ISO/IEC 27001 est la norme internationale de référence pour le management de la sécurité de l'information. Pour un éditeur SaaS, elle est devenue la preuve la plus demandée par les grands comptes. Voici comment se déroule réellement une démarche de certification, ce qu'elle exige, et pourquoi certains éditeurs y arrivent en quelques semaines quand d'autres y passent deux ans.
Ce que certifie réellement ISO 27001
Contrairement à une idée répandue, ISO 27001 ne certifie pas votre produit. Elle certifie votre système de management de la sécurité de l'information (SMSI) : la manière dont vous identifiez vos risques, décidez des mesures, les appliquez, les mesurez et les améliorez. Le certificat porte sur un périmètre déclaré — par exemple « l'édition et l'exploitation de la plateforme X » — et il est valable trois ans, avec un audit de surveillance chaque année.
L'annexe A de la norme liste 93 mesures organisées en quatre thèmes : organisationnelles, humaines, physiques et technologiques. Vous n'êtes pas obligé de toutes les appliquer, mais vous devez justifier chaque exclusion dans un document appelé déclaration d'applicabilité.
Les 8 étapes de la démarche
- Définir le périmètre : quels services, quelles équipes, quels sites, quels systèmes. Un périmètre trop large alourdit inutilement l'audit.
- Engagement de la direction : politique de sécurité signée, rôles et responsabilités attribués, ressources allouées. Ce point est audité en premier.
- Analyse et traitement des risques : inventaire des actifs, scénarios de menace, évaluation, décision (réduire, accepter, transférer, éviter) et plan de traitement daté.
- Déclaration d'applicabilité : les 93 mesures, leur statut et la justification des exclusions.
- Mise en œuvre des mesures : politiques, procédures, contrôles techniques, sensibilisation des équipes, gestion des fournisseurs.
- Fonctionnement et preuves : le SMSI doit tourner. Revues d'accès, gestion des incidents, indicateurs, journaux : l'auditeur cherche des enregistrements, pas des intentions.
- Audit interne et revue de direction : deux exigences obligatoires avant l'audit de certification.
- Audit de certification : étape 1 (revue documentaire) puis étape 2 (audit de mise en œuvre) par un organisme accrédité.
Combien de temps, combien ça coûte
Pour un éditeur SaaS de moins de 50 personnes, la démarche classique dure entre 9 et 18 mois : l'essentiel du temps n'est pas consommé par la paperasse mais par la mise à niveau technique de l'application et de l'infrastructure. Le coût se décompose en trois postes : l'accompagnement, la mise à niveau technique — de loin le plus lourd si le produit existe déjà — et l'audit de certification lui-même, facturé par un organisme accrédité selon la taille du périmètre.
Le levier décisif est le point de départ. Si la plateforme applique déjà nativement le chiffrement, la traçabilité, la gestion des accès, la séparation des environnements et la sauvegarde testée, il ne reste que le travail de formalisation. C'est ce qui permet d'atteindre un état certifiable en quelques semaines plutôt qu'en un an.
Les cinq erreurs qui font échouer une certification
- Rédiger avant d'appliquer. Des politiques parfaites sans preuve d'exécution constituent une non-conformité majeure.
- Un périmètre flou. Si l'auditeur ne peut pas tracer la frontière du système, il élargit — et vous êtes pris en défaut.
- Oublier les fournisseurs. Hébergeur, outils internes, prestataires : chacun doit être évalué et contractualisé.
- Négliger les revues d'accès. Un compte d'ancien salarié encore actif est la non-conformité la plus fréquente.
- Traiter la certification comme un projet ponctuel. Le SMSI est un cycle continu, contrôlé chaque année.
ISO 27001 et NIS2 : le même socle
La directive NIS2 impose des mesures de gestion des risques très proches des exigences de la norme : analyse de risques, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, contrôle d'accès, chiffrement. Un SMSI conforme ISO 27001 couvre l'essentiel des obligations NIS2. Mener les deux ensemble évite de payer deux fois le même travail.
Conclusion
La certification ISO 27001 est avant tout un projet d'ingénierie, pas un projet documentaire. Plus la sécurité est intégrée tôt dans la construction du produit, plus la certification devient une formalité. C'est la logique que WakaStart applique en produisant dès le départ un SaaS certifiable, hébergé en France, avec les preuves déjà en place.