Qui devrait lire ceci : toute personne à qui l’on a demandé d’inscrire un montant ISO 27001 au budget de l’année prochaine, qui dispose d’un devis et soupçonne qu’il ne couvre pas tout.
Le soupçon est fondé. Le devis d’un organisme de certification couvre l’audit. Celui d’un consultant couvre la documentation. Entre les deux et autour d’eux se trouvent quatre lignes de coût qui n’apparaissent dans aucun des deux, et dans une entreprise de 20 à 250 personnes elles dépassent généralement les deux devis réunis.
Voici l’ensemble, dans l’ordre où l’argent sort.
L’organisme de certification : la plus petite ligne, et la seule qui soit fixe
C’est le seul coût dont la structure est publiée. La durée d’audit ne relève pas du commercial, elle est fixée par les règles d’accréditation auxquelles votre organisme est soumis, et elle suit l’effectif.
| Effectif | Jours d’audit de certification | Honoraires typiques aux tarifs européens |
|---|---|---|
| 1 à 10 | 5 | 7 000 à 9 000 € |
| 11 à 15 | 6 | 8 500 à 11 000 € |
| 16 à 25 | 7 | 10 000 à 13 000 € |
| 26 à 45 | 8,5 | 12 000 à 16 000 € |
| 46 à 65 | 10 | 14 500 à 19 000 € |
| 86 à 125 | 12 | 17 500 à 22 500 € |
| 176 à 275 | 14 | 20 500 à 26 000 € |
Les tarifs journaliers des auditeurs en Europe de l’Ouest se situent entre 1 200 et 1 600 € environ, et ont fortement augmenté ces deux dernières années. L’étape 1 représente 20 à 30 % du total des jours, l’étape 2 le reste.
Deux conséquences pour votre budget.
C’est l’effectif qui fixe le prix, pas le chiffre d’affaires. Une entreprise de quarante personnes réalisant dix millions paie les mêmes honoraires qu’une entreprise de quarante personnes réalisant deux millions. Si vous recrutez pendant l’année de certification, la tranche chiffrée en janvier ne sera peut-être pas celle auditée.
Le périmètre réduit les jours. La durée d’audit se calcule sur les personnes incluses dans le périmètre du SMSI, pas sur l’entreprise entière. C’est le levier le plus puissant dont vous disposez, et il se décide des mois plus tôt, au moment de tracer la frontière. Se tromper dans un sens comme dans l’autre coûte cher, raison pour laquelle le périmètre et la déclaration d’applicabilité méritent plus d’attention qu’ils n’en reçoivent d’ordinaire.
Budgétez sur trois ans, car le certificat est un objet à trois ans
Un certificat ISO 27001 fonctionne sur un cycle de trois ans. L’année un correspond à l’audit de certification. Les années deux et trois sont des audits de surveillance, chacun représentant environ un tiers des honoraires initiaux. À la fin de la troisième année vient la recertification, dont le coût avoisine celui de l’année un.
| Année | Événement | Coût par rapport à l’année un |
|---|---|---|
| 1 | Étape 1 et étape 2 | 100 % |
| 2 | Surveillance | ~33 % |
| 3 | Surveillance | ~33 % |
| 4 | Recertification | ~100 % |
Une entreprise de 50 personnes qui envisage 16 000 € de certification regarde donc en réalité environ 27 000 € d’honoraires d’organisme sur trois ans, avant tout le reste. Un total à trois ans est le chiffre honnête à présenter à un conseil d’administration, et c’est aussi celui qui rend le coût annuel raisonnable plutôt qu’alarmant.
Ce que couvre le devis du consultant
L’accompagnement d’une PME va d’environ 6 000 € pour du coaching et des modèles à 45 000 € pour une prise en charge complète. Cet écart ne traduit pas surtout une différence de qualité, mais la part du travail qui reste chez vous.
Ce qu’un devis de consultant inclut de manière fiable : analyse d’écart, méthode d’appréciation des risques, déclaration d’applicabilité, jeu de politiques, préparation à l’audit.
Ce qu’il exclut de manière tout aussi fiable : corriger ce que l’analyse d’écart a trouvé.
Cette distinction est le cœur du sujet, et c’est la raison pour laquelle les budgets construits à partir d’un devis de consultant représentent la moitié du coût final.
Les quatre lignes que personne ne chiffre
1. Vos propres équipes, la ligne la plus lourde
Un programme ISO 27001 dans une entreprise de cette taille consomme entre 0,3 et 0,6 équivalent temps plein sur l’année de certification, réparti entre un responsable SMSI, des propriétaires de processus, l’informatique et la direction. À un coût chargé de 80 000 à 110 000 € par personne, cela représente 25 000 à 65 000 € de temps interne.
Cela n’apparaît sur aucune facture, donc rarement dans un budget, et c’est presque toujours le plus grand chiffre de cette page. C’est aussi celui qui détermine si le projet tient les délais, car c’est celui que l’on déprioritise discrètement quand un client escalade au quatrième mois.
2. La remédiation produite par la liste d’écarts
L’analyse d’écart est chiffrée. La correction des écarts ne l’est pas. Ce qui en sort dépend entièrement de votre point de départ, mais les éléments récurrents dans les entreprises sans fonction sécurité sont constants : authentification multifacteur étendue au-delà du fournisseur d’identité principal, journalisation centralisée là où il n’y en avait pas, gestion du parc, vérification des sauvegardes réellement testée, processus d’arrivée et de départ qui fonctionne de manière fiable.
