La certification ISO 27001 est la reconnaissance officielle, délivrée par un organisme indépendant accrédité, qu'une organisation a déployé un Système de Management de la Sécurité de l'Information (SMSI) conforme à la norme internationale ISO/IEC 27001:2022. Valable 3 ans sous réserve d'audits de surveillance annuels, elle atteste de votre capacité à protéger la confidentialité, l'intégrité et la disponibilité de vos informations.
Obtenir ce sésame est une démarche structurée qui mobilise toute l'organisation, de la direction générale aux équipes métiers. Avant de vous lancer, encore faut-il comprendre ce que couvre réellement la norme ISO 27001, ce qui a changé avec la version 2022, et comment dérouler le projet jusqu'à l'audit de certification. Définitions, exigences, étapes et outils facilitateurs : voici tout ce qu'il faut savoir.
Qu'est-ce que la norme ISO 27001 ?
La norme ISO 27001 est un standard international reconnu pour la gestion de la sécurité de l'information. Publiée initialement en 2005 par l’ISO (Organisation internationale de normalisation)1 et l'IEC, elle définit les exigences pour établir, mettre en œuvre, maintenir et améliorer en continu un SMSI. La certification, elle, en est la validation par un organisme tiers accrédité.
Son origine remonte à la norme britannique BS 7799, qui a été révisée et adaptée pour devenir une référence mondiale en 2005 par l'ISO. Depuis sa création, la norme a évolué au rythme des cybermenaces et des exigences réglementaires : la version en vigueur est ISO/IEC 27001:2022, troisième édition du texte.
Le cœur de la norme, c'est le SMSI (Système de Management de la Sécurité de l'Information, parfois encore appelé SGSI) : un cadre documenté qui pilote l'ensemble des politiques, processus et contrôles protégeant vos actifs informationnels. Concrètement, la certification ISO 27001 permet aux entreprises (PME comme grands groupes de la finance, de la santé, de l'industrie ou du numérique) de démontrer, preuves à l'appui, leur capacité à protéger leurs données sensibles.
ISO 27001 version 2022 : ce qui change pour votre certification
Depuis le 31 octobre 2025, seule la version 2022 de la norme fait foi : la période de transition depuis ISO 27001:2013 est terminée et les certificats délivrés sur la version 2013 ne sont plus valides. Toute démarche de certification, initiale ou de renouvellement, s'appuie donc sur ISO/IEC 27001:2022 et son Annexe A restructurée.
Annexe A 2022 : 93 contrôles répartis en 4 thèmes de sécurité
L'Annexe A est le catalogue des mesures de sécurité de la norme. La version 2022 a remplacé les 114 contrôles répartis en 14 chapitres (A.5 à A.18) de l'édition 2013 par 93 contrôles regroupés en 4 thèmes, plus lisibles et alignés sur les organisations modernes.
Onze contrôles font leur apparition, reflet des menaces actuelles :
-
renseignement sur les menaces (5.7),
-
sécurité du cloud (5.23),
-
continuité TIC (5.30),
-
prévention des fuites de données (8.12)
-
ou encore codage sécurisé (8.28).
Chaque contrôle retenu devra être justifié dans votre Déclaration d'Applicabilité (nous y reviendrons).
ISO 27002 : le guide d'application des contrôles de l'Annexe A
ISO 27001 dit quoi faire ; ISO 27002 explique comment le faire. Cette norme compagnon, également révisée en 2022, détaille chacun des 93 contrôles de l'Annexe A : objectif, attributs (type de mesure, propriétés de sécurité, capacités opérationnelles) et conseils de mise en œuvre.
ISO 27002 ne donne pas lieu à certification : c'est un guide de bonnes pratiques. En pratique, vos équipes s'y référeront pour dimensionner chaque mesure, tandis que l'auditeur s'appuiera sur ISO 27001 pour évaluer votre conformité. Les deux textes se lisent donc ensemble tout au long du projet.
Quels sont les 4 critères de sécurité de la norme ISO 27001 ?
1. La confidentialité : empêcher tout accès non autorisé à l'information
La confidentialité vise à empêcher tout accès non autorisé à l’information. Seules les personnes habilitées doivent pouvoir consulter ou manipuler les données sensibles, qu’elles soient stockées localement, partagées ou en transit.
Ce principe repose sur plusieurs leviers : la gestion des accès et des identités, la restriction des droits d’accès, ou encore le chiffrement des fichiers et des communications. Par exemple, un accès nominatif aux outils internes, associé à un chiffrement de bout en bout des échanges (via TLS ou VPN), permet de garantir que les données ne peuvent pas être interceptées ou exposées.
