ISO 27001.
Établir un système de management de la sécurité de l’information, maîtriser les risques et choisir le justificatif adapté aux clients et partenaires contractuels.
- ISO/IEC 27001:2022 + Amd 1:2024
- Par Jonathan Bezdek
- À jour au 22/10/2026
- Temps de lecture : 9 min
Réponse courte.
ISO 27001 est la norme internationale des systèmes de management de la sécurité de l’information, ou SMSI. Elle décrit comment organiser, exploiter et améliorer la sécurité selon les risques. ISO/IEC 27001:2022 convient à différentes tailles et différents secteurs. Un organisme indépendant peut certifier la conformité du système dans un périmètre défini ; l’ISO ne délivre pas de certificats.
ISO 27001 et SMSI.
ISO 27001 décrit les exigences de management de la sécurité de l’information. Un SMSI relie les décisions de la direction à la gestion des informations, des personnes, des processus et des technologies. Il protège la confidentialité, l’intégrité et la disponibilité : qui peut voir les informations, comment préserver leur fiabilité et quand doivent-elles être utilisables ? La présentation publique d’ISO/IEC 27001:2022 place une approche fondée sur les risques au cœur de cette démarche.
L’édition de base publiée est ISO/IEC 27001:2022, complétée par Amd 1:2024. Cet amendement ajoute l’examen des questions climatiques au contexte du système de management. Selon le communiqué commun ISO/IAF de février 2024, il s’agit de vérifier leur pertinence pour chaque système de management. Cela n’impose pas un programme de mesures identique à toutes les organisations.
Le SMSI correspond au travail continu de l’organisation ; sa certification constitue une preuve externe possible. Un outil déployé, un questionnaire rempli ou une attestation de formation ne remplacent ni le fonctionnement du système de management ni son évaluation indépendante.
À qui s’adresse ISO 27001.
Selon sa présentation publique par l’ISO, ISO 27001 convient aux organisations de différentes tailles et de différents secteurs. Les informations et les dépendances du périmètre choisi sont déterminantes. Un petit prestataire peut donc avoir besoin de responsabilités et de processus différents de ceux d’une entreprise multisite, sans que la mission fondamentale du management de la sécurité change.
Les exigences des clients déterminent souvent le périmètre de certification nécessaire. Clarifiez si un partenaire contractuel souhaite faire évaluer un service, un site ou une personne morale précise. Un périmètre volontairement délimité doit prendre en compte les interfaces pertinentes. Une activité externalisée reste à considérer dans l’analyse de sécurité même lorsqu’un fournisseur l’exécute.
Les exigences d’ISO 27001.
Les exigences d’ISO 27001 associent le pilotage du SMSI au fonctionnement de mesures de sécurité appropriées. Les six domaines suivants résument, à titre d’orientation et dans nos propres termes, les chapitres 4 à 10 d’ISO/IEC 27001:2022.
Définir le contexte et le périmètre.
L’organisation délimite les activités et les informations couvertes par son SMSI. Cela inclut les exigences pertinentes des parties intéressées et les dépendances avec d’autres domaines. Pour la mise en œuvre, une description compréhensible aussi bien par les responsables métier que par les lecteurs externes est recommandée : le seul nom d’un service n’explique pas ses systèmes de soutien ni ses interfaces.
Ancrer le leadership et les responsabilités.
La direction donne à la sécurité son orientation, ses pouvoirs et ses ressources. Les responsables doivent pouvoir prendre les décisions adaptées à leurs missions. Une personne chargée de la coordination centrale peut garder une vue d’ensemble ; elle ne reprend pas pour autant toutes les tâches des ressources humaines, des achats, de l’informatique ou du développement.
Apprécier et traiter les risques.
L’appréciation et le traitement des risques déterminent les problèmes à traiter en priorité. Les critères d’évaluation, les responsables et les décisions traçables relient l’analyse à des actions concrètes. La déclaration d’applicabilité, aussi appelée Statement of Applicability ou SoA, consigne le choix des mesures et sa justification. L’annexe A sert de référence pour les mesures de sécurité.
Organiser les ressources et la documentation.
Les compétences, la communication et des informations documentées tenues à jour soutiennent le fonctionnement. Définissez concrètement qui approuve une règle, qui l’applique et où trouver la version en vigueur. Une vaste collection de documents est peu utile si son contenu diffère des pratiques réelles ou si les responsables ne connaissent pas leurs tâches.
Faire fonctionner les mesures au quotidien.
Les mesures de sécurité doivent fonctionner effectivement dans le périmètre choisi. Les dispositions organisationnelles, humaines, physiques et techniques se complètent. Pour faciliter le travail, les responsables peuvent préciser, pour chaque mesure retenue, le processus protégé et les enregistrements qui démontrent son fonctionnement. L’article sur l’annexe A approfondit le choix et l’exploitation des mesures.
Évaluer et améliorer.
Les audits internes, les revues de direction et le traitement des écarts font évoluer le SMSI. L’organisation vérifie si ses pratiques répondent aux exigences et contribuent aux résultats attendus. Au quotidien, il est utile de définir, dès la correction, comment son efficacité pourra être constatée ultérieurement.
Le parcours vers la certification ISO 27001.
Convenir de l’objectif et du périmètre.
Pour commencer concrètement, clarifiez le justificatif nécessaire et l’activité concernée, puis décrivez le périmètre et ses dépendances pertinentes.
Définir les responsabilités et les capacités.
Désignez la direction habilitée à décider, la coordination et les responsables de processus, puis réservez du temps pour la mise en place et la maintenance continue.
