La certification ISO 22301 est l'attestation, délivrée par un organisme certificateur indépendant, que le système de management de la continuité d'activité (SMCA) d'une organisation satisfait aux exigences de la norme ISO 22301:2019 sur un périmètre défini. Elle s'obtient à l'issue d'un audit en deux étapes, vaut trois ans et se maintient par des audits de surveillance annuels.
La construction du SMCA est traitée dans ISO 22301 en 10 étapes. Ce guide porte sur le parcours de certification : ce que l'auditeur vérifie, les preuves à produire, le calendrier, le coût, et les écarts qui font trébucher des organisations prêtes sur le papier.
L'essentiel en 30 secondes
- On certifie le système de management d'une organisation sur un périmètre, jamais un produit ni un logiciel. L'ISO ne délivre aucun certificat.
- La certification est volontaire. Elle pèse dans les appels d'offres et nourrit vos preuves NIS2 ou DORA, sans valoir conformité réglementaire.
- Le cycle : étape 1 (aptitude), étape 2 (mise en œuvre), certificat de 3 ans, surveillance annuelle, puis recertification.
- L'auditeur veut un système qui tourne déjà : BIA approuvée, exercice documenté, audit interne, revue de direction, actions correctives suivies.
- Le coût dépend surtout des jours d'audit (effectif, sites, complexité) et du temps interne.
Que certifie-t-on exactement avec ISO 22301 ?
Un certificat ISO 22301 atteste qu'un SMCA (politiques, processus, rôles et preuves qui pilotent la continuité) est conforme à la norme pour un périmètre donné : certains services, entités et sites. Il ne certifie ni un plan isolé, ni un logiciel, ni une personne.
Trois acteurs interviennent :
- L'ISO rédige la norme mais, comme elle le rappelle elle-même, ne participe pas à la certification et ne délivre aucun certificat.
- L'organisme certificateur réalise les audits et décide de la certification, selon la norme ISO/IEC 17021-1 qui encadre les certificateurs de systèmes de management.
- L'organisme d'accréditation contrôle la compétence et l'impartialité des certificateurs. Dans l'Union européenne, chaque État en désigne un seul (règlement (CE) n° 765/2008) : le Cofrac en France, la DAkkS en Allemagne. Au Royaume-Uni, l'UKAS propose un schéma d'accréditation dédié à ISO 22301, adossé à l'ISO/IEC TS 17021-6 (compétence des auditeurs de SMCA).
Pourquoi le périmètre compte. Il figure sur le certificat, et un client averti le lit d'abord. Limité au siège, il ne dit rien du service que ce client vous achète ; trop large, il multiplie jours d'audit et risques d'écart. Partez des services jugés critiques, justifiez chaque exclusion (clause 4.3), puis élargissez au fil des cycles.
La certification ISO 22301 est-elle obligatoire ?
Non. Aucun texte européen ni français n'impose d'être certifié ISO 22301. Les organisations s'y engagent pour quatre raisons :
- Les appels d'offres et questionnaires fournisseurs, où un certificat remplace des dizaines de questions.
- Les clients régulés, tenus de démontrer la résilience de leurs prestataires critiques.
- La discipline : un regard externe annuel empêche le dispositif de s'endormir.
- Les preuves réglementaires. La directive NIS2 cite la continuité des activités et la gestion des crises à son article 21, paragraphe 2, point c), et son article 25 demande aux États d'encourager l'usage des normes européennes et internationales. DORA (article 11) exige une politique de continuité des TIC et des plans testés au moins une fois par an.
Certification n'est pas conformité. Un certificat atteste qu'un SMCA satisfait à la norme, sur un périmètre, à une date. Ni NIS2 ni DORA n'en font une présomption de conformité, et il ne démontre ni vos délais de notification d'incident ni votre gestion des prestataires TIC. C'est un socle de preuves, rien de plus. Voir NIS2 : entités essentielles vs importantes et le guide DORA 2026.
