Certification ISO 27001 : 1 019 certificats en France fin 2023, le coût réel et qui produit
les preuves

La certification ISO 27001 se vend partout et se chiffre nulle part. Les pages des certificateurs parlent de méthode, de confiance, de démarche vertueuse, très rarement d'un montant. Pourtant la question qui gèle un projet est presque toujours la même : combien, sur combien d'années, et qui fait quoi exactement.

Elle se compte mal, aussi. Combien d'organisations françaises ont passé le cap ? La réponse existe, dans les fichiers de l'ISO Survey que presque personne ne télécharge : 1 019 certificats ISO 27001 valides en France fin 2023, contre 1 563 en Allemagne, 1 582 en Espagne et 3 176 en Italie. Je suis allé chercher la série complète le 7 octobre 2026, avec ses ruptures de méthode, parce qu'une partie des chiffres qui circulent les ignore.

Viennent ensuite les ordres de grandeur de prix pour le marché français, la structure du cycle sur trois ans, et le point que la plupart des articles esquivent : parmi les 93 contrôles de l'Annexe A 2022, une poignée réclame une preuve technique concrète, pas une politique de plus. C'est là qu'un pentest ou une surveillance de surface d'attaque entrent en jeu. Autant le poser tout de suite : own2pwn ne délivre pas le certificat et n'anime pas votre système de management complet. Il produit ces preuves techniques, et rien de plus.

Ce que couvre vraiment la certification ISO 27001

ISO/IEC 27001 ne certifie pas un produit ni un serveur. Elle certifie un système de management de la sécurité de l'information (SMSI) : un ensemble de processus par lequel une organisation identifie ses risques, décide des mesures, les applique, les mesure et les corrige. Le certificat atteste que ce système existe, tourne, et est audité par un tiers indépendant. C'est un engagement de gouvernance avant d'être un tampon technique.

Le cœur normatif tient dans les clauses 4 à 10 (contexte, leadership, planification, support, fonctionnement, évaluation, amélioration). L'Annexe A liste ensuite les mesures de sécurité candidates, celles qu'on retient ou qu'on écarte dans la fameuse déclaration d'applicabilité. Dans la version 2022, cette annexe compte 93 contrôles, répartis en quatre thèmes : 37 organisationnels, 8 liés aux personnes, 14 physiques et 34 technologiques. La révision de 2022 a fondu et réorganisé les 114 contrôles de l'édition 2013, et ajouté onze mesures neuves comme la veille sur les menaces ou le masquage des données (détail des contrôles sur isms.online).

La très grande majorité de ces 93 contrôles se démontre avec des documents : une politique signée, un registre, un compte rendu de revue de direction. Une minorité, elle, exige qu'on fasse quelque chose de mesurable et qu'on en garde la trace. C'est cette minorité qui coûte des compétences offensives qu'une équipe conformité n'a pas en interne.

1 019 certificats ISO 27001 en France : derrière les six autres pays comparés

Fin 2023, la France comptait 1 019 certificats ISO/IEC 27001 valides. C'est le plus petit nombre des sept pays que j'ai suivis : les deux voisins les plus proches au classement, l'Allemagne et l'Espagne, en déclaraient chacun un peu plus de 1 550, l'Italie plus de trois fois plus que la France. Rapporté à l'Allemagne, le parc français en représente 65 %.

Le classement ne tient pas à une année atypique. L'édition 2024 de l'enquête existe : sa collecte a été confiée à l'IAF, sur la base CertSearch, et son détail par pays n'est accessible qu'après création d'un compte, ce que je n'ai pas fait. Une infographie de l'ISO Survey 2024, relayée par un tiers, donne le top 10 mondial : Royaume-Uni 4 455, Italie 3 284, Allemagne 2 444, Espagne 2 425, et l'Australie ferme la marche à 2 217. La France n'y figure pas : elle avait donc moins de 2 217 certificats fin 2024, sans qu'on puisse dire combien. C'est une source secondaire, et une nouvelle rupture de méthode (la Chine y revient à 33 359), donc je ne la raccorde pas à la série 2018-2023.

