Combien coûte l'ISO 27001 ? Kit, consultant ou logiciel
Mettre en œuvre et certifier l'ISO 27001 dans une petite entreprise coûte environ 12 000 à 40 000 dollars américains la première année selon les estimations publiées pour 2026, mais le montant dépend surtout de la façon de produire la documentation. L'audit de certification par un organisme accrédité est un coût fixe quel que soit le chemin (environ 4 000 à 15 000 dollars pour une petite organisation). Le reste varie : un consultant facture en général 15 000 à 50 000 dollars pour un projet complet, un logiciel de conformité 10 000 à 25 000 dollars par an, et un kit de modèles est un paiement unique de quelques dizaines à quelques centaines de dollars, en échange de plus d'heures de votre équipe.
Les coûts présents quel que soit le chemin
| Poste | Fourchette de référence | Commentaire |
|---|---|---|
| Audit de certification (étapes 1 et 2) | 4 000 à 15 000 dollars pour une petite organisation | Facturé par l'organisme de certification accrédité ; dépend de l'effectif, des sites et du périmètre |
| Audits de surveillance (années 2 et 3) | Plusieurs milliers de dollars par an | Le certificat dure 3 ans avec des audits annuels |
| Audit interne | 2 000 à 8 000 dollars s'il est externalisé | Peut être réalisé en interne par une personne indépendante du domaine audité |
| Temps de l'équipe interne | Le plus gros coût caché | Réunions, appréciation des risques, mise en place des mesures, sensibilisation et collecte des preuves |
| Mesures techniques manquantes | Variable | Sauvegardes, MFA, journalisation, chiffrement : dépend du point de départ |
| Texte de la norme ISO/IEC 27001 | Achat séparé | Auprès de l'ISO ou de l'AFNOR (NF EN ISO/IEC 27001) |
Les chiffres sont des estimations publiées par des cabinets et des éditeurs (voir Sources), le plus souvent en dollars, et varient selon le pays. Demandez des devis avant de budgéter.
Trois façons de produire la documentation
| Consultant | Logiciel de conformité | Kit de modèles | |
|---|---|---|---|
| Coût typique | 15 000 à 50 000 dollars par projet | 10 000 à 25 000 dollars par an (abonnement) | Paiement unique : quelques dizaines à quelques centaines de dollars |
| Ce que vous obtenez | Accompagnement, rédaction et préparation à l'audit | Suivi des mesures, intégrations techniques et preuves automatisées | Documents et outils modifiables, exemples et guide de mise en œuvre |
| Effort de votre équipe | Plus faible | Moyen : paramétrer et faire vivre la plateforme | Plus élevé : adapter les documents et faire fonctionner le système |
| Délai typique | 4 à 9 mois | 3 à 9 mois | 4 à 9 mois, selon le temps interne |
| Risque principal | Documents génériques ou dépendance au consultant | Coût récurrent et approche plus technique que système de management | Personne en interne n'a le temps |
| Pertinent si… | Vous avez du budget et peu de temps interne | Vous êtes une entreprise tech avec de nombreuses intégrations cloud et plusieurs référentiels à certifier | Quelqu'un peut piloter le projet et vous voulez maîtriser le coût |
Kit de documentation SMSI ISO 27001
84 modèles Word et Excel pour documenter votre SMSI selon ISO/IEC 27001:2022.
Voir le kit de documentation ISO 27001 (paiement unique)L'option hybride : kit + quelques heures de consultant
Beaucoup de petites entreprises combinent les deux : elles achètent un kit pour ne pas partir de zéro et font appel à un consultant quelques heures pour relire l'appréciation des risques et la déclaration d'applicabilité et réaliser un pré-audit. Elles paient ainsi l'expertise là où elle compte le plus, et non la rédaction de documents sur une page blanche.
