Combien coûte une certification ISO 27001 en Belgique ? Il n’existe pas de prix catalogue, car la facture dépend du nombre de personnes dans le périmètre, de la maturité de votre sécurité et de la raison pour laquelle vous vous certifiez (demande d’un client, appel d’offres ou NIS2). Ce que l’on peut faire, c’est décomposer le budget en postes réels et les comparer à des fourchettes de marché indicatives. Ce guide le fait pour 2026, selon la taille de l’organisation, et couvre les coûts récurrents sur le cycle de trois ans, la durée, ce qui fait monter ou baisser la facture et ce que NIS2 change pour les organisations belges.
L’essentiel
- Budget externe indicatif de l’année 1 : environ 18 000 à 50 000 € sous 50 personnes, 40 000 à 110 000 € de 50 à 250 personnes, 90 000 € ou plus au-delà de 250. Le temps interne s’y ajoute.
- L’audit de l’organisme de certification est rarement le poste principal : l’accompagnement, l’effort interne et la remise à niveau technique pèsent généralement davantage.
- La certification suit un cycle de trois ans : étapes 1 et 2 l’année 1, audits de surveillance les années 2 et 3, puis renouvellement.
- Durée habituelle : 6 à 12 mois entre l’analyse d’écarts et le certificat.
- En Belgique, l’ISO 27001 est l’une des deux voies de conformité NIS2 reconnues par le CCB, à côté des CyberFundamentals (CyFun), ce qui peut vous éviter une seconde évaluation.
De quoi se compose le coût d’une certification ISO 27001 ?
Le coût d’une certification ISO 27001 est la somme de neuf postes. Un seul, l’audit de l’organisme de certification, est un tarif externe fixe ; les autres dépendent de votre périmètre et de votre point de départ.
- L’effort interne. Quelqu’un doit porter le SMSI, et la direction, l’IT, les RH et les opérations doivent contribuer à l’appréciation des risques, aux politiques et aux preuves. Pour une PME, cela représente souvent 300 à 600 heures sur le projet. C’est le coût le plus souvent oublié.
- L’accompagnement à la mise en œuvre (conseil). Analyse d’écarts, définition du périmètre, méthode de risque, déclaration d’applicabilité, politiques et préparation de l’audit. Vous pouvez acheter une mise en œuvre complète ou seulement une aide ciblée. Voir notre guide de l’analyse d’écarts ISO 27001.
- Les outils (optionnels). Beaucoup de PME font vivre leur SMSI avec des documents et les outils collaboratifs qu’elles possèdent déjà. Les plateformes SMSI ou GRC font gagner du temps sur la collecte de preuves, mais ajoutent un abonnement annuel.
- L’audit de l’organisme de certification (étapes 1 et 2). Facturé au jour d’auditeur par un organisme accrédité selon l’ISO/IEC 17021-1 et l’ISO/IEC 27006-1. Le nombre de jours dépend surtout de l’effectif couvert et de la complexité du SMSI. L’étape 1 vérifie la préparation et la documentation ; l’étape 2 teste la mise en œuvre. Détails dans notre guide SMSI et audit ISO 27001.
- Les audits de surveillance (années 2 et 3). Des audits plus courts sur un échantillon de clauses et de mesures, au moins une fois par année civile.
- L’audit de renouvellement (année 3). Un examen complet avant l’expiration du certificat de trois ans, à un prix proche de l’audit initial.
- L’audit interne. La clause 9.2 impose un programme d’audit interne impartial couvrant tout le périmètre avant l’étape 2, puis chaque année. Si personne en interne n’est qualifié et indépendant, vous l’externalisez.
- La formation et la sensibilisation. La clause 7.3 et la mesure A.6.3 exigent la sensibilisation du personnel, et la clause 7.2 la compétence des rôles clés.
- Le pentest et les scans de vulnérabilités, si votre traitement des risques les exige. L’ISO 27001 impose une gestion des vulnérabilités techniques (A.8.8), pas un pentest en tant que tel. Il entre dans le budget quand votre appréciation des risques, un client ou un régulateur le demande. Voir le tarif d’un pentest en Belgique et scan de vulnérabilités ou test d’intrusion.
Un dixième poste se cache derrière les neuf autres : la remise à niveau technique. Si l’analyse d’écarts révèle l’absence de MFA, des sauvegardes jamais testées, aucune journalisation centralisée ou des postes non gérés, les corriger fait partie du coût réel du projet, même si ce n’est pas un « frais ISO 27001 ».
