Qu’est-ce qu’une Déclaration d’applicabilité dans ISO 27001 ?

La DdA découle du traitement des risques : ce n’est pas une liste de contrôle autonome. Le chapitre 6.1.3 d’ISO/IEC 27001:2022 fixe l’enchaînement :

• Choisir une option de traitement pour chaque risque identifié lors de l’appréciation des risques.
• Déterminer toutes les mesures nécessaires à ce traitement. Elles peuvent être conçues en interne ou provenir de toute autre source.
• Comparer ces mesures à l’Annexe A pour vérifier qu’aucune mesure nécessaire n’a été omise.
• Établir la Déclaration d’applicabilité (chapitre 6.1.3 d).
• Formuler le plan de traitement des risques (chapitre 6.1.3 e) et obtenir des propriétaires des risques l’approbation du plan et l’acceptation des risques résiduels (chapitre 6.1.3 f).

Du fait de cet enchaînement, les auditeurs lisent la DdA en regard de l’appréciation des risques et du plan de traitement des risques. Une mesure déclarée applicable doit se rattacher à un risque, à une exigence légale ou à une obligation contractuelle.

L’édition 2022 demande quatre éléments : les mesures nécessaires, la justification de leur inclusion, l’indication de leur mise en œuvre ou non, et la justification de l’exclusion de toute mesure de l’Annexe A.

Dans les faits, la plupart des DdA prennent la forme d’un tableau, avec une ligne par mesure et les colonnes suivantes :

• La référence et l’intitulé de la mesure, pour les 93 mesures de l’Annexe A et pour toute mesure ajoutée depuis une autre source.
• Applicable ou exclue.
• Le motif : résultat du traitement des risques, exigence légale, obligation contractuelle ou raison de l’exclusion.
• Le statut de mise en œuvre.
• Un renvoi vers l’endroit où la mesure est concrétisée : politique, procédure, système ou enregistrement.

La DdA fait partie des documents que la norme nomme expressément. La liste complète figure dans Quels documents l’ISO 27001 exige-t-elle ?.

La DdA est le principal document qu’examine l’auditeur d’étape 1 avant l’audit sur site, et l’étape 2 vérifie ensuite que les mesures qu’elle liste fonctionnent réellement. Ce n’est pas un livrable ponctuel. Gérez-la en versions, avec des dates de validation, et mettez-la à jour dès que le périmètre du SMSI change, que l’appréciation des risques fait apparaître de nouveaux risques ou qu’une mesure change de statut. Les auditeurs examinent cet historique lors des audits de surveillance.

Les organismes de certification ayant achevé le passage à ISO/IEC 27001:2022 au 31 octobre 2025, la DdA doit suivre la structure de l’Annexe A de 2022 : 93 mesures en quatre thèmes, et non les 114 mesures de l’édition 2013.

• Des mesures exclues sans justification documentée et fondée sur les risques.
• Des mesures déclarées applicables sans preuve de mise en œuvre.
• Une DdA qui ne correspond pas à l’appréciation des risques, souvent parce qu’elle a été reprise d’un modèle.
• Aucune mise à jour après un changement de périmètre, de risques ou de mesures.
• Des références encore numérotées selon l’édition 2013.

Une exclusion n’est pas en soi une non-conformité ; une exclusion non justifiée l’est.