ISO/IEC 27001:2022
Direct answer
ISO/IEC 27001:2022 est la norme internationale pour un système de management de la sécurité de l’information (SMSI). Elle offre aux organisations un cadre fondé sur le risque, dix chapitres et 93 mesures de l’Annexe A réparties en quatre thèmes, pour gouverner la confidentialité, l’intégrité et la disponibilité de l’information. Des organismes tiers accrédités la certifient. Les certificats sont valables trois ans, avec une surveillance annuelle.
ISO/IEC 27001:2022 est la principale norme internationale pour le management de la sécurité de l’information. Elle spécifie les exigences d’un système de management de la sécurité de l’information (SMSI) : l’ensemble des politiques, procédures, processus et mesures qu’une organisation utilise pour protéger ses actifs informationnels. Elle repose sur la même structure harmonisée de l’Annexe SL qu’ISO 9001 et ISO 42001, ce qui signifie que les chapitres 4 à 10 suivent une architecture identique dans les trois normes, rendant l’intégration des systèmes de management simple.
Elle est certifiable par des organismes tiers accrédités, de sorte que la posture de sécurité d’une organisation peut être vérifiée de façon indépendante plutôt qu’auto-déclarée. La norme ne prescrit pas une architecture de sécurité unique. Elle exige plutôt qu’une organisation identifie ses risques, sélectionne les mesures adaptées à ces risques, les mette en œuvre et s’améliore en continu. Le résultat est un SMSI dimensionné selon le profil de risque réel de l’organisation, et non une liste générique.
ISO 27001 n’est pas légalement obligatoire dans la plupart des juridictions. Les organisations visent la certification parce que les clients, les régulateurs ou le marché l’exigent. Facteurs déclencheurs courants :
Il n’existe pas de taille minimale d’organisation. Des indépendants peuvent se certifier, et des multinationales le font. Le périmètre peut se limiter à un produit, une ligne de service ou une zone géographique précise, ce qui permet aux plus petites organisations de garder la certification maîtrisable.
ISO 27001 comporte dix chapitres. Les chapitres 1 à 3 fixent le domaine d’application, les références normatives et les termes. Les chapitres 4 à 10 sont les exigences auditables ; ils suivent la même structure harmonisée qu’ISO 9001 et ISO 42001, ce qui permet aux organisations d’intégrer plusieurs systèmes de management sans dupliquer les politiques, les processus de risque ou les audits internes. Les exigences propres à la sécurité de l’information se concentrent au chapitre 6 (appréciation des risques, traitement des risques et Déclaration d’applicabilité) et au chapitre 8 (exploitation du SMSI et exécution du plan de traitement des risques).
| Chapitre | Titre | Exigence en une ligne |
|---|---|---|
| 4 | Contexte de l’organisation | Identifier les enjeux internes et externes, les parties intéressées, et définir le périmètre du SMSI. |
| 5 | Leadership | Engagement de la direction, une politique de sécurité de l’information et des rôles attribués. |
| 6 | Planification | Appréciation des risques, plan de traitement des risques, Déclaration d’applicabilité et objectifs de sécurité de l’information. |
| 7 | Support | Ressources, compétence, sensibilisation, communication et informations documentées. |
| 8 | Fonctionnement | Exécuter le plan de traitement des risques et les mesures de l’Annexe A ; tenir à jour les procédures opérationnelles. |
| 9 | Évaluation des performances | Surveillance, mesure, audit interne et revue de direction. |
| 10 | Amélioration | Non-conformité, action corrective et amélioration continue. |
L’Annexe A de l’édition 2022 organise 93 mesures en 4 thèmes : Organisationnel (37 mesures), Personnes (8), Physique (14) et Technologique (34). Les mesures sont un ensemble de référence, non une liste obligatoire. Le processus est le suivant : identifiez vos risques, déterminez quelles mesures les traiteraient, incluez-les dans la Déclaration d’applicabilité avec justification, et excluez les autres avec un motif documenté. Une exclusion n’est pas une non-conformité ; une exclusion non justifiée l’est.
La restructuration de 2022 a introduit 11 nouvelles mesures absentes de l’édition 2013 : renseignement sur les menaces (5.7), sécurité de l’information pour l’utilisation de services cloud (5.23), préparation des TIC pour la continuité d’activité (5.30), surveillance de la sécurité physique (7.4), gestion de la configuration (8.9), suppression de l’information (8.10), masquage des données (8.11), prévention des fuites de données (8.12), activités de surveillance (8.16), filtrage web (8.23) et codage sécurisé (8.28).