Prix d’une certification ISO 27001 en Belgique selon la taille (2026)
Le tableau ci-dessous donne des fourchettes de marché indicatives pour la Belgique et le Benelux en 2026, hors TVA. Elles sont tirées des guides tarifaires publics d’organismes de certification, de cabinets de conseil et d’éditeurs de logiciels, recoupés avec la logique de jours d’audit de l’ISO/IEC 27006-1. Ce ne sont pas des devis : utilisez-les pour dimensionner un budget et challenger des offres, puis demandez des propositions sur votre périmètre réel.
| Poste de coût | Moins de 50 personnes | 50 à 250 personnes | Plus de 250 personnes |
|---|---|---|---|
| Analyse d’écarts + accompagnement à la mise en œuvre (conseil) | 10 000 € à 30 000 € | 25 000 € à 60 000 € | 50 000 € à 120 000 €+ |
| Audit de certification, étapes 1 + 2 (année 1) | 5 000 € à 12 000 € | 10 000 € à 25 000 € | 20 000 € à 45 000 €+ |
| Audit de surveillance, par an (années 2 et 3) | 3 000 € à 6 000 € | 5 000 € à 12 000 € | 10 000 € à 20 000 € |
| Audit de renouvellement (fin de l’année 3) | 4 000 € à 10 000 € | 8 000 € à 20 000 € | 15 000 € à 35 000 € |
| Audit interne, s’il est externalisé (par an) | 2 500 € à 5 000 € | 4 000 € à 8 000 € | 8 000 € à 15 000 € |
| Sensibilisation du personnel (par an) | 1 000 € à 3 000 € | 2 000 € à 5 000 € | 5 000 € à 15 000 € |
| Outil SMSI / GRC (optionnel, par an) | 0 € à 6 000 € | 2 000 € à 15 000 € | 10 000 € à 30 000 € |
| Effort interne (non facturé) | Environ 300 à 600 heures sur le projet | Environ 0,5 à 1 ETP pendant le projet | Un rôle SMSI dédié et des responsables de mesures à temps partiel |
| Budget externe indicatif de l’année 1 (hors pentest) | 18 000 € à 50 000 € | 40 000 € à 110 000 € | 90 000 € à 220 000 €+ |
À titre de repère, les organismes de certification facturent couramment autour de 1 100 à 1 800 € par jour d’auditeur au Benelux et sur les marchés voisins, et l’audit initial d’une petite organisation (étapes 1 et 2) ne demande généralement que quelques jours d’auditeur. Un audit de surveillance coûte en général un tiers à deux tiers de l’audit initial. Sur un cycle complet de trois ans, les seuls frais de l’organisme (audit initial, deux audits de surveillance et renouvellement) atteignent couramment 15 000 à 35 000 € pour une organisation de moins de 50 personnes.
Combien de temps dure une certification ISO 27001 ?
Une certification ISO 27001 prend en général 6 à 12 mois. Le facteur limitant est rarement la rédaction : c’est de faire tourner le SMSI assez longtemps pour produire des preuves, un audit interne complet et une revue de direction avant l’étape 2.
| Phase | Durée habituelle | Principal facteur de coût |
|---|---|---|
| Analyse d’écarts et périmètre | 2 à 6 semaines | Jours de conseil, disponibilité de la direction |
| Appréciation des risques, DdA, politiques | 1 à 3 mois | Ateliers internes, accompagnement |
| Mise en œuvre et remise à niveau | 2 à 6 mois | Corrections techniques, formation, revue des fournisseurs |
| Audit interne et revue de direction | 2 à 4 semaines | Indépendance de l’auditeur (interne ou externe) |
| Audits d’étape 1 et 2 | 1 à 3 mois, corrections comprises | Jours de l’organisme, non-conformités à lever |
Qu’est-ce qui fait monter, ou baisser, la facture ?
- L’effectif couvert et le nombre de sites. Ils déterminent les jours d’audit et le nombre de personnes à former et à interroger.
- La maturité de départ. Une organisation qui dispose de processus documentés, d’un inventaire des actifs et de sauvegardes fonctionnelles paie bien moins qu’une organisation qui part de zéro.
- La finalité réglementaire du périmètre. Un certificat obtenu pour une ligne de produits peut être restreint ; un certificat utilisé comme voie de conformité NIS2 doit couvrir l’organisation et ses services NIS2.
