Aller au contenu principal
OK-GRC

Sécurité de l’information

ISO/IEC 27001:2022 — Systèmes de management de la sécurité de l’information

La norme internationale du système de management de la sécurité de l’information (SMSI), certifiable et reconnue partout.

Démarrer avec ISO 27001Demander une démo

En bref

Type
Norme internationale, certifiable
Éditeur
ISO / IEC
Version
2022 (+ amendement 1:2024)
Certification
Organisme accrédité (COFRAC en France), cycle de 3 ans

123 exigences suivies · 209 mesures communes

Qu’est-ce que ISO 27001 ?

ISO/IEC 27001 définit les exigences d’un système de management de la sécurité de l’information (SMSI) : une organisation qui identifie ses risques, choisit des mesures proportionnées, les met en œuvre, les mesure et les améliore en continu. La version en vigueur date de 2022, complétée par l’amendement 1:2024 sur le changement climatique.

La norme est structurée en deux parties : les articles 4 à 10, qui décrivent le système de management (contexte, leadership, planification, support, fonctionnement, évaluation, amélioration), et l’annexe A, qui liste 93 mesures de sécurité réparties en quatre thèmes : organisationnelles, humaines, physiques et technologiques. Chaque mesure est retenue ou exclue, avec justification, dans la déclaration d’applicabilité (DdA, ou SoA).

Les exigences clés

  1. 1

    Contexte et périmètre du SMSI

    Identifier les enjeux internes et externes, les parties intéressées et leurs attentes, puis définir un périmètre clair (sites, activités, systèmes).

  2. 2

    Engagement de la direction

    La direction fixe la politique de sécurité, attribue les rôles et responsabilités et fournit les ressources nécessaires.

  3. 3

    Appréciation et traitement des risques

    Une méthode documentée pour identifier, analyser et évaluer les risques, puis un plan de traitement validé par les propriétaires des risques.

  4. 4

    Déclaration d’applicabilité

    Pour chacune des 93 mesures de l’annexe A : retenue ou non, justification, état de mise en œuvre.

  5. 5

    Compétences, sensibilisation et informations documentées

    Former et sensibiliser le personnel, maîtriser les documents et enregistrements (versions, approbation, diffusion).

  6. 6

    Audit interne et revue de direction

    Vérifier régulièrement que le SMSI fonctionne, puis en faire le bilan avec la direction pour décider des améliorations.

  7. 7

    Non-conformités et amélioration continue

    Traiter les écarts, analyser leurs causes et suivre l’efficacité des actions correctives.

Synthèse rédigée par OK-GRC. Les textes des normes ISO sont protégés par le droit d’auteur et ne sont pas reproduits.

Comment OK-GRC vous aide

  • Les 93 mesures de l’annexe A et les exigences des articles 4 à 10, reliées à 209 mesures communes OK-GRC avec conseils et exemples de preuves
  • Une déclaration d’applicabilité générée, justifiée (avec l’aide de l’IA) et exportable en PDF ou XLSX
  • Registre des risques (vraisemblance × impact), plan de traitement et acceptation signée des risques résiduels
  • Modèles de politiques prêts à l’emploi (sécurité, contrôle d’accès, sauvegarde, fournisseurs…) avec circuit d’approbation
  • Programme d’audit interne, constats, actions correctives et revue de direction préparée automatiquement
  • Accès dédié pour votre auditeur de certification, en lecture seule, sans siège facturé

Les référentiels voisins

Les mesures que vous mettez en place pour ISO 27001 comptent aussi pour :

Questions fréquentes sur ISO 27001

Combien de temps faut-il pour être certifié ISO 27001 ?

Pour une PME qui part de peu, comptez généralement de 6 à 12 mois : cadrage et analyse de risques, mise en œuvre des mesures, quelques mois de fonctionnement pour produire des preuves, audit interne et revue de direction, puis audit de certification en deux étapes. OK-GRC raccourcit surtout la partie documentaire et le suivi des preuves.

Faut-il appliquer les 93 mesures de l’annexe A ?

Non. Chaque mesure est retenue ou exclue au regard de votre analyse de risques et de vos obligations, avec une justification dans la déclaration d’applicabilité. En pratique, la plupart des organisations en retiennent une large majorité.

OK-GRC délivre-t-il la certification ?

Non. Seul un organisme de certification accrédité peut certifier votre SMSI. OK-GRC vous aide à le construire, à le faire vivre et à présenter vos preuves à l’auditeur.

Contenu informatif à jour en octobre 2026 ; il ne constitue pas un avis juridique. Vérifiez toujours les textes officiels en vigueur.

Prêt à simplifier votre conformité ?

Créez votre espace en quelques minutes. L’assistant vous propose les normes et les priorités adaptées à votre entreprise.

Démarrer l’essai gratuitDemander une démo

14 jours d’essai avec toutes les fonctionnalités Pro · Aucun débit avant la fin de l’essai · Sans engagement