralement lieu quatre à six semaines après l'étape 1.
Combien coûte la certification ISO 27001 au Luxembourg ?
L'audit de certification est tarifé selon le nombre de personnes dans le périmètre : environ 5 jours d'audit pour 1 à 10 personnes et 12 pour 86 à 125, soit environ 7 000 à 22 500 € aux tarifs journaliers pratiqués en Europe de l'Ouest. Tout compris, une entreprise de 26 à 125 personnes doit prévoir environ 50 000 à 150 000 € la première année.
Un certificat délivré par un organisme de certification étranger est-il valable au Luxembourg ?
Oui, si l'organisme est accrédité pour l'ISO/IEC 27001 par un organisme d'accréditation signataire des accords de la Coopération européenne pour l'accréditation (EA). Les règles luxembourgeoises relatives au statut PSDC pour l'archivage acceptent précisément cela : l'OLAS ou tout autre signataire des accords EA.
