L'essentiel en 30 secondes
Nous accompagnons des PME sur le volet technique de leurs démarches ISO 27001, SOC 2 et DORA, et nous préparons notre propre certification ISO 27001. Ce double point de vue nous a appris une chose : ce qui fait échouer ou traîner une démarche n'est presque jamais technique.
Les trois obstacles réels : l'absence d'un interlocuteur interne réellement impliqué, l'idée qu'on peut déléguer sa certification, et la sous-estimation du temps de documentation.
Et un piège très concret, qui a coûté des mois à un client : des preuves inexploitables parce que non horodatées.
Ce qui bloque n'est jamais la technique
C'est contre-intuitif, surtout venant d'un prestataire technique. Déployer un EDR, durcir un tenant Microsoft 365, activer la journalisation, chiffrer les postes, tester une restauration : tout cela se planifie et s'exécute. Ce sont des semaines de travail, pas des mois, et le résultat est mesurable.
Ce qui prend du temps, c'est tout le reste. Décider quel risque on accepte et lequel on traite. Écrire une politique que l'équipe appliquera vraiment. Nommer un responsable. Tenir une revue de direction. Prouver que la mesure était en place le 15 mars et pas seulement la veille de l'audit.
Aucune de ces décisions ne peut être prise par un prestataire.
Il faut un interlocuteur interne, et il faut qu'il ait du temps
C'est la première difficulté, et de loin la plus fréquente. Une démarche de certification a besoin d'une personne côté client qui la porte : quelqu'un qui connaît l'organisation, qui peut arbitrer, et qui dispose de temps sur plusieurs mois.
Dans une PME, cette personne existe rarement. C'est le dirigeant, le DAF ou le responsable qualité, qui découvre la norme en même temps que le projet et à qui personne n'a dégagé de temps. Le projet avance alors par à-coups, entre deux urgences, et le calendrier glisse.
Quand cet interlocuteur est identifié, disponible et mandaté, tout change. Les questions se règlent en jours au lieu de semaines, les politiques se valident, les preuves arrivent. Quand il ne l'est pas, aucun prestataire ne compensera.
Notre conseil avant même de choisir un organisme certificateur : désignez cette personne et donnez-lui du temps officiellement. C'est la décision qui a le plus d'impact sur la durée du projet.
On ne délègue pas sa certification
Le deuxième malentendu, c'est de croire qu'un prestataire informatique peut « faire la certification ». Il ne peut pas, et il faut se méfier de celui qui l'affirme.
La certification porte sur votre système de management de la sécurité de l'information : votre périmètre, votre analyse de risques, vos décisions, votre gouvernance. L'auditeur vient vérifier que vous pilotez la sécurité de votre information, pas que votre prestataire a bien configuré ses outils.
Ce que nous couvrons, très concrètement : le durcissement de l'environnement Microsoft 365 et Intune que nous administrons, la journalisation et sa conservation, la gestion des accès et des comptes à privilèges, la sauvegarde et sa restauration testée, la protection des postes, et la production des preuves techniques correspondantes, dans un format exploitable par un auditeur.
Ce que nous ne couvrons pas : votre analyse de risques, vos politiques, votre revue de direction, votre audit interne, et évidemment l'audit de certification. Nous ne sommes ni cabinet de conseil en conformité, ni organisme certificateur, ni auditeur accrédité. Nous sommes des experts Microsoft qui ont traversé plusieurs de ces audits et qui savent ce qu'un auditeur demande.
Cette limite n'est pas une faiblesse commerciale : c'est ce qui rend le partage des rôles clair dès le départ, au lieu de le découvrir trois mois avant l'audit.
L'anecdote qui coûte le plus cher : des preuves non horodatées
Un client avait commencé sa démarche seul, avec sérieux. Pendant des mois, il avait documenté ses configurations en capturant des écrans : paramètres de sécurité, règles d'accès, états de sauvegarde. Un travail considérable.
Problème : le champ date et heure du système n'apparaissait sur aucune capture.