À périmètre constant, la France progresse vite, puis ralentit

La série brute française monte sans interruption depuis 2018, de 223 à 1 019 certificats. Elle commence en 2018 pour une raison précise : cette année-là, l'ISO a publié ses résultats sans les années antérieures, en expliquant que certains gros organismes comptaient auparavant des sites comme des certificats. Les 342 certificats français de 2017 et les 223 de 2018 ne se comparent donc pas, et toute courbe qui les enchaîne affiche un recul qui n'a pas eu lieu.

Même après 2018, la série brute mélange deux choses : les nouveaux certificats et les organismes qui entrent dans l'enquête ou en sortent. Le saut de 606 à 927 entre 2021 et 2022 fait +53 %, mais 2022 est aussi l'année où des données de l'IAF CertSearch s'ajoutent pour la première fois. L'ISO publie pour cette raison, à chaque édition, un fichier qui ne compare que les organismes ayant répondu les deux années. Sur cette base, la France fait +44,2 % en 2021, +31,9 % en 2022, puis seulement +8,6 % en 2023.

Le ralentissement de 2023 se lit mieux à côté des voisins. Sur la même base, l'Italie fait +22,0 % et l'Espagne +7,2 %, quand l'Allemagne recule de 3,7 % et le Royaume-Uni de 10,8 %. En rythme, la France réduit donc l'écart avec ces deux derniers, à peine avec l'Espagne, et pas avec l'Italie, qui part de bien plus haut et croît plus vite. Quant au total mondial, qui tombe de 71 549 certificats en 2022 à 47 291 en 2023, il ne traduit aucun recul : la Chine passe de 26 301 à 4 108 parce que son organisme d'accréditation n'a pas transmis ses données. Une série qui ne le signale pas est fausse.

Ce que ces chiffres disent, et ce qu'ils ne disent pas

Ils mesurent le recours à un certificat tiers, pas le niveau de sécurité. Un certificat n'est pas une organisation (un groupe peut en détenir plusieurs, un certificat peut couvrir plusieurs sites), et rien n'indique qu'une entreprise allemande certifiée soit mieux protégée qu'une entreprise française qui ne l'est pas. Ce qu'ils disent en revanche, c'est qu'en France la certification reste rare : un acheteur qui l'exige de ses fournisseurs réduit fortement sa liste, et une PME certifiée se distingue encore. Une partie de la demande de preuve passe aussi par des dispositifs propres au marché français : les qualifications de l'ANSSI, du prestataire d'audit qualifié PASSI au cloud SecNumCloud, ou la certification des hébergeurs de données de santé, dont la liste publique comptait 416 hébergeurs le 7 octobre 2026 et qui repose elle-même sur un SMSI certifié ISO 27001.

La mesure

Les chiffres viennent des fichiers détaillés de l'ISO Survey, publiés par le comité ISO/CASCO : pour chaque édition de 2018 à 2023, le fichier des certificats par pays, le fichier de comparaison à organismes constants et la note explicative, plus le fichier historique 2006-2017. Ils ont été téléchargés le 7 octobre 2026 depuis la page publique de l'ISO, dans un navigateur, le serveur refusant les téléchargements scriptés. Je compte les certificats et non les sites, valides au 31 décembre ; le total mondial est la somme des pays, égale à la ligne de synthèse du fichier. Une lecture séparée du tableur, puis une contre-expertise qui a relu chaque feuille, redonnent les mêmes valeurs.

Combien coûte une certification ISO 27001

Aucun grand certificateur français (AFNOR Certification, Bureau Veritas, LRQA, BSI, SGS) ne publie de grille tarifaire ligne à ligne : le prix dépend du périmètre, du nombre de sites et de la maturité. Les fourchettes ci-dessous sont donc des ordres de grandeur prudents, agrégés à partir de sources du marché français, et non des devis officiels. Ils concernent la seule part payée à l'organisme de certification pour l'audit initial en deux étapes, hors conseil et hors effort interne.

Lecture rapide de ce tableau : le certificateur facture au temps passé, et ce temps grimpe avec l'effectif et la complexité du périmètre, pas avec le chiffre d'affaires. Une PME de cinquante personnes qui délimite un périmètre serré (une seule application, un seul site) paiera son audit vers le bas de la fourchette. La même PME qui met tout son SI dans le périmètre en verra le nombre de jours doubler. Ces chiffres proviennent d'un panorama tarifaire du marché français et sont cohérents avec d'autres estimations publiques.

