Au Maroc, la demande de certification ISO 27001 ne vient presque jamais de l’intérieur. Elle vient d’un grand compte qui exige la preuve avant de signer, d’un partenaire européen qui étend ses obligations — RGPD, NIS 2, DORA — à ses fournisseurs marocains, d’un appel d’offres qui réclame un système de management certifié, ou d’un conseil qui veut une assurance que la sécurité est réellement gouvernée. La norme est devenue un laissez-passer commercial autant qu’un cadre de sécurité.
Ce guide explique ce qu’est réellement ISO 27001, ce que contient la version 2022, comment se déroule une certification au Maroc, ce qu’elle coûte et combien de temps elle prend — du point de vue d’un cabinet qui prépare des organisations marocaines à l’audit, pas d’un organisme qui vend le certificat.
Qu’est-ce que la norme ISO 27001 ?
En une phrase : ISO/IEC 27001 est la norme internationale qui certifie un système de management de la sécurité de l’information (SMSI) — l’ensemble organisé des processus, responsabilités et preuves par lequel une organisation gère ses risques de sécurité dans la durée.
Le point que la plupart des projets ratent : la norme ne demande pas un classeur de politiques. Elle demande un système qui tourne. Un périmètre qui reflète ce que vous faites vraiment, une appréciation des risques dont quelqu’un a décidé le traitement, des contrôles dotés de responsables nommés, des preuves qui s’accumulent comme sous-produit du travail normal, et une cadence de management — audit interne, revue de direction, amélioration continue — qui fonctionne qu’un audit soit prévu ou non. C’est exactement ce qu’un auditeur échantillonne, et c’est ce qu’un jeu de documents assemblé la semaine d’avant ne peut pas simuler.
La norme se compose de deux parties. Les chapitres 4 à 10 énoncent les exigences du système de management lui-même — contexte, leadership, planification, support, fonctionnement, évaluation des performances, amélioration. Ils sont obligatoires et non négociables. L’Annexe A est le catalogue des contrôles de sécurité parmi lesquels vous justifiez ceux qui s’appliquent à votre risque réel.
Quelle différence entre ISO 27001 et ISO 27002 ?
Réponse directe : on se certifie ISO 27001 ; on s’appuie sur ISO 27002. ISO 27001 est la norme certifiable — celle contre laquelle un organisme accrédité vous audite. ISO 27002 est un guide d’accompagnement qui décrit en détail comment mettre en œuvre chacun des contrôles listés dans l’Annexe A. Aucune organisation ne se fait certifier « ISO 27002 » : c’est un manuel d’application, pas un référentiel d’audit. Les deux ont été republiés en 2022 et se lisent ensemble.
Que contient l’Annexe A ? Les 93 contrôles de la version 2022
Réponse directe : l’Annexe A d’ISO 27001:2022 compte 93 contrôles, contre 114 dans la version précédente, réorganisés en quatre thèmes au lieu des quatorze domaines d’avant.
- Contrôles organisationnels — 37 contrôles : politiques, rôles, gestion des fournisseurs, gestion des incidents, continuité, conformité.
- Contrôles liés aux personnes — 8 contrôles : recrutement, sensibilisation, télétravail, traitement des départs.
- Contrôles physiques — 14 contrôles : accès aux locaux, sécurité des équipements, surveillance physique.
- Contrôles technologiques — 34 contrôles : durcissement, journalisation, cryptographie, sécurité du développement, sécurité du cloud.
La consolidation n’a pas seulement réduit le nombre : la version 2022 a introduit onze nouveaux contrôles qui reflètent la surface d’attaque moderne — renseignement sur les menaces (threat intelligence), sécurité de l’information pour les services cloud, préparation des TIC à la continuité d’activité, surveillance de la sécurité physique, gestion de la configuration, suppression d’information, masquage des données, prévention de la fuite de données, activités de surveillance, filtrage web et codage sécurisé.
Vous ne mettez pas en œuvre les 93 contrôles à l’aveugle. Vous décidez, contrôle par contrôle, lesquels s’appliquent à votre risque, et vous consignez ces décisions — inclusions comme exclusions — dans la déclaration d’applicabilité (DdA). C’est ce document que l’auditeur lit pour comprendre la logique de votre périmètre.
Qu’est-ce qui a changé avec ISO 27001:2022 — et peut-on encore se certifier en 2013 ?
Réponse directe : non, la version 2013 n’est plus certifiable. La période de transition s’est terminée le 31 octobre 2025 ; depuis cette date, toute première certification comme toute recertification se fait exclusivement contre ISO 27001:2022, et les certificats 2013 encore en circulation ne sont plus valides.
Concrètement, pour une organisation marocaine qui démarre aujourd’hui, la question « 2013 ou 2022 ? » ne se pose plus : c’est 2022. Méfiez-vous des modèles de politiques, des guides et des prestataires qui parlent encore des « 114 contrôles » et des quatorze domaines — ils décrivent une norme retirée. Si vous portez un certificat 2013 qui n’a pas été transité, vous n’êtes plus certifié, et c’est le premier écart à traiter.
