Obtenir la certification ISO 27001:2022 : feuille de route pour PME et ETI
L'ISO/IEC 27001 est la norme internationale des systèmes de management de la sécurité de l'information (SMSI). Pour beaucoup de PME, le déclencheur est commercial : un client ou un appel d'offres exige le certificat. Pour d'autres, c'est NIS2, dont un SMSI couvre presque toutes les obligations de gestion des risques. Ce guide explique ce que la norme exige, dans quel ordre travailler, un calendrier réaliste, et comment éviter le système de papier qui s'effondre au premier audit.
Ce qu'est la norme (et ce qu'elle n'est pas)
L'ISO/IEC 27001:2022 est une norme de système de management. Elle n'impose ni marque de pare-feu ni longueur de mot de passe : elle exige d'apprécier ses risques, de décider de leur traitement, d'appliquer les mesures choisies, d'en mesurer le résultat et de s'améliorer. La certification prouve que ce cycle fonctionne, sur un périmètre que vous définissez.
L'édition 2022 a remplacé celle de 2013 ; la période de transition des certificats existants s'est achevée le 31 octobre 2025, tout nouveau projet vise donc l'édition 2022 (avec son amendement de 2024, qui ajoute la prise en compte du changement climatique aux clauses 4.1 et 4.2).
La norme comporte deux parties :
| Partie | Contenu | Nature |
|---|---|---|
| Clauses 4 à 10 | Contexte, leadership, planification, support, fonctionnement, évaluation des performances, amélioration | Exigences obligatoires, aucune exclusion possible |
| Annexe A | 93 mesures de référence | Catalogue auquel on compare son traitement ; exclusions possibles si justifiées |
L'ISO/IEC 27002:2022 donne des recommandations de mise en œuvre pour chaque mesure de l'annexe A, et l'ISO/IEC 27005:2022 des recommandations de gestion des risques. Aucune des deux n'est certifiable seule.
Center: ISMS
- Plan: 4-7 — context, leadership, planning (risk assessment and treatment, objectives), support
- Do: 8 — operational planning, run the risk assessment and treatment plan
- Check: 9 — monitoring and measurement, internal audit, management review
- Act: 10 — continual improvement, nonconformity and corrective action
↻ then back to step 1
Extrait de la fiche « ISO/IEC 27001:2022 and 27002:2022 » · Demander la fiche complète
Annexe A : 93 mesures en quatre thèmes
L'édition 2022 a regroupé les mesures, auparavant réparties en 14 domaines, en quatre thèmes :
| Thème | Section | Nombre de mesures | Exemples |
|---|---|---|---|
| Organisationnel | A.5 | 37 | Politiques, rôles, inventaire, contrôle d'accès, relations fournisseurs, services cloud (A.5.23), gestion des incidents, continuité |
| Humain | A.6 | 8 | Vérification préalable, conditions d'emploi, sensibilisation et formation, télétravail |
| Physique | A.7 | 14 | Périmètres, contrôle des accès physiques, sécurité des équipements, bureau propre, surveillance physique |
| Technologique | A.8 | 34 | Terminaux, accès à privilèges, protection contre les logiciels malveillants, gestion des vulnérabilités, sauvegardes, journalisation, sécurité réseau, développement sécurisé |
Onze mesures sont apparues en 2022, notamment le renseignement sur les menaces (A.5.7), la préparation des TIC à la continuité (A.5.30), la gestion des configurations (A.8.9), la prévention des fuites de données (A.8.12), les activités de surveillance (A.8.16), le filtrage web (A.8.23) et le codage sécurisé (A.8.28). C'est là que les entreprises certifiées sur l'édition 2013 avaient le plus souvent des écarts.
Étape 1 : définir le périmètre
Le périmètre (clause 4.3) est la décision la plus stratégique. Un périmètre étroit (un produit, un site) se certifie plus vite, mais les clients liront le certificat : s'il exclut les systèmes qui les intéressent, il vaut peu commercialement.
Quelques règles pratiques :
- Partir de ce que le client ou le régulateur a besoin de voir couvert.
- Décrire le périmètre en services, sites, équipes et systèmes support, fournisseurs clés traités comme des interfaces.
- Ne pas exclure l'infrastructure partagée dont dépend le service : les auditeurs suivront les dépendances.
Étape 2 : leadership et politique
La clause 5 demande à la direction de démontrer son engagement : approuver une politique de sécurité de l'information, attribuer les rôles, fournir les ressources et participer à la revue de direction. Un SMSI porté par la seule DSI survit rarement à l'étape 2 : nommez un sponsor et un responsable du SMSI qui ait du temps.
Étape 3 : appréciation et traitement des risques
La clause 6.1 est le cœur de la norme. Il faut une méthode documentée et reproductible qui identifie les risques pour la confidentialité, l'intégrité et la disponibilité, leur attribue des propriétaires, et évalue vraisemblance et conséquences au regard de critères d'acceptation. L'ISO 27005 comme EBIOS RM conviennent ; EBIOS RM est la méthode de l'ANSSI, très utilisée en France (voir EBIOS RM en pratique).
Une notation simple, courante en PME :
R = V × I
où R est le niveau de risque (score sans unité de 1 à 16), V la vraisemblance (score de 1 à 4, de rare à quasi certain sur un an) et I l'impact (score de 1 à 4, de négligeable à critique pour l'activité). La formule n'est qu'une convention : l'essentiel est que les échelles soient écrites, appliquées de façon cohérente et reliées à un seuil d'acceptation validé par la direction.
Chaque risque au-dessus du seuil reçoit une décision de traitement : réduire (appliquer des mesures), éviter, transférer (assurance, contrat) ou accepter, avec la validation du propriétaire du risque.
Étape 4 : la déclaration d'applicabilité
La déclaration d'applicabilité (DdA, ou SoA, clause 6.1.3 d) liste les 93 mesures de l'annexe A et indique pour chacune si elle s'applique, pourquoi, et si elle est mise en œuvre. C'est la carte des auditeurs, et le document que les clients demandent souvent.
| Colonne | Contenu |
|---|---|
| Mesure | Référence et intitulé de l'annexe A |
| Applicable | Oui ou non |
| Justification | Risque, exigence légale ou contractuelle qui l'impose, ou raison de l'exclusion |
| État de mise en œuvre | Appliquée, partielle, planifiée |
| Preuve | Où l'auditeur trouvera la preuve (politique, outil, enregistrement) |
Les exclusions sont possibles (une entreprise entièrement à distance peut exclure certaines mesures physiques), mais chacune doit être justifiée de façon crédible.
Extrait de la fiche « ISO/IEC 27001:2022 and 27002:2022 (part 2) » · Demander la fiche complète
Étape 5 : mettre en œuvre et produire des preuves
C'est la phase la plus longue. Chantiers fréquents en PME : MFA et contrôle d'accès, arrivées et départs, inventaire, fournisseurs, sauvegardes et restaurations, journalisation, vulnérabilités, développement sécurisé, incidents et continuité. Le guide d'hygiène de l'ANSSI est un moyen pratique de relever vite le socle technique (notre plan d'hygiène ANSSI).
Les preuves comptent autant que la mise en œuvre : les auditeurs vérifient des enregistrements dans la durée (revues d'accès, restaurations, formations). Automatiser leur collecte est rentable sur trois ans ; voir la conformité as code.
Étape 6 : mesurer, auditer, revoir
Avant l'audit de certification, trois choses doivent avoir eu lieu au moins une fois :
- Surveillance et mesure (clause 9.1) : des indicateurs définis et réellement mesurés
- Audit interne (clause 9.2) : couvrant tout le SMSI, réalisé par une personne indépendante de l'activité auditée (un collaborateur d'une autre équipe ou un auditeur externe)
- Revue de direction (clause 9.3) : la direction examine résultats, risques et pistes d'amélioration, et consigne ses décisions
Les non-conformités relevées sont traitées par des actions correctives (clause 10.2).
Étape 7 : l'audit de certification
La certification est délivrée par un organisme certificateur, de préférence accrédité (en France par le COFRAC, ou par un autre organisme d'accréditation signataire de l'accord multilatéral de l'IAF).
| Étape | Objet | Résultat type |
|---|---|---|
| Étape 1 | Revue documentaire et état de préparation : périmètre, politique, méthode de risques, DdA, audit interne, revue de direction | Points à corriger avant l'étape 2 |
| Étape 2 | Efficacité : entretiens, échantillonnage d'enregistrements, vérification que les mesures fonctionnent comme décrit | Recommandation de certification, éventuellement avec non-conformités mineures ou majeures |
| Surveillance (années 1 et 2) | Audits partiels vérifiant que le SMSI est entretenu | Maintien du certificat |
| Renouvellement (année 3) | Audit complet | Nouveau cycle de trois ans |
Une non-conformité majeure doit être levée avant l'émission du certificat. La durée d'audit est fixée par l'organisme selon le périmètre et l'effectif, conformément aux règles de l'ISO/IEC 27006.
Un calendrier réaliste
Il n'existe pas de durée officielle. Pour une PME qui a déjà quelques pratiques de sécurité mais pas de SMSI, les projets durent couramment de six à douze mois entre le lancement et l'étape 2. Le plan indicatif ci-dessous suppose un responsable interne dédié et le soutien de la direction :
| Mois | Travaux |
|---|---|
| 1 | Périmètre, sponsor, analyse d'écarts sur les clauses et l'annexe A |
| 2-3 | Méthode de risques, appréciation, plan de traitement, première DdA, politiques principales |
| 3-7 | Mise en œuvre des mesures, collecte des preuves, sensibilisation |
| 7-8 | Indicateurs mesurés, audit interne, revue de direction, actions correctives |
| 8-9 | Étape 1, corrections, étape 2 |
Ce qui ralentit les projets est rarement la documentation : c'est la remédiation technique et le temps d'accumuler des enregistrements.
Recouvrement avec NIS2
L'article 21 de NIS2 impose dix mesures de gestion des risques. Un SMSI les couvre presque toutes : analyse de risques et politiques (clause 6, A.5.1), gestion des incidents (A.5.24 à A.5.28), continuité (A.5.29, A.5.30), chaîne d'approvisionnement (A.5.19 à A.5.22), gestion des vulnérabilités (A.8.8), évaluation de l'efficacité (clause 9), cryptographie (A.8.24), contrôle d'accès (A.5.15 à A.5.18) et MFA (A.8.5). Ce que l'ISO 27001 n'apporte pas seule : les délais de notification de 24 h, 72 h et un mois de l'article 23, et la responsabilité personnelle de l'organe de direction prévue à l'article 20. Notre guide NIS2 donne la correspondance complète.
| Requirement | ISO 27001:2022 | NIST CSF 2.0 |
|---|---|---|
| (a) Risk analysis and security policies | 6.1, 5.2; A.5.1 | GV.RM, GV.PO, ID.RA |
| (b) Incident handling | A.5.24-5.28, 6.8 | DE.AE, RS |
| (c) Continuity, backup, disaster recovery, crisis | A.5.29, 5.30, 8.13, 8.14 | RC, PR.DS-11 |
| (d) Supply chain security | A.5.19-5.23 | GV.SC |
| (e) Secure acquisition, development, vulnerability handling | A.8.8, 8.25-8.29 | ID.RA, PR.PS |
| (f) Assessing effectiveness of measures | 9.1, 9.2, 9.3; A.5.35 | ID.IM |
| (g) Cyber hygiene and training | A.6.3, 8.1, 8.7, 8.9 | PR.AT, PR.PS |
| (h) Cryptography and encryption | A.8.24 | PR.DS |
| (i) HR security, access control, asset management | A.6.1-6.5, 5.9-5.18 | PR.AA, ID.AM |
| (j) MFA, secured voice, video, text and emergency communications | A.8.5, 5.14 | PR.AA-03 |
Extrait de la fiche « ISO/IEC 27001:2022 and 27002:2022 (part 2) » · Demander la fiche complète
Signaux d'alerte dans un projet de certification
- Un consultant qui livre un pack documentaire « clé en main » en quelques semaines : les documents ne décriront pas votre réalité, et l'étape 2 le montrera.
- Un périmètre choisi uniquement parce qu'il est facile à certifier.
- Une appréciation des risques faite une fois dans un tableur et jamais revue.
- Un prestataire qui propose à la fois le conseil et la certification sur le même périmètre : les règles d'accréditation interdisent à un organisme de certifier un système qu'il a aidé à construire.
Notre accompagnement
Tadata accompagne la préparation à l'ISO 27001 : analyse d'écarts, définition du périmètre, appréciation des risques (ISO 27005 ou EBIOS RM), déclaration d'applicabilité, et remédiation technique des mesures cloud et DevSecOps. Nous ne certifions pas : cela reste le rôle d'un organisme accrédité. Voir notre page cybersécurité et les fiches ISO 27001 de notre bibliothèque de fiches.