2. L'intégralité : garantir des données exactes, cohérentes et non altérées
L'intégrité garantit que l'information reste exacte et cohérente, sans altération intentionnelle ou accidentelle. Elle repose sur des mécanismes de traçabilité et de vérification : journalisation des accès, suivi des modifications, ou usage d'empreintes cryptographiques (hash) pour valider l'intégrité des données. L'auditeur cherchera des preuves que ces mécanismes fonctionnent dans la durée, pas seulement qu'ils existent.
3. La disponibilité : rendre l'information accessible au bon moment
La disponibilité fait référence à l’accessibilité des informations au moment où elles sont requises par les utilisateurs autorisés. Une information utile mais indisponible peut avoir des conséquences opérationnelles fortes, en particulier pour les métiers critiques ou les services en ligne.
Ce critère implique de déployer des architectures résilientes, des procédures de sauvegarde rigoureuses, et des dispositifs de continuité d’activité. Par exemple, un PCA prévoyant une redondance des serveurs sur deux datacenters distincts permet d’assurer le maintien des services en cas de panne majeure ou de cyberattaque paralysant les systèmes.
Intéressé·e par le sujet ? Entre PCA, PRA et mesures de cybersécurité, découvrez comment circonscrire une cyberattaque en moins de 24H !
4. L'authenticité : garantir l'origine des informations et des accès
L’authenticité consiste à s’assurer que l’information provient bien de la source déclarée, et qu’elle n’a pas été falsifiée ou usurpée. Ce principe s’applique aux utilisateurs, aux systèmes, mais aussi aux documents échangés, avec vos partenaires.
Pour cela, des mécanismes robustes d’identification s'imposent : authentification multifacteurs (MFA), signatures électroniques, gestion rigoureuse des certificats numériques. L’intégration d’une solution SSO, associée à un outil de gestion des accès et des identités (IAM), permet enfin de centraliser les contrôles, d’attribuer précisément les droits, et de tracer chaque action réalisée.
Quelles sont les exigences de la norme ISO 27001 ?
Une politique de sécurité de l'information portée par la direction
La première exigence de la norme ISO 27001 est l’élaboration d’une politique de cybersécurité cohérente, soutenue par la direction. Cette politique doit formaliser les objectifs de sécurité, définir les responsabilités de chaque collaborateur et fournir un cadre pour le développement du SGSI. Elle sert de point d’ancrage aux actions opérationnelles : classification de l’information, traitement des incidents, gestion des accès, etc.
Une analyse des risques structurée, véritable socle du SMSI
La norme ISO 27001 impose une analyse rigoureuse des risques liés à la sécurité de l’information. L’entreprise doit identifier les actifs critiques, évaluer les menaces et vulnérabilités, puis mettre en place des mesures pour réduire les risques à un niveau acceptable, validé par la direction.
Parmi les méthodologies couramment utilisées figure notamment la méthode d’analyse des risques EBIOS, aux côtés d’autres outils comme MEHARI ou OCTAVE, selon la nature et la taille de l’organisation. L'essentiel est de conserver une méthode reproductible : l'analyse devra être revue à chaque évolution significative du périmètre.
Des mesures de sécurité alignées sur les 93 contrôles de l'Annexe A
Côté opérationnel, ISO 27001 prévoit la mise en œuvre de mesures organisationnelles et techniques adaptées à chaque risque identifié: segmentation réseau, gestion des correctifs de sécurité, contrôle des périphériques, supervision des journaux système ou encore chiffrement des données sensibles.
C'est ici qu'intervient la Déclaration d'Applicabilité (SoA, Statement of Applicability), document pivot de la certification : elle liste les 93 contrôles de l'Annexe A, indique lesquels s'appliquent à votre périmètre, justifie les exclusions et référence les preuves de mise en œuvre.
Une surveillance continue et des audits internes réguliers
Un SGSI conforme repose sur une surveillance continue et des audits réguliers. Ces audits, réalisés en interne ou par des prestataires externes, servent à vérifier l'efficacité des mesures mises en place, et à détecter les écarts par rapport aux exigences de la norme.
La norme exige aussi des indicateurs mesurables (clause 9) : délais de traitement des incidents, couverture des sauvegardes testées. Des outils de SIEM ou des plateformes GRC automatisent souvent cette surveillance et facilitent la production des preuves attendues lors des audits de surveillance annuels.
