Combien de temps pour ISO 27001 ? Plan de projet en 8 phases pour PME
Pour une entreprise de 20 à 100 personnes, mettre en œuvre un SMSI selon ISO/IEC 27001:2022 et arriver à l'audit de certification prend généralement 4 à 9 mois. Le plan de référence du kit NexoDocs atteint l'audit de certification étape 2 en semaine 30 (environ 7 mois) : 2 semaines de préparation, 2 de contexte et périmètre, 6 consacrées aux risques, environ 8 de mise en œuvre des mesures et environ 12 de fonctionnement avec preuves (en partie en parallèle de la mise en œuvre), puis l'audit interne et la revue de direction avant l'étape 1. Ce qui allonge le plus le projet n'est pas la rédaction des documents, mais la disponibilité des personnes et le temps que les mesures doivent fonctionner avant de pouvoir être auditées.
Les 8 phases et leur durée
Voici les phases du plan de projet avec diagramme de Gantt du kit ISO 27001 NexoDocs en français (ISMS-PRJ-01 Plan de projet SMSI, onglet « Plan »). Les semaines sont indicatives pour 20 à 100 personnes et se recalculent dès que vous saisissez la date de début du projet :
| Phase | Ce qui se passe | Semaines du plan |
|---|---|---|
| 1 · Préparation | Autodiagnostic des écarts, analyse de rentabilité et parrainage de la direction, nomination du responsable et du Comité de sécurité | 1-2 |
| 2 · Contexte et périmètre | Contexte (y compris le changement climatique, amendement de 2024), parties intéressées, périmètre et cartographie des processus | 3-4 |
| 3 · Politique et objectifs | Approuver la politique de sécurité de l'information et les objectifs | 5 |
| 4 · Risques | Inventaire des actifs, méthodologie, ateliers d'appréciation des risques, plan de traitement et déclaration d'applicabilité | 5-10 |
| 5 · Mise en œuvre | Politiques de l'Annexe A, mesures techniques prioritaires, fournisseurs et cloud, sensibilisation, maîtrise documentaire | 10-17 |
| 6 · Fonctionnement et mesure | Appliquer les mesures, consigner preuves et incidents, mesurer les indicateurs, Comité bimestriel | 14-25 |
| 7 · Audit interne | Audit interne complet, actions correctives et revue de direction | 24-27 |
| 8 · Certification | Sélectionner et mandater un organisme de certification accrédité (dès la semaine 20), audits étape 1 et étape 2 | 20-30 |
Les phases 5 et 6 se chevauchent volontairement : chaque mesure commence à produire des preuves dès qu'elle est en place, sans attendre les autres. C'est pourquoi le plan n'est pas une simple addition de phases successives.
Pourquoi on ne peut pas le faire en quelques semaines
Les documents peuvent être prêts en quelques semaines, surtout avec des modèles. Ce qui s'accélère difficilement, c'est ce que l'auditeur veut voir fonctionner :
- Des enregistrements de fonctionnement : la preuve que les mesures sont appliquées (revues des accès, sauvegardes testées, incidents consignés), pas seulement des politiques approuvées.
- La surveillance et la mesure (article 9.1) : des indicateurs mesurés sur au moins quelques cycles.
- Un audit interne complet (9.2) et une revue de direction (9.3), avec des actions correctives engagées, avant l'audit de certification.
- Une sensibilisation (7.3) qui atteint toutes les personnes du périmètre, pas seulement l'équipe informatique.
- Le calendrier de l'organisme de certification, qu'il vaut mieux réserver plusieurs semaines à l'avance.
Kit de documentation SMSI ISO 27001
84 fichiers pour documenter votre SMSI selon ISO/IEC 27001:2022.
Voir le kit de documentation ISO 27001 (paiement unique)Ce qui allonge ou raccourcit le projet
| Facteur | Effet sur le calendrier |
|---|---|
| Périmètre large (plusieurs sites, nombreux systèmes ou services) | Allonge le travail sur les risques, la mise en œuvre et les audits |
| Temps disponible du responsable du SMSI | Avec moins d'un jour par semaine, le plan s'étire de plusieurs mois |
| Parrainage réel de la direction | Sans lui, approbations, budget et changements de processus se bloquent |
| Mesures techniques manquantes (MFA, sauvegardes testées, journalisation) | Souvent la partie la plus longue de la mise en œuvre |
| Un autre système de management ISO déjà en place (par exemple ISO 9001) | Raccourcit les articles 4 à 10 (documents, audit interne, revue de direction) |
| Partir de modèles avec un exemple complété | Raccourcit la rédaction ; ne remplace ni le fonctionnement ni les preuves |
Certification en France : ce qui pèse sur le calendrier
Pour un certificat reconnu, choisissez un organisme de certification accrédité pour ISO/IEC 27001 par le COFRAC (ou par un autre organisme d'accréditation signataire des accords européens) ; prévoyez le temps de comparer les offres et de fixer les dates, dès la semaine 20 dans le kit. Si vous utilisez la méthode EBIOS Risk Manager de l'ANSSI pour l'appréciation des risques, comptez ses ateliers dans la phase 4. Si votre entreprise entre dans le champ de NIS 2, les obligations légales suivent leur propre calendrier, indépendant de votre plan de projet.
