À qui s’adresse cet article : à toute personne à qui l’on a demandé combien de temps prendra ISO 27001 et qui ne veut pas donner une réponse qu’il faudra corriger en février.
La version courte. Une entreprise de 20 à 250 personnes, partant d’une situation normale non structurée, sans personne dont le métier est la sécurité, doit prévoir neuf à douze mois. Si quelqu’un vous annonce trois, soit il cadre très étroitement, soit il prévoit d’assembler des preuves plutôt que d’en produire, et l’un des deux est un problème que vous rencontrerez à l’Étape 2.
Voici où passent réellement les mois.
Les phases, avec des durées honnêtes
| Phase | Durée réaliste |
|---|---|
| Cadrage, appréciation des risques, déclaration d’applicabilité | 4 à 8 semaines |
| Fermeture des écarts qui comptent | 2 à 5 mois |
| Faire tourner le système pour accumuler des preuves | 3 mois minimum, 6 est confortable |
| Audit interne et revue de direction | 2 à 4 semaines |
| Audit Étape 1 | de quelques jours à deux semaines |
| Intervalle entre Étape 1 et Étape 2 | 4 à 6 semaines |
| Audit Étape 2 | 1 à 2 semaines de temps calendaire |
| Décision de certification et émission du certificat | jusqu’à 3 mois |
L’addition paraît pire que la réalité, car plusieurs de ces phases se chevauchent. L’important est de savoir lesquelles peuvent se chevaucher et lesquelles non.
La seule chose que vous ne pouvez pas compresser
Votre système de management doit avoir fonctionné pendant une durée minimale avant l’Étape 2, typiquement trois mois. Les auditeurs veulent voir un historique : des revues d’accès datées, des traces de correctifs, des tickets d’incident, une revue de direction qui a réellement eu lieu, des évaluations fournisseurs déposées dans le temps.
C’est du temps calendaire, pas de l’effort. Vous ne pouvez ni l’acheter, ni le paralléliser, ni le raccourcir en travaillant le week-end. Tout le reste de la liste ci-dessus est compressible avec de l’argent et de la concentration. Ceci, non.
D’où l’observation d’ordonnancement la plus utile qui soit : l’horloge qui compte démarre quand vos preuves démarrent, pas quand votre documentation est finie. La plupart des projets s’y prennent à l’envers, passent trois mois à peaufiner des politiques puis lancent l’horloge des preuves au quatrième mois, ce qui repousse la certification d’un trimestre entier sans aucun gain.
Activez les choses récurrentes et ennuyeuses dès la première semaine. Revues d’accès, traces de correctifs, conservation des journaux, premières évaluations fournisseurs. Elles peuvent être imparfaites. Elles ne peuvent pas être absentes.
Pourquoi 40% des audits Étape 2 sont reportés
Environ quatre organisations sur dix qui abordent l’Étape 1 sans programme de sécurité géré doivent déplacer leur Étape 2, parce que les preuves ne sont pas là quand l’auditeur arrive.
Le schéma est toujours le même. L’Étape 1 est une revue documentaire, et la documentation est précisément ce que les cabinets savent produire, donc l’Étape 1 se passe bien. L’Étape 2 demande si le système documenté a réellement tourné, et c’est là qu’un projet qui a chargé la documentation en premier s’effondre.
Les causes précises, dans l’ordre où nous les voyons :
- L’appréciation des risques ou la déclaration d’applicabilité est incomplète à l’Étape 1, si bien que l’auditeur ne peut même pas établir ce qu’il est censé tester.
- Les enregistrements opérationnels manquent pour la fenêtre de trois mois. Les mesures ont été conçues mais rien n’a tracé leur exécution.
- Des non-conformités majeures à l’Étape 2, qui exigent une remédiation avant l’émission du certificat, ce qui ajoute des semaines et parfois une nouvelle visite.
- Le périmètre a été mal tracé et doit être redessiné, ce qui invalide une partie du travail déjà fait. À lire avant de figer une frontière : le périmètre et la déclaration d’applicabilité.
Ce qui ralentit vraiment, par ordre
Une propriété qui n’est pas réelle. Le meilleur prédicteur d’un projet qui dérive est que la sécurité n’est le vrai métier de personne. Le projet a de l’énergie six semaines, puis le CTO reçoit une échéance produit, et trois mois s’évaporent. Si vous ne pouvez pas nommer la personne et montrer du temps dans son agenda, ajoutez un trimestre à votre estimation.
Des décisions laissées ouvertes. Périmètre, appétence au risque, ce que vous ne ferez pas cette année. Chaque semaine où l’une d’elles reste ouverte est une semaine de travail qui pourrait être à refaire. Elles sont détaillées dans les décisions que vous seul pouvez prendre.