Traiter les risques et les mesures.
Appliquez une méthode d’évaluation traçable, décidez du traitement et documentez le choix des mesures dans la déclaration d’applicabilité.
Relier le fonctionnement aux preuves.
Appliquez les mesures retenues et conservez les enregistrements pertinents issus du fonctionnement réel, au-delà du simple remplissage de modèles documentaires.
Évaluer et corriger en interne.
Utilisez l’audit interne et la revue de direction pour traiter les décisions en suspens, les écarts et les besoins en ressources avant un examen externe.
Planifier l’examen externe et la poursuite du fonctionnement.
Convenez du périmètre et du programme d’audit avec un organisme de certification adapté, puis poursuivez le fonctionnement du SMSI et les vérifications nécessaires après la décision de certification.
La portée du certificat ISO 27001.
Le certificat ISO 27001 confirme la conformité évaluée du système de management dans le périmètre indiqué. Vérifiez donc ensemble le périmètre, l’édition de la norme, l’organisme émetteur, la date de validité et le statut actuel. Le certificat ne garantit ni la couverture de tous les domaines de l’entreprise ni l’absence future de tout incident de sécurité.
La certification est réalisée par des organismes externes ; l’ISO ne délivre pas elle-même de certificats. ISO/IEC 27006-1:2024 complète les exigences imposées à ces organismes pour les certifications de SMSI. L’accréditation concerne leur compétence et se distingue du certificat de l’organisation évaluée. La page publique de l’ISO sur la certification explique comment vérifier les statuts de certification et d’accréditation.
La planification ne s’arrête pas à la première délivrance. Demandez à votre organisme de certification d’expliquer le programme d’audit, les conditions de maintien et le déroulement du renouvellement. Le budget doit intégrer ces prestations récurrentes et le fonctionnement interne, au-delà de la seule offre initiale.
Pour aller plus loin sur le blog.
- Qu’est-ce qu’un SMSI ?Relier le travail de sécurité aux décisions de l’organisation.
- Préparer la certification ISO 27001Planifier en détail la préparation, les efforts nécessaires et les examens.
- Annexe A d’ISO 27001Ancrer les mesures choisies dans le fonctionnement.
- Audit interne ISO 27001Organiser les critères d’audit, les preuves et les corrections.
- Liste de contrôle ISO 27001Faire un premier tri des domaines de travail et des aides au démarrage existantes.
Situer les autres référentiels.
ISO 27002 complète ISO 27001 par des orientations pour mettre en œuvre les mesures de sécurité de l’information. IT-Grundschutz décrit une méthode du BSI pour la sécurité et sa propre démarche de certification. NIS2 impose des obligations légales distinctes aux entités concernées ; un certificat ISO 27001 ne dispense pas de les examiner. TISAX utilise un processus d’évaluation et d’échange propre à la chaîne d’approvisionnement automobile.
Dans Secani.
Secani propose son propre catalogue éditorial d’évaluation pour ISO/IEC 27001:2022 avec l’amendement 1:2024. L’espace de travail permet de traiter ensemble les mesures, les preuves et les tâches. Le catalogue contient des conseils de mise en œuvre originaux et ne remplace pas le texte de la norme sous licence ; l’évaluation spécialisée et la décision de certification restent des tâches distinctes.
Commencer par un périmètre concret.
Choisissez un service pour lequel une preuve de sécurité traçable est nécessaire. Consignez les informations, les équipes et les fournisseurs concernés, ainsi que les personnes habilitées à décider des risques. Cette base permet de discuter de l’étendue de la mise en œuvre et des attentes envers un certificat.
Demandez ensuite une offre d’audit fondée sur le même périmètre. Distinguez les efforts internes, les améliorations nécessaires et les coûts de l’examen externe. Les offres deviennent ainsi plus comparables, sans promettre de date de certification ni de résultat.
Sources.
- ENX : manuel du participant TISAX
- ISO/IEC 27001:2022 – page publique de la norme
- ISO/IEC 27001:2022/Amd 1:2024
- Communiqué ISO/IAF sur les ajouts relatifs au climat, février 2024
- ISO – certification et accréditation
- ISO/IEC 27006-1:2024 – exigences applicables aux organismes de certification
- ISO/IEC 27002:2022 – guide de mise en œuvre complémentaire
Questions fréquentes.
Non, il n’existe pas d’obligation générale de certification ISO 27001 pour toutes les entreprises. L’exigence d’un justificatif précis dépend des dispositions légales, contractuelles ou sectorielles applicables.
Il n’est pas possible de donner un prix unique fiable sans connaître le périmètre et la situation de départ. Budgétez séparément les efforts internes, les améliorations nécessaires, les coûts d’audit externe et le maintien dans la durée.
Le choix dépend des risques et des exigences pertinentes. La déclaration d’applicabilité documente les mesures nécessaires, leur avancement et les exclusions justifiées de mesures de référence.
Oui. Mettre en œuvre un SMSI et le faire certifier par un organisme externe sont deux décisions différentes ; l’ISO décrit la certification comme une preuve facultative.
Non. Des organismes de certification externes délivrent les certificats ; l’ISO élabore et publie les normes.
Clarifier le périmètre.
Discutons de la manière de traiter les exigences, les mesures et les preuves dans Secani.
Cette page présente ISO 27001 dans ses propres termes et ne remplace ni le texte de la norme sous licence ni une évaluation spécialisée. Les publications originales et la procédure de certification applicable font foi.