Comment estimer votre propre calendrier
- Réalisez une analyse des écarts : le pourcentage par article et par thème de l'Annexe A montre la quantité réelle de travail.
- Validez le périmètre avec la direction : c'est la décision qui change le plus le calendrier.
- Saisissez la date de début dans le plan et ajustez la durée des tâches là où l'analyse des écarts est en rouge.
- Réservez dès le premier jour la période de fonctionnement avec preuves et l'audit interne : ce sont les étapes les plus souvent sous-estimées.
- Faites le point toutes les deux semaines et déplacez les dates selon les données, pas selon l'optimisme.
Modèle : le plan de projet du kit ISO 27001
Le kit ISO 27001 NexoDocs en français comprend le plan de projet SMSI ISMS-PRJ-01 : un fichier Excel sans macros avec les 23 tâches des 8 phases déjà saisies, un responsable proposé (issu de l'onglet « CONFIGURATION »), la semaine de début et la durée, un diagramme de Gantt qui se recalcule à partir de la date de début, le statut automatique de chaque tâche (En attente, En cours, En retard, Terminé) et l'avancement global pondéré par la durée. La première tâche est l'autodiagnostic des écarts ISMS-GAP-01 du même kit, et chaque tâche indique le document du kit qu'elle utilise.
Étape suivante
Essayez gratuitement ou passez directement à la solution complète.
Kit de documentation SMSI ISO 27001
84 fichiers pour documenter votre SMSI selon ISO/IEC 27001:2022.
Voir le kit de documentation ISO 27001 (paiement unique)
Échantillon gratuit
Téléchargez gratuitement une version réduite de la matrice des risques du kit (Excel, 10 scénarios, carte de chaleur ; échantillon en anglais). Voyez comment le niveau et la catégorie sont calculés avant de décider.
Télécharger l'échantillon gratuit (en anglais)Questions fréquentes
Peut-on être certifié ISO 27001 en 3 mois ?
C'est rare. Avec un périmètre très réduit, des mesures techniques déjà en place et un fort engagement interne, on peut s'en approcher, mais l'audit de certification exige des preuves de fonctionnement ainsi qu'un audit interne et une revue de direction terminés.
Combien de temps entre l'étape 1 et l'étape 2 ?
C'est l'organisme de certification qui le décide. En pratique, quelques semaines, le temps de corriger ce que relève l'étape 1 ; le plan de référence en prévoit deux.
Combien d'heures internes faut-il prévoir ?
Cela dépend du périmètre. À titre indicatif, le responsable du SMSI y consacre une part importante de sa semaine pendant le projet, et les propriétaires de processus et l'informatique participent aux ateliers et à la mise en œuvre des mesures.
L'édition 2022 change-t-elle la durée ?
Pas fondamentalement. L'édition 2022 a réorganisé l'Annexe A en 93 mesures et en a ajouté quelques-unes, qui demandent en général un travail technique supplémentaire aux organisations venant de l'édition 2013.
Un kit de modèles permet-il de finir dans les temps à coup sûr ?
Non. Un kit raccourcit la rédaction et organise le travail, mais le calendrier dépend du périmètre, du temps interne disponible et du temps nécessaire pour que les mesures produisent des preuves.
Guides associés
Analyse des écarts ISO 27001 : où en est votre SMSI par rapport à la norme ?
Analyse des écarts ISO/IEC 27001:2022 : 29 questions sur les articles 4 à 10, les 93 mesures de l'annexe A, la notation avec feu tricolore et la suite du projet.
Lire le guide →Combien coûte l'ISO 27001 ? Kit, consultant ou logiciel
Combien coûte l'ISO 27001 dans une PME : audit de certification, consultant, logiciel de conformité ou kit de modèles, comparés, et quand choisir chaque option.
Lire le guide →Liste de contrôle d'audit interne ISO 27001 : structure, cotation et modèle
Liste de contrôle d'audit interne ISO/IEC 27001:2022 : articles 4 à 10 et 93 mesures de l'Annexe A, cotation des constats et preuves à demander.
Lire le guide →Mis à jour: 2026-10-29