Quels prérequis avant l'audit de certification ?
L'erreur classique : demander l'audit dès que les documents sont rédigés. L'auditeur ne certifie pas des intentions, il vérifie qu'un système fonctionne et produit des preuves. Avant l'étape 1, vous devez pouvoir montrer :
- un périmètre, une politique et des objectifs validés par la direction ;
- une BIA et une appréciation des risques approuvées et datées (voir le guide BIA en 7 étapes) ;
- des stratégies choisies et justifiées, et des plans diffusés ;
- au moins un exercice réalisé, avec compte rendu et actions ;
- un audit interne couvrant tout le SMCA et tout le périmètre ;
- une revue de direction tenue, décisions tracées ;
- des actions correctives suivies, dont certaines déjà closes.
Ce n'est pas arbitraire : l'ISO/IEC 17021-1 compte parmi les objectifs de l'étape 1 la vérification que les audits internes et les revues de direction sont planifiés et réalisés. ISO 22301 ne fixe aucune durée minimale de fonctionnement, mais un premier cycle complet de preuves demande rarement moins de trois mois.
Autre surprise fréquente : l'organisme certificateur n'a pas le droit de vous conseiller sur la mise en place du système (règle d'impartialité de l'ISO/IEC 17021-1). Pour un regard extérieur, prévoyez un audit à blanc par votre auditeur interne ou un consultant.
Comment se déroule le cycle de certification ?
1. Demande et devis
Sur la base de votre périmètre, de votre effectif, de vos sites et de vos activités externalisées, l'organisme calcule les jours d'audit et chiffre en général tout le cycle de trois ans.
2. Étape 1 : revue documentaire et aptitude
L'auditeur examine la documentation, le périmètre, la BIA, l'audit interne et la revue de direction, puis conclut sur votre aptitude à passer l'étape 2.
3. Étape 2 : audit de mise en œuvre
Il vérifie que le système est appliqué et efficace : entretiens, échantillons de plans, rapports d'exercice, actions correctives, indicateurs. Ses constats distinguent non-conformités majeures, mineures et pistes d'amélioration.
4. Décision et certificat
Chaque non-conformité exige une analyse de cause et un plan d'action. Les majeures doivent être corrigées, et la correction vérifiée, avant la décision ; faute de vérification dans les six mois suivant la fin de l'étape 2, l'étape 2 est à refaire. Pour les mineures, un plan d'action accepté suffit. La décision revient à une personne qui n'a pas participé à l'audit.
5. Surveillance et recertification
| Audit | Quand | Ce qui est examiné |
|---|---|---|
| Étape 1 | Quelques semaines avant l'étape 2 | Documentation, périmètre, aptitude |
| Étape 2 | Après traitement des points de l'étape 1 | Mise en œuvre et efficacité de tout le système |
| Surveillance 1 | Au plus tard 12 mois après la décision | Échantillon de clauses, plus à chaque visite : audit interne, revue de direction, suites des écarts, changements |
| Surveillance 2 | L'année suivante (au moins un audit par année civile) | Idem, sur un autre échantillon |
| Recertification | Année 3, avant l'expiration | Tout le système, pour un nouveau cycle de 3 ans |
Quelles preuves documentées l'auditeur va-t-il demander ?
ISO 22301:2019 suit la structure commune des normes de systèmes de management (clauses 4 à 10). Certaines preuves sont exigées comme « informations documentées » (périmètre, politique, objectifs, plans, audit interne, revue de direction, actions correctives) ; les autres sont simplement le moyen le plus direct de démontrer l'exigence.