- Le cloud et l’IT externalisée. Chaque fournisseur clé doit être évalué et couvert contractuellement (A.5.19 à A.5.23).
- La dette technique. L’absence de MFA, de journalisation, de gestion des correctifs ou de sauvegardes testées se transforme en projets de remise à niveau.
- L’urgence. Une échéance client ou d’appel d’offres comprime le planning et augmente souvent l’accompagnement externe.
- Les non-conformités. Une non-conformité majeure à l’étape 2 peut entraîner une visite complémentaire et retarder le certificat.
Sept leviers pour réduire le coût de l’ISO 27001
- Bien définir le périmètre d’abord. Un périmètre aligné sur l’objectif métier évite à la fois la sur-ingénierie et un certificat que personne n’accepte.
- Réutiliser votre travail NIS2 et CyFun. Les CyberFundamentals s’appuient sur des référentiels internationaux, dont l’ISO/IEC 27001 : une auto-évaluation CyFun, un registre des risques ou un plan d’incident alimentent directement le SMSI.
- Capitaliser sur un système ISO 9001 existant. L’ISO 27001 partage la structure harmonisée de l’ISO 9001 (clauses 4 à 10) : maîtrise documentaire, audit interne, revue de direction et actions correctives peuvent être mutualisés, et les organismes peuvent réaliser des audits intégrés selon l’IAF MD 11.
- Utiliser des modèles, mais les adapter. De bons modèles font gagner des semaines ; des politiques copiées-collées qui ne reflètent pas la réalité sont un constat d’audit classique.
- Commencer par une analyse d’écarts. Elle transforme un projet flou en plan chiffré et évite de payer pour un travail inutile.
- Comparer deux ou trois organismes accrédités sur l’ensemble du cycle de trois ans, pas seulement sur le premier audit. Le CCB publie une liste des organismes d’évaluation de la conformité pour NIS2.
- Planifier tôt l’audit interne et la revue de direction. L’absence de l’un ou de l’autre est l’une des causes les plus fréquentes de report de l’étape 2, ce qui coûte de l’argent.
Les dispositifs régionaux d’aide aux PME à Bruxelles, en Wallonie et en Flandre couvrent parfois une partie des frais de conseil en cybersécurité. Les conditions et les taux évoluent régulièrement : vérifiez les règles en vigueur avant de signer.
ISO 27001, NIS2 et CyFun : un investissement, deux obligations
En vertu de la loi belge NIS2 du 26 avril 2024, les entités essentielles doivent se soumettre à une évaluation régulière de la conformité. Le Centre pour la Cybersécurité Belgique (CCB) reconnaît deux voies : la certification CyberFundamentals (CyFun®) ou la certification ISO/IEC 27001, avec un périmètre couvrant l’organisation et ses services NIS2. Les entités importantes ne sont pas tenues de se certifier, mais peuvent le faire volontairement pour bénéficier d’une présomption de conformité. Pour les entités essentielles qui suivent la voie ISO, le calendrier du CCB pointe vers le 18 avril 2027 ; vérifiez vos obligations exactes auprès du CCB.
Côté budget, cela signifie que l’ISO 27001 peut servir à la fois vos clients et votre régulateur. Si vous avez besoin d’un certificat reconnu à l’international, choisir la voie ISO pour NIS2 vous évite de payer deux évaluations parallèles. Si NIS2 est votre seul moteur, CyFun peut être un démarrage plus léger. Nous comparons les deux dans CyFun ou ISO 27001 en Belgique, et détaillons les correspondances dans NIS2 et ISO 27001 en Belgique. Voir aussi notre accompagnement à la conformité NIS2.
Comment ICTLAB accompagne votre projet ISO 27001
La pratique ISO 27001 d’ICTLAB est dirigée par Caner Korkut, ISO 27001 Lead Implementer. Nous partons de la finalité réglementaire (exigences clients, NIS2, DORA) pour fixer un périmètre qui tient, puis nous livrons ce dont vous avez réellement besoin : analyse d’écarts, appréciation des risques et déclaration d’applicabilité, politiques dimensionnées pour votre organisation, mesures techniques, audit interne impartial, audit à blanc de l’étape 1 et accompagnement pendant l’audit de certification. Vous décidez de ce que vous faites en interne ; nous chiffrons le reste sur votre périmètre réel.
Chez ICTLAB, nous veillons toujours à rester sous les prix du marché tout en gardant un niveau de qualité élevé.
Découvrez notre accompagnement à la certification ISO 27001 ou demandez une estimation sur votre périmètre.
