ISO 27001 : piloter votre SMSI, de la déclaration d'applicabilité à l'audit interne
L'ISO/IEC 27001 est la norme internationale qui définit les exigences d'un système de management de la sécurité de l'information (SMSI). Sa version 2022 s'accompagne d'une annexe A de 93 mesures de sécurité, réparties en quatre thèmes.
Voir ISO 27001 dans CompliKeyPar Alexandre Vivier, ISO 27001 Lead Implementer · Mis à jour le 10 octobre 2026
Le SMSI, en sept chapitres
Les exigences de la norme portent sur le système de management lui-même : comprendre son contexte, apprécier et traiter les risques, piloter, contrôler et s'améliorer.
- 4Contexte de l'organisation et périmètre du SMSI
- 5Leadership et politique de sécurité
- 6Planification : appréciation et traitement des risques
- 7Support : ressources, compétences, documentation
- 8Fonctionnement
- 9Évaluation des performances : audit interne, revue de direction
- 10Amélioration continue
Les 93 mesures de l'annexe A
Organisationnelles · 37 mesures
Politiques, rôles, fournisseurs, gestion des incidents, continuité.
Liées aux personnes · 8 mesures
Vérifications, sensibilisation et formation, télétravail.
Physiques · 14 mesures
Périmètres de sécurité, contrôle d'accès physique, équipements.
Technologiques · 34 mesures
Accès privilégiés, cryptographie, journalisation, réseaux, développement.
Les mesures applicables sont retenues selon l'appréciation des risques. La déclaration d'applicabilité (DdA, ou SoA) justifie chaque inclusion et chaque exclusion : c'est le document central présenté à l'auditeur.
Correspondances avec les autres référentiels
Dans CompliKey, une mesure évaluée pour ISO 27001 peut couvrir des exigences d'autres référentiels ; chaque correspondance est tracée, sans couverture revendiquée par défaut.
| Référentiel | Lien avec ISO 27001 | Page |
|---|---|---|
| NIS2 | Mesures de gestion des risques largement communes | Voir NIS2 |
| CyFun NIS2 | En Belgique, une certification ISO 27001 acceptée par le CCB vaut présomption de conformité | Voir CyFun NIS2 |
| ReCyF NIS2 | Nombreuses mesures communes, mutualisées dans CompliKey | Voir ReCyF NIS2 |
ISO 27001 dans CompliKey
- 1Définir le périmètre du SMSI et activer le référentiel : les mesures déjà évaluées pour un autre référentiel sont reprises.
- 2Auditer sur preuves (chapitre 9.2) : chaque mesure reçoit un score de 0 à 4, les constats sont qualifiés avec le vocabulaire des auditeurs.
- 3Publier la déclaration d'applicabilité, justifiée et versionnée, et exporter le rapport d'audit en PDF pour préparer la certification.
Questions fréquentes sur ISO 27001
CompliKey délivre-t-il la certification ISO 27001 ?
Non. CompliKey vous aide à construire et piloter votre SMSI, à réaliser votre audit interne et à produire votre déclaration d'applicabilité ; la certification est délivrée par un organisme accrédité.
Faut-il appliquer les 93 mesures de l'annexe A ?
Non. Les mesures sont retenues selon votre appréciation des risques ; chaque inclusion et chaque exclusion est justifiée dans la déclaration d'applicabilité.
ISO 27001 aide-t-elle pour NIS2 ?
Oui. Les mesures se recoupent largement, et en Belgique une certification ISO 27001 dont le périmètre et la déclaration d'applicabilité sont acceptés par le CCB donne une présomption de conformité à la loi NIS2.
Et ISO 27701 ?
L'ISO 27701 étend le management de la sécurité à la protection de la vie privée. Elle est disponible dans l'offre Advanced, avec ISO 27001.
Voir ISO 27001 dans CompliKey
Une démo de la déclaration d'applicabilité et de l'audit interne, sur un périmètre de démonstration.