ISO 27001 est souvent présentée comme disproportionnément complexe pour les PME – une norme pour les banques et les grands groupes qui dépasse les capacités des PME. C'est vrai uniquement si ISO 27001 est mise en œuvre selon le manuel des grands groupes : politiques de cent pages, inventaires de risques avec 500 entrées, procédures ICS à trois niveaux. La norme elle-même ne l'exige pas. La clause 0.2 de l'ISO/IEC 27001:2022 précise explicitement que le SMSI doit être proportionné à la taille, à la complexité et au profil de risque de l'organisation. Une PME de 30 collaborateurs peut exploiter un SMSI entièrement certifié avec une base documentaire de 40 à 60 pages – si le périmètre est discipliné et l'adressage des risques pragmatique.

Cet article traite :

• de la définition d'un périmètre allégé pour les PME ;
• de l'évaluation des risques pilotée par les propriétaires plutôt que d'une méthodologie élaborée ;
• de l'ensemble minimal de documentation (documents obligatoires selon ISO 27001:2022) ;
• de la manière dont les architectures cloud-native réduisent l'effort ;
• de ce que les auditeurs suisses attendent réellement des PME ;
• de modèles pratiques et de patterns issus de plus de 100 mandats SIDD.

Ce billet s'adresse aux dirigeants, CTO et responsables de la conformité dans les PME de 10 à 250 collaborateurs qui visent une construction SMSI pragmatique sans surcharge de type grand groupe.

Le plus grand levier sur l'effort est le périmètre. La clause 4.3 de l'ISO 27001:2022 exige de l'organisation qu'elle détermine les limites et l'applicabilité du SMSI pour établir son domaine d'application. Le périmètre définit quels domaines d'activité, sites, systèmes informatiques et fonctions sont couverts par le SMSI. Toutes les exigences de la norme et tous les contrôles de l'annexe A doivent être satisfaits pour ce périmètre – pas pour l'ensemble de l'entreprise.

Pour les PME, nous recommandons trois stratégies de périmètre :

• Périmètre produit : uniquement le domaine critique pour l'activité (p. ex. le produit SaaS + support + équipes d'ingénierie associées). L'administration, la comptabilité, les outils RH restent hors périmètre, dans la mesure où ils ne contribuent pas à la fourniture du produit certifié.
• Périmètre site : uniquement un site principal. Les filiales étrangères, les coentreprises restent séparées.
• Périmètre fonctionnel : uniquement une fonction (p. ex. la mise à disposition de données pour les autorités) qui est pertinente pour la certification.

Important : le périmètre doit être adapté à sa finalité. Qui certifie le produit SaaS, mais n'inclut pas dans le périmètre le réseau Wi-Fi du bureau où l'équipe d'ingénierie programme, a une frontière incohérente. Les auditeurs vérifient si le périmètre constitue une unité pertinente et si les interfaces avec le hors-périmètre sont documentées (p. ex. système de comptabilité hors périmètre ; ne contient pas de données pertinentes pour la certification).

Un périmètre clairement délimité réduit le nombre de jours d'audit (IAF MD 5 est basé sur les collaborateurs dans le périmètre, non sur les effectifs totaux), l'étendue de la documentation et la maintenance continue. Économie réaliste : 30 à 50 % par rapport à un périmètre complet non focalisé.

La clause 6.1 exige une évaluation des risques – la méthode est libre. Les grands groupes utilisent souvent des méthodes quantitatives avec simulation Monte-Carlo et calcul ALE. Les PME n'en ont pas besoin. Une évaluation qualitative pilotée par les propriétaires avec une matrice 5x5 (probabilité d'occurrence x étendue du dommage) est entièrement conforme à la norme.

Déroulement pratique :

1. Liste des actifs : liste des actifs informationnels centraux (données clients, code source, configurations, contrats). Typiquement 15 à 30 classes d'actifs pour une PME de 30 collaborateurs.
2. Identification des risques : 3 à 5 risques essentiels par actif (p. ex. le code source est dérobé par un attaquant externe). Au total 50 à 100 risques pour une PME type.
3. Évaluation des risques : le propriétaire (= responsable de l'actif) estime la probabilité d'occurrence (1-5) et l'étendue du dommage (1-5). Score de risque = produit (1-25).
4. Traitement des risques : pour les risques au-dessus d'un seuil défini (p. ex. score ≥ 12), un traitement est choisi (modification, partage, acceptation, évitement). En cas de modification : quels contrôles de l'annexe A adressent le risque ?
5. Approbation du risque résiduel : le propriétaire signe l'évaluation du risque résiduel ; en cas d'acceptation au-dessus du seuil, l'approbation de la direction est requise.