Mais l'audit n'est que la partie visible. Trois postes s'ajoutent et pèsent souvent plus lourd que l'organisme lui-même :

• L'accompagnement en conseil : un consultant Lead Auditor qui structure le SMSI, rédige les politiques et prépare l'audit blanc. Comptez 15 000 à 50 000 € selon la maturité de départ, davantage si vous partez de zéro.
• L'effort interne : entre 0,3 et 1 équivalent temps plein mobilisé sur plusieurs mois, plus l'outillage (GRC, gestion documentaire). Ce poste ne sort pas de la trésorerie mais il immobilise vos meilleurs profils.
• Les audits de surveillance : chaque année, l'organisme revient vérifier que le système vit. Un passage de surveillance coûte de l'ordre d'un tiers de l'audit initial, à répéter deux fois avant la recertification.

Bout à bout, la première année d'une PME atterrit fréquemment dans la fourchette 30 000 à 80 000 € tout compris, et le coût total de possession sur trois ans entre 40 000 et 100 000 € selon la maturité de départ. D'autres estimations situent une PME au périmètre limité plutôt vers 15 000 à 30 000 € quand l'accompagnement est léger. L'écart entre ces bornes, c'est votre maturité de départ : plus vos processus et vos preuves existent déjà, moins l'audit et le conseil coûtent.

Le cycle de certification sur trois ans

La certification n'est pas un examen qu'on passe une fois. Le certificat est valide trois ans, mais cette validité est conditionnée à des passages annuels de l'organisme. Le rythme est fixe et il vaut mieux le connaître avant de signer, parce qu'il structure toute la charge récurrente : chaque année, il faut présenter des preuves fraîches, pas ressortir celles de l'audit initial.

Concrètement, la démarche complète prend six à dix-huit mois avant le premier certificat, selon l'état de départ. Cette planification a une conséquence directe sur le budget preuves : un pentest ou une campagne de scan n'est pas un événement unique de l'année 0. C'est une dépense qui revient à chaque cycle, parce qu'un rapport de test vieux de deux ans ne prouve plus rien sur un SI qui a bougé entre-temps.

Annexe A 2022 : les contrôles qui exigent une preuve technique

Sur les 93 contrôles, dont l'ISO 27002 donne le mode d'emploi, la plupart se démontrent par un document. Mais quelques-uns demandent qu'une action de sécurité ait été menée et tracée. Un auditeur qui lit "nous testons la sécurité de nos applications" dans une politique va demander la preuve : le rapport, la date, le périmètre, la remédiation. Le tableau suivant cartographie les contrôles concernés, la preuve attendue, et qui la produit.

Les intitulés exacts et la numérotation ci-dessus sont ceux de l'édition 2022, vérifiés sur une référence de l'annexe. Deux lignes portent le poids technique : A.8.8 et A.8.29. Les quatre contrôles fournisseurs (5.19 à 5.22) sont surtout contractuels, sauf A.5.21, qui bascule côté technique dès qu'on parle de sécurité de la chaîne d'approvisionnement logicielle et de nomenclature des composants.

Concrètement, la preuve pour A.8.8 est un artefact daté et archivé. Pour A.5.21, c'est une nomenclature logicielle horodatée qu'on peut rejouer. Deux exemples reproductibles avec des outils libres :

# Preuve A.8.8 : un scan de vulnerabilites date et conserve
nmap -sV --script vulners 10.0.0.0/24 -oX scan-$(date +%F).xml

# Preuve A.5.21 : une nomenclature logicielle (SBOM) horodatee
syft dir:. -o cyclonedx-json > sbom-$(date +%F).json

Ces fichiers, versionnés et rejouables, sont ce qu'un auditeur veut voir : une action réelle, datée, comparable d'un cycle à l'autre. Une capture d'écran d'un tableau de bord ne suffit pas, parce qu'elle ne prouve ni la date ni le périmètre. C'est la même exigence de traçabilité que dans un processus de gestion des vulnérabilités mature.

