ISO 27001 : la norme expliquée (version 2022 et amendement 2024)

ISO 27001 (ISO/IEC 27001) est la norme internationale qui fixe les exigences d'un système de management de la sécurité de l'information (SMSI) : un cadre pour identifier les risques qui pèsent sur l'information, choisir les mesures qui les traitent, puis prouver que ces mesures vivent dans le temps. La version en vigueur est l'ISO/IEC 27001:2022, amendée en février 2024.

Pour un DPO, la norme arrive souvent par la petite porte : un questionnaire sécurité d'un grand compte qui demande « êtes-vous certifié ISO 27001 ? », un appel d'offres public, un RSSI qui lance un projet de SMSI et cherche qui tient le registre. Ce guide pose les bases : ce que dit la norme, comment elle est construite, ce qu'elle impose (et ce qu'elle n'impose pas), comment se passe la certification, et comment elle s'articule avec le RGPD que vous pilotez déjà.

Mis à jour le 12 octobre 2026.

Qu'est-ce que la norme ISO 27001 ?

ISO/IEC 27001 est une norme de système de management, publiée conjointement par l'ISO et la Commission électrotechnique internationale (IEC). Elle ne décrit pas une liste d'outils à acheter : elle décrit une organisation capable de gérer ses risques de sécurité de l'information de manière documentée, mesurée et améliorée en continu.

Ce que la norme exige

Le cœur de la norme tient en une logique de pilotage par les risques. L'organisation définit le périmètre de son SMSI, apprécie les risques qui pèsent sur la confidentialité, l'intégrité et la disponibilité de l'information, décide comment les traiter, puis vérifie que le dispositif fonctionne. Les exigences sont rédigées en « doit » (shall) : ce sont elles qu'un auditeur de certification contrôle.

Ce qu'elle n'est pas

• Pas une loi : aucun texte français n'impose ISO 27001 en tant que telle (voir plus bas les exigences indirectes).
• Pas un guide technique : la manière de mettre en œuvre chaque mesure est détaillée dans ISO/IEC 27002, pas dans 27001.
• Pas une certification de produit : on certifie le système de management d'un périmètre d'organisation, pas un logiciel ni un service isolé.
• Pas une certification RGPD : elle ne fait pas partie des mécanismes de certification de l'article 42 du RGPD.

Historique de la norme : de 2005 à l'amendement 2024

La norme a connu trois éditions et un amendement. La version 2022 est la seule à laquelle on peut aujourd'hui se certifier : la période de transition depuis la version 2013 s'est achevée le 31 octobre 2025.

• 2005 : première édition, ISO/IEC 27001:2005, issue de la norme britannique BS 7799-2.
• 2013 : deuxième édition, ISO/IEC 27001:2013, alignée sur la structure commune des normes de management ISO. Son annexe A comptait 114 mesures réparties en 14 domaines.
• 25 octobre 2022 : troisième édition, ISO/IEC 27001:2022. L'annexe A est refondue pour suivre ISO/IEC 27002:2022 : 93 mesures en 4 thèmes, dont 11 nouvelles (renseignement sur les menaces, sécurité des services cloud, masquage des données, prévention des fuites de données, codage sécurisé, entre autres).
• 23 février 2024 : amendement 1 « Climate action changes » (ISO/IEC 27001:2022/Amd 1:2024). Il ajoute à la clause 4.1 l'obligation de déterminer si le changement climatique est un enjeu pertinent pour l'organisation, et précise en clause 4.2 que les parties intéressées peuvent avoir des exigences liées au climat.
• 31 octobre 2025 : fin de la transition fixée par l'IAF (document obligatoire IAF MD 26). Un certificat ISO/IEC 27001:2013 qui n'a pas été migré vers la version 2022 a expiré à cette date.

À la date de cette mise à jour, aucune nouvelle édition d'ISO/IEC 27001 n'est publiée. Le comité ISO/IEC JTC 1/SC 27 a en revanche publié en 2026 une nouvelle édition d'ISO/IEC 27000, la norme de vocabulaire de la famille.