L'ensemble de l'évaluation des risques tient pour une PME sur un seul tableau Excel avec 80 à 150 lignes. Les auditeurs l'acceptent, à condition que la méthodologie soit documentée (une procédure d'évaluation des risques de 2 pages) et que la responsabilité des propriétaires soit claire. Les méthodes compliquées n'apportent aucune valeur ajoutée pertinente pour les audits des PME.

L'ISO/IEC 27001:2022 n'exige explicitement qu'un nombre limité d'informations documentées. L'annexe A de la norme liste les documents obligatoires suivants :

• Déclaration de périmètre (clause 4.3)
• Politique de sécurité de l'information (clause 5.2)
• Processus d'évaluation des risques (clause 6.1.2)
• Processus de traitement des risques (clause 6.1.3)
• Statement of Applicability (clause 6.1.3 d)
• Plan de traitement des risques (clause 6.1.3 e)
• Objectifs de sécurité de l'information (clause 6.2)
• Preuves de compétence (clause 7.2)
• Informations documentées nécessaires à l'efficacité (clause 7.5)
• Planification et contrôle opérationnels (clause 8.1)
• Résultats de l'évaluation des risques (clause 8.2)
• Résultats du traitement des risques (clause 8.3)
• Résultats de surveillance et de mesure (clause 9.1)
• Programme et résultats d'audit (clause 9.2)
• Résultats de la revue de direction (clause 9.3)
• Non-conformités et actions correctives (clause 10.2)

Pour une PME, cela peut être consolidé en 12 à 18 documents représentant au total 40 à 80 pages : 1 politique SMSI (5 pages), 1 procédure d'évaluation des risques (3 pages), 1 Excel avec inventaire des risques + SoA + plan de traitement (3 onglets), 1 programme d'audit (2 pages), 1 modèle de revue de direction (2 pages), 1 registre CAPA (Excel), et 5 à 10 procédures pour les processus les plus courants (intégration, départ, incident, changement, sauvegarde, intégration fournisseurs).

Ce qui n'est pas dans la norme n'a pas besoin d'être documenté. Renoncez aux compendiums de politiques de 60 pages, aux politiques séparées pour chaque contrôle A.5 et aux textes de procédures redondants. La norme exige l'efficacité, non le volume.

Les PME qui ont entièrement externalisé leur informatique vers des fournisseurs cloud (Microsoft 365, Google Workspace, AWS, Azure, Salesforce) bénéficient de la logique de responsabilité partagée : le fournisseur prend en charge les couches inférieures du stack (matériel, réseau, hyperviseur, parfois OS et plateforme) y compris les contrôles de l'annexe A associés.

Réductions concrètes de l'effort grâce au cloud-native :

• A.7 Contrôles physiques : en cas d'externalisation complète vers le cloud, le périmètre A.7 se réduit au bureau (accès, politique de bureau propre, verrouillage d'écran). Les contrôles des centres de données (A.7.1, A.7.5, A.7.8) disparaissent.
• A.8.1 Dispositifs endpoint : les fournisseurs de postes de travail cloud (Microsoft Intune, Jamf, Google Endpoint) prennent en charge les configurations de base et la détection de dérives. Vous configurez, le fournisseur met en œuvre.
• A.8.20 Sécurité du réseau : en SaaS / IaaS pur, la segmentation réseau classique (pare-feux et VLAN) disparaît. Votre tâche : accès conditionnel, zero-trust, identité comme périmètre.
• A.5.30 Préparation TIC pour la continuité d'activité : les fournisseurs cloud disposent de plans BC/DR documentés avec SLA ; vous les reprenez comme preuves.
• A.8.13 Sauvegarde : la sauvegarde cloud-native (p. ex. Microsoft 365 Backup, AWS Backup) remplace l'infrastructure de sauvegarde propre.

Condition préalable : vous devez documenter la responsabilité partagée. Par contrôle de l'annexe A : qui porte quoi ? Quel contrat / rapport SOC 2 / extrait ISO 27001 du fournisseur atteste la responsabilité du fournisseur ? Cette matrice de responsabilités cloud est une pièce justificative obligatoire lors de l'audit Stage 2 pour A.5.23 (services cloud).

Une PME entièrement cloud-native peut être certifiée ISO 27001 avec moins de 50 % de l'effort d'une entreprise on-premise comparable.