Comment se déroule une certification ISO 27001 ? Les étapes
Réponse directe : la certification suit toujours la même séquence — préparation interne, puis un audit externe en deux étapes mené par un organisme accrédité, puis un cycle de surveillance sur trois ans.
- Analyse d’écart (gap assessment). On mesure votre état réel face aux chapitres 4 à 10 et à l’Annexe A 2022, et on en tire une image priorisée de la distance jusqu’à la certifiabilité — avec une estimation honnête de délai et d’effort avant tout engagement de date.
- Construction du SMSI. Périmètre, appréciation des risques, déclaration d’applicabilité, politiques et contrôles — conçus autour de vos opérations réelles pour que vos équipes puissent les faire tourner.
- Préparation des preuves. On met en place les enregistrements, journaux et artefacts qu’un auditeur demandera, produits par le travail normal plutôt que reconstitués dans la précipitation.
- Audit interne et revue de direction. La norme les exige tous les deux avant l’audit de certification. Ils font remonter les non-conformités tant qu’elles sont encore peu coûteuses à corriger.
- Audit de certification — Étape 1 (revue documentaire). L’organisme certificateur vérifie que le SMSI existe et que la documentation tient debout.
- Audit de certification — Étape 2 (audit de mise en œuvre). L’auditeur échantillonne les preuves pour vérifier que les contrôles fonctionnent réellement. À l’issue, le certificat est délivré — il est valable trois ans.
- Audits de surveillance et recertification. Un audit de surveillance a lieu chaque année (an 1 et an 2) ; une recertification complète intervient à l’an 3, qui ouvre un nouveau cycle de trois ans.
Un point structurant : le certificat est délivré par un organisme certificateur accrédité, indépendant de celui qui vous prépare. Un consultant ne peut pas s’auditer lui-même. Rester en dehors de l’audit est précisément ce qui permet à un préparateur d’être franc sur votre situation réelle.
Combien coûte une certification ISO 27001 au Maroc ?
Réponse directe : le coût se répartit en deux budgets distincts, et tout chiffre unique annoncé sans connaître votre périmètre est une supposition.
- Les honoraires de l’organisme certificateur — l’audit Étape 1 + Étape 2, puis les audits de surveillance annuels. Ils sont facturés par l’organisme accrédité, généralement à la journée d’audit, et dépendent surtout de votre effectif et du nombre de sites.
- Le coût de préparation — la construction du SMSI, des contrôles et des preuves jusqu’à l’état auditable. C’est là qu’intervient un consultant.
Les facteurs qui déplacent réellement la facture : la taille du périmètre (un produit et une équipe, ou toute l’entreprise), votre maturité de départ (un SMSI inexistant coûte plus qu’un système qui a dérivé et qu’il faut resserrer), le nombre de sites et d’effectifs, et le degré d’outillage déjà en place.
Chez HackingByte, la préparation est cadrée au forfait, par fourchette communiquée lors de l’échange de cadrage — pas de taux journalier, pas de devis avant d’avoir compris votre périmètre. C’est aussi la réponse honnête à la recherche « certification iso 27001 prix maroc » : la fourchette se fixe après l’analyse d’écart, pas avant.
Combien de temps faut-il pour être certifié ?
Réponse directe : comptez en général entre 3 et 12 mois entre le lancement et l’audit Étape 2, selon deux variables — votre maturité de départ et la taille du périmètre.
Une organisation qui journalise déjà, gère ses accès proprement et documente ses processus avance vite. Une organisation qui part d’une feuille blanche passe l’essentiel du temps à construire les routines de preuve, pas à rédiger des politiques. L’analyse d’écart est ce qui transforme cette fourchette en un calendrier réaliste pour votre cas — c’est précisément son rôle.
ISO 27001 est-elle obligatoire au Maroc ?
Réponse directe : non, pas de manière générale — mais deux pressions la rendent souvent incontournable en pratique.
D’abord la réglementation sectorielle : la loi 05-20 relative à la cybersécurité et les référentiels de la DGSSI imposent des obligations de sécurité aux administrations, aux infrastructures d’importance vitale et aux opérateurs concernés. ISO 27001 n’est pas la loi, mais c’est le cadre de management qui rend ces obligations démontrables. Ensuite la pression du marché, souvent la plus immédiate : grands comptes, banques, assureurs et partenaires européens qui exigent un système certifié avant de référencer un fournisseur.
À ne pas confondre : ISO 27001 traite la sécurité de l’information ; la protection des données personnelles relève de la loi 09-08 sous le contrôle de la CNDP, et du RGPD pour vos activités tournées vers l’Europe. Les deux se recoupent mais ne se remplacent pas. Nous ne fournissons pas de conseil juridique — l’interprétation de la loi 05-20 ou de la loi 09-08 relève de votre conseil — mais nous rendons votre sécurité démontrable face à ces cadres.
