ISO 27001 : construire, piloter et certifier votre SMSI
ISO/IEC 27001 est la norme internationale de référence pour les systèmes de management de la sécurité de l’information (SMSI). Elle sert de socle à NIS 2 comme à DORA. Voici ce qu’exige sa version 2022, comment se déroule la certification, et comment Sentinel-GRC tient votre SMSI à jour entre deux audits.
Mis à jour le · Cyber Threat Consulting
- mesures dans l’annexe A
- 93
- thèmes : organisationnel, humain, physique, technologique
- 4
- cycle de certification, audits de surveillance annuels
- 3 ans
- chapitres d’exigences, de 4 à 10
- 7
Qu’est-ce que la norme ISO 27001 ?
ISO/IEC 27001 spécifie les exigences pour établir, mettre en œuvre, tenir à jour et améliorer en continu un système de management de la sécurité de l’information. Sa version actuelle date de 2022, complétée par un amendement de 2024 qui demande de prendre en compte le changement climatique dans le contexte de l’organisation.
La norme est fondée sur les risques : c’est l’appréciation des risques qui détermine les mesures à appliquer. Elle est certifiable par un organisme accrédité, et s’appuie sur deux normes compagnons : ISO/IEC 27002, guide de mise en œuvre des mesures, et ISO/IEC 27005, guide de gestion des risques.
Les exigences du SMSI : chapitres 4 à 10
Les exigences certifiables suivent la structure commune aux normes de management ISO :
4 — Contexte de l’organisation
Enjeux internes et externes, parties intéressées et leurs attentes, périmètre du SMSI.
5 — Leadership
Engagement de la direction, politique de sécurité, rôles et responsabilités.
6 — Planification
Appréciation et traitement des risques, déclaration d’applicabilité, objectifs de sécurité, planification des modifications.
7 — Support
Ressources, compétences, sensibilisation, communication et informations documentées.
8 — Fonctionnement
Mise en œuvre des processus, de l’appréciation et du traitement des risques.
9 — Évaluation des performances
Surveillance et mesure, audit interne, revue de direction.
10 — Amélioration
Non-conformités, actions correctives et amélioration continue.
Les 93 mesures de l’annexe A
La version 2022 regroupe les mesures de sécurité en quatre thèmes : 37 mesures organisationnelles, 8 mesures relatives aux personnes, 14 mesures physiques et 34 mesures technologiques.
Onze mesures sont nouvelles par rapport à 2013 : renseignement sur les menaces, sécurité de l’utilisation des services en nuage, préparation des TIC pour la continuité d’activité, surveillance de la sécurité physique, gestion des configurations, suppression des informations, masquage des données, prévention de la fuite de données, activités de surveillance, filtrage web et codage sécurisé. La période de transition depuis la version 2013 s’est achevée le 31 octobre 2025.
La déclaration d’applicabilité (SoA)
La déclaration d’applicabilité liste les 93 mesures de l’annexe A, indique pour chacune si elle est retenue ou exclue avec la justification correspondante, et précise son état de mise en œuvre. C’est le document que l’auditeur parcourt en premier : il relie l’appréciation des risques aux mesures effectivement appliquées.
Les étapes de la certification ISO 27001
1Cadrage
Définir le périmètre du SMSI et obtenir l’engagement formel de la direction.
2Appréciation des risques
Identifier, analyser et évaluer les risques, puis décider de leur traitement.
3Mise en œuvre
Déployer les mesures retenues, rédiger la politique et les procédures, produire la SoA.
4Audit interne et revue de direction
Vérifier le fonctionnement du SMSI et corriger les écarts avant l’audit externe.
5Audit de certification
Par un organisme accrédité (par le COFRAC en France), en deux étapes : revue documentaire, puis évaluation sur site de la mise en œuvre.
6Surveillance et renouvellement
Un audit de surveillance chaque année, et un audit de renouvellement tous les trois ans.
