ISO/IEC 27001 pour une PME marocaine : étapes, durée réaliste et erreurs à éviter

Un éditeur de logiciels de Casablanca, quarante salariés, héberge la paie de clients français. En mars, le plus important d’entre eux envoie son questionnaire fournisseur annuel. Une ligne a changé : la certification ISO/IEC 27001 conditionne le renouvellement du contrat, avec dix-huit mois pour l’obtenir. Le directeur général appelle son DSI le soir même. Il veut savoir ce que cela implique, combien de temps cela prend et ce qu’il faut éviter. Voici les réponses.

Pourquoi une PME marocaine s’y met

La demande vient rarement de l’intérieur. Elle arrive par un client. Les donneurs d’ordre européens reportent sur leurs prestataires marocains les exigences que leurs propres régulateurs leur imposent, et un certificat leur évite d’auditer chaque fournisseur. Les appels d’offres des grands groupes et de certains acheteurs publics le citent comme critère de sélection ou de notation.

Deux cadres marocains ajoutent à cette pression. Dans le secteur financier, les établissements placés sous le contrôle de Bank Al-Maghrib doivent démontrer une gouvernance documentée de la sécurité de leurs systèmes d’information, et ils répercutent cette attente sur leurs prestataires par contrat. La loi 05-20 relative à la cybersécurité et son décret d’application 2-21-406 imposent aux infrastructures d’importance vitale et aux entités exploitant des systèmes d’information sensibles des mesures de protection définies par la DGSSI. Ces textes ne mentionnent pas le certificat. Un SMSI donne cependant la structure pour appliquer ces mesures, les tracer et en rendre compte à l’autorité.

Ce que l’édition 2022 contient

La norme décrit un système de management de la sécurité de l’information, le SMSI. Elle ne liste pas de produits à acheter. Elle demande à l’organisation de connaître ses risques, de décider comment les traiter, d’agir, puis de vérifier et de corriger. Les exigences tiennent dans sept clauses, numérotées de 4 à 10 et communes à toutes les normes de management ISO : contexte, leadership, planification, support, fonctionnement, évaluation des performances, amélioration.

L’annexe A donne la liste de référence des mesures de sécurité. Dans l’édition publiée en octobre 2022, elle compte 93 mesures réparties en quatre thèmes : 37 mesures organisationnelles, 8 mesures liées aux personnes, 14 mesures physiques et 34 mesures technologiques. L’édition 2013 en comptait 114, réparties en 14 domaines. Onze mesures sont nouvelles, dont le renseignement sur les menaces, la sécurité des services cloud, la gestion de la configuration, le masquage des données, la prévention des fuites de données, le filtrage web et le codage sécurisé. Aucune ne s’impose par elle-même : la déclaration d’applicabilité indique, pour chaque mesure, si elle est retenue ou écartée, et pourquoi. L’auditeur lit ce document en premier et y revient à chaque entretien.

À savoir avant de parler à un organisme certificateur : la période de transition entre les deux éditions s’est achevée le 31 octobre 2025. Un certificat délivré sur la version 2013 n’a plus de valeur et toute certification se fait sur la version 2022. Un amendement de février 2024 a ajouté le changement climatique aux enjeux à examiner dans l’analyse du contexte, sans modifier l’annexe A.

Les étapes, dans l’ordre où elles se font

1. 1Cadrage et périmètre. La direction nomme un responsable du SMSI et un sponsor. Le périmètre est délimité par activités, sites, équipes et systèmes, puis écrit. Un état des lieux par rapport aux clauses et à l’annexe A donne la liste des écarts.
2. 2Appréciation des risques. Une méthode est choisie, souvent ISO/IEC 27005 ou EBIOS Risk Manager, les critères d’acceptation sont fixés, puis les risques sont identifiés et évalués. Chaque risque reçoit une décision : réduire, accepter, transférer ou éviter.
3. 3Plan de traitement et déclaration d’applicabilité. Les mesures retenues sont planifiées, avec un responsable et une échéance. La déclaration d’applicabilité consigne, pour les 93 mesures, le choix fait et sa justification.
4. 4Mise en œuvre. Politiques et procédures écrites avec les équipes qui les appliqueront, mesures techniques déployées, sensibilisation du personnel, enregistrements qui serviront de preuves. C’est l’étape la plus longue.
5. 5Audit interne. Une personne compétente et indépendante des activités auditées vérifie la conformité et l’efficacité des mesures. Les écarts sont traités avant de solliciter l’organisme.
6. 6Revue de direction. La direction examine les résultats de l’audit, les indicateurs, les incidents et l’état des risques, puis décide des ressources et des changements.

L’audit de certification se joue en deux temps

L’étape 1 est une revue de la documentation et de la préparation. L’auditeur vérifie le périmètre, la méthode de risques, la déclaration d’applicabilité, la tenue d’un audit interne et d’une revue de direction, et signale ce qui empêcherait de réussir l’étape 2. L’étape 2 porte sur le fonctionnement réel : entretiens avec les équipes, examen des enregistrements, tests sur un échantillon de mesures. Les écarts sont classés en non-conformités majeures ou mineures. Une majeure doit être corrigée et vérifiée avant la délivrance du certificat.

Le certificat est valable trois ans. Un audit de surveillance a lieu au moins une fois par année civile, le premier dans les douze mois suivant la décision de certification. Avant l’échéance des trois ans, un audit de renouvellement, comparable à une étape 2, ouvre un nouveau cycle. Une surveillance manquée expose à la suspension du certificat.