La traîne fournisseurs. Inventorier, classer, obtenir les informations de sécurité, consigner. La contrainte est le temps de réponse des autres, raison pour laquelle cela devrait démarrer en semaine 1 et ne le fait jamais.
Le travail d’ingénierie en concurrence avec la feuille de route. Gestion des configurations, séparation des environnements, développement sécurisé. De vraies semaines d’ingénierie, et le seul groupe où empiler de la documentation ne change rien.
La planification de l’organisme certificateur. Réservez plus tôt que nécessaire. Les créneaux d’audit ne sont pas toujours disponibles quand vous le voulez, et l’intervalle entre Étape 1 et Étape 2 est de toute façon de quatre à six semaines par construction.
Ce qui raccourcit réellement
Pas grand-chose, et méfiez-vous de qui prétend le contraire. Mais trois leviers sont réels :
- Démarrer l’horloge des preuves en semaine 1. Vaut jusqu’à un trimestre entier, comme ci-dessus, et ne coûte rien.
- Cadrer délibérément plutôt que largement. Un périmètre tracé pour répondre à la vraie question de votre client est plus petit que « toute l’entreprise », et plus petit veut dire plus rapide. Cela réduit aussi le nombre de mesures en jeu, donc les groupes 4 et 5 du travail sur les mesures.
- Connaître vos écarts avant de commencer. L’essentiel de la variance dans la fourchette « 2 à 5 mois » de remédiation vient simplement de ne pas savoir ce qui est cassé. Un audit indépendant en amont transforme une inconnue en plan, ce qui fait la différence entre un projet et une dérive.
Si vous faites NIS2 en même temps, faites le travail une fois. Le recouvrement est important et la correspondance bien documentée, exposée dans les normes de certification et ISO 27001 sous NIS2. Pour le tableau complet d’une première certification sans équipe sécurité, commencez par ISO 27001 pour une entreprise sans équipe sécurité, et sur la destination de l’argent, les 50 000 € pour ISO 27001 en valent-ils la peine. Le parcours est présenté sur notre page solution ISO 27001.
Un calendrier que vous pouvez présenter à votre conseil
Pour une société logicielle de 40 personnes, hébergée dans le cloud, cadrée sur le produit et les équipes qui le construisent et l’exploitent :
- Mois 1 : décisions, périmètre, appréciation des risques, déclaration d’applicabilité. Générateurs de preuves activés. Inventaire fournisseurs démarré.
- Mois 2 à 4 : remédiation. Le travail d’ingénierie avance en parallèle de la documentation. Les preuves s’accumulent.
- Mois 5 : audit interne, puis revue de direction. Corriger ce que l’audit interne révèle, c’est tout l’intérêt de le faire.
- Mois 6 : Étape 1.
- Mois 7 ou 8 : Étape 2, quatre à six semaines après l’Étape 1.
- Mois 8 à 10 : certificat émis, en tenant compte de la décision de certification.
C’est le bon scénario, avec une vraie propriété et sans surprise. Dix à douze est le chiffre plus sûr à annoncer.
La réalité technique : un calendrier compressé achète un certificat, pas de la sécurité
Voici la partie qu’il faut dire franchement.
Chacune des astuces de compression qui circulent fonctionne réellement. Réduisez fortement le périmètre, achetez un pack de politiques, tenez la période de preuves au minimum, marquez généreusement dans la déclaration d’applicabilité, et vous pouvez détenir un certificat valide en six mois. La norme l’autorise.
Ce qu’il faut savoir, c’est où le temps est passé. La compression ne se fait jamais sur la documentation, car c’est ce que l’auditeur lit en premier et c’est peu coûteux à produire. Elle se fait sur la remédiation. La liste d’écarts qui aurait demandé quatre mois est triée jusqu’aux seuls points qui bloquent l’audit, et le reste bascule dans une feuille de route qui cesse discrètement d’être relue.
La formulation honnête, quand on vous demande combien de temps cela prend, est donc : la certification prend six à douze mois. Devenir défendable prend le temps que prend votre liste d’écarts, et le certificat ne dit pas lequel des deux vous avez acheté.
Si l’échéance est un contrat client et que le certificat débloque réellement du revenu, compressez, prenez le certificat, et gardez la moitié non traitée de la liste d’écarts quelque part où elle est relue chaque trimestre. C’est une décision d’entreprise légitime. L’erreur n’est pas de compresser le calendrier. L’erreur est de le compresser puis de croire que le certificat signifiait que vous aviez terminé.
