ISO 27001 pour PME et startups : un SMSI allégé mais solide
Une startup ou une PME peut mettre en œuvre l'ISO/IEC 27001:2022 avec un SMSI allégé : les exigences sont les mêmes quelle que soit la taille, mais la manière d'y répondre s'adapte. Les articles 4 à 10 ne peuvent pas être exclus (contexte, leadership, risques, support, fonctionnement, évaluation et amélioration) ; les mesures de l'annexe A sont choisies par l'appréciation des risques et toute exclusion est justifiée dans la déclaration d'applicabilité. Dans une entreprise de 5 à 50 personnes, l'essentiel est un périmètre étroit et clair (souvent le produit et la plateforme cloud), un responsable du SMSI avec du temps réel et le soutien de la direction, des mesures compensatoires là où il y a trop peu de personnes pour séparer les tâches, et un bon usage des mesures de vos fournisseurs cloud. La durée d'audit s'adapte aussi : les organismes certificateurs la fixent surtout selon le nombre de personnes dans le périmètre.
Ce qui ne change pas avec la taille
- Tous les articles 4 à 10 : contexte et périmètre, leadership et politique, appréciation et traitement des risques, compétences et sensibilisation, fonctionnement, surveillance, audit interne, revue de direction et amélioration continue.
- Les informations documentées obligatoires (périmètre, politique, méthode d'appréciation des risques, déclaration d'applicabilité, plan de traitement des risques, objectifs, enregistrements de compétences, de surveillance, d'audit interne et de revue de direction).
- La preuve que les mesures fonctionnent depuis un certain temps avant l'audit de certification, pas seulement des documents approuvés.
Ce qui peut être allégé
| Domaine | Comment une petite entreprise le traite généralement |
|---|---|
| Périmètre (article 4.3) | Le limiter à ce que demandent les clients, par exemple le produit, sa plateforme cloud et les personnes qui l'exploitent |
| Rôles (5.3 et mesure 5.2) | Un responsable du SMSI (souvent le CTO ou le COO) et un petit comité avec les fondateurs ; responsabilités dans un tableau RACI |
| Séparation des tâches (mesure 5.3) | Faute de personnes, compenser par la journalisation, des alertes, la relecture des changements par un pair et une revue périodique de la direction, et consigner cette décision dans l'appréciation des risques |
| Cloud (mesure 5.23) | S'appuyer sur le modèle de responsabilité partagée et les rapports du fournisseur ; votre part : configuration, accès, sauvegardes et surveillance |
| Sécurité physique (mesures 7.1 à 7.14) | En télétravail ou en coworking, beaucoup concernent les centres de données du fournisseur et les portables ; justifier les exclusions dans la déclaration d'applicabilité |
| Télétravail (mesure 6.7) | Règles courtes sur les équipements, le chiffrement du disque, le verrouillage d'écran et le réseau domestique |
| Audit interne (9.2) | Par une personne formée qui n'audite pas son propre travail, ou par un auditeur externe pendant quelques jours |
Kit de documentation SMSI ISO 27001
84 fichiers pour documenter votre SMSI selon ISO/IEC 27001:2022.
Voir le kit de documentation ISO 27001 (paiement unique)Erreurs fréquentes dans les petites structures
- Copier le périmètre et les mesures d'un grand groupe et finir avec des politiques que personne n'applique.
- Exclure des mesures de l'annexe A sans justification liée à l'appréciation des risques.
- Confier le SMSI à une personne sans temps ni autorité : le plan s'arrête à la première échéance.
- Rédiger les documents et lancer l'audit sans plusieurs mois d'enregistrements (revues d'accès, sauvegardes testées, incidents, indicateurs).
- Supposer que le certificat du fournisseur cloud couvre votre entreprise : il couvre sa part, pas votre configuration ni vos équipes.
Un plan réaliste pour 5 à 50 personnes
- Faire une analyse des écarts par rapport aux articles et aux 93 mesures de l'annexe A pour voir où vous en êtes vraiment.
- Convenir d'un périmètre étroit avec les fondateurs et nommer le responsable du SMSI.
- Faire l'appréciation des risques avec les personnes qui connaissent le produit et l'infrastructure, et en déduire le traitement et la déclaration d'applicabilité.
- Mettre d'abord en place les priorités techniques : MFA, revues d'accès, sauvegardes testées, journalisation et alertes, configuration sécurisée du cloud.