Combien de temps cela prend vraiment

Les durées ci-dessous correspondent à ce que nous observons dans des PME marocaines de trente à deux cents personnes, avec un périmètre délimité et une équipe à temps partiel. Un périmètre flou ou une direction absente les allonge.

• Cadrage, périmètre et état des lieux : trois à six semaines.
• Appréciation et traitement des risques, jusqu’à la déclaration d’applicabilité : un à deux mois, si les responsables métier participent aux ateliers.
• Mise en œuvre : quatre à huit mois. Les outils se déploient en quelques semaines, les habitudes de travail mettent des mois à changer.
• Audit interne et revue de direction : trois à quatre semaines, corrections comprises. L’organisme attendra aussi des enregistrements couvrant plusieurs mois de fonctionnement.
• Obtention d’une date d’audit : souvent deux à trois mois d’attente, à demander dès la fin de l’analyse de risques.
• Entre l’étape 1 et l’étape 2 : de quelques semaines à trois mois, selon les écarts relevés.

Mis bout à bout, un projet réaliste dure entre neuf et quatorze mois jusqu’au certificat. Six mois restent atteignables avec une PSSI déjà appliquée, un inventaire des actifs à jour et une gestion des incidents en place. Face à une offre qui promet le certificat en trois mois à une PME partant de zéro, une seule question suffit : qu’est-ce qui fonctionnera réellement le jour de l’étape 2 ?

Les erreurs qui coûtent un audit

Les mêmes causes reviennent dans les rapports d’audit et dans les projets qui s’enlisent avant l’étape 1.

• Un périmètre trop large. Certifier toute l’entreprise dès le premier cycle multiplie les actifs, les entretiens et les écarts. Un périmètre centré sur l’activité que le client regarde, étendu au cycle suivant, aboutit plus sûrement.
• Une documentation hors sol. Des politiques achetées ou copiées d’un autre secteur décrivent une entreprise qui n’existe pas. L’auditeur le voit dès le premier entretien, quand l’interlocuteur ne reconnaît pas sa propre procédure.
• Des risques recopiés d’un modèle. Un registre générique ne reflète ni les actifs ni les menaces réels. Le plan de traitement et la déclaration d’applicabilité qui en découlent deviennent impossibles à justifier.
• L’absence de pilotage. Sans sponsor au comité de direction, sans revue mensuelle et sans arbitrage des ressources, le projet repose sur une personne du service informatique et s’arrête à son premier pic d’activité.
• Un audit interne complaisant. Confié à la personne qui a construit le système, il ne relève rien. L’étape 1 le détecte et le note comme un écart en soi.
• Un organisme certificateur non accrédité. Hors accréditation, le certificat n’a aucune valeur pour un client européen ou un régulateur. L’organisme doit être accrédité pour ISO/IEC 27001 selon ISO/IEC 17021-1 et ISO/IEC 27006-1, par un organisme d’accréditation signataire de l’accord multilatéral de reconnaissance, porté par l’IAF jusqu’en 2025 et par la Global Accreditation Cooperation depuis janvier 2026. Le numéro d’accréditation figure sur le certificat et se vérifie.

Qui porte le système une fois le certificat obtenu

Le certificat ouvre la partie la plus longue : trois ans de surveillance, un audit interne par an, une revue de direction, des risques à réévaluer à chaque changement d’activité, de fournisseur ou d’architecture. Une PME qui a tout délégué à un cabinet se retrouve, à la première surveillance, sans personne capable d’expliquer sa propre déclaration d’applicabilité.

La parade tient en deux ou trois personnes formées. Le responsable du SMSI suit un cursus Lead Implementer : cinq jours sur la conduite d’un projet de mise en œuvre, du périmètre à la préparation de l’audit. La personne chargée des audits internes suit le cursus Lead Auditor pour planifier un audit, collecter des preuves et qualifier des écarts. Les certifications PECB, délivrées après examen et validation de l’expérience professionnelle, donnent à l’auditeur comme au client une preuve de compétence qu’ils savent lire.

Corevia Technologie intervient sur ces deux volets, séparément ou ensemble : le conseil, du cadrage à la certification, avec l’appréciation des risques, la PSSI et, si besoin, un RSSI à temps partagé ; la formation, comme centre de formation et d’examen PECB pour les cursus ISO/IEC 27001 Foundation, Lead Implementer et Lead Auditor et ISO/IEC 27005 Risk Manager.

Par quoi commencer ce mois-ci

Pour le DSI de l’éditeur casablancais, avec dix-huit mois devant lui, le premier mois tient en cinq actions.

1. 1Obtenir du directeur général une décision écrite : périmètre visé, sponsor nommé, temps alloué aux équipes.
2. 2Faire réaliser un état des lieux par rapport aux clauses 4 à 10 et aux 93 mesures.
3. 3Choisir la méthode d’appréciation des risques et planifier les ateliers avec les responsables métier.
4. 4Demander des devis à deux ou trois organismes certificateurs et vérifier leur accréditation.
5. 5Inscrire le futur responsable du SMSI à une formation Lead Implementer avant le démarrage de l’analyse de risques.

Dans dix-huit mois, le client recevra une copie du certificat, avec le périmètre écrit dessus, et le questionnaire fournisseur suivant trouvera ses réponses dans les documents du SMSI.