| Clause | Exigence | Preuves attendues en pratique |
|---|---|---|
| 4.1 / 4.2 | Contexte, parties intéressées, exigences légales | Analyse du contexte (y compris le climat), registre des exigences légales et contractuelles |
| 4.3 | Périmètre du SMCA | Services, sites, entités, exclusions justifiées |
| 5.2 | Politique | Politique approuvée et communiquée |
| 6.2 | Objectifs de continuité | Objectifs mesurables, plan pour les atteindre, suivi |
| 7.2 | Compétences | Preuves de formation des acteurs clés |
| 8.2 | BIA et appréciation des risques | BIA approuvée, appréciation des risques, revues planifiées et après changement significatif |
| 8.3 | Stratégies et solutions | Options étudiées, critères de choix (coûts, bénéfices, risque), décision approuvée |
| 8.4 | Plans et procédures | Structure de réponse avec suppléants, procédure d'alerte et de communication, plans disponibles |
| 8.5 | Programme d'exercices | Programme, scénarios, comptes rendus, actions |
| 8.6 | Évaluation de la documentation et des capacités | Évaluations après exercice ou incident, évaluation des fournisseurs critiques |
| 9.1 | Surveillance et mesure | Indicateurs et analyses |
| 9.2 | Audit interne | Programme, rapports, auditeurs compétents et impartiaux |
| 9.3 | Revue de direction | Compte rendu avec éléments d'entrée et décisions |
| 10.1 | Non-conformités et actions correctives | Registre, analyses de cause, vérification d'efficacité |
L'amendement climat de 2024 et la révision en cours
Publié en février 2024, l'amendement 1 (ISO 22301:2019/Amd 1:2024) ajoute à la clause 4.1 l'obligation de déterminer si le changement climatique est un enjeu pertinent, et une note en 4.2 sur les exigences climatiques des parties intéressées. L'ISO et l'IAF l'ont traité comme une clarification, sans transition ni nouveau certificat, mais les auditeurs relèvent un écart si la question n'a pas été examinée. Pour un SMCA, elle est rarement hors champ : inondations et canicules touchent locaux, personnel et fournisseurs.
Par ailleurs, une révision de la norme est en cours à l'ISO. D'ici sa publication, on se certifie sur ISO 22301:2019 et son amendement ; une période de transition sera ensuite fixée.
Combien de temps et combien coûte une certification ISO 22301 ?
Durée : des ordres de grandeur
Le calendrier dépend de votre point de départ plus que de l'audit. À titre indicatif :
| Situation de départ | Mise en place | Fonctionnement avant audit | Audits et décision | Total indicatif |
|---|---|---|---|---|
| PME mono-site, PCA déjà exercé, périmètre de 2 ou 3 services | 2 à 4 mois | 2 à 3 mois | 1 à 3 mois | 5 à 9 mois |
| PME ou ETI qui part de zéro | 4 à 8 mois | 3 mois environ | 2 à 3 mois | 9 à 14 mois |
| Groupe multi-sites, plusieurs entités | 6 à 12 mois | 3 à 6 mois | 3 à 4 mois | 12 à 24 mois |
Ce qui allonge : la disponibilité des métiers pour la BIA, le premier exercice à organiser, un audit interne mené trop tard. Ce qui raccourcit : un périmètre resserré, un PCA déjà testé, un système ISO 27001 ou ISO 9001 existant.
Coût : les postes à comprendre avant de comparer des devis
Nous ne publions pas de fourchette tarifaire : les tarifs journaliers varient selon les organismes et les pays. Voici d'où vient le coût.
| Poste | Ce qu'il couvre | Ce qui le fait varier |
|---|---|---|
| Audit initial (étapes 1 et 2) | Jours-auditeur, rapport, décision, certificat | Effectif du périmètre, sites, complexité, externalisation |
| Surveillances et recertification | Deux surveillances, recertification en année 3 | Mêmes facteurs, changements, résultats antérieurs |
| Déplacements | Transport et hébergement des auditeurs | Dispersion des sites, part d'audit à distance |
| Temps interne | Responsable du SMCA, métiers, auditeurs internes, direction | Maturité de départ, taille du périmètre |
| Accompagnement et outillage (optionnels) | Conseil, audit à blanc, logiciel | Compétences internes, volume de plans |
Les jours d'audit ne se fixent pas au doigt mouillé : l'ISO/IEC 17021-1 impose une procédure documentée tenant compte notamment de la complexité, du contexte réglementaire, de l'externalisation, de la taille et du nombre de sites, et du caractère intégré de l'audit. La justification est enregistrée : demandez-la.