Le détail mesure par mesure se trouve sur la page dédiée aux mesures de l’Annexe A.
| Thème | Mesures | Couverture |
|---|---|---|
| Organisationnel (5.x) | 37 | Politiques, rôles, responsabilités, renseignement sur les menaces, gestion des actifs, sécurité des fournisseurs, gestion des incidents, continuité d’activité, conformité. |
| Personnes (6.x) | 8 | Sélection, conditions d’emploi, sensibilisation, formation, processus disciplinaire, fin d’emploi, télétravail, accords de confidentialité. |
| Physique (7.x) | 14 | Périmètres physiques, contrôles d’accès, sécurité des bureaux et des installations, protection des équipements, bureau et écran nets, gestion des supports physiques. |
| Technologique (8.x) | 34 | Terminaux, contrôle d’accès, cryptographie, gestion des vulnérabilités, configuration, journalisation, surveillance, filtrage web, développement sécurisé, sécurité du cloud. |
| Total | 93 |
La Déclaration d’applicabilité (DdA) est le document obligatoire au cœur d’ISO 27001. Le chapitre 6.1.3 l’exige. Elle liste les 93 mesures de l’Annexe A et, pour chacune, indique :
La DdA est le principal document qu’un auditeur d’étape 1 examine avant l’audit sur site. Défaillances courantes : exclure des mesures sans justification de risque documentée, lister des mesures comme applicables sans preuve de mise en œuvre, et ne pas mettre à jour la DdA lorsque le périmètre ou les risques changent.
Une DdA bien construite n’est pas un document ponctuel. Elle doit être versionnée, revue lors de la revue de direction annuelle, et mise à jour dès que de nouveaux risques sont identifiés, que le périmètre change, ou que l’applicabilité d’une mesure change. Les auditeurs rechercheront l’historique des versions et les dates de validation.
Les coûts de certification dépendent de la taille de l’organisation, du périmètre et du nombre de sites. Les chiffres ci-dessous sont des estimations indicatives fondées sur des données publiques. Les tarifs suisses et européens peuvent différer des chiffres américains. Demandez des devis formels à deux ou trois organismes accrédités avant de budgéter.
Les coûts se répartissent en deux catégories : les honoraires de l’organisme de certification (ce que vous payez à l’auditeur) et l’effort de mise en œuvre (temps interne, honoraires de conseil et outillage). Les deux sont réels, et la plupart des programmes sous-estiment l’effort de mise en œuvre. Une plateforme GRC qui cartographie ISO 27001 aux côtés des référentiels existants réduit fortement le coût de mise en œuvre.
| Taille de l’organisation | Honoraires organisme (année 1) | Effort de mise en œuvre | Surveillance annuelle |
|---|---|---|---|
| Petite (50 à 200 employés) | 15 000 à 30 000 USD | 30 000 à 100 000 USD | 8 000 à 15 000 USD |
| Moyenne (200 à 1 000 employés) | 25 000 à 60 000 USD | 80 000 à 250 000 USD | 12 000 à 25 000 USD |
| Grande (1 000+ employés) | 50 000+ USD | 200 000+ USD | 20 000+ USD |
ISO 27001 et SOC 2 traitent toutes deux de la sécurité de l’information, mais leur architecture diffère. ISO 27001 est une norme de système de management qui produit un certificat ; SOC 2 est un cadre d’attestation qui produit un rapport d’audit. Beaucoup d’organisations opérant sur les marchés européen et américain visent les deux. Voir la comparaison complète ISO 27001 vs SOC 2.
