Qu’est-ce que l’ISO 27001 ? Définition et certification

Ce que signifie concrètement la norme ISO 27001

La norme ISO/IEC 27001 est la référence internationale en matière de systèmes de management de la sécurité de l’information (SMSI). Elle définit la manière dont une organisation planifie, met en œuvre, surveille et améliore systématiquement la sécurité de l’information. Cette norme s’appuie sur le cycle Planifier-Déployer-Contrôler-Améliorer (PDCA) et exige une approche basée sur les risques. Elle constitue la norme la plus largement adoptée au monde pour les SMSI et est largement répandue dans de nombreux secteurs.

La version actuelle de la norme ISO/IEC 27001:2022 a profondément remanié l’annexe A. Les mesures de contrôle sont désormais organisées en quatre domaines thématiques : les contrôles organisationnels, humains, physiques et technologiques. L’annexe A comprend au total 93 contrôles. La période de transition pour les certificats délivrés selon la version précédente, ISO/IEC 27001:2013, s’est achevée le 31 octobre 2025. Aujourd’hui, toute organisation certifiée ou souhaitant obtenir une nouvelle certification doit se conformer à la version 2022.

Ce que le certificat atteste vraiment

Le certificat ISO 27001 est un certificat de système de management. Il atteste qu’une organisation a mis en place un SMSI (Système de Management de la Sécurité de l’Information) conforme aux exigences de la norme et audité par un organisme indépendant et accrédité. Ce qui est évalué, c’est la maturité des processus : une analyse des risques a-t-elle été réalisée ? Les mesures définies sont-elles efficaces et le système est-il surveillé régulièrement ?

En revanche, le certificat ne garantit pas une invulnérabilité technique. Une entreprise certifiée peut tout de même être victime d’une attaque. La norme exige une gestion systématique des risques, et non un ensemble figé de mesures techniques spécifiques. Sécurité via un SMSI et sécurité via des listes de contrôle ne sont pas équivalentes : un audit réalisé ne saurait se substituer à un test d’intrusion (pentest).

En pratique, cette distinction se traduit souvent par des écarts entre les attentes et la réalité. Une entreprise certifiée peut être touchée par une faille zero-day ou devenir la cible d’une attaque par ingénierie sociale. À l’inverse, une configuration parfaite d’un pare-feu ne protège que peu si aucune analyse des risques documentée ni de responsabilités claires n’ont été établies.

Le parcours vers la certification

La certification s’effectue en deux étapes. L’audit de niveau 1 vérifie la documentation : tous les éléments du SMSI (Système de Management de la Sécurité de l’Information) sont-ils décrits de manière exhaustive et alignés sur les exigences de la norme ? L’audit de niveau 2 évalue quant à lui la mise en œuvre sur site, avec des contrôles par échantillonnage des processus et des preuves documentaires.

Une fois l’audit réussi, l’organisme certificateur délivre le certificat, valable trois ans. Pendant cette période, des audits de surveillance annuels sont réalisés pour garantir que le SMSI continue de répondre aux exigences requises. Au terme des trois ans, une recertification est nécessaire, relançant ainsi le cycle.

Différenciation avec des concepts apparentés

Dans les pays germanophones, la norme ISO 27001 entretient deux liens importants. Le premier est le BSI IT-Grundschutz. Il s’agit de la méthode allemande pour mettre en place un SGSI (Système de Management de la Sécurité de l’Information) et est publiée par l’Office fédéral allemand de la sécurité des technologies de l’information (BSI). Cette approche est compatible avec l’ISO 27001 et souvent plus détaillée sur de nombreux points. Une certification combinée est possible : une certification ISO 27001 basée sur une analyse IT-Grundschutz. Pour ceux qui recherchent des exigences très précises, l’IT-Grundschutz offre souvent une voie plus directe.

Le second lien concerne la directive NIS2. Cette directive impose aux entreprises concernées une gestion des risques ainsi que des preuves de son efficacité. L’ISO 27001 facilite la démonstration d’une gestion des risques fonctionnelle. Cependant, la norme ne remplace pas la conformité légale. Les entreprises soumises à la NIS2 doivent respecter les exigences spécifiques de la loi nationale de transposition. La certification constitue un élément de preuve, mais ne garantit pas automatiquement la conformité.

Pourquoi les entreprises visent la certification

Un moteur puissant dans la pratique est constitué par les exigences des chaînes d’approvisionnement. Les grands clients exigent de plus en plus le certificat ISO 27001 de leurs fournisseurs, généralement comme preuve dans les appels d’offres et les audits de fournisseurs. Les entreprises qui ne peuvent pas présenter ce certificat perdent des contrats ou se voient proposer des conditions moins avantageuses. Cet effet B2B se répercute profondément dans toute la chaîne de valeur.

Pour les responsables informatiques et les RSSI, ce certificat représente à la fois une protection et un levier stratégique. Il impose une analyse des risques documentée, des responsabilités claires et un processus d’amélioration traçable. Parallèlement, il ouvre des portes lors des appels d’offres et dans l’acquisition de nouveaux clients. Les entreprises qui l’utilisent comme outil de pilotage opérationnel bénéficient d’un cadre pour une sécurité vérifiable.

Foire aux questions

Chaque question est verrouillée. Un clic déverrouille la réponse.

Qu’est-ce que la norme ISO/IEC 27001:2022 ?

L’ISO/IEC 27001:2022 est la version actuelle de la norme. Elle révisé l’annexe A et restructure les mesures de contrôle en quatre domaines thématiques, contre 14 chapitres auparavant.

Un certificat ISO/CEI 27001 atteste-t-il de la sécurité ?

Non. Le certificat atteste d’un système de management audité et donc de la maturité des processus. Il ne constitue pas une preuve que les systèmes ne peuvent pas être compromis sur le plan technique.

Comment se déroule une certification ISO 27001 ?

La certification se déroule en deux étapes : l’étape 1 vérifie la documentation, l’étape 2 l’implémentation sur site. Le certificat est valable trois ans, avec des audits de surveillance annuels et une recertification au bout de trois ans.

La directive NIS2 impose-t-elle une certification ISO 27001 ?

Non. La directive NIS2 exige une gestion des risques, mais n’impose pas de norme spécifique. L’ISO 27001 facilite la démonstration d’une telle gestion des risques, mais ne remplace pas la conformité légale au titre de la NIS2.

Quelles sont les différences entre la norme ISO 27001 et la méthode BSI IT-Grundschutz (protection de base IT du BSI) ?

Le BSI IT-Grundschutz constitue la méthode allemande pour mettre en place un système de management de la sécurité de l’information (ISMS) et se révèle plus détaillé sur de nombreux points. Les deux approches sont compatibles. Un certificat ISO 27001 peut être délivré sur la base d’une analyse IT-Grundschutz.

Les choix de la rédaction

À lireQu’est-ce que le CRA ? Obligations pour les produits numériquesÀ lireQu’est-ce que DORA ? Définition, obligations et délais

Plus du réseau MBF Media

MyBusinessFutureLa surveillance de l’IA en Allemagne a maintenant une adresseDigital ChiefsCyber-assurance 2026 : primes doublées, couverture réduite de moitié – le calcul qu’aucun CFO ne veut voir