Pour les systèmes qualité, environnement et santé-sécurité, le document IAF MD 5 prévoit qu'une surveillance représente environ un tiers de l'audit initial et la recertification environ deux tiers ; beaucoup d'organismes raisonnent de même pour ISO 22301. Exemple purement illustratif : 6 jours d'audit initial donnent environ 2 jours par surveillance et 4 pour la recertification, soit 14 jours-auditeur sur le cycle, à multiplier par le tarif journalier.
En pratique, le poste le plus lourd n'est presque jamais l'organisme certificateur : c'est le temps interne, et surtout les mesures de continuité elles-mêmes (site de repli, redondance, double source), qui relèvent de vos stratégies, pas de la certification.
Les non-conformités les plus fréquentes
Ce n'est pas une statistique, mais ce que les praticiens retrouvent d'un audit à l'autre :
| Écart | Ce que l'auditeur constate | Parade |
|---|---|---|
| BIA périmée | BIA qui ignore une nouvelle application ou un nouveau fournisseur (8.2) | Revue annuelle et à chaque changement significatif |
| Exercices non documentés | Exercice réalisé sans compte rendu, constats ni actions (8.5) | Compte rendu systématique, relié aux actions |
| Objectifs non mesurés | « Améliorer la résilience », sans indicateur (6.2, 9.1) | Objectifs chiffrés, suivis en revue de direction |
| Revue de direction incomplète | Éléments d'entrée manquants, décisions non tracées (9.3) | Ordre du jour calqué sur la clause 9.3 |
| Actions correctives non closes | Ouvertes depuis des mois, sans analyse de cause (10.1) | Responsable, échéance, vérification d'efficacité |
| Périmètre incohérent | Un site du périmètre absent de toute BIA (4.3) | Réconcilier périmètre, BIA et plans avant l'étape 1 |
| Fournisseurs non évalués | Aucune évaluation de leur capacité de continuité (8.6) | Questionnaires, clauses, participation aux exercices |
Leur point commun : des défauts de traçabilité plus que de fond. Le travail a souvent été fait, mais rien ne le démontre de manière datée et approuvée.
Comment choisir son organisme certificateur ?
- Vérifiez l'accréditation pour ISO 22301 sur le site de l'organisme d'accréditation (Cofrac, UKAS, DAkkS…), pas sur la plaquette. Un organisme intervenant en France peut être accrédité pour ISO 22301 par un organisme étranger : c'est recevable si la portée couvre bien la norme.
- Interrogez la compétence des auditeurs en continuité et dans votre secteur, et la justification des jours d'audit.
- Anticipez l'audit intégré si vous visez aussi ISO 27001 ou ISO 9001 : l'organisme doit être accrédité pour chaque norme.
- Vérifiez l'impartialité : un organisme lié au cabinet qui vous a conseillé pose un problème que l'ISO/IEC 17021-1 encadre strictement.
Combiner avec ISO 27001 : l'audit intégré
ISO 22301 et ISO 27001 partagent la structure des clauses 4 à 10 : politique, maîtrise documentaire, audit interne, revue de direction et actions correctives peuvent être communs, et l'annexe A d'ISO/IEC 27001:2022 contient déjà deux mesures de continuité (5.29 et 5.30). L'ISO/IEC 17021-1 comptant l'intégration parmi les facteurs de durée, un audit intégré réduit le total de jours. Mais chaque norme reste auditée dans toutes ses exigences : la BIA et le programme d'exercices ne se déduisent pas d'une déclaration d'applicabilité. Voir ISO 22301 vs ISO 27001 et la cartographie multi-référentiels.