| Dimension | ISO/IEC 27001:2022 | SOC 2 |
|---|---|---|
| Objet | Certification d’un SMSI | Attestation des mesures d’un organisme de services |
| Résultat | Certificat (validité 3 ans) | Rapport Type I (à un instant) ou Type II (sur une période) |
| Organisme normatif | ISO et CEI | AICPA |
| Géographie | Mondiale | Principalement les États-Unis ; exigée par les grands comptes américains dans le monde |
| Modèle d’audit | Organisme de certification accrédité (p. ex. UKAS, ANAB) | Cabinet de CPA agréé |
| Référentiel | 10 chapitres et 93 mesures de l’Annexe A | 5 Trust Services Criteria (Sécurité obligatoire ; 4 optionnels) |
| Périmètre | SMSI (politiques, risques, mesures, amélioration) | Catégories TSC retenues et systèmes dans le périmètre |
| Cadence d’audit | Étapes 1 et 2 puis surveillance annuelle | Annuelle (Type II : période d’observation de 6 à 12 mois) |
| Qui l’exige | Achats de l’UE, secteurs réglementés, B2B mondial | Grands comptes américains, acheteurs SaaS américains |
| Recoupement des mesures | Recoupement important avec les mesures CC de SOC 2 | Recoupement important avec l’Annexe A d’ISO 27001 |
ISO/IEC 27001:2022 a été publiée en octobre 2022. La structure des chapitres (4 à 10) est inchangée ; le changement majeur porte sur l’Annexe A. L’édition 2013 comptait 114 mesures réparties en 14 domaines. L’édition 2022 les a restructurées en 93 mesures réparties en 4 thèmes, fusionnant, renommant et réorganisant des mesures existantes et en ajoutant 11 nouvelles.
La date limite de transition pour les organisations certifiées selon l’édition 2013 était le 31 octobre 2025. Les certificats délivrés selon l’édition 2013 qui n’ont pas effectué la transition ne sont plus valables.
| Dimension | ISO 27001:2013 | ISO 27001:2022 |
|---|---|---|
| Mesures de l’Annexe A | 114 | 93 |
| Structure de l’Annexe A | 14 domaines (A.5 à A.18) | 4 thèmes (Organisationnel, Personnes, Physique, Technologique) |
| Nouvelles mesures | s.o. | 11 nouvelles mesures dont renseignement sur les menaces, sécurité du cloud, codage sécurisé, masquage des données, filtrage web |
| Structure des chapitres | Chapitres 4 à 10 | Chapitres 4 à 10 (inchangée) |
| Structure harmonisée | Annexe SL | Annexe SL (alignement 2022) |
| Statut actuel | Remplacée ; date limite de transition 31 octobre 2025 | Édition actuelle |
ISO 27001 est la colonne vertébrale de la plupart des programmes GRC car ses mesures se cartographient vers pratiquement tous les référentiels adjacents. Les organisations qui mènent ISO 27001 aux côtés de SOC 2, NIS2, RGPD ou ISO 42001 n’ont pas besoin de reconstruire des mesures pour chaque référentiel. Elles cartographient une fois et réutilisent. Le tableau ci-dessous montre des domaines de mesures sélectionnés et leurs équivalents dans chaque référentiel.
C’est l’argument pratique en faveur d’ISO 27001 comme première certification : elle crée l’infrastructure de mesures que chaque référentiel ultérieur réutilise. Le moteur de cartographie inter-référentiels d’Acuna gère ces relations automatiquement, de sorte qu’une équipe menant déjà NIS2, RGPD ou SOC 2 étend son programme vers ISO 27001 sans dupliquer le travail.