Dans plus de 100 audits PME accompagnés par SIDD, certaines attentes des auditeurs se cristallisent. Ce ne sont pas les sujets spectaculaires (journaux forensiques, plateformes de threat-hunting), mais les fondamentaux :

• Périmètre clair : l'auditeur comprend en 2 minutes ce qui est dans le SMSI et ce qui ne l'est pas.
• Inventaire des risques avec propriétaire et traitement : chaque risque a un responsable et une décision prise.
• SoA avec justifications : pas de formules génériques de bonnes pratiques.
• Audit interne avec constatations documentées : y compris les non-conformités et leur traitement.
• Revue de direction avec décisions : pas seulement une réunion formelle, mais des décisions.
• Formation de sensibilisation avec preuve : couverture complète de tous les collaborateurs au cours des 12 derniers mois.
• Revues des accès utilisateurs : au minimum semestrielles, documentées.
• Gestion des incidents : même si aucun incident ne s'est produit, la procédure doit exister et avoir été testée (exercice de simulation).
• Liste des fournisseurs : avec classification des risques pour les fournisseurs importants.

Ce que les auditeurs n'attendent pas des PME :

• des calculs de risques quantitatifs avec ALE ;
• des plateformes SIEM avec SOC 24/7 ;
• des programmes de threat intelligence propres ;
• un modèle ICS à trois niveaux ;
• des politiques de groupe avec des dizaines de sous-politiques.

Lorsque les PME couvrent proprement ces fondamentaux, la certification Stage 2 est un exercice planifiable. Qui imite la voie des grands groupes génère de l'effort sans avantage lors de l'audit.

Dans la pratique PME, les patterns suivants se sont avérés robustes :

• Politique en une page : une politique SMSI de 1 page avec vision, domaine d'application, responsabilités et engagement à l'amélioration continue. Signée par la direction. Les auditeurs n'attendent pas 30 pages.
• Excel en premier pour les risques et le SoA : un seul fichier Excel avec trois onglets : inventaire des risques, plan de traitement des risques, SoA. Relié par des références plutôt que des répétitions.
• Revue opérationnelle trimestrielle : une réunion de 60 minutes avec la direction et le gestionnaire SMSI : incidents, mesures ouvertes, mises à jour des risques. Développée au Q4 en revue de direction formelle (clause 9.3).
• Sensibilisation en auto-apprentissage : au lieu de plateformes coûteuses, une vidéo annuelle de 30 minutes + quiz de connaissances suffit (outil comme Hoxhunt, KnowBe4, ou développé en interne). Preuve via SIRH ou LMS.
• Gestion des fournisseurs via liste fournisseurs : Excel avec fournisseur, catégories de données, classe de risque (A/B/C), dernière revue, statut contractuel, attestation ISO 27001 / SOC 2. 10 à 40 entrées pour une PME type.
• CAPA sous forme de tableau : un Excel avec ID NC, source, description, propriétaire, date d'échéance, statut. Remplace les systèmes de tickets coûteux.

Ces patterns ne sont pas cheap-and-cheerful, mais éprouvés par les audits. Nous les utilisons dans des mandats de start-ups logicielles, de PME réglementées et d'entreprises de taille intermédiaire – avec des certifications constamment réussies.

SIDD est spécialisé dans les implémentations ISO 27001 pour les PME suisses. Notre mandat SMSI / ISO 27001 est conçu de fond en comble pour 10 à 250 collaborateurs : périmètre allégé, évaluation des risques pilotée par les propriétaires, ensemble minimal de documentation. Nous fournissons des modèles de politiques, des templates d'inventaire des risques et des modèles de SoA adaptés à votre modèle d'affaires – pas des templates de grands groupes surdimensionnés pour les PME.

Pour le suivi continu, nous recommandons le service externe CISO / RSSI en modèle à temps partiel avec 4 à 8 jours par mois – cela couvre le programme d'audit, le pilotage CAPA, la revue de direction et la gestion des fournisseurs. La plateforme Priverion remplace les suites GRC coûteuses et est adaptée aux besoins des PME. En complément, nous proposons des ateliers de sensibilisation pour A.6.3 et des tests d'intrusion (pentests) compacts pour la vérification de l'efficacité des contrôles A.8.

Prenez un entretien de cadrage gratuit de 60 minutes via le formulaire de contact – nous fournissons une estimation approximative de l'effort et des coûts ainsi qu'une recommandation pour la stratégie de périmètre optimale. Pour une offre à prix fixe contraignante, demandez une offre.