Selon ce qui existe déjà, cette ligne va de quelques milliers d’euros de licences à un véritable projet d’infrastructure. C’est la ligne à la variance la plus large, et celle qu’il vaut la peine de quantifier avant de signer quoi que ce soit, ce à quoi sert un audit structuré en amont du programme.
3. L’audit interne, et le problème d’indépendance
L’article 9.2 exige des audits internes, et exige que les auditeurs n’auditent pas leur propre travail. Dans une entreprise de quarante personnes, la personne qui a construit le système de management est la seule à le comprendre, et donc la seule qui ne puisse pas l’auditer.
Restent trois options : former une deuxième personne, faire appel à une autre fonction ou entité du groupe, ou l’acheter. Un audit interne externalisé sur un périmètre PME coûte 4 000 à 12 000 € par an, tous les ans, pas une fois.
4. Tests d’intrusion et assurance technique
ISO 27001 n’impose pas de test d’intrusion. Les auditeurs interrogent l’évaluation technique des vulnérabilités au titre de l’A.8.8, et pour la plupart des éditeurs et prestataires un test est la réponse pratique, d’autant que les clients en réclament souvent le rapport. Prévoyez 4 000 à 10 000 € par an.
Trois profils de budget honnêtes
Année un, tout compris, pour une entreprise de 26 à 125 personnes :
| Profil | Organisme | Accompagnement | Temps interne | Remédiation et outillage | Total année un |
|---|---|---|---|---|---|
| Sobre, bon point de départ | 14 000 € | 8 000 € | 25 000 € | 5 000 € | ~52 000 € |
| PME type | 16 000 € | 22 000 € | 40 000 € | 18 000 € | ~96 000 € |
| Piloté par un consultant, point de départ faible | 18 000 € | 45 000 € | 55 000 € | 35 000 € | ~153 000 € |
Le chiffre que l’on se répète pour une PME de taille moyenne, 50 000 à 80 000 €, correspond grosso modo à la ligne du milieu sans le temps interne. Savoir si cette dépense est la bonne est une autre question, traitée dans 50 000 € pour ISO 27001, est-ce que cela en vaut la peine.
Où l’argent se perd réellement
Trois schémas expliquent l’essentiel des dépassements que nous observons.
Payer un consultant pour rédiger, puis payer à nouveau pour refaire. Des politiques rédigées par quelqu’un d’extérieur décrivent une entreprise qui n’existe pas. À l’étape 2, l’auditeur demande aux personnes qui y sont nommées ce qu’elles font, et l’écart devient un constat. Rédiger prend des heures. Réécrire prend des mois.
Dérouler le calendrier dans le mauvais ordre. Votre système de management doit avoir fonctionné environ trois mois avant l’étape 2 pour que les preuves existent. Les équipes qui perfectionnent d’abord la documentation et démarrent ensuite le compteur des preuves ajoutent un trimestre entier, et un trimestre à ce rythme de dépense représente une somme réelle. Le sujet est développé dans combien de temps prend réellement ISO 27001.
Traiter 93 mesures comme 93 projets. L’essentiel de l’annexe A se produit déjà en partie et demande à être consigné plutôt que construit. Trier les mesures par nature de travail, plutôt que de les parcourir dans l’ordre numérique, fait gagner des semaines. Ce regroupement est présenté dans les mesures de l’annexe A regroupées pour le travail réel.
Un changement structurel à connaître
Tout certificat ISO 27001 valide est désormais délivré au titre de la version 2022 de la norme. La fenêtre de transition pour les certificats émis sous l’édition 2013 s’est refermée le 31 octobre 2025 : un fournisseur qui présente aujourd’hui un certificat 2013 présente un certificat expiré.
L’enjeu est commercial plus que technique. Si un questionnaire client demande votre certificat et que celui d’un concurrent est périmé, c’est un différenciateur bien réel cette année. Cela signifie aussi que toute documentation de mise en œuvre publiée avant 2023 décrit un jeu de mesures qui n’existe plus.
La réalité technique : ce que laisse ouvert la voie la moins chère
Il existe une version de ce programme qui atteint le bas de chaque fourchette. Restreindre fortement le périmètre, acheter un jeu de modèles, respecter la période de preuves minimale, choisir l’organisme accrédité le moins cher, et sauter la remédiation technique puisque l’annexe A n’impose pas de niveau de mise en œuvre précis.
Cela fonctionne. Vous obtenez le certificat, et il est authentique.
Ce qu’il reste est un jeu de mesures documenté plutôt qu’opérationnel. L’A.8.8 dit de gérer les vulnérabilités techniques, et un scanner mensuel produisant un rapport que personne ne lit y satisfait. L’A.8.15 dit de conserver des journaux, et des journaux écrits sur un disque que personne n’interroge y satisfont. L’A.8.16 demande une surveillance, et c’est là que l’écart est le plus large, car la mesure peut être remplie par une procédure documentée alors que rien n’observe réellement.
Le certificat répond à la question du client. Il ne répond pas à la question de savoir si vous détecteriez une intrusion. Ce sont deux questions différentes, et dépenser davantage sur la première ne traite pas la seconde.
L’approche moins coûteuse consiste à savoir, avant le démarrage, quels écarts relèvent de la documentation et lesquels sont techniques, à fermer les seconds avec un outillage qui produit ses propres preuves, et à laisser le certificat découler d’un travail qui valait la peine d’être fait. L’audit consigne alors ce qui tourne vraiment au lieu de décrire ce qui a été écrit. Un audit de sécurité vCISO sert précisément à produire cette séparation, et la vue d’ensemble sans équipe sécurité se trouve dans ISO 27001 pour une entreprise sans équipe de sécurité.