| Domaine de mesure ISO 27001:2022 | TSC SOC 2 | NIS2 Art. 21 | ISO 42001 | RGPD |
|---|---|---|---|---|
| Appréciation des risques (chapitre 6.1) | CC3.1 à CC3.4 | Art. 21(a) | Chapitre 6.1 | Art. 35 (AIPD) |
| Contrôle d’accès (5.15 à 5.18) | CC6.1, CC6.2, CC6.3 | Art. 21(i), (j) | A.6.2 | Art. 32(1)(b) |
| Gestion des incidents (5.24 à 5.27) | CC7.3, CC7.4, CC7.5 | Art. 21(b) ; Art. 23 | A.6.2 | Art. 33 à 34 |
| Sécurité des fournisseurs (5.19 à 5.22) | CC9.2 | Art. 21(d) | A.10 | Art. 28 (sous-traitants) |
| Continuité d’activité (5.29, 5.30, 8.14) | A1.1 à A1.3 | Art. 21(c) | s.o. | Art. 32 |
| Cryptographie (8.24) | CC6.7 | Art. 21(h) | A.7 | Art. 32(1)(a) |
| Gestion des vulnérabilités (8.8) | CC7.1 | Art. 21(e) | s.o. | Art. 32 |
| Journalisation et surveillance (8.15 à 8.17) | CC7.1, CC7.2 | Art. 21 | Chapitre 9 | Art. 32 |
| Sensibilisation et formation (6.3) | CC1.4, CC2.2 | Art. 21(g) | Chapitre 7.2 | s.o. |
| Gestion des actifs (5.9 à 5.14) | CC6.1 | Art. 21(i) | A.7 | Art. 05 (principes) |
Acuna vous permet de mener ISO 27001 aux côtés de vos autres référentiels plutôt que comme un projet isolé. Elle construit et cadre le SMSI, mène les appréciations des risques, génère et versionne la Déclaration d’applicabilité, cartographie les 93 mesures de l’Annexe A vers des responsables et des preuves, et maintient le SMSI à jour pour la surveillance annuelle. Les cinq mesures de sécurité fournisseurs A.5.19 à A.5.23 de l’Annexe A sont opérationnalisées par la gestion de la relation fournisseurs : évaluations de fournisseurs, notation de sécurité continue, et la trace des preuves dont les processus de DPA de l’article 28 ont besoin. Les exigences de contrôle d’accès A.5.15 à A.5.18 de l’Annexe A se cartographient vers la gestion des accès : permissions basées sur les rôles, flux de revue d’accès, et l’enregistrement des attributions et retraits d’accès qu’un auditeur s’attend à échantillonner. La cartographie inter-référentiels est automatique : les équipes menant déjà NIS2, RGPD ou SOC 2 réutilisent leurs mesures existantes plutôt que de les reconstruire de zéro. Voyez comment Acuna cartographie ISO 27001.
EXPLORER
Ce qu’est la DdA, comment la construire, et les défaillances d’étape 1 les plus fréquentes.
En quoi elles diffèrent, quand vous avez besoin des deux, et comment les mesures se recoupent.
Ce qu’il faut budgéter, qui engager, et combien de temps prennent les étapes 1 et 2.
Les 93 mesures réparties en 4 thèmes, avec les notes des auditeurs sur ce qui est échantillonné.
Étape 1, étape 2, surveillance, et les non-conformités les plus fréquentes.
Applicabilité, décisions de cadrage, et comment décider s’il faut se certifier.
Un guide de mise en œuvre phase par phase, de l’analyse d’écarts au certificat.
Une liste de contrôle téléchargeable, du socle du SMSI à l’audit d’étape 2.
Comment les mesures d’ISO 27001 se cartographient vers chaque référentiel adjacent pris en charge par Acuna.
Comment Acuna cartographie et exécute ISO 27001 aux côtés de vos autres référentiels.
Réponses associées
ISO 27001 est la norme internationale pour les systèmes de management de la sécurité de l’information (SMSI). Publiée par l’ISO/IEC, elle définit les exigences pour l’établissement, la mise en œuvre, le maintien et l’amélioration continue d’un SMSI. La révision 2022 inclut 93 contrôles répartis sur quatre thèmes : organisationnel, humain, physique et technologique. La certification requiert un audit externe accrédité démontrant que le SMSI répond à toutes les exigences des clauses et que les contrôles de l’Annexe A sélectionnés sont mis en œuvre et efficaces. Acuna prend en charge l’intégralité du cycle de vie ISO 27001, de la définition du périmètre à la préparation des audits.
La GRC (Gouvernance, Risques et Conformité) est une discipline de management large couvrant la manière dont une organisation dirige sa stratégie, gère ses risques et respecte ses obligations réglementaires dans tous les domaines. Un SMSI (Système de management de la sécurité de l’information) est une mise en œuvre spécifique de la gouvernance et de la gestion des risques centrée sur la sécurité de l’information, se conformant généralement à ISO 27001. Un SMSI est une composante d’un programme GRC plus large. Acuna est une plateforme GRC qui prend en charge la gestion d’un SMSI comme l’un de ses cas d’usage, aux côtés de la protection des données, de la continuité d’activité, du risque fournisseur et de la gestion des risques d’entreprise.