Checklist : êtes-vous prêt pour l'audit ?
- Le périmètre est cohérent avec la BIA et les plans, les exclusions sont justifiées.
- Politique et objectifs sont approuvés, les objectifs ont des indicateurs suivis.
- L'analyse du contexte traite explicitement le changement climatique.
- BIA et appréciation des risques sont approuvées et datées de moins d'un an.
- Les plans nomment des suppléants et restent accessibles hors du système d'information.
- Au moins un exercice a eu lieu, avec compte rendu et actions.
- Les fournisseurs critiques ont été évalués.
- Un audit interne a couvert tout le SMCA, et une revue de direction a suivi.
- Les actions correctives ont un responsable et une échéance, certaines sont closes.
Pour une auto-évaluation complète : checklist ISO 22301 et modèle de plan de continuité d'activité.
Ce que fait ResiPlan, concrètement
- Clauses 4 à 10 d'ISO 22301 reliées aux modules (contexte, BIA, stratégies, plans, exercices, audits, actions correctives), avec une vue de préparation à la certification, pas un « score de conformité ».
- BIA : calcul du RTO et de la DMIA, campagnes auprès des responsables de processus, circuit de validation et historique des versions.
- Stratégies : sélection d'options justifiée et approbation, dans la logique de la clause 8.3.
- Programme d'exercices : constats transformés en actions correctives suivies.
- Audit interne : programmes alignés sur les lignes directrices ISO 19011, constats convertis en actions correctives.
- Dossier de preuves téléchargeable pour l'auditeur, centré sur ISO 22301.
Une précision honnête : un logiciel n'est jamais certifié ISO 22301. Ce sont les organisations qui le sont, par un organisme accrédité, et ResiPlan n'est pas lui-même certifié. Il ne rend personne conforme : il structure, relie et date les preuves que vos équipes produisent. Essai gratuit de 7 jours, sans carte bancaire.
FAQ
Combien coûte une certification ISO 22301 ?
Pour l'organisme : les jours d'audit (selon l'effectif, les sites et la complexité) multipliés par son tarif journalier, plus les déplacements. Comparez les devis sur tout le cycle de trois ans. Le temps interne et les mesures de continuité pèsent en général bien plus lourd.
Combien de temps faut-il pour être certifié ?
À titre indicatif, 5 à 9 mois pour une PME qui dispose déjà d'un PCA exercé, 9 à 14 mois en partant de zéro, davantage pour un groupe multi-sites. Le facteur limitant est le temps nécessaire pour que le système produise ses premières preuves.
Un prestataire SaaS peut-il être « certifié ISO 22301 » ?
Un logiciel, non. Le prestataire, oui, si le périmètre de son SMCA couvre le service qu'il vous fournit. Lisez le périmètre inscrit sur le certificat et vérifiez l'accréditation de l'organisme émetteur.
Que se passe-t-il en cas de non-conformité majeure ?
Lors de l'audit initial, pas de certificat tant que la correction n'est pas vérifiée, et si cette vérification n'intervient pas dans les six mois suivant l'étape 2, celle-ci est à refaire. En cours de cycle, un écart majeur non traité peut entraîner la suspension.
La certification ISO 22301 suffit-elle pour NIS2 ou DORA ?
Non. Elle apporte des preuves solides sur la continuité et la gestion de crise, mais ni NIS2 ni DORA n'en font une présomption de conformité. Notification des incidents ou gestion des prestataires TIC restent à démontrer séparément.
Pour aller plus loin
- ISO 22301 en 10 étapes : implémenter un BCMS conforme
- Plan de continuité d'activité (PCA) : guide 2026 en 8 étapes
- ISO 22301 vs ISO 27001 : différences et recouvrement
- ISO 22301 vs NIST CSF
- 10 scénarios d'exercice de crise
Un certificat ISO 22301 ne récompense pas un classeur bien rédigé : il constate, chaque année, qu'un système de continuité vit, s'exerce et se corrige.