Exemple de budget pour une entreprise de 30 personnes
| Poste | Consultant seul | Kit + heures de consultant |
|---|---|---|
| Documentation | Incluse dans le projet (15 000 à 50 000 dollars) | Kit (paiement unique) + 20 à 40 heures de relecture |
| Audit interne | Généralement inclus | 2 000 à 8 000 dollars s'il est externalisé |
| Certification (année 1) | 4 000 à 15 000 dollars | 4 000 à 15 000 dollars |
| Temps interne | Faible | Moyen à élevé |
Fourchettes de référence, pas des devis. La certification coûte la même chose quel que soit le chemin : la différence tient à la façon de produire et de maintenir la documentation.
Réduire le coût sans mettre l'audit en danger
- Définir un périmètre restreint et réel (par exemple le service sur lequel votre client vous interroge) plutôt que toute l'entreprise dès le premier jour.
- Réutiliser l'existant : politiques informatiques, contrats, sauvegardes, procédures RH.
- Ne pas acheter de logiciel avant que le périmètre et les risques soient clairs : le système de management d'abord, les outils ensuite.
- Sensibiliser le personnel avec du matériel prêt à l'emploi et conserver les preuves (articles 7.2 et 7.3).
- Demander des devis à 2 ou 3 organismes de certification accrédités et comparer les jours d'audit.
Sources
Estimations vérifiées le 24 octobre 2026, publiées par des tiers (cabinets et éditeurs pouvant avoir des intérêts commerciaux) : High Table (coûts de certification et de kits), ISMS Directory (jours d'audit et tarifs), Cataam et DPO Consulting (totaux pour PME), Axipro et SecureSlate (conseil et audit interne), Costbench et Vendr (prix observés pour Vanta et Drata, qui ne publient pas de tarifs).
Étape suivante
Essayez gratuitement ou passez directement à la solution complète.
Kit de documentation SMSI ISO 27001
84 modèles Word et Excel pour documenter votre SMSI selon ISO/IEC 27001:2022.
Voir le kit de documentation ISO 27001 (paiement unique)
Échantillon gratuit
Téléchargez gratuitement une version réduite de la matrice des risques du kit (Excel, 10 scénarios, carte de chaleur ; échantillon en anglais). Voyez comment le niveau et la catégorie sont calculés avant de décider.
Télécharger l'échantillon gratuit (en anglais)Questions fréquentes
Combien coûte la certification ISO 27001 pour une PME ?
Les estimations publiées pour 2026 situent la première année, tout compris, autour de 12 000 à 40 000 dollars ; l'audit de certification seul coûte généralement 4 000 à 15 000 dollars pour une petite organisation.
Peut-on mettre en œuvre l'ISO 27001 sans consultant ?
Oui, si quelqu'un en interne peut piloter le projet. Un kit de modèles et un guide de mise en œuvre structurent le travail ; beaucoup d'entreprises ajoutent quelques heures de consultant pour relire les risques et réaliser un pré-audit.
Un logiciel de conformité remplace-t-il un consultant ?
Pas entièrement. Il automatise le suivi des mesures et les preuves techniques, mais votre organisation doit définir le système de management (périmètre, risques, décisions de la direction).
Un kit garantit-il la certification ?
Non. Aucun chemin n'assure le résultat : il dépend de la façon dont vous mettez en œuvre et faites vivre le système, et de l'audit de l'organisme de certification.
Guides associés
Analyse des risques ISO 27001 : que doit contenir la matrice ?
Ce que l'ISO/IEC 27001:2022 exige pour l'appréciation des risques, les colonnes d'une matrice SMSI et le calcul du niveau. Échantillon Excel gratuit.
Lire le guide →Déclaration d'applicabilité ISO 27001 : qu'est-ce que c'est et comment la rédiger ?
Ce que doit contenir la déclaration d'applicabilité ISO/IEC 27001:2022 pour les 93 mesures, justifier les exclusions, erreurs fréquentes. Avec modèle Excel.
Lire le guide →Documents obligatoires ISO 27001:2022 : la liste par article
Les informations documentées exigées par l'ISO/IEC 27001:2022, article par article (politique, risques, DdA, objectifs, audit), et les documents de l'annexe A.
Lire le guide →Mis à jour: 2026-10-24