- Faire fonctionner et collecter des preuves pendant quelques mois, réaliser l'audit interne et la revue de direction, puis réserver les étapes 1 et 2.
Le plan de référence NexoDocs atteint l'étape 2 en 30 semaines environ pour 20 à 100 personnes ; une très petite équipe avec un périmètre étroit va plus vite sur la documentation, mais pas sur le temps de fonctionnement des mesures.
En France : premiers pas avec l'ANSSI et NIS 2
L'ANSSI propose des points d'entrée adaptés aux petites structures, comme le guide d'hygiène informatique et le guide « La cybersécurité pour les TPE/PME en 13 questions », et Cybermalveillance.gouv.fr oriente vers des prestataires labellisés ExpertCyber. Ce sont de bonnes premières marches, sans remplacer un certificat ISO 27001 quand un client l'exige. La directive NIS 2 vise en principe les entités moyennes et grandes des secteurs listés (à partir de 50 salariés ou de certains seuils de chiffre d'affaires et de bilan) ; la transposition française par le projet de loi Résilience est encore en cours. Une petite entreprise est souvent concernée indirectement, comme fournisseur d'une entité régulée. Ceci n'est pas un conseil juridique.
Modèle : le kit ISO 27001 pour un SMSI allégé
Le kit ISO 27001 NexoDocs en français donne à une petite équipe les documents déjà structurés en Word et Excel modifiables, avec un exemple complet : analyse des écarts (ISMS-GAP-01), plan de projet avec Gantt (ISMS-PRJ-01), méthode et matrice des risques, plan de traitement (ISMS-RSK-03), déclaration d'applicabilité avec les 93 mesures, politiques de l'annexe A et programme d'audit interne. Vous les adaptez à votre périmètre au lieu de partir de zéro ; le kit ne remplace ni le fonctionnement des mesures ni l'audit de l'organisme certificateur, et aucun kit ne peut assurer le résultat.
Étape suivante
Essayez gratuitement ou passez directement à la solution complète.
Kit de documentation SMSI ISO 27001
84 fichiers pour documenter votre SMSI selon ISO/IEC 27001:2022.
Voir le kit de documentation ISO 27001 (paiement unique)
Échantillon gratuit
Téléchargez gratuitement une version réduite de la matrice des risques du kit (Excel, 10 scénarios, carte de chaleur ; échantillon en anglais). Voyez comment le niveau et la catégorie sont calculés avant de décider.
Télécharger l'échantillon gratuit (en anglais)Questions fréquentes
L'ISO 27001 vaut-elle la peine pour une startup ?
Oui quand des clients ou des appels d'offres la demandent, ou quand les questionnaires de sécurité ralentissent les ventes. Si personne ne la demande encore, construire les bases (risques, accès, sauvegardes, incidents) vous prépare déjà.
Une entreprise de 5 personnes peut-elle être certifiée ?
Oui. La norme n'a pas de taille minimale. Les mêmes articles s'appliquent et l'audit est plus court, car il dépend surtout du nombre de personnes dans le périmètre.
Quelles mesures de l'annexe A une petite entreprise peut-elle exclure ?
N'importe laquelle si l'appréciation des risques montre qu'elle n'est pas nécessaire et que l'exclusion est justifiée dans la déclaration d'applicabilité. Les articles 4 à 10 ne peuvent pas être exclus.
Faut-il un poste de sécurité à temps plein ?
Généralement non. Il faut un responsable avec des heures dédiées chaque semaine et le soutien de la direction ; certaines tâches, comme l'audit interne, peuvent être externalisées.
Guides associés
Combien coûte l'ISO 27001 ? Kit, consultant ou logiciel
Combien coûte l'ISO 27001 dans une PME : audit de certification, consultant, logiciel de conformité ou kit de modèles, comparés, et quand choisir chaque option.
Lire le guide →Combien de temps pour ISO 27001 ? Plan de projet en 8 phases pour PME
Combien de temps pour mettre en œuvre et certifier ISO/IEC 27001:2022 dans une PME : les 8 phases semaine par semaine, ce qui rallonge et ce qui accélère.
Lire le guide →Analyse des écarts ISO 27001 : où en est votre SMSI par rapport à la norme ?
Analyse des écarts ISO/IEC 27001:2022 : 29 questions sur les articles 4 à 10, les 93 mesures de l'annexe A, la notation avec feu tricolore et la suite du projet.
Lire le guide →Mis à jour: 2026-10-30