Pour une entreprise de 26 à 125 personnes, la certification ISO 27001 coûte environ 50 000 à 150 000 € la première année, tout compris. L’audit de certification lui-même en représente 12 000 à 22 500 €, selon l’effectif. Le reste se répartit entre l’accompagnement d’un consultant, le temps de vos propres équipes et la correction de ce que révèle l’analyse d’écarts. Après la première année, l’audit coûte chaque année environ un tiers de ce montant.
Ce guide présente les honoraires d’audit selon la taille de l’entreprise, le cycle de trois ans, les tarifs des consultants, les quatre coûts absents de tout devis, trois budgets réalistes et les moyens de dépenser moins.
| Poste de coût | Fourchette typique | Quand vous le payez |
|---|---|---|
| Organisme de certification (étapes 1 et 2) | 7 000 à 26 000 €, selon l’effectif | Première année, puis surveillance chaque année |
| Consultant ou accompagnement externe | 6 000 à 45 000 € | Surtout la première année |
| Vos propres équipes (0,3 à 0,6 ETP) | 25 000 à 65 000 € | Première année, puis moins |
| Remédiation et outillage | De quelques milliers d’euros à 35 000 € et plus | Première année, puis les licences |
| Audit interne, s’il est confié à un prestataire | 4 000 à 12 000 € | Chaque année |
| Test d’intrusion | 4 000 à 10 000 € | Chaque année |
Combien coûte l’audit de certification ISO 27001 ?
L’audit est le seul coût qui repose sur une structure publiée. La durée d’audit est fixée par les règles d’accréditation que votre organisme de certification applique (ISO/IEC 27006), et elle augmente avec le nombre de personnes dans le périmètre.
| Effectif dans le périmètre | Jours d’audit de certification | Honoraires typiques aux tarifs journaliers européens |
|---|---|---|
| 1 à 10 | 5 | 7 000 à 9 000 € |
| 11 à 15 | 6 | 8 500 à 11 000 € |
| 16 à 25 | 7 | 10 000 à 13 000 € |
| 26 à 45 | 8,5 | 12 000 à 16 000 € |
| 46 à 65 | 10 | 14 500 à 19 000 € |
| 86 à 125 | 12 | 17 500 à 22 500 € |
| 176 à 275 | 14 | 20 500 à 26 000 € |
En Europe de l’Ouest, le tarif journalier d’un auditeur se situe entre 1 200 et 1 600 € environ, et il a fortement augmenté ces deux dernières années. L’audit d’étape 1 représente 20 à 30 % des jours, l’étape 2 le reste.
C’est l’effectif qui fixe le prix, pas le chiffre d’affaires. Une entreprise de quarante personnes qui réalise dix millions de chiffre d’affaires paie les mêmes honoraires d’audit qu’une entreprise de quarante personnes qui en réalise deux. Si vous recrutez pendant l’année de certification, la tranche de votre devis de janvier ne sera peut-être pas celle de votre audit.
Le périmètre réduit le nombre de jours. La durée d’audit se calcule sur les personnes incluses dans le périmètre du SMSI, pas sur toute l’entreprise. C’est le levier le plus important dont vous disposez, et il se décide des mois plus tôt, au moment où vous tracez la limite. C’est pourquoi le périmètre et la déclaration d’applicabilité méritent plus d’attention qu’ils n’en reçoivent d’habitude.
La certification ISO 27001 est-elle un coût ponctuel ?
Non. Un certificat suit un cycle de trois ans, et le chiffre honnête à présenter à un conseil d’administration est le total sur trois ans.
| Année | Audit | Coût par rapport à la première année |
|---|---|---|
| 1 | Étapes 1 et 2 | 100 % |
| 2 | Surveillance | environ 33 % |
| 3 | Surveillance | environ 33 % |
| 4 | Renouvellement | environ 67 % |
Une entreprise de 50 personnes à qui l’on propose 16 000 € pour la certification doit en réalité compter environ 27 000 € d’honoraires d’organisme de certification sur les trois premières années, puis environ 10 700 € de plus pour l’audit de renouvellement la quatrième année. L’audit interne et la revue de direction reviennent aussi chaque année : le programme ne retombe donc jamais à zéro.
Combien coûte un consultant ISO 27001 ?
L’accompagnement d’une PME par un consultant va d’environ 6 000 € pour du coaching et des modèles à 45 000 € pour une personne qui pilote tout le programme. L’écart tient surtout à la part du travail qui reste chez vous, pas à la qualité.
