Une certification ISO 27001 prend environ 5 jours d'auditeur pour une entreprise de 10 personnes au plus, 7 de 16 à 25, 10 de 46 à 65 et 12 de 86 à 125, étapes 1 et 2 réunies. Le décompte vient de l'annexe B de l'ISO/IEC 27006, à laquelle tout organisme de certification accrédité est tenu, si bien qu'un devis, c'est des jours multipliés par un tarif journalier d'environ 1 200 à 1 800 EUR : 8 400 à 12 600 EUR pour une entreprise de 25 personnes. Les audits de surveillance des années deux et trois prennent environ un tiers de ce temps chacun, et la recertification au moins deux tiers.
Aucun organisme de certification accrédité ne publie ses prix. Ni DNV, ni Bureau Veritas, ni DQS, TÜV, BSI, Intertek, SGS, LRQA ou Dekra. Chacun d'eux est en mode « demandez un devis », ce qui veut dire que vous ne pouvez pas budgéter avant de commencer à parler à des commerciaux.
C'est un vrai problème quand vous essayez de décider si vous vous lancez tout court. C'est aussi soluble, parce que le plus gros terme du prix n'est ni négociable ni secret.
Le prix, c'est des jours multipliés par un tarif
Un devis de certification, c'est jours d'auditeur × tarif journalier. Le tarif journalier varie selon le pays et l'organisme. Le nombre de jours, non : il est fixé par le tableau des temps d'audit de l'annexe B de l'ISO/IEC 27006, et l'organisme d'accréditation qui autorise votre certificateur l'y tient.
La moitié de la formule qui serait autrement opaque est donc publiée, et elle dépend d'une seule donnée que vous connaissez déjà : combien de personnes travaillent sous votre contrôle, dans le périmètre de votre SMSI.
Exemples chiffrés, d'après le tableau :
| Personnes dans le périmètre | Jours d'auditeur, étape 1 + étape 2 |
|---|---|
| jusqu'à 10 | 5 |
| 16–25 | 7 |
| 46–65 | 10 |
| 86–125 | 12 |
Ce sont des exemples chiffrés avec le chapitre cité plutôt qu'une reproduction du tableau, parce que l'ISO/IEC 27006 est protégée par le droit d'auteur et que nous n'allons pas la republier. Vérifiez-les sur votre propre exemplaire.
Transformer les jours en argent
D'après les sources professionnelles publiées, les organismes accrédités en Europe facturent environ 1 200 € à 1 800 € par jour d'auditeur. Personne ne publie de chiffre officiel, et c'est exactement pour cela qu'il faut demander trois devis sur un cahier des charges identique.
Pour une entreprise de 25 personnes : 7 jours, soit 8 400 € à 12 600 € pour la certification initiale.
Puis la partie récurrente, tirée de la même annexe. Un audit de surveillance représente environ un tiers du temps d'audit initial, et il a lieu les années deux et trois. La recertification, au moins deux tiers. Le coût sur trois ans du certificat pour cette même entreprise est donc d'environ 14 000 € à 21 000 € en frais d'audit seulement.
Les trois choses qui changent le chiffre
Un effectif mal compté. L'édition 2024 est explicite : les sous-traitants et les indépendants comptent, pas seulement les salariés. C'est la raison la plus fréquente pour laquelle une entreprise budgète une tranche et se voit proposer la suivante.
Les réductions de périmètre. L'annexe permet une réduction allant jusqu'à 30 % pour un périmètre simple, mono-site et mature, et pas davantage. Ce plancher est aussi dans l'annexe, donc un devis très en dessous de la fourchette est une question à poser plutôt qu'une bonne affaire.
Les déplacements. Facturés en plus du tarif journalier, toujours.
Ce qui n'est pas dans ce chiffre
Le certificat, c'est le prix que vous venez de calculer. Il est payé à un organisme de certification, une société distincte avec laquelle vous contractez directement.
Tout le reste est à votre charge : un test d'intrusion à typiquement 2 500 € à 5 000 € pour une application SaaS, un exemplaire de la norme à environ 130 €, et le plus gros coût de tous, qui n'apparaît dans aucun devis : le temps de vos propres équipes pour construire le système de management avant l'arrivée de l'auditeur.
Vérifiez le certificateur avant de signer
Rien n'empêche une société de se dire organisme de certification et de vendre des certificats. Un certificat non accrédité a l'air identique, coûte 40 à 50 % de moins, et est couramment rejeté dans les achats des grandes entreprises. Vous payez alors une seconde fois le prix accrédité complet, parce qu'un certificat non accrédité ne peut généralement pas être transféré.
Chaque pays de l'UE a un organisme national d'accréditation, désigné en vertu du règlement (CE) 765/2008 : la DAkkS en Allemagne, le COFRAC en France, la RvA aux Pays-Bas, l'ENAC en Espagne, la DANAK au Danemark. Vérifiez votre certificateur sur ce registre, ou à l'international via l'IAF, avant de signer quoi que ce soit.