Un SMSI (système de management de la sécurité de l'information, ou ISMS en anglais) est l'ensemble des politiques, processus, rôles et mesures par lesquels un organisme gère les risques qui pèsent sur la sécurité de son information, selon une logique d'amélioration continue (le cycle PDCA). La norme ISO/IEC 27001:2022 en fixe les exigences.
Le mot revient dans les questionnaires sécurité des grands comptes, dans les appels d'offres et dans les projets que lance un RSSI. Il est souvent confondu avec la politique de sécurité, avec la certification, ou avec le classeur de procédures préparé la veille d'un audit. Ce guide décrit ce qu'est un SMSI, comment il se construit clause par clause, qui y fait quoi (le DPO compris), comment on le fait vivre après l'audit, et comment il partage sa documentation avec la conformité RGPD.
Mis à jour le 16 octobre 2026.
Qu'est-ce qu'un SMSI ?
Un SMSI n'est ni un logiciel, ni un document, ni un service de la DSI. C'est une manière d'organiser les décisions de sécurité : qui les prend, sur quelle base de risque, avec quelles preuves, et comment on les révise. Il couvre toute l'information de l'organisme dans un périmètre choisi, qu'elle soit numérique ou papier, personnelle ou non.
Un système, pas un document : SMSI et PSSI
La politique de sécurité des systèmes d'information (PSSI) est un document : elle énonce les principes et les règles que l'organisme s'impose. Le SMSI est le système qui la produit, la fait appliquer, mesure son effet et la corrige. ISO/IEC 27001 exige d'ailleurs une politique de sécurité de l'information approuvée par la direction (clause 5.2) : la PSSI est une pièce du SMSI, pas son équivalent. Notre guide pour mettre en place une politique de sécurité informatique détaille la rédaction de ce document.
SMSI, ISO 27001 et certification
On peut avoir un SMSI sans être certifié : la norme décrit les exigences, et rien n'oblige à les faire auditer. La certification est une vérification par un organisme tiers, accrédité en France par le COFRAC, que le SMSI d'un périmètre donné répond à ISO/IEC 27001:2022. Depuis le 31 octobre 2025, fin de la transition fixée par l'IAF, c'est la seