ISO 27001:2022 : exigences du SMSI, nouveautés et certification
De la connaissance à l’action – découvrez Timly maintenant!
La norme ISO 27001:2022 fixe les exigences d’un système de management de la sécurité de l’information (SMSI) et sert de référence à toute certification ISO 27001 délivrée aujourd’hui. Structure de la troisième édition, changements par rapport à 2013, étapes pour obtenir le certificat, preuves d’inventaire attendues par l’auditeur : les sections suivantes répondent aux questions des DSI, RSSI et dirigeants qui préparent une première certification ou un renouvellement. Sur l’inventaire, un logiciel de gestion de parc comme Timly fournit une partie de ces preuves.
Qu’est-ce que la norme ISO/IEC 27001:2022 ?
Un système de management basé sur les risques
Le SMSI est un ensemble de règles, de processus, de rôles et de mesures pilotés par la direction. Son but est de préserver la confidentialité, l’intégrité et la disponibilité des informations en traitant les risques de façon proportionnée. ISO 27001:2022 n’impose aucune méthode d’analyse des risques ; en France, beaucoup d’entreprises retiennent EBIOS Risk Manager, la méthode publiée par l’ANSSI. L’édition 2005 imposait le cycle PDCA (planifier, déployer, contrôler, agir) ; depuis 2013, la clause sur l’amélioration continue en garde la logique sans imposer de modèle.
De la BS 7799 à la troisième édition
La norme trouve son origine dans la BS 7799, un référentiel britannique publié par le BSI dans les années 1990. L’ISO l’a reprise en 2005 sous le nom ISO/IEC 27001, puis l’a révisée en 2013 et en 2022. En Europe, chaque édition est aussi adoptée sous une référence EN : les certificats français mentionnent ainsi NF EN ISO/IEC 27001:2017 pour l’édition 2013, et NF EN ISO/IEC 27001:2023 pour ISO/IEC 27001:2022. Le contenu est identique.
Ce que contient la norme : clauses 4 à 10 et Annexe A
ISO 27001:2022 se lit en deux parties : les clauses 4 à 10, obligatoires sans exception, et l’Annexe A, un catalogue dans lequel l’entreprise choisit les mesures qui traitent ses risques.
Les exigences du SMSI (clauses 4 à 10)
| Clause | Ce que l’auditeur vérifie |
|---|---|
| 4. Contexte | Enjeux internes et externes, parties intéressées, périmètre du SMSI |
| 5. Leadership | Engagement de la direction, politique de sécurité, rôles et responsabilités |
| 6. Planification | Appréciation et traitement des risques, objectifs de sécurité, planification des modifications |
| 7. Support | Ressources, compétences, sensibilisation, communication, informations documentées |
| 8. Fonctionnement | Application du plan de traitement des risques, maîtrise des prestations externes |
| 9. Évaluation des performances | Indicateurs, audit interne, revue de direction |
| 10. Amélioration | Non-conformités, actions correctives, amélioration continue |
La clause 6.1.3 d’ISO 27001:2022 impose un document charnière, la Déclaration d’applicabilité (DdA, ou SoA pour Statement of Applicability). Elle recense les mesures jugées nécessaires, justifie leur inclusion ou leur exclusion et indique si elles sont déjà en place. C’est souvent la première pièce que l’auditeur ouvre.
L’Annexe A : 93 mesures réparties en quatre thèmes
| Thème | Chapitre | Nombre de mesures | Exemples |
|---|---|---|---|
| Organisationnel | A.5 | 37 | Politiques, inventaire des actifs, fournisseurs, gestion des incidents |
| Humain | A.6 | 8 | Sélection des candidats, sensibilisation, télétravail |
| Physique | A.7 | 14 | Zones sécurisées, matériel hors des locaux, mise au rebut |
| Technologique | A.8 | 34 | Terminaux, accès privilégiés, sauvegarde, journalisation, chiffrement |
Le détail des mesures de l’Annexe A d’ISO 27001:2022 et les conseils d’application figurent dans ISO/IEC 27002:2022, un guide qui ne donne pas lieu à certification. Ce guide associe à chaque mesure cinq attributs (type de mesure, propriétés de sécurité, concepts de cybersécurité, capacités opérationnelles, domaines de sécurité) utiles pour rapprocher le catalogue d’autres cadres comme le NIST Cybersecurity Framework.
ISO 27001 version 2022 : ce qui a changé par rapport à 2013
La révision reste mesurée pour le cœur du SMSI et beaucoup plus visible dans l’Annexe A.
Des clauses alignées sur la structure harmonisée
Les ajouts portent sur quelques clauses :
- clause 4.2 : préciser quelles exigences des parties intéressées seront traitées par le SMSI ;
- clause 4.4 : identifier les processus nécessaires et leurs interactions ;
- clause 6.3, nouvelle : planifier les modifications apportées au SMSI ;
- clause 8.1 : fixer des critères pour les processus et maîtriser les processus, produits ou services fournis par des prestataires externes ;
- clauses 9.2 et 9.3 : audit interne et revue de direction réorganisés en sous-clauses.
En février 2024, l’amendement ISO/IEC 27001:2022/Amd 1:2024 a ajouté une exigence courte : déterminer si le changement climatique est un enjeu pertinent pour le SMSI (clause 4.1), avec une note équivalente pour les parties intéressées (clause 4.2).
Une Annexe A restructurée
| Critère | Édition 2013 | Édition 2022 |
|---|---|---|
| Nombre de mesures | 114 | 93 |
| Structure | 14 chapitres (A.5 à A.18), 35 objectifs de sécurité | 4 thèmes, sans objectifs de sécurité |
| Mesures nouvelles | 0 | 11 |
Les onze mesures nouvelles traitent du renseignement sur les menaces (5.7), de l’utilisation des services en nuage (5.23), de la préparation des TIC à la continuité d’activité (5.30), de la surveillance de la sécurité physique (7.4), de la gestion de la configuration (8.9), de la suppression des informations (8.10), du masquage des données (8.11), de la prévention des fuites de données (8.12), des activités de surveillance (8.16), du filtrage web (8.23) et du codage sécurisé (8.28). Le total baisse surtout par fusion : 57 anciennes mesures sont regroupées en 24.
Une transition close depuis le 31 octobre 2025
Les entreprises certifiées selon l’édition 2013 disposaient de trois ans, jusqu’au 31 octobre 2025, pour passer à ISO/IEC 27001:2022. Depuis cette date, les certificats fondés sur l’ancienne version ne sont plus valides, et tout audit initial, de surveillance ou de renouvellement se fait sur ISO 27001:2022. Un certificat 2013 non migré à temps impose en principe un nouveau cycle de certification.
Comment obtenir la certification ISO 27001 ?
Les six étapes du projet
- Cadrer le projet et le périmètre : désigner un pilote (souvent le RSSI), obtenir l’engagement écrit de la direction et délimiter sites, activités et systèmes. Le bon périmètre est celui que vos clients attendent de voir certifié, pas seulement le plus simple à auditer.
- Mesurer l’écart : comparer l’existant aux exigences d’ISO 27001:2022, clauses et Annexe A, pour chiffrer le chantier et fixer les priorités.
- Apprécier et traiter les risques : recenser les actifs, évaluer menaces et vulnérabilités, choisir les mesures, puis rédiger la Déclaration d’applicabilité et le plan de traitement validé par les propriétaires des risques.
- Déployer les mesures : politiques, procédures, mesures techniques et sensibilisation, en collectant les preuves dès le premier jour.
- Contrôler avant l’audit : réaliser au moins un audit interne complet et une revue de direction, puis traiter les non-conformités relevées.
- Passer l’audit de certification : il se déroule en deux temps. La première examine la documentation et l’état de préparatio, la seconde vérifie sur le terrain que les mesures sont réellement appliquées.
L’audit est mené par un organisme de certification accrédité, en France, par le Cofrac ou par un autre organisme d’accréditation reconnu au niveau européen.
Durée du projet et cycle de certification
La durée dépend de la maturité de départ, de la taille du périmètre et du temps disponible. Les estimations publiées par les cabinets et organismes du secteur vont le plus souvent de 6 à 18 mois entre le lancement et le certificat. Une fois délivré, le certificat ISO 27001:2022 est valable trois ans, avec un audit de surveillance chaque année et un audit de renouvellement à l’échéance.
L’inventaire des actifs, première preuve attendue pour l’audit
L’appréciation des risques suppose de savoir ce que l’on protège. Plusieurs mesures de l’Annexe A d’ISO 27001:2022 portent directement sur la gestion des actifs, et l’auditeur les contrôle par échantillonnage : il choisit un ordinateur, un départ récent ou un équipement réformé et demande la trace correspondante.
| Mesure | Ce qu’elle demande | Preuve attendue |
|---|---|---|
| 5.9 Inventaire des informations et autres actifs associés | Tenir un inventaire à jour, avec un propriétaire pour chaque actif | Registre exportable, propriétaires nommés |
| 5.10 Utilisation correcte des actifs | Fixer des règles d’usage | Charte informatique acceptée |
| 5.11 Restitution des actifs | Récupérer le matériel au départ d’un collaborateur ou à la fin d’un contrat | Restitutions datées et signées |
| 7.9 Sécurité des actifs hors des locaux | Protéger le matériel utilisé à l’extérieur | Portables et mobiles attribués nominativement |
| 7.14 Mise au rebut ou réutilisation sécurisée | Effacer les données avant réemploi ou destruction | Attestation d’effacement liée au numéro de série |
| 8.1 Terminaux des utilisateurs | Protéger les informations sur postes et mobiles | Parc à jour, rapproché de l’outil de gestion des terminaux |
Un tableur mis à jour deux fois par an résiste mal à ce contrôle des preuves exigées par ISO 27001:2022. Un logiciel de gestion de parc informatique comme Timly centralise ces informations : chaque équipement ou licence dispose d’une fiche reliée à un QR code, l’attribution à un collaborateur ou à un site est historisée et la restitution peut être validée par signature électronique. Les collaborateurs peuvent aussi confirmer eux-mêmes le matériel en leur possession, ce qui accélère les vérifications avant un audit.
Ce type d’outil couvre les actifs physiques et logiciels ; les actifs purement informationnels (bases de données, processus) se documentent plutôt dans le registre des risques, avec un renvoi vers le parc. Pour structurer la démarche, le livre blanc de Timly sur le registre des actifs orienté sécurité propose une feuille de route sur 90 jours.
ISO 27001 et autres référentiels applicables en France
Plusieurs référentiels français ou sectoriels reprennent les exigences d’ISO 27001:2022 : un seul SMSI peut donc servir de base, complété par les exigences propres à chaque cadre.
| Référentiel | Ce dont il s’agit | Lien avec ISO 27001 |
|---|---|---|
| NIS 2 (projet de loi Résilience) | Directive européenne sur la cybersécurité des entités essentielles et importantes | Mesures de gestion des risques largement couvertes par l’Annexe A d’ISO 27001:2022 ; en octobre 2026, la loi de transposition française n’est pas encore promulguée |
| HDS v2 | Certification exigée pour héberger des données de santé à caractère personnel | Reprend l’ensemble des exigences d’ISO 27001:2022 et ajoute des exigences propres à la santé et à la souveraineté des données |
| TISAX | Évaluation de la sécurité de l’information de la filière automobile, gérée par l’association ENX | Fondé sur le catalogue VDA ISA, construit à partir d’ISO 27001 ; délivre des labels, pas un certificat |
| ISO/IEC 27017 et 27018 | Lignes directrices pour la sécurité du cloud et la protection des données personnelles dans le cloud | Complètent un SMSI existant |
Faut-il viser la certification ?
La certification ISO 27001:2022 se justifie quand un tiers la réclame ou la valorise : appels d’offres qui la placent en critère éliminatoire, donneurs d’ordre qui l’exigent de leurs prestataires, hébergement de données de santé, position dans la chaîne d’approvisionnement d’une entité soumise à NIS 2. Le certificat raccourcit alors les questionnaires de sécurité et offre une preuve vérifiable.
Sans pression commerciale ni réglementaire, une petite structure peut suivre ISO 27001:2022 comme cadre de travail et se faire certifier plus tard. Dans les deux cas, le premier chantier est le même : un périmètre clair et un inventaire des actifs fiable, sur lequel reposent l’analyse des risques et une bonne part des preuves.
Foire aux questions
Non. Aucune loi n’impose de manière générale la certification ISO 27001. Elle peut toutefois être exigée par contrat (marchés publics, grands comptes) ou servir de socle à un référentiel obligatoire, comme la certification HDS. NIS 2 impose des mesures de sécurité, pas une certification.
Le budget comprend deux postes. Les honoraires de l’organisme dépendent du nombre de jours d’audit, calculés selon l’effectif et la complexité du périmètre ; certains acteurs du marché citent un ordre de grandeur de 10 000 à 30 000 € pour une PME sur un cycle de trois ans. S’y ajoute le coût du projet (temps interne, accompagnement, outils, formation), souvent plus élevé que l’audit lui-même.
La certification d’une entreprise atteste, après audit par un organisme accrédité, que son SMSI est conforme à ISO/IEC 27001:2022. Les certifications Lead Implementer ou Lead Auditor, proposées par des organismes de formation comme PECB, valident les compétences d’une personne, pas celles de l’entreprise.
Demandez le certificat et contrôlez la version (ISO/IEC 27001:2022 ou NF EN ISO/IEC 27001:2023), le périmètre, les dates de validité et la marque d’accréditation. Faute de registre public unique, vérifiez auprès de l’organisme émetteur : chez AFNOR Certification, seul le certificat électronique consultable en ligne fait foi.
Le texte est payant. L’ISO vend ISO/IEC 27001:2022 en anglais et en français, et AFNOR commercialise la version européenne NF EN ISO/IEC 27001:2023. ISO/IEC 27002:2022, vendue séparément, est très utile pour appliquer les mesures.