Coût de la certification ISO 27001 : questions fréquentes
Combien coûte une certification ISO 27001 en Belgique ?
À titre indicatif, pour 2026, une organisation belge de moins de 50 personnes doit prévoir environ 18 000 à 50 000 € de coûts externes la première année (accompagnement, audits d’étape 1 et 2, audit interne, sensibilisation, outil éventuel), une organisation de 50 à 250 personnes environ 40 000 à 110 000 €, et une plus grande structure 90 000 € ou davantage. Le temps interne s’y ajoute. Le périmètre, la maturité et la remise à niveau technique expliquent l’essentiel de l’écart.
Combien coûte l’audit de l’organisme de certification ?
Les organismes facturent au jour d’auditeur, en général autour de 1 100 à 1 800 € par jour au Benelux et sur les marchés voisins. Le nombre de jours est fixé selon l’ISO/IEC 27006-1, en fonction de l’effectif couvert et de la complexité du SMSI. Pour une PME, les étapes 1 et 2 représentent souvent 5 000 à 12 000 € ; de 50 à 250 personnes, 10 000 à 25 000 €. Demandez deux ou trois offres à des organismes accrédités, couvrant tout le cycle de trois ans.
Quels sont les coûts récurrents après la certification ISO 27001 ?
Le certificat est valable trois ans. Les années 2 et 3, vous payez un audit de surveillance (environ un tiers à deux tiers de l’audit initial), puis un audit de renouvellement à la fin de l’année 3 (proche de l’audit initial). Ajoutez l’audit interne annuel, la revue de direction, la sensibilisation, un éventuel abonnement à un outil et le temps interne pour faire vivre le SMSI, souvent quelques heures par semaine pour une PME.
Combien de temps faut-il pour obtenir la certification ISO 27001 ?
En général 6 à 12 mois entre l’analyse d’écarts et le certificat. Une petite entreprise bien organisée, avec des pratiques de sécurité existantes, peut parfois atteindre l’étape 2 en 4 à 6 mois ; les organisations multisites ou fortement régulées ont souvent besoin de 12 mois ou plus. Le SMSI doit tourner assez longtemps pour produire des preuves, un audit interne complet et une revue de direction avant l’étape 2.
Peut-on obtenir la certification ISO 27001 sans consultant ?
Oui. La norme n’impose pas de consultant, et certaines organisations réussissent avec des modèles et un responsable interne dédié. La contrepartie, c’est le temps interne et le risque : une méthode de risque non reproductible, une déclaration d’applicabilité copiée-collée ou un périmètre inadapté à NIS2 sont des causes fréquentes d’audits ratés ou reportés. Beaucoup d’organisations n’achètent qu’une aide ciblée : analyse d’écarts, appréciation des risques, audit interne et audit à blanc de l’étape 1.
Pour NIS2 en Belgique, l’ISO 27001 coûte-t-elle plus cher que CyFun ?
Cela dépend de votre situation. Les CyberFundamentals (CyFun) sont le cadre du CCB conçu pour les entités NIS2 belges, souvent plus léger pour démarrer ; l’ISO 27001 est internationale, reconnue par les clients à l’étranger et acceptée par le CCB comme voie de conformité pour les entités essentielles, sous conditions de périmètre. Si vous avez ou visez déjà l’ISO 27001 pour des raisons commerciales, l’utiliser pour NIS2 évite de payer deux évaluations distinctes.
Un test d’intrusion est-il obligatoire pour l’ISO 27001 ?
Non. L’ISO 27001 n’impose pas explicitement de test d’intrusion. Elle exige une gestion des vulnérabilités techniques (mesure 8.8 de l’Annexe A) et des mesures choisies via votre appréciation des risques. En pratique, la plupart des organisations réalisent des scans de vulnérabilités réguliers, et un pentest entre dans le budget lorsque le plan de traitement des risques, un contrat client ou un régulateur l’exige. Un pentest ciblé démarre en général autour de 4 000 € en Belgique.
Tous les montants sont des fourchettes de marché indicatives pour la Belgique et le Benelux en 2026, hors TVA, établies à partir de guides tarifaires publics (organismes de certification, cabinets de conseil, éditeurs de logiciels SMSI) et des règles de temps d’audit de l’ISO/IEC 27006-1. Il ne s’agit ni de prix ni de devis ICTLAB. Les informations NIS2 reposent sur le cadre belge tel que publié par le CCB ; ceci n’est pas un avis juridique.