La structure de la norme : clauses 4 à 10 et annexe A

ISO 27001 se lit en deux parties : sept clauses d'exigences (4 à 10), communes à toutes les normes de management ISO, et une annexe A qui liste les mesures de sécurité de référence. Les clauses 0 à 3 (introduction, domaine d'application, références, termes) ne contiennent pas d'exigence certifiable.

Les clauses 4 à 10, une ligne par clause

• Clause 4, contexte de l'organisation : enjeux internes et externes, parties intéressées et leurs exigences, périmètre du SMSI.
• Clause 5, leadership : engagement de la direction, politique de sécurité de l'information, rôles et responsabilités.
• Clause 6, planification : appréciation et traitement des risques, déclaration d'applicabilité, objectifs de sécurité mesurables, planification des changements.
• Clause 7, support : ressources, compétences, sensibilisation, communication, informations documentées.
• Clause 8, fonctionnement : mise en œuvre du plan de traitement des risques et réappréciation à intervalles planifiés.
• Clause 9, évaluation des performances : surveillance et mesure, audit interne, revue de direction.
• Clause 10, amélioration : traitement des non-conformités, actions correctives, amélioration continue.

L'annexe A : 93 mesures en 4 thèmes

L'annexe A est un catalogue de mesures de référence. L'organisation ne les applique pas toutes d'office : elle les confronte à son appréciation des risques et justifie, dans sa déclaration d'applicabilité (clause 6.1.3), pourquoi chaque mesure est retenue ou exclue.

• Mesures organisationnelles (A.5) : 37 mesures, des politiques de sécurité à la gestion des fournisseurs, des incidents et de la continuité.
• Mesures liées aux personnes (A.6) : 8 mesures, de la sélection des candidats à la sensibilisation et au télétravail.
• Mesures physiques (A.7) : 14 mesures, des périmètres de sécurité physique à la mise au rebut des équipements.
• Mesures technologiques (A.8) : 34 mesures, de la gestion des accès à la journalisation, la sauvegarde et le développement sécurisé.

La mesure A.5.34 « Protection de la vie privée et des données à caractère personnel » fait le pont direct avec le RGPD : elle demande d'identifier et de respecter les exigences légales applicables aux données personnelles.

La famille ISO 27000 : les normes à connaître

ISO 27001 est la seule norme de la famille contre laquelle une organisation se fait certifier pour son SMSI. Les autres l'outillent, la précisent ou l'étendent à un domaine.

• ISO/IEC 27000 : vue d'ensemble et vocabulaire de la famille.
• ISO/IEC 27002 : le guide de mise en œuvre des 93 mesures de l'annexe A, mesure par mesure.
• ISO/IEC 27005 : les lignes directrices pour la gestion des risques de sécurité de l'information. En France, la méthode EBIOS Risk Manager de l'ANSSI est souvent utilisée pour mener cette analyse ; Leto propose une matrice EBIOS pour structurer la vôtre.
• ISO/IEC 27701 : le système de management de la protection de la vie privée. Depuis l'édition du 14 octobre 2025, c'est une norme autonome qui ne suppose plus une certification ISO 27001 préalable.
• ISO/IEC 27017 et 27018 : les mesures propres aux services cloud, et la protection des données personnelles traitées par un fournisseur de cloud public.
• ISO/IEC 42001 : le système de management de l'intelligence artificielle, construit sur la même structure. Notre guide ISO 42001 et l'AI Act en détaille les exigences.

La norme ISO 27001 est-elle obligatoire ?

Non : aucune loi française n'oblige une entreprise à se certifier ISO 27001. Mais la certification devient souvent une condition de fait pour vendre, répondre à un appel d'offres ou héberger certaines données.

