ISO 27001 en clair : exigences et certification
ISO 27001 est la norme que les grands clients exigent quand un questionnaire ne suffit plus. Ce qu'elle demande, les documents nécessaires, et le déroulé de l'audit de certification.
En 30 secondes
- Quoi
- Une norme internationale, ISO/IEC 27001:2022, pour piloter la sécurité de l'information comme un système de management : décider, faire, vérifier, améliorer.
- Qui
- Toute organisation, quelle que soit sa taille. Aucune loi ne l'impose en général ; les clients et les appels d'offres, souvent.
- Deux parties
- Les chapitres 4 à 10, obligatoires, et l'annexe A : 93 mesures parmi lesquelles vous choisissez selon vos risques.
- Document clé
- La déclaration d'applicabilité : chaque mesure de l'annexe A, si elle s'applique à vous, et pourquoi.
- Certification
- Délivrée par un organisme de certification accrédité, jamais par l'ISO. Deux étapes d'audit, puis un certificat valable trois ans avec des audits de surveillance.
- Votre part
- La direction s'engage, fixe le périmètre et revoit le système. Votre équipe applique les mesures et tient les enregistrements.
Ce qu’est ISO 27001
ISO/IEC 27001 est une norme internationale pour piloter la sécurité de l’information comme un système de management : vous décidez quoi protéger, mettez des mesures en place, vérifiez qu’elles fonctionnent, et les améliorez. La version en vigueur date de 2022, avec un petit amendement en 2024.
Elle n’impose aucune technologie. Elle vous demande de décider selon vos risques, de l’écrire, de l’appliquer et de le prouver. Le certificat dit à vos clients qu’un auditeur indépendant l’a vérifié.
Ce que demande la norme
La norme a deux parties. Les chapitres 4 à 10 décrivent le système de management lui-même ; vous devez tous les respecter. L’annexe A liste des mesures parmi lesquelles vous choisissez, selon votre analyse de risques.
Chapitres 4 à 10 obligatoires
Annexe A 93 mesures
Vous décidez quelles mesures s'appliquent à vous et le justifiez dans la déclaration d'applicabilité.
Les documents utiles à une PME
L’auditeur cherche des informations documentées qui correspondent à ce qui se passe vraiment. Pour une PME ou une ETI, l’essentiel tient en peu de documents :
- Le périmètre du système de management : activités, sites et systèmes couverts.
- La politique de sécurité de l’information, approuvée par la direction.
- La méthode d’analyse de risques, ses résultats, et le plan de traitement des risques.
- La déclaration d’applicabilité : chaque mesure de l’annexe A, appliquée ou non, avec la raison.
- Les objectifs de sécurité et leur mesure.
- Les enregistrements : formations faites, revues d’accès, tests de sauvegarde, incidents, contrôles des fournisseurs.
- Le rapport d’audit interne et le compte rendu de revue de direction.
Écrivez ce qui est vrai. Une politique copiée d’un modèle que personne n’applique est le plus sûr moyen d’échouer à l’audit. Chaque règle décrit ce que vous faites aujourd’hui, ou une décision avec un responsable et une date.
Le déroulé de la certification
L’ISO ne certifie personne. Ce sont des organismes de certification indépendants, à choisir accrédités par l’instance nationale (le Cofrac en France).
- AuditÉtape 1L'auditeur revoit vos documents et vérifie que vous êtes prêt.
- AuditÉtape 2L'auditeur vérifie, preuves à l'appui, que le système fonctionne.
- Chaque annéeSurveillanceDes audits plus courts pour vérifier que le système tourne toujours.
- Année 3RenouvellementUn audit de renouvellement pour un nouveau cycle de trois ans.
Les écarts sont normaux. Une non-conformité majeure doit être corrigée avant la délivrance du certificat ; les mineures rejoignent votre plan d’actions correctives.
ISO 27001, NIS2 et le RGPD
Les trois se recoupent sans se remplacer. ISO 27001 est une norme volontaire. NIS2 est une loi européenne pour les organisations des secteurs listés, avec une formation de la direction, des délais de notification et un enregistrement que la norme ne couvre pas à elle seule. Le RGPD exige une sécurité adaptée au risque pour les données personnelles (article 32) et la notification des violations ; un système ISO 27001 aide à organiser ce travail, sans vous rendre conforme au RGPD à lui seul.
Est-ce le bon moment pour vous ?
ISO 27001 vaut l’effort quand vos clients ou les appels d’offres la demandent, ou quand vous répondez sans cesse aux mêmes questionnaires de sécurité. Si un seul client la demande une fois, un questionnaire bien rempli et un plan de sécurité court peuvent suffire pour l’instant. Demandez au client ce qu’il accepte : un certificat, une feuille de route vers la certification, ou la preuve de mesures précises.
Se préparer à ISO 27001 : qui fait quoi
Ce que fait QoBot
- Propose un périmètre adapté à la demande du client, et explique les choix.
- Mène l'analyse de risques avec vous et prépare la déclaration d'applicabilité.
- Rédige les politiques et procédures à partir de ce qui est vrai chez vous aujourd'hui.
- Liste les preuves que l'auditeur demandera, et où se trouve chacune.
- Prépare l'audit interne et la revue de direction.
Ce que fait votre équipe
- La direction approuve le périmètre, la politique et les décisions sur les risques.
- Votre équipe applique les mesures avec des guides pas à pas.
- Vous tenez les enregistrements : revues d'accès, tests de sauvegarde, formations.
- Vous choisissez l'organisme de certification et passez les audits.
Périmètre proposé : la plateforme de gestion des transports et le site de Lyon. 38 des mesures retenues sont en partie en place. Cette semaine :
- Claire (DG adjointe): approuver le périmètre et la politique de sécurité · ~20 minVotre accord
- Tom (informatique): exporter les comptes administrateurs de Microsoft 365 · guide prêt · ~15 minÀ vous
Questions fréquentes
ISO 27001 est-elle obligatoire ?
Pas par la loi, en général. Elle devient une exigence quand un client, un appel d'offres ou un partenaire l'inscrit au contrat. NIS2 et le RGPD demandent des mesures de sécurité appropriées, et ISO 27001 est une façon reconnue de les organiser.
QoBot peut-il nous certifier ?
Non. Seul un organisme de certification accrédité délivre un certificat ISO 27001, après ses propres audits. QoBot vous prépare : les documents, la liste des preuves, la préparation de l'audit interne et un plan que votre équipe peut suivre.
Combien de temps faut-il ?
Tout dépend du périmètre et de l'existant. Comptez en mois plutôt qu'en semaines : l'organisme veut voir le système fonctionner, avec un audit interne et une revue de direction déjà faits, avant l'audit d'étape 2.
Combien coûte la certification ?
Deux postes : les jours d'audit de l'organisme, qui dépendent de vos effectifs et du périmètre, et le temps de votre équipe. Demandez un devis à deux ou trois organismes accrédités, sur le même périmètre.
Quelle différence entre ISO 27001 et ISO 27002 ?
ISO 27001 fixe les exigences sur lesquelles on est certifié. ISO 27002 est un guide qui explique comment mettre en œuvre chaque mesure de l'annexe A. On ne peut pas être certifié ISO 27002.
ISO 27001 couvre-t-elle NIS2 ?
En grande partie : analyse de risques, politiques, incidents, fournisseurs, contrôle des accès. NIS2 ajoute ses propres obligations, comme la formation de la direction, les délais de notification et l'enregistrement auprès de l'autorité. Voir NIS2 en clair.
Sources
- ISO/IEC 27001:2022ISO · systèmes de management de la sécurité de l'information : exigencesTexte officiel
- ISO/IEC 27001:2022/Amd 1:2024ISO · ajouts liés au climat aux chapitres 4.1 et 4.2Texte officiel
- ISO/IEC 27002:2022ISO · guide des mesures de sécurité de l'informationTexte officiel
- CertificationISO · l'ISO élabore les normes, des organismes indépendants certifientPage officielle
- CofracInstance nationale d'accréditation en FrancePage officielle
Cette page explique les règles simplement. Ce n'est pas un conseil juridique : pour un cas limite, demandez à un avocat. Signaler une erreur