Quels sont les objectifs de la certification ISO 27001 ?
Protéger les données sensibles de l'entreprise et de ses clients
L’objectif premier d’ISO 27001 est de garantir la sécurité des données sensibles, qu’elles soient personnelles, contractuelles ou stratégiques. Cela passe par une identification claire des actifs critiques et des contrôles rigoureux sur leur accès et leur traitement. Par exemple, dans une entreprise traitant des données médicales, le chiffrement des bases de données et la limitation des accès par rôle sont des éléments déterminants.
Réduire durablement les risques cyber en entreprise
La norme ISO 27001 permet de limiter l’exposition aux cybermenaces comme le phishing, les malwares, les ransomwares, et même les erreurs humaines. En structurant les processus de sécurité, en définissant des responsabilités claires et en appliquant des contrôles adaptés, elle contribue à réduire la surface d’attaque de l’entreprise.
Cette démarche responsabilise l'ensemble des collaborateurs, sensibilise les équipes aux bonnes pratiques cyber et sécurise les actifs critiques selon leur niveau de sensibilité. Autre bénéfice, moins visible : la discipline documentaire du SMSI accélère la réponse à incident, car les procédures, contacts et journaux sont déjà en place le jour où l'attaque survient.
Assurer une conformité légale et réglementaire
L'obtention de la certification ISO 27001 facilite le respect des réglementations: elle fournit un cadre documenté et vérifiable en cas de contrôle, et ses processus de gestion des incidents et de journalisation aident à tenir les délais de notification imposés.
La certification constitue d'ailleurs un véritable accélérateur pour se conformer aux exigences réglementaires de NIS2, dont le socle de mesures recoupe largement l'Annexe A. Nous détaillons ces correspondances dans notre article dédié ISO 27001, accélérateur de conformité NIS2. C'est enfin un avantage contractuel décisif, notamment lors d'appels d'offres exigeant des garanties précises en matière de sécurité.
Renforcer la confiance envers l'engagement cyber d'une entreprise
Pour les partenaires, clients et investisseurs, la certification ISO 27001 est un signal fort. Elle démontre l'engagement de l'entreprise à protéger ses actifs numériques et à instaurer une gouvernance de la sécurité transparente et pérenne, validée chaque année par un tiers indépendant.
C'est aussi un levier différenciant sur un marché concurrentiel où la cybersécurité devient un critère de sélection : de plus en plus de donneurs d'ordre écartent d'office les prestataires incapables de présenter un certificat ou un plan de certification. Le certificat raccourcit également les questionnaires de sécurité fournisseurs, souvent chronophages pour les équipes.
Comment réussir la certification ISO 27001 ?
Étape 1 : préparer la certification et cadrer le périmètre du SMSI
La préparation commence par la nomination d'un chef de projet dédié et l'implication des parties prenantes : direction générale, DSI, RSSI, responsables métiers et équipe cybersécurité. Cette mobilisation garantit une vision transverse de la sécurité de l'information.
Un état des lieux initial cartographie ensuite les processus existants, les actifs informationnels et les outils de sécurité déployés, puis identifie les écarts par rapport aux exigences de la norme. Ce diagnostic fonde le plan d'action et priorise les mesures correctives. C'est aussi le moment de définir le périmètre du SMSI (entités, sites, activités) : trop large, il alourdit le projet ; trop étroit, il perd sa valeur auprès de vos clients.
Étape 2 : mettre en œuvre le SMSI et rédiger la Déclaration d'Applicabilité (SoA)
Le SMSI se formalise à travers des politiques, des procédures, des registres d'actifs et des indicateurs de performance clairs. Il repose sur une logique d'amélioration continue (cycle PDCA : Plan, Do, Check, Act) et s'applique à l'ensemble des processus, systèmes et collaborateurs concernés. Chaque processus critique (gestion des incidents, classification des données, gestion des accès, sécurité physique) est encadré par une documentation adaptée.
Cette étape produit le document le plus attendu par l'auditeur : la Déclaration d'Applicabilité (SoA), qui trace la correspondance entre vos risques, les 93 contrôles de l'Annexe A retenus ou exclus, et les preuves associées. Tenez-la à jour dès le départ : la reconstituer a posteriori est l'une des premières causes de retard des projets.
L'outillage joue également un rôle clé : adopter une solution comme LockPass pour gérer mots de passe et accès de manière sécurisée assure la traçabilité et le respect des bonnes pratiques en matière de contrôle des identités, avec des preuves exportables pour l'audit.