Un devis de consultant inclut à coup sûr l’analyse d’écarts, la méthode d’appréciation des risques, la déclaration d’applicabilité (DdA, « Statement of Applicability »), le jeu de politiques et la préparation à l’audit. Il exclut tout aussi sûrement la correction de ce que l’analyse d’écarts révèle. C’est pourquoi les budgets construits à partir d’un devis de consultant n’atteignent que la moitié du coût final.
Quels coûts ne figurent dans aucun devis ISO 27001 ?
1. Vos propres équipes, le poste le plus lourd
Dans une entreprise de cette taille, un programme mobilise 0,3 à 0,6 ETP (équivalent temps plein) sur l’année de certification, réparti entre un responsable du SMSI, les propriétaires de processus, l’informatique et la direction. À un coût chargé de 80 000 à 110 000 € par personne, cela représente 25 000 à 65 000 € de temps interne.
Ce temps n’apparaît sur aucune facture, donc rarement dans un budget. C’est aussi le poste qui décide si le projet se termine à temps, car c’est lui que l’on relègue au second plan quand une escalade client tombe au quatrième mois.
2. La remédiation issue de la liste d’écarts
L’analyse d’écarts est chiffrée. La correction des écarts ne l’est pas. Dans les entreprises sans fonction sécurité, les mêmes points reviennent : l’authentification multifacteur au-delà du fournisseur d’identité principal, la journalisation centralisée, la gestion des terminaux, des sauvegardes dont la restauration a été testée, et un processus d’arrivée et de départ appliqué à chaque fois.
Ce poste va de quelques milliers d’euros de licences à un véritable projet d’infrastructure. C’est celui dont l’écart est le plus large : chiffrez-le avant de signer quoi que ce soit. C’est le rôle d’un Security Audit en amont du programme.
3. L’audit interne, et le problème d’indépendance
La article 9.2 exige des audits internes, et les auditeurs ne doivent pas auditer leur propre travail. Dans une entreprise de quarante personnes, la personne qui a construit le système de management est souvent la seule à le comprendre, et donc la seule à ne pas pouvoir l’auditer.
Vous pouvez former une deuxième personne, faire appel à une autre fonction ou à une autre entité du groupe, ou confier l’audit à un prestataire. Un audit interne externalisé sur un périmètre de PME coûte 4 000 à 12 000 € par an, chaque année.
4. Tests d’intrusion et assurance technique
ISO 27001 n’impose pas de test d’intrusion. Les auditeurs interrogent en revanche la gestion des vulnérabilités techniques au titre de la mesure A.8.8. Pour la plupart des éditeurs de logiciels et des sociétés de services, un test est la réponse pratique, surtout quand les clients demandent de toute façon le rapport. Prévoyez 4 000 à 10 000 € par an.
Combien coûte ISO 27001 au total ?
Première année, tout compris, pour une entreprise de 26 à 125 salariés :
| Profil de budget | Organisme de certification | Accompagnement externe | Temps interne | Remédiation et outillage | Total première année |
|---|---|---|---|---|---|
| Budget serré, bon point de départ | 14 000 € | 8 000 € | 25 000 € | 5 000 € | environ 52 000 € |
| PME type | 16 000 € | 22 000 € | 40 000 € | 18 000 € | environ 96 000 € |
| Piloté par un consultant, point de départ faible | 18 000 € | 45 000 € | 55 000 € | 35 000 € | environ 153 000 € |
L’audit interne et le test d’intrusion, si vous les confiez à des prestataires, ajoutent 8 000 à 22 000 € par an.
Le chiffre qui circule pour une PME de taille moyenne est de 50 000 à 80 000 €. Il correspond à peu près à la ligne du milieu, sans le temps interne. Savoir si cette dépense est la bonne est une autre question, traitée dans 50 000 € pour ISO 27001, cela en vaut-il la peine ?.
Comment réduire le coût d’ISO 27001 ?
L’essentiel des dépassements vient de trois schémas.
- Payer des consultants pour rédiger, puis payer à nouveau pour refaire. Des politiques rédigées par quelqu’un d’extérieur à l’entreprise décrivent une entreprise qui n’existe pas. À l’audit d’étape 2, l’auditeur demande aux personnes qui y sont nommées ce qu’elles font, et l’écart devient un constat. Rédiger prend des heures. Réécrire prend des mois.
- Dérouler le calendrier dans le mauvais ordre. Le système de management doit avoir fonctionné environ trois mois avant l’étape 2 pour que les preuves existent. Les équipes qui peaufinent d’abord les documents et lancent ensuite l’horloge des preuves ajoutent un trimestre. La bonne séquence est décrite dans combien de temps prend réellement ISO 27001.