Qui produit la preuve : pentest, EASM, et le reste du SMSI

Il faut séparer deux métiers qu'on confond souvent. Bâtir et animer le SMSI (la gouvernance, les 90 contrôles documentaires, la revue de direction, la gestion des risques) est le travail d'un RSSI ou d'un consultant en management de la sécurité. Produire les preuves techniques que réclament A.8.29 et A.8.8 est un travail offensif. own2pwn intervient uniquement sur ce second métier, et le dit sans détour : il ne certifie pas, il ne remplit pas votre déclaration d'applicabilité, il ne fait pas l'audit blanc de gouvernance.

Le pentest, preuve du contrôle A.8.29

Le contrôle A.8.29 attend un test de sécurité avant mise en production. Un pentest web en boîte noire y répond avec un rapport daté, un périmètre défini et des correctifs vérifiés par un retest. C'est la trace qu'un auditeur veut associer à une application critique. Une mission débute autour de 2 250 €, retest inclus, avec une réponse sous 24 heures ; le détail des paliers est dans notre article sur le prix d'un test d'intrusion. Attention à ne pas confondre ce test avec un simple scan : la nuance, décisive pour l'auditeur, est développée dans pentest contre scan de vulnérabilité.

L'EASM, preuve du contrôle A.8.8

Le contrôle A.8.8 demande une gestion continue, pas un cliché ponctuel. C'est le terrain d'un EASM : inventaire permanent des actifs exposés, corrélation des bannières et versions avec les CVE connues, priorisation par exploitabilité, historique daté. La partie chaîne d'approvisionnement recoupe A.5.21, et la surveillance des identifiants exposés rejoint un sujet voisin, la fuite de secrets, qu'aucune politique ne détecte à votre place. L'intérêt pour un cycle ISO, c'est la fraîcheur : la preuve se régénère toute seule à chaque audit de surveillance.

ISO 27001 et NIS2 : les mesures qui se recouvrent

Beaucoup d'organisations lancent une démarche ISO 27001 en 2026 pour une raison indirecte : la directive NIS2 impose des mesures de gestion des risques que son article 21 énumère, et un SMSI certifié en couvre une large part. La certification n'est pas exigée par le texte, mais elle constitue un faisceau de preuves solide face à l'autorité de contrôle, notamment sur la gestion des vulnérabilités et les tests de sécurité, qui sont les contrôles techniques vus plus haut. C'est ce recouvrement que détaille notre approche de l'audit NIS2, centrée sur le volet technique et la matrice de couverture.

Pour les acteurs qui visent aussi l'hébergement de données sensibles, la logique se prolonge vers des qualifications plus lourdes comme SecNumCloud, qui s'appuie sur le socle ISO 27001 et y ajoute des exigences de souveraineté.

À retenir

• La France comptait 1 019 certificats ISO 27001 fin 2023 (ISO Survey, dernière édition en libre accès), moins que l'Allemagne, l'Espagne, l'Italie, le Royaume-Uni, le Japon et la Chine. À organismes constants, la croissance passe de +44,2 % en 2021 à +8,6 % en 2023.
• Le budget réel d'une certification ISO 27001 pour une PME tourne autour de 30 000 à 80 000 € la première année, et de 40 000 à 100 000 € sur le cycle de trois ans, selon la maturité de départ.
• La part payée au certificateur (audit initial en deux étapes) va d'environ 8 000 à 35 000 € selon l'effectif ; l'accompagnement en conseil et l'effort interne pèsent souvent plus lourd.
• Le certificat vit trois ans mais l'organisme revient chaque année : il faut des preuves fraîches à chaque surveillance, pas les mêmes qu'au départ.
• Sur les 93 contrôles de l'Annexe A 2022, deux exigent une preuve offensive : A.8.29 (tests de sécurité, via pentest) et A.8.8 (vulnérabilités, via EASM), plus A.5.21 côté chaîne d'approvisionnement.
• own2pwn produit ces preuves techniques et rien d'autre : il ne certifie pas, n'accompagne pas le SMSI complet, ne remplace ni le certificateur ni le RSSI.

Vous préparez un audit ISO 27001 ou NIS2 et il vous manque la preuve pour A.8.29 ou A.8.8 ? C'est ce que nous produisons, sur périmètre défini et avec un rapport que votre auditeur pourra verser au dossier. Voyez notre volet technique d'audit de conformité ou parlez-en directement via la page contact.

Questions fréquentes sur la certification ISO 27001