La Déclaration d’applicabilité (DdA) est un document obligatoire dans ISO 27001 qui liste tous les contrôles de l’Annexe A, indique si chacun est applicable ou non applicable au périmètre du SMSI de l’organisation, fournit une justification pour les exclusions, et référence le statut de mise en œuvre de chaque contrôle applicable. La DdA est un artefact clé de l’audit : les auditeurs l’utilisent pour vérifier que la sélection des contrôles est fondée sur les risques et que les contrôles exclus disposent d’une justification documentée. Dans Acuna, la DdA est gérée directement dans le volet Comply avec les marquages d’applicabilité et les champs de justification par contrôle.
Dans Comply, chaque exigence peut être marquée Applicable ou Non applicable avec un champ de justification obligatoire. Pour ISO 27001, cela produit la Déclaration d’applicabilité (DdA). Les décisions d’applicabilité se propagent en aval : lorsqu’une exigence est marquée non applicable, ses mesures et contrôles reliés sont exclus des calculs de couverture. Les auditeurs peuvent filtrer la liste des exigences par statut d’applicabilité et exporter la DdA comme artefact versionné. Les modifications d’applicabilité après le marquage initial sont tracées dans la piste d’audit avec l’utilisateur, l’horodatage et la raison du changement.
SOC 2 et ISO 27001 traitent tous deux des contrôles de sécurité de l’information, mais leur architecture diffère. ISO 27001 produit un certificat : délivré par un organisme de certification accrédité, valable trois ans, reconnu mondialement et vérifiable publiquement. SOC 2 produit un rapport d’attestation : émis par un cabinet d’experts-comptables agréé, distribué de manière privée, renouvelé chaque année, et devenu la norme sur le marché entreprise américain. ISO 27001 exige un SMSI formel avec un périmètre documenté, une analyse des risques et une Déclaration d’applicabilité pour les 93 contrôles de l’Annexe A. SOC 2 s’organise autour des critères de services fiduciaires de l’AICPA — la Sécurité (CC) est obligatoire, les quatre autres catégories sont optionnelles. Le recoupement des contrôles est important : CC6 (contrôles d’accès logiques) recoupe ISO 27001 A.5.15–A.5.18 ; CC9.2 (suivi des fournisseurs), A.5.19–A.5.23 ; CC7 (opérations), les contrôles ISO 27001 A.8.x. Les organisations qui courent les deux référentiels cartographient une fois et réutilisent les preuves plutôt que de maintenir des jeux parallèles. Le choix dépend de vos acheteurs. ISO 27001 est l’attente sur le marché entreprise européen et international. SOC 2 est la norme du marché américain et est fréquemment exigé par les services achats d’entreprises américaines avant signature. De nombreuses organisations actives sur les deux marchés — dont des sociétés françaises visant l’accès au marché américain — poursuivent les deux démarches.
POUR COMMENCER
Réservez une démo de 30 minutes cadrée sur votre programme ISO 27001 et les autres référentiels que vous menez en parallèle.
Comment obtenir la certification ISO 27001
La certification est délivrée par un organisme tiers accrédité après un audit en deux étapes. L’étape 1 examine la documentation et l’état de préparation du SMSI ; l’étape 2 teste le système en fonctionnement. Les auditeurs échantillonnent les preuves, interrogent le personnel et évaluent si les mesures de la DdA fonctionnent réellement.
Les certificats sont valables trois ans. Des audits de surveillance annuels confirment le maintien de la conformité. Un audit de recertification a lieu la troisième année. Pour l’accréditation, recherchez des organismes accrédités par UKAS (Royaume-Uni), ANAB ou A2LA (États-Unis), DAkkS (Allemagne), COFRAC (France) ou SAS (Suisse). L’ISO elle-même ne certifie pas les organisations.
La plupart des organisations mettent de trois à douze mois, de l’analyse d’écarts au certificat, selon la maturité du SMSI, le périmètre et les ressources disponibles.
SE FORMER POUR CERTIFIERAbilene Academy est le seul partenaire PECB Titanium de Suisse, le plus haut niveau d’accréditation du secteur, et dispense des formations certifiantes ISO 27001 Lead Implementer et Lead Auditor en présentiel, en ligne et en auto-formation. Couvre aussi la gestion des risques ISO 27005. Programmes multilingues en EN, FR, ES, DE, IT et plus. 99 % Taux de réussite aux examens · 2 500+ Professionnels formés · 120+ Pays touchés · Titanium Seul partenaire PECB Titanium de Suisse.
Formations ISO 27001 →