En droit

Le RGPD impose une sécurité « adaptée au risque » (article 32), sans désigner de norme. La directive NIS 2 demande aux entités essentielles et importantes des mesures de gestion des risques (article 21) et encourage le recours aux normes européennes et internationales (article 25), sans rendre ISO 27001 obligatoire. Notre guide des obligations NIS 2 détaille ces dix mesures.

Les exigences indirectes

• Hébergement de données de santé : le référentiel de certification HDS s'appuie sur ISO 27001, enrichie d'exigences propres à la santé.
• Marchés publics : un acheteur peut demander la certification, ou une preuve de garanties équivalentes, parmi les capacités techniques du candidat.
• Contrats grands comptes : banques, assureurs et industriels l'exigent de plus en plus de leurs prestataires, au titre de leur propre gestion des tiers.
• Questionnaires sécurité : la question « êtes-vous certifié ? » figure dans presque tous les questionnaires fournisseurs. Une certification raccourcit la réponse ; nos 6 astuces pour répondre aux questionnaires de sécurité valent dans les deux cas.

Côté éditeurs SaaS, ISO 27001 et SOC 2 répondent au même besoin de preuve sur des marchés différents : notre guide SOC 2 explique la différence. Un plan d'assurance sécurité reste par ailleurs le document contractuel attendu dans de nombreux marchés.

Comment se passe la certification ISO 27001 ?

La certification est délivrée par un organisme tiers, à l'issue d'un audit en deux étapes. En France, ces organismes sont accrédités par le COFRAC selon les normes ISO/IEC 17021-1 et ISO/IEC 27006-1.

1. Construire le SMSI : périmètre, politique, appréciation des risques, déclaration d'applicabilité, mesures en place.
2. Le faire tourner : l'auditeur attend des preuves de fonctionnement, au minimum un audit interne (clause 9.2) et une revue de direction (clause 9.3) réalisés.
3. Audit d'étape 1 : revue documentaire et vérification que l'organisation est prête.
4. Audit d'étape 2 : vérification sur le terrain que les exigences et les mesures sont effectivement appliquées. Les non-conformités majeures doivent être levées avant la délivrance du certificat.
5. Cycle de trois ans : le certificat est valable trois ans, avec un audit de surveillance chaque année et un audit de renouvellement la troisième année.

ISO 27001 et RGPD : deux logiques qui se complètent

Le RGPD protège les personnes dont on traite les données ; ISO 27001 protège l'information de l'organisation, quelle qu'elle soit. Les deux se rejoignent sur la sécurité : un SMSI bien construit est l'un des meilleurs moyens de documenter les mesures « techniques et organisationnelles appropriées » de l'article 32 du RGPD.

Ils ne se recouvrent pas pour autant. ISO 27001 ne traite ni des bases légales, ni de l'information des personnes, ni de l'exercice des droits, ni de la minimisation. À l'inverse, le RGPD n'impose ni audit interne, ni revue de direction, ni déclaration d'applicabilité. Une certification ISO 27001 ne vaut donc pas conformité RGPD, et un registre RGPD à jour ne vaut pas SMSI.

Par où commencer quand on est DPO

Un DPO qui pilote sa conformité RGPD tient déjà une bonne partie de la matière première d'un SMSI. Ce qui manque relève surtout du système de management : le périmètre, les décisions formalisées de la direction et la boucle d'amélioration.

Ce que vous tenez déjà

• Le registre des traitements (article 30) : une base solide pour l'inventaire des informations et des actifs associés (mesure A.5.9). Notre guide sur le registre des traitements rappelle ce qu'il doit contenir.
• Les AIPD (article 35) : une méthode d'analyse de risques déjà éprouvée, transposable à l'appréciation des risques de la clause 6.1.2. Voir notre guide pour réaliser une AIPD.
• La gestion des sous-traitants (article 28) : clauses, questionnaires et audits recoupent les mesures fournisseurs A.5.19 à A.5.23. Notre méthode d'audit des sous-traitants s'y réutilise.
• La gestion des violations (articles 33 et 34) : procédure, registre des violations et notification à la CNIL alimentent la gestion des incidents (A.5.24 à A.5.28). Voir notre guide sur les violations de données.
• Les mesures de sécurité de l'article 32 : chiffrement, pseudonymisation, contrôle des accès, sauvegardes, déjà documentés pour vos traitements.