- Traiter 93 mesures comme 93 projets. La majeure partie de l’annexe A se fait déjà en partie et demande à être consignée plutôt que construite. Trier les mesures selon le type de travail qu’elles demandent fait gagner des semaines. Le détail figure dans les mesures de l’annexe A regroupées par type de travail.
Il existe aussi une version du programme qui se situe en bas de chaque fourchette : un périmètre fortement restreint, un jeu de modèles, la période de preuves minimale, l’organisme accrédité le moins cher et aucune remédiation technique. Elle fonctionne, et le certificat est authentique. Ce qu’elle laisse, c’est un ensemble de mesures documentées plutôt qu’opérationnelles : un scan mensuel que personne ne lit satisfait à la mesure A.8.8, des journaux que personne n’interroge satisfont à A.8.15, et une procédure écrite peut satisfaire à A.8.16 alors que rien n’est surveillé. Le certificat répond à la question du client. Il ne vous dit pas si vous remarqueriez une intrusion.
La voie la moins coûteuse consiste à séparer les écarts documentaires des écarts techniques avant le démarrage du programme, à combler les écarts techniques avec des outils qui produisent leurs propres preuves, et à laisser l’audit constater ce qui fonctionne. C’est notre façon de mener ISO 27001, et la version pour une entreprise sans équipe de sécurité se trouve dans ISO 27001 sans équipe de sécurité.
NIS2 change-t-elle le budget ISO 27001 ?
Seulement si vous les menez comme deux projets distincts. NIS2 exige les mesures de gestion des risques en matière de cybersécurité de l’article 21, et la plupart correspondent à des mesures de l’annexe A que vous mettez en place de toute façon pour ISO 27001. Menez un seul programme, tenez un seul ensemble de preuves, et le second référentiel ne coûte qu’une fraction du premier. La correspondance est détaillée dans ISO 27001 et NIS2 : une seule fois au lieu de deux.
Liste de contrôle du budget ISO 27001
- Comptez les personnes incluses dans le périmètre, pas celles de toute l’entreprise, et identifiez votre tranche de jours d’audit.
- Demandez au moins deux devis à des organismes accrédités pour l’ISO/IEC 27001.
- Budgétez sur trois ans : l’audit de certification, deux audits de surveillance à environ un tiers chacun, le renouvellement à environ deux tiers.
- Chiffrez le temps interne : 0,3 à 0,6 ETP pour l’année de certification.
- Chiffrez la remédiation avant de signer avec un consultant, grâce à une analyse d’écarts ou à un audit de sécurité.
- Décidez qui réalise l’audit interne, et budgétez-le chaque année.
- Prévoyez un test d’intrusion si vos clients demandent le rapport.
- Si NIS2 s’applique à vous, prévoyez un seul programme pour les deux.
Questions fréquentes
Combien coûte la certification ISO 27001 pour une petite entreprise ?
Pour une entreprise de 1 à 10 personnes, l'audit de certification représente environ 5 jours d'audit, soit 7 000 à 9 000 € aux tarifs journaliers pratiqués en Europe de l'Ouest. Le coût total dépend bien plus du temps interne et de la remédiation que des honoraires d'audit.
La certification ISO 27001 est-elle un coût ponctuel ?
Non. Un certificat suit un cycle de trois ans : l'audit de certification la première année, un audit de surveillance la deuxième et la troisième année, chacun à environ un tiers du temps d'audit initial, puis un audit de renouvellement la quatrième année, à environ deux tiers. L'audit interne et la revue de direction ont lieu chaque année.
Combien coûte un audit de surveillance ISO 27001 ?
Environ un tiers de l'audit de certification initial, car les règles d'accréditation fixent la durée de surveillance à environ un tiers du temps d'audit initial. Une entreprise qui a payé 16 000 € pour sa certification doit prévoir environ 5 300 € pour chaque année de surveillance.
NIS2 impose-t-elle la certification ISO 27001 ?
Non. NIS2 exige les mesures de gestion des risques en matière de cybersécurité de l'article 21, pas un certificat. ISO 27001 est le moyen le plus courant de mettre ces mesures en place et de le démontrer. Une entreprise qui mène les deux peut donc budgéter un seul programme au lieu de deux.
Un certificat ISO 27001:2013 est-il encore valable ?
Non. La période de transition pour les certificats délivrés selon l'édition 2013 a pris fin le 31 octobre 2025. Tout certificat valide est désormais délivré selon l'ISO/IEC 27001:2022.
