ISO 27001 pour une PME : les étapes réelles, sans jargon

« Un client nous demande la certification ISO 27001. » C’est presque toujours comme ça que la démarche commence dans une PME : par une exigence externe, un appel d’offres, un questionnaire fournisseur. Et la première réaction est souvent la même — l’impression d’une montagne réservée aux grands groupes.

Après avoir accompagné des PME jusqu’à la certification, voici à quoi ressemble réellement le chemin, étape par étape.

Ce que la norme demande vraiment

ISO 27001 ne demande pas d’acheter une pile d’outils de sécurité, ni de produire des classeurs de procédures que personne ne lira. Elle demande trois choses :

Savoir ce que vous protégez et contre quoi — une analyse de risques proportionnée à votre activité.
Décider et documenter ce que vous mettez en place — le fameux SMSI (système de management de la sécurité de l’information), avec ses politiques et sa déclaration d’applicabilité.
Prouver que c’est réellement appliqué et que ça s’améliore — indicateurs, revues, audits internes.

Le mot important est proportionné. Un SMSI de PME de 40 personnes ne ressemble pas à celui d’une banque, et l’auditeur ne s’attend pas à ça.

Étape 1 — Le cadrage (1 à 2 mois)

Tout commence par deux décisions structurantes : le périmètre (toute l’entreprise ? une activité ? un site ?) et l’analyse de risques. Un périmètre trop large allonge la démarche ; trop étroit, il peut ne pas satisfaire le client qui exige la certification. C’est le moment de trancher, avec la direction.

Le cadrage produit aussi l’analyse d’écart : où en êtes-vous, contrôle par contrôle, par rapport à l’annexe A de la norme ? Cette photographie de départ conditionne le budget et le calendrier — c’est exactement ce que produit un diagnostic flash.

Étape 2 — La construction du SMSI (2 à 4 mois)

C’est la phase la plus dense : politiques de sécurité, gestion des accès, procédure d’incident, gestion des fournisseurs, registres. Deux pièges classiques :

La sur-documentation. Copier des modèles de grands groupes produit des documents que personne n’applique — et un auditeur le voit en dix minutes. Mieux vaut dix pages vraies que cent pages théoriques.
La documentation hors-sol. Une politique doit décrire ce que vous faites réellement, ou ce que vous allez réellement faire. L’écart entre le papier et le terrain est la première source de non-conformités.

Étape 3 — Les contrôles techniques (en parallèle)

Bonne nouvelle pour les PME équipées en Microsoft 365 : une grande partie des contrôles techniques attendus s’appuie sur des briques déjà accessibles. Sur les accompagnements que j’ai menés, la principale dépense supplémentaire des clients a été des licences Microsoft 365 Business Premium — qui débloquent Intune pour la gestion des postes, Entra ID pour les accès conditionnels, et le MFA généralisé.

MFA partout, sauvegardes testées, postes chiffrés et gérés, journalisation activée : rien d’exotique, mais tout doit être fait, suivi et prouvable.

Étape 4 — L’audit blanc

Avant l’audit de certification, un audit blanc dans les conditions du réel change tout : il révèle les écarts restants pendant qu’il est encore temps de les corriger, et il prépare les équipes à l’exercice de l’entretien avec un auditeur. Les personnes interrogées découvrent que « je ne sais pas, mais je sais où c’est documenté » est une réponse parfaitement acceptable.

Étape 5 — L’audit de certification

L’audit se déroule en deux temps : une revue documentaire (étape 1), puis l’audit sur site ou à distance (étape 2). L’auditeur ne cherche pas la perfection — il cherche un système cohérent, appliqué, et une entreprise qui connaît ses risques. Des non-conformités mineures sont normales ; elles donnent lieu à un plan d’action, pas à un refus.

Le certificat est ensuite valable trois ans, avec un audit de surveillance chaque année. C’est un point souvent oublié dans les budgets : la démarche ne s’arrête pas au certificat. Le SMSI doit continuer à vivre — c’est là qu’un RSSI à temps partagé prend le relais naturellement.

Combien de temps, au total ?

Pour une PME partant de zéro avec un existant IT raisonnable : 6 à 12 mois entre la décision et le certificat. Le facteur limitant n’est presque jamais la technique — c’est la disponibilité des équipes internes pour valider, appliquer et s’approprier la démarche.

DRYIA accompagne les PME sur toute la démarche, du cadrage à la certification — les deux entreprises accompagnées à ce jour ont été certifiées dès leur premier audit. Voir l’accompagnement ISO 27001.