ISO/IEC 27001 : la norme certifiable pour la sécurité de l'information

ISO/IEC 27001:2022 suit la structure de base harmonisée des normes ISO de systèmes de management (High Level Structure). Les exigences obligatoires figurent dans les chapitres 4 à 10 : contexte de l'organisme (4), leadership (5), planification (6), support (7), fonctionnement (8), évaluation des performances (9) et amélioration (10). Ensemble, ils reproduisent le cycle PDCA – de la compréhension de l'environnement à l'audit interne, à la revue de direction et à l'amélioration continue, en passant par l'appréciation des risques et la mise en œuvre. Grâce à cette structure commune, le SMSI peut être intégré à d'autres systèmes de management comme ISO 9001.

L'Annexe A contient 93 mesures de référence réparties en quatre thèmes : mesures organisationnelles (A.5, 37), mesures liées aux personnes (A.6, 8), mesures physiques (A.7, 14) et mesures technologiques (A.8, 34). La norme complémentaire ISO/IEC 27002:2022 fournit les recommandations de mise en œuvre. La sélection est fondée sur les risques : chaque mesure est documentée dans la déclaration d'applicabilité comme applicable ou – avec justification – comme exclue. Depuis la fin de la période de transition le 31 octobre 2025, seuls les certificats délivrés selon l'édition :2022 sont valables.

La certification initiale se déroule en deux étapes : lors de l'audit Stage 1, l'organisme de certification examine la documentation du SMSI et la maturité pour la certification (notamment le périmètre, l'appréciation des risques et la déclaration d'applicabilité) ; lors de l'audit Stage 2, il vérifie la mise en œuvre effective sur le terrain – avec des entretiens, des visites de sites et des échantillonnages. Le certificat est valable trois ans ; des audits de surveillance annuels ont lieu les deux années suivantes, puis un audit de renouvellement avant la fin du cycle. Les exigences applicables aux organismes de certification accrédités sont régies par ISO/IEC 17021-1 et ISO/IEC 27006-1:2024 ; en Allemagne, la DAkkS est l'organisme d'accréditation compétent.

Un SMSI certifié est la preuve usuelle d'un management systématique de la sécurité. Pour la directive NIS2 (UE) 2022/2555, l'ENISA a mis en correspondance, dans sa Technical Implementation Guidance (06/2025), les mesures de gestion des risques prévues à l'Art. 21(2) avec, entre autres, ISO/IEC 27001:2022 – un certificat ne remplace pas automatiquement la conformité NIS2, mais il couvre structurellement une grande partie des mesures exigées. Le catalogue d'évaluation TISAX de l'industrie automobile, le VDA ISA, est aligné sur ISO/IEC 27001:2022 depuis la version 6 ; le label TISAX fait l'objet d'une évaluation distincte, mais un SMSI existant raccourcit nettement la préparation. Dans les audits clients et les appels d'offres, le certificat réduit les justificatifs individuels et les questionnaires récurrents.

La mise en place commence par une analyse d'écarts par rapport aux chapitres 4 à 10 et à l'Annexe A, ainsi que par la définition du périmètre. Viennent ensuite l'appréciation et le traitement des risques (chapitre 6), dont découle la déclaration d'applicabilité (Statement of Applicability, SoA). Les politiques, processus et mesures sont ensuite mis en œuvre et ancrés dans l'exploitation ; avant l'audit de certification, les organismes de certification attendent en règle générale au moins un audit interne complet et une revue de direction. La durée dépend de la taille, du périmètre et du niveau de maturité de l'organisation – de quelques mois à plus d'un an.

ISO/IEC 27001:2022/Amd 1:2024 a été publié en février 2024. La modification est mineure mais contraignante : selon le chapitre 4.1, l'organisation doit déterminer si le changement climatique est un enjeu pertinent pour son SMSI ; au chapitre 4.2, une nouvelle note précise que les parties intéressées peuvent avoir des exigences liées au climat. Cela n'implique ni nouvelles mesures ni nouveau certificat – les auditeurs attendent toutefois une évaluation documentée et motivée. Aucune édition ultérieure de la norme n'est annoncée à ce jour ; ISO/IEC 27001:2022 reste l'édition en vigueur (état : juillet 2026).