Rien ne permettait donc de démontrer à quel moment un contrôle était effectivement en place. Une capture sans horodatage prouve que la configuration a existé un jour, pas qu'elle était active pendant la période auditée. Tout a dû être refait.
C'est le genre de détail qu'on n'anticipe pas quand on n'a jamais vu d'audit, et qui saute aux yeux quand on en a vu plusieurs. Une preuve utile est datable, attribuable et reproductible : on doit savoir quand elle a été produite, par qui, et pouvoir la régénérer à l'identique.
C'est aussi pourquoi nous privilégions les preuves extraites automatiquement (exports d'API, rapports générés, journaux) plutôt que les captures manuelles. Elles portent leur horodatage nativement et se reproduisent sans effort au prochain audit de surveillance.
Le vrai coût : du temps et de la documentation
Personne ne prévient assez sur ce point. La part technique d'une démarche ISO 27001 est la plus visible mais pas la plus lourde. L'essentiel du travail consiste à écrire, tenir à jour et prouver.
Politiques, procédures, registre des risques, registre des actions correctives, déclaration d'applicabilité, comptes rendus de revues, preuves par contrôle : la norme 2022 compte 93 contrôles en annexe A, et chacun de ceux que vous retenez doit être documenté et démontrable.
Ce volume ne se rattrape pas dans les dernières semaines. Il se construit progressivement, ou il ne se construit pas.
Le certificat n'est pas une ligne d'arrivée
Dernier point, et c'est celui qui devrait orienter toute la démarche : la certification est valable trois ans, avec des audits de surveillance annuels. Un système monté à la va-vite pour passer l'audit initial se paie au premier audit de surveillance.
Il faut donc bâtir pour durer : des preuves qui se régénèrent automatiquement, des politiques que l'équipe applique réellement, des revues effectivement tenues. Une démarche de certification est un choix de stratégie long terme, pas un projet à échéance.
Si vous cherchez d'abord à comprendre la norme elle-même, ses exigences et sa structure, nous avons publié un guide complet de la norme ISO 27001.
Nous passons la certification, nous aussi
Nous avons engagé notre propre démarche ISO/IEC 27001:2022 en mars 2026, accompagnés par Bastion Technologies (plateforme de gouvernance et vCISO externe). Nous ne sommes pas encore certifiés : notre audit est prévu à l'automne 2026.
Le point qui nous paraît le plus important pour nos clients : notre périmètre audité inclut les accès délégués aux environnements de nos clients. Autrement dit, la façon dont notre équipe accède à vos systèmes, qui en a le droit, comment c'est journalisé et contrôlé, entre dans le champ de l'audit.
C'est la question qu'un dirigeant devrait poser à son prestataire informatique et qu'il ne pose presque jamais : qui, chez vous, peut entrer chez moi, et qui le vérifie ?
Sur les 93 contrôles de l'annexe A, 87 s'appliquent à notre périmètre, et aucun n'est laissé de côté. La démarche a commencé par une analyse d'écarts sur l'ensemble des contrôles, suivie d'un audit indépendant, d'un audit interne, de revues d'accès chez nos éditeurs et d'un exercice de continuité d'activité.
Nous documenterons la suite, y compris ce qui ne se passera pas comme prévu.
Ce qu'il faut retenir
- Désignez un interlocuteur interne et donnez-lui du temps officiellement : c'est le facteur numéro un de réussite.
- Vous ne pouvez pas déléguer votre certification. Un prestataire couvre le volet technique et les preuves associées, pas votre gouvernance.
- Vérifiez que vos preuves sont horodatées, attribuables et reproductibles. Préférez les exports automatiques aux captures manuelles.
- Prévoyez la charge documentaire dès le départ : c'est elle qui dicte le calendrier, pas la technique.
- Bâtissez pour trois ans, pas pour le jour de l'audit.
Si vous préparez une certification ISO 27001, SOC 2 ou une mise en conformité DORA et que votre environnement Microsoft en fait partie, nous pouvons prendre en charge ce volet et produire les preuves attendues. Parlons de votre périmètre. Et si votre besoin relève d'un accompagnement en gouvernance plutôt que technique, nous vous le dirons.