Ce qui manque pour un SMSI

• Un périmètre défini et justifié (clause 4.3), qui couvre l'information au-delà des seules données personnelles.
• Une politique de sécurité approuvée par la direction et des rôles attribués (clause 5).
• Une déclaration d'applicabilité qui justifie chacune des 93 mesures de l'annexe A, et un plan de traitement des risques.
• Des objectifs de sécurité mesurables et leurs indicateurs (clause 6.2).
• La boucle d'amélioration : audit interne, revue de direction, actions correctives (clauses 9 et 10).

Le pilotage d'un SMSI revient en général au RSSI ; le DPO y apporte un inventaire, une méthode de risque et une gestion des tiers déjà en place. C'est souvent ce qui fait gagner les premiers mois.

Questions fréquemment posées

C'est quoi ISO 27001 ?

ISO/IEC 27001 est la norme internationale qui fixe les exigences d'un système de management de la sécurité de l'information (SMSI). Elle demande à une organisation d'apprécier ses risques, de choisir les mesures qui les traitent, puis de prouver que ces mesures fonctionnent et s'améliorent. La version en vigueur est celle de 2022, amendée en 2024.

La certification ISO 27001 est-elle obligatoire ?

Non, aucune loi française ne l'impose. Elle est en revanche souvent exigée de fait : par le référentiel HDS pour l'hébergement de données de santé, par certains acheteurs publics, par les contrats et questionnaires sécurité des grands comptes.

Quelle différence entre ISO 27001 et ISO 27002 ?

ISO 27001 fixe les exigences du SMSI et liste les 93 mesures de son annexe A : c'est la norme contre laquelle on se certifie. ISO 27002 est un guide de mise en œuvre qui détaille chacune de ces mesures ; on ne se certifie pas ISO 27002.

Combien coûte une certification ISO 27001 ?

Le coût dépend surtout du périmètre : l'organisme de certification calcule un nombre de jours d'audit selon l'effectif concerné et la complexité, selon les règles d'ISO/IEC 27006-1. S'y ajoutent les audits de surveillance annuels, le temps interne consacré au SMSI et, le cas échéant, un accompagnement. Demandez des devis à plusieurs organismes accrédités sur la base d'un périmètre écrit.

Combien de temps faut-il pour être certifié ?

Il faut compter plusieurs mois, parce que l'auditeur attend un SMSI qui a déjà fonctionné : au minimum un audit interne et une revue de direction réalisés avant l'audit d'étape 2. Le délai dépend surtout de l'existant (inventaire, analyse de risques, procédures d'incident) et de la taille du périmètre.

Qui délivre la certification ISO 27001 ?

Un organisme de certification indépendant, accrédité en France par le COFRAC (Comité français d'accréditation). L'ISO ne certifie personne : elle publie la norme. Vérifiez que le certificat d'un fournisseur provient d'un organisme accrédité et que son périmètre couvre bien le service que vous achetez.

ISO 27001 suffit-elle pour NIS 2 ?

Non, pas automatiquement. Un SMSI certifié couvre une grande partie des mesures de l'article 21 de NIS 2, mais la directive ajoute des obligations propres : notification des incidents significatifs en 24 heures, 72 heures et un mois, responsabilité des organes de direction, enregistrement auprès de l'autorité. Le périmètre certifié doit aussi recouvrir les activités visées par NIS 2.

Leto tient déjà la partie RGPD de votre SMSI

Registre des traitements, gestion des sous-traitants, questionnaires sécurité, violations de données : Leto outille au quotidien les briques que votre SMSI réutilise, et les garde à jour sans tableur. Pour voir comment elles s'articulent avec votre projet ISO 27001, demandez une démo à l'équipe Leto.