Certifié ISO 27001… mais sur quoi, exactement ?

Un logo ISO 27001 sur un site rassure. Il est fait pour ça. Mais derrière ce logo, les situations diffèrent : la certification peut concerner toute l’entreprise ou un seul service ; le certificat peut être expiré, ou appartenir à l’hébergeur. La norme ISO/IEC 27001 est pourtant la référence internationale en matière de sécurité de l’information, et elle est exigeante. Nous préparons actuellement notre propre certification, et ce chantier nous a appris une chose : un certificat ISO 27001 est un document à lire, pas seulement un logo à afficher.

ISO 27001 : une certification exigeante… sur le périmètre que l’on choisit

La certification ISO 27001 atteste qu’une organisation a mis en place un système de management de la sécurité de l’information (SMSI) : une façon structurée d’identifier ses risques, de choisir les mesures qui les réduisent et de prouver, d’un audit à l’autre, qu’elle progresse. Le certificat est délivré pour trois ans, avec un audit de surveillance chaque année. La certification reste rare en France : un peu plus de 1 000 certificats accrédités fin 2025 selon l’ISO Survey, pour plus de 125 000 dans le monde.

Vu de l’intérieur, le mot « exigeant » prend tout son sens. Chaque risque doit être analysé. La norme propose 93 mesures de sécurité : chacune doit être retenue ou écartée, avec une justification. Chaque affirmation doit être appuyée par une preuve. La direction ne délègue pas le sujet : elle valide les arbitrages et en répond.

Mais la norme laisse à chaque entreprise le soin de fixer le périmètre de sa certification, c’est-à-dire ce qu’elle couvre : un service, un site, une offre ou l’organisation entière. Certifier une équipe de dix personnes et certifier tout le système d’information d’une entreprise de 150 salariés ne demandent pas le même effort. Sur un site web, le logo est pourtant identique.

Ce choix est prévu et encadré. Le périmètre doit être justifié, tenir compte des dépendances avec le reste de l’entreprise, et l’organisme qui audite en vérifie la pertinence. Un périmètre restreint n’a donc rien de suspect. Le problème commence quand la communication donne à la certification une portée qu’elle n’a pas.

Quatre façons de briller sans être couvert

Aucune de ces pratiques n’implique forcément une mauvaise foi. Toutes produisent le même effet : le lecteur croit l’entreprise couverte là où personne n’a vérifié.

Le périmètre timbre-poste

Un seul service est certifié, mais la mention « entreprise certifiée ISO 27001 » s’affiche sur toutes les pages, y compris celles des offres qui n’ont jamais été auditées. Les règles de certification interdisent pourtant ce raccourci : une entreprise certifiée s’engage à ne pas laisser croire que sa certification couvre des activités hors périmètre.

Le certificat de l’hébergeur

« Vos données sont hébergées dans un datacenter certifié ISO 27001. » La phrase est souvent exacte. Mais c’est l’hébergeur qui a été audité, sur ses propres activités. La manière dont le prestataire administre vos systèmes, gère ses accès ou forme ses équipes n’est, elle, pas couverte par ce certificat.

Le « conforme » qui se fait passer pour « certifié »

« Conforme à ISO 27001 », « aligné sur », « inspiré de » : ces formules relèvent de l’auto-déclaration. Aucun auditeur indépendant n’est venu vérifier. Elles peuvent recouvrir un vrai travail, mais rien ne permet de le savoir.

Le certificat périmé

La norme a été révisée en 2022. Les certificats fondés sur l’ancienne version de 2013 ont tous expiré ou été retirés au 31 octobre 2025. Un « ISO 27001:2013 » affiché aujourd’hui ne correspond donc plus à aucune certification valide. Le logo, lui, ne périme pas.

Comment vérifier un certificat ISO 27001 en cinq minutes

Un certificat tient sur une page. Cinq questions suffisent, à poser à tout prestataire qui met la norme en avant.

1. Que couvre le périmètre ? Il est écrit sur le certificat. Vérifiez qu’il inclut le service que vous achetez et les équipes qui interviendront chez vous.
2. Qui l’a délivré ? Un organisme de certification accrédité, en France par le COFRAC ou à l’étranger par un homologue membre de l’IAF, le forum international de l’accréditation. Sa base publique, IAF CertSearch, permet de retrouver la plupart des certificats accrédités.
3. Quelle version ? La mention attendue est ISO/IEC 27001:2022.
4. Jusqu’à quand ? Les dates d’émission et d’expiration figurent sur le certificat. Un prestataire sérieux peut aussi confirmer la date de son dernier audit de surveillance.
5. Puis-je consulter la Déclaration d’applicabilité ? C’est le document qui liste les mesures de sécurité appliquées et justifie celles qui sont écartées. Elle est souvent communiquée sous accord de confidentialité, mais elle se demande.

 

Exemple Une société de gestion de portefeuille évalue son infogéreur, comme le règlement DORA lui demande de le faire pour ses prestataires informatiques. Le dossier commercial mentionne « certifié ISO 27001 ». En lisant le certificat, elle découvre qu’il appartient au datacenter du sous-traitant. Rien de faux dans la plaquette, mais la sécurité de l’infogérance elle-même reste à évaluer. Un certificat est une pièce du dossier, jamais une dispense d’évaluation.

Et une entreprise « en cours de certification » ?

C’est notre situation au moment où nous écrivons ces lignes, et nous la décrivons pour ce qu’elle est : une démarche engagée, pas une preuve. « En cours » ne garantit ni un résultat ni une date, puisqu’un audit peut révéler des écarts à corriger avant toute délivrance.

Face à une entreprise qui l’annonce, nous compris, trois questions sont légitimes : quel organisme a été retenu, quel périmètre est visé, quelle étape a été franchie. Une démarche réellement engagée permet d’y répondre sans difficulté.Un certificat ISO 27001 se mérite, et il se lit. Ce qu’il couvre, qui l’a vérifié et jusqu’à quand : tout y est écrit, à condition d’aller plus loin que le logo. Une entreprise qui a fait le travail n’a aucune raison de cacher son périmètre. Nous comptons bien, le moment venu, être lus avec la même grille.