Faut-il un consultant ISO 27001 ?
Réponse directe : un consultant ISO 27001 n’est pas obligatoire, mais il raccourcit le chemin et évite l’écueil le plus courant — un SMSI sur modèle qui décrit une entreprise que personne ne reconnaît et qui ne survit pas à l’échantillonnage d’un auditeur.
Un bon consultant fait quatre choses : une analyse d’écart honnête, la construction d’un SMSI calé sur votre façon de travailler, la mise en place de preuves qui se produisent toutes seules, et la préparation de votre direction à l’audit interne et à la revue de direction qu’elle doit personnellement assumer. Parce que HackingByte est d’abord un cabinet de sécurité, c’est une préparation menée sous l’angle de l’attaque : chaque contrôle de l’Annexe A est lu non pas « une politique existe-t-elle ? » mais « ce contrôle tiendrait-il face à quelqu’un qui cherche activement à le contourner ? ». Un système aligné sur le risque réel est plus difficile à renverser — et c’est celui qu’un auditeur accepte.
Une distinction utile pour vos recherches : les certifications PECB (Lead Implementer, Lead Auditor) sont des certifications de personnes — elles attestent qu’un praticien maîtrise la norme. La certification de l’organisation, elle, est délivrée par l’organisme accrédité à l’issue de l’audit. Vous avez besoin de la seconde ; un consultant qui détient la première vous y mène.
Par où commencer
Si un client, un appel d’offres ou un conseil a posé l’exigence ISO 27001, le premier pas proportionné est une analyse d’écart : elle situe votre distance réelle à la certifiabilité et fixe un calendrier et une fourchette avant tout engagement. Au Maroc, nous menons la préparation ISO 27001 dans le cadre de notre conseil GRC, là où ISO 27001 recoupe vos travaux SOC 2, NIS 2 ou RGPD et où les preuves se réutilisent plutôt que de se reconstruire. Là où la déclaration d’applicabilité a besoin de vraies preuves derrière elle, une évaluation de sécurité ou un test d’intrusion étaye les contrôles techniques de l’Annexe A.
Demander un échange de cadrage · Voir le conseil GRC
Questions fréquentes
ISO 27001 est-elle obligatoire au Maroc ?
Non, pas de façon générale. La loi 05-20 et les référentiels de la DGSSI imposent des obligations de sécurité à certaines entités (infrastructures d’importance vitale, opérateurs concernés), et les grands comptes comme les partenaires européens l’exigent fréquemment par contrat. ISO 27001 est le cadre qui rend ces obligations démontrables, sans être elle-même une loi.
Combien coûte la certification ISO 27001 au Maroc ?
Le coût se sépare en deux : les honoraires de l’organisme certificateur (audit initial puis surveillances annuelles, fonction de l’effectif et des sites) et le coût de préparation du SMSI. Il dépend du périmètre et de votre maturité de départ ; la fourchette se fixe après l’analyse d’écart, pas avant.
Combien de temps prend la certification ISO 27001 ?
En général de 3 à 12 mois jusqu’à l’audit Étape 2, selon votre maturité de départ et la taille du périmètre. L’analyse d’écart transforme cette fourchette en un calendrier réaliste pour votre situation.
Quelle est la différence entre ISO 27001 et ISO 27002 ?
On se certifie ISO 27001, la norme auditable. ISO 27002 est le guide qui explique comment mettre en œuvre les contrôles de l’Annexe A : un manuel d’application, pas un référentiel de certification.
Combien de contrôles compte l’Annexe A de la version 2022 ?
93 contrôles, répartis en quatre thèmes — organisationnel (37), personnes (8), physique (14) et technologique (34) — contre 114 dans la version 2013, avec onze nouveaux contrôles.
Peut-on encore se certifier ISO 27001:2013 ?
Non. La transition s’est terminée le 31 octobre 2025 ; depuis, seules les certifications contre ISO 27001:2022 sont valides.
HackingByte délivre-t-il le certificat ISO 27001 ?
Non. Le certificat est délivré par un organisme certificateur accrédité et indépendant. Nous vous préparons, pouvons vous orienter vers des organismes accrédités, et restons en dehors de l’audit pour pouvoir être francs sur votre situation réelle.
Services associés
- Conseil GRC et conformité — la préparation ISO 27001, SOC 2, NIS 2, DORA et RGPD, menée par des seniors.
- Évaluations de sécurité — pour étayer par des preuves les contrôles techniques de l’Annexe A.
- Test d’intrusion (pentest) — la preuve d’attaque derrière la déclaration d’applicabilité.
À lire aussi : Ransomware au Maroc : que faire et comment s’en protéger. Vous opérez au Maroc ? Découvrez comment nous travaillons : Cybersécurité au Maroc.