ISO 27001, NIS 2 et DORA
Un SMSI ISO 27001 couvre une large part des mesures de l’article 21 de NIS 2 et du cadre de gestion des risques TIC de DORA. Il ne remplace pas leurs obligations propres — notification des incidents aux autorités, registre des prestataires TIC, tests TLPT, responsabilité des dirigeants — mais il en fournit l’ossature. Avec des contrôles partagés entre référentiels, une mesure documentée une fois sert de preuve pour les trois.
Comment Sentinel-GRC pilote votre SMSI
Le cycle complet de la norme, de l’appréciation des risques à l’audit de surveillance.
Programme SMSI
Pilotage du cycle ISO 27001:2022 : phases, jalons et niveau de préparation à l’audit.
Appréciation des risques
Registre ISO 27005, matrice probabilité × impact, plans de traitement, et EBIOS Risk Manager.
Annexe A pré-chargée
Les 93 mesures, avec leur efficacité mesurée et les preuves rattachées.
Déclaration d’applicabilité
SoA générée à partir de vos contrôles, justifications d’exclusion et plan d’action.
Documentation
PSSI et procédures versionnées, circuits de signature, coffre-fort chiffré.
Audits internes
Programme, calendrier, constats, non-conformités et rapport d’audit en PDF.
Revue de direction
Comités, votes, procès-verbaux, décisions et actions suivies.
Portail certificateur
L’organisme certificateur et les auditeurs accèdent aux preuves en lecture seule, filigranées.
Revue des accès
Campagnes de revue des habilitations alignées sur la mesure A.5.18.
Preuves techniques
L’Agent Sentinel vérifie en continu les contrôles de durcissement et rattache chaque écart à sa mesure.
Questions fréquentes
Combien de temps faut-il pour obtenir la certification ISO 27001 ?
Cela dépend du périmètre et de la maturité de départ : la plupart des organisations y consacrent de six mois à plus d’un an. Un outil qui centralise risques, SoA et preuves raccourcit surtout la préparation des audits, interne puis externe.
Quelle différence entre ISO 27001 et ISO 27002 ?
ISO 27001 fixe les exigences certifiables du SMSI et liste les 93 mesures de son annexe A. ISO 27002 n’est pas certifiable : c’est le guide qui explique comment mettre en œuvre chacune de ces mesures.
Qu’est-ce que la déclaration d’applicabilité ?
La SoA (Statement of Applicability) indique, pour chacune des 93 mesures de l’annexe A, si elle est appliquée ou exclue, avec sa justification et son état de mise en œuvre. C’est une pièce obligatoire de la certification.
La certification ISO 27001 est-elle obligatoire ?
Non, elle est volontaire. Elle est cependant souvent exigée par les clients, les appels d’offres et certains référentiels, comme la certification HDS pour l’hébergement de données de santé, qui s’appuie sur ISO 27001.
Un logiciel remplace-t-il le consultant ou l’auditeur ?
Non. Le logiciel structure le SMSI, garde les preuves à jour et fait gagner du temps ; l’auditeur certifie, et le consultant accompagne les choix. Cyber Threat Consulting, éditeur de Sentinel-GRC, propose aussi cet accompagnement.
Textes de référence
Les autres référentiels pilotés par Sentinel-GRC
- EBIOS RM et ISO 27005Les cinq ateliers EBIOS Risk Manager, le registre ISO 27005 et la quantification FAIR.Lire la page
- Conformité NIS2Entités concernées, mesures de l’article 21, notification d’incident et loi Résilience.Lire la page
- Conformité DORARisques TIC, incidents majeurs, tests de résilience et registre des prestataires TIC.Lire la page
- Solution GRCGouvernance, risques et conformité cyber réunis dans une seule plateforme souveraine.Lire la page
Testez Sentinel-GRC sur votre périmètre
En SaaS hébergé en France, ou installé chez vous avec la licence Discovery gratuite.