Étape 3 : conduire les audits internes et la revue de direction
Avant de solliciter l'audit de certification, il est impératif d'évaluer la maturité du SMSI par des audits internes. Ceux-ci vérifient l'efficacité des dispositifs en place, détectent d'éventuelles non-conformités et alimentent les plans d'amélioration. La revue de direction, exigée par la norme, valide ensuite formellement les résultats, les ressources et les orientations du SMSI.
Pour structurer l'évaluation, utilisez une checklist d'audit interne fondée sur les 93 contrôles de l'Annexe A d'ISO/IEC 27001:2022 (organisationnels, personnes, physiques, technologiques). Un tableur ou une plateforme GRC permet de formaliser les écarts identifiés et de suivre les actions correctives engagées.
Documentez et conservez tous les résultats : ils constituent les preuves de conformité exigées lors de l'évaluation officielle. Cette étape sert aussi de répétition générale : elle confronte les équipes aux questions types d'un auditeur et vérifie que les processus sont compris et appliqués sur le terrain.
Étape 4 : passer l'audit de certification
L'audit de certification est réalisé par un organisme indépendant accrédité (AFNOR3, Bureau Veritas4…) Il s'agit d'une évaluation, reposant sur l’examen documentaire du SGSI, des entretiens avec les équipes, et des vérifications de l’application concrète des mesures de cybersécurité.
Si les exigences sont satisfaites (après levée des éventuelles non-conformités), l'entreprise obtient la certification ISO 27001 pour trois ans. Des audits de surveillance annuels confirment ensuite la bonne application continue du système, avant un audit de renouvellement complet en fin de cycle.
Quels outils à mettre en place pour réussir la certification ISO 27001 ?
LockPass : sécuriser la gestion des identités, des accès et des mots de passe
LockPass est un gestionnaire de mots de passe professionnel conçu pour renforcer la sécurité des accès aux systèmes critiques. Il centralise les identifiants dans un coffre-fort chiffré et permet une gestion fine des accès par rôle, avec traçabilité de chaque action sur les comptes sensibles.
Il répond ainsi directement aux contrôles de l'Annexe A sur la gestion des identités et des accès (5.15 à 5.18 : contrôle d'accès, gestion des identités, informations d'authentification, droits d'accès) et sur l'authentification sécurisée (8.2 à 8.5 : droits à privilèges, restriction d'accès à l'information, authentification). Revues de comptes et politiques de mots de passe deviennent démontrables en quelques clics.
LockFiles : protéger, sauvegarder et archiver les fichiers sensibles
LockFiles est un coffre-fort numérique dédié à la protection des fichiers sensibles : chaque document stocké est chiffré, protégé contre les accès non autorisés et les risques de perte ou de fuite, tout au long de son cycle de vie.
La solution soutient notamment le contrôle 8.13 (sauvegarde des informations) et les exigences de disponibilité et de continuité : conservation sécurisée des documents critiques, restauration maîtrisée, hébergement souverain. De quoi garantir la confidentialité, l'intégrité et la disponibilité des actifs informationnels exigées par la norme.
LockTransfer : chiffrer les échanges et intégrité des fichiers transmis
LockTransfer assure la protection des données lors des transferts internes ou externes : chaque fichier échangé bénéficie d'un chiffrement de bout en bout, d'une traçabilité complète et d'une vérification d'intégrité empêchant toute altération en transit.
Avec le chiffrement AES-256 appliqué à l'ensemble de la suite, LockTransfer contribue au contrôle 8.24 (utilisation de la cryptographie) et aux exigences de transfert sécurisé de l'information. Il sécurise les flux avec partenaires et prestataires en fournissant la preuve de livraison et d'authenticité des fichiers transmis.
✏️ À noter : aucun outil ne « certifie » à votre place. L'organisme évalue votre système de management dans son ensemble. Les solutions techniques servent à appliquer les contrôles de façon fiable et à en produire les preuves.
Sources :
1 https://www.iso.org/fr/home.html
2 https://www.iso.org/obp/ui/fr/#iso:std:iso-iec:27001:ed-3:v1:fr
3 https://certification.afnor.org/
4 https://www.bureauveritas.fr/
.png?width=700&name=Related%20content%20-%20NIS2,%20DORA,%20CRA%20_%20guide%20des%20nouvelles%20r%C3%A9glementations%20cyber%20(1).png)
