Certification ISO 27001 : le coût réel et qui produit
les preuves

La certification ISO 27001 se vend partout et se chiffre nulle part. Les pages des certificateurs parlent de méthode, de confiance, de démarche vertueuse, très rarement d'un montant. Pourtant la question qui gèle un projet est presque toujours la même : combien, sur combien d'années, et qui fait quoi exactement.

Voici les ordres de grandeur réels pour le marché français, la structure du cycle sur trois ans, et le point que la plupart des articles esquivent : parmi les 93 contrôles de l'Annexe A 2022, une poignée réclame une preuve technique concrète, pas une politique de plus. C'est là qu'un pentest ou une surveillance de surface d'attaque entrent en jeu. Autant le poser tout de suite : own2pwn ne délivre pas le certificat et n'anime pas votre système de management complet. Il produit ces preuves techniques, et rien de plus.

Ce que couvre vraiment la certification ISO 27001

ISO/IEC 27001 ne certifie pas un produit ni un serveur. Elle certifie un système de management de la sécurité de l'information (SMSI) : un ensemble de processus par lequel une organisation identifie ses risques, décide des mesures, les applique, les mesure et les corrige. Le certificat atteste que ce système existe, tourne, et est audité par un tiers indépendant. C'est un engagement de gouvernance avant d'être un tampon technique.

Le cœur normatif tient dans les clauses 4 à 10 (contexte, leadership, planification, support, fonctionnement, évaluation, amélioration). L'Annexe A liste ensuite les mesures de sécurité candidates, celles qu'on retient ou qu'on écarte dans la fameuse déclaration d'applicabilité. Dans la version 2022, cette annexe compte 93 contrôles, répartis en quatre thèmes : 37 organisationnels, 8 liés aux personnes, 14 physiques et 34 technologiques. La révision de 2022 a fondu et réorganisé les 114 contrôles de l'édition 2013, et ajouté onze mesures neuves comme la veille sur les menaces ou le masquage des données (détail des contrôles sur isms.online).

Cette distinction gouvernance/technique n'est pas un détail de vocabulaire. La très grande majorité de ces 93 contrôles se démontre avec des documents : une politique signée, un registre, un compte rendu de revue de direction. Une minorité, elle, exige qu'on fasse quelque chose de mesurable et qu'on en garde la trace. C'est cette minorité qui coûte des compétences offensives qu'une équipe conformité n'a pas en interne.

Combien coûte une certification ISO 27001

Aucun grand certificateur français (AFNOR Certification, Bureau Veritas, LRQA, BSI, SGS) ne publie de grille tarifaire ligne à ligne : le prix dépend du périmètre, du nombre de sites et de la maturité. Les fourchettes ci-dessous sont donc des ordres de grandeur prudents, agrégés à partir de sources du marché français, et non des devis officiels. Ils concernent la seule part payée à l'organisme de certification pour l'audit initial en deux étapes, hors conseil et hors effort interne.

Lecture rapide de ce tableau : le certificateur facture au temps passé, et ce temps grimpe avec l'effectif et la complexité du périmètre, pas avec le chiffre d'affaires. Une PME de cinquante personnes qui délimite un périmètre serré (une seule application, un seul site) paiera son audit vers le bas de la fourchette. La même PME qui met tout son SI dans le périmètre en verra le nombre de jours doubler. Ces chiffres proviennent d'un panorama tarifaire du marché français et sont cohérents avec d'autres estimations publiques.

Mais l'audit n'est que la partie visible. Trois postes s'ajoutent et pèsent souvent plus lourd que l'organisme lui-même :

• L'accompagnement en conseil : un consultant Lead Auditor qui structure le SMSI, rédige les politiques et prépare l'audit blanc. Comptez 15 000 à 50 000 € selon la maturité de départ, davantage si vous partez de zéro.
• L'effort interne : entre 0,3 et 1 équivalent temps plein mobilisé sur plusieurs mois, plus l'outillage (GRC, gestion documentaire). Ce poste ne sort pas de la trésorerie mais il immobilise vos meilleurs profils.
• Les audits de surveillance : chaque année, l'organisme revient vérifier que le système vit. Un passage de surveillance coûte de l'ordre d'un tiers de l'audit initial, à répéter deux fois avant la recertification.

Bout à bout, la première année d'une PME atterrit fréquemment dans la fourchette 30 000 à 80 000 € tout compris, et le coût total de possession sur trois ans entre 40 000 et 100 000 € selon la maturité de départ. D'autres estimations situent une PME au périmètre limité plutôt vers 15 000 à 30 000 € quand l'accompagnement est léger. L'écart entre ces bornes, c'est exactement votre maturité de départ : plus vos processus et vos preuves existent déjà, moins l'audit et le conseil coûtent.

Le cycle de certification sur trois ans

La certification n'est pas un examen qu'on passe une fois. Le certificat est valide trois ans, mais cette validité est conditionnée à des passages annuels de l'organisme. C'est un abonnement, pas un diplôme. Le rythme est fixe et il vaut mieux le connaître avant de signer, parce qu'il structure toute la charge récurrente : chaque année, il faut présenter des preuves fraîches, pas ressortir celles de l'audit initial.

Concrètement, la démarche complète prend six à dix-huit mois avant le premier certificat, selon l'état de départ. Cette planification a une conséquence directe sur le budget preuves : un pentest ou une campagne de scan n'est pas un événement unique de l'année 0. C'est une dépense qui revient à chaque cycle, parce qu'un rapport de test vieux de deux ans ne prouve plus rien sur un SI qui a bougé entre-temps.

Annexe A 2022 : les contrôles qui exigent une preuve technique

Voici le nœud de l'article. Sur les 93 contrôles, la plupart se démontrent par un document. Mais quelques-uns demandent qu'une action de sécurité ait été menée et tracée. Un auditeur qui lit "nous testons la sécurité de nos applications" dans une politique va demander la preuve : le rapport, la date, le périmètre, la remédiation. C'est cette exigence de preuve, et non la politique, qui mobilise des compétences offensives. Le tableau suivant cartographie les contrôles concernés, la preuve attendue, et qui la produit.

Les intitulés exacts et la numérotation ci-dessus sont ceux de l'édition 2022, vérifiés sur une référence de l'annexe. Deux lignes portent le poids technique : A.8.8 et A.8.29. Les quatre contrôles fournisseurs (5.19 à 5.22) sont surtout contractuels, sauf A.5.21, qui bascule côté technique dès qu'on parle de sécurité de la chaîne d'approvisionnement logicielle et de nomenclature des composants.

À quoi ressemble une preuve, concrètement ? Pour A.8.8, ce n'est pas une phrase dans une politique, c'est un artefact daté et archivé. Pour A.5.21, c'est une nomenclature logicielle horodatée qu'on peut rejouer. Deux exemples reproductibles avec des outils libres :

# Preuve A.8.8 : un scan de vulnerabilites date et conserve
nmap -sV --script vulners 10.0.0.0/24 -oX scan-$(date +%F).xml

# Preuve A.5.21 : une nomenclature logicielle (SBOM) horodatee
syft dir:. -o cyclonedx-json > sbom-$(date +%F).json

Ces fichiers, versionnés et rejouables, sont ce qu'un auditeur veut voir : une action réelle, datée, comparable d'un cycle à l'autre. Une capture d'écran d'un tableau de bord ne suffit pas, parce qu'elle ne prouve ni la date ni le périmètre. C'est la même exigence de traçabilité que dans un processus de gestion des vulnérabilités mature.

Qui produit la preuve : pentest, EASM, et le reste du SMSI

Il faut séparer deux métiers qu'on confond souvent. Bâtir et animer le SMSI (la gouvernance, les 90 contrôles documentaires, la revue de direction, la gestion des risques) est le travail d'un RSSI ou d'un consultant en management de la sécurité. Produire les preuves techniques que réclament A.8.29 et A.8.8 est un travail offensif. own2pwn intervient uniquement sur ce second métier, et le dit sans détour : il ne certifie pas, il ne remplit pas votre déclaration d'applicabilité, il ne fait pas l'audit blanc de gouvernance.

Le pentest, preuve du contrôle A.8.29

Le contrôle A.8.29 attend un test de sécurité avant mise en production. Un pentest web en boîte noire y répond avec un rapport daté, un périmètre défini et des correctifs vérifiés par un retest. C'est exactement la trace qu'un auditeur veut associer à une application critique. Une mission débute autour de 2 250 €, retest inclus, avec une réponse sous 24 heures ; le détail des paliers est dans notre article sur le prix d'un test d'intrusion. Attention à ne pas confondre ce test avec un simple scan : la nuance, décisive pour l'auditeur, est développée dans pentest contre scan de vulnérabilité.

L'EASM, preuve du contrôle A.8.8

Le contrôle A.8.8 demande une gestion continue, pas un cliché ponctuel. C'est le terrain d'un EASM : inventaire permanent des actifs exposés, corrélation des bannières et versions avec les CVE connues, priorisation par exploitabilité, historique daté. La partie chaîne d'approvisionnement recoupe A.5.21, et la surveillance des identifiants exposés rejoint un sujet voisin, la fuite de secrets, qu'aucune politique ne détecte à votre place. L'intérêt pour un cycle ISO, c'est la fraîcheur : la preuve se régénère toute seule à chaque audit de surveillance.

ISO 27001 et NIS2 : le recouvrement qui change le calcul

Beaucoup d'organisations lancent une démarche ISO 27001 en 2026 pour une raison indirecte : la directive NIS2 impose des mesures de gestion des risques que son article 21 énumère, et un SMSI certifié en couvre une large part. La certification n'est pas exigée par le texte, mais elle constitue un faisceau de preuves solide face à l'autorité de contrôle, notamment sur la gestion des vulnérabilités et les tests de sécurité, qui sont précisément les contrôles techniques vus plus haut. C'est ce recouvrement que détaille notre approche de l'audit NIS2, centrée sur le volet technique et la matrice de couverture.

Pour les acteurs qui visent aussi l'hébergement de données sensibles, la logique se prolonge vers des qualifications plus lourdes comme SecNumCloud, qui s'appuie sur le socle ISO 27001 et y ajoute des exigences de souveraineté. Dans tous les cas, la preuve technique reste le même consommable : un test réel, daté, tracé, qu'il faut savoir produire à la demande.

À retenir

• Le budget réel d'une certification ISO 27001 pour une PME tourne autour de 30 000 à 80 000 € la première année, et de 40 000 à 100 000 € sur le cycle de trois ans, selon la maturité de départ.
• La part payée au certificateur (audit initial en deux étapes) va d'environ 8 000 à 35 000 € selon l'effectif ; l'accompagnement en conseil et l'effort interne pèsent souvent plus lourd.
• Le certificat vit trois ans mais l'organisme revient chaque année : il faut des preuves fraîches à chaque surveillance, pas les mêmes qu'au départ.
• Sur les 93 contrôles de l'Annexe A 2022, deux exigent une preuve offensive : A.8.29 (tests de sécurité, via pentest) et A.8.8 (vulnérabilités, via EASM), plus A.5.21 côté chaîne d'approvisionnement.
• own2pwn produit ces preuves techniques et rien d'autre : il ne certifie pas, n'accompagne pas le SMSI complet, ne remplace ni le certificateur ni le RSSI.

Vous préparez un audit ISO 27001 ou NIS2 et il vous manque la preuve pour A.8.29 ou A.8.8 ? C'est exactement ce que nous produisons, sur périmètre défini et avec un rapport que votre auditeur pourra verser au dossier. Voyez notre volet technique d'audit de conformité ou parlez-en directement via la page contact.

Questions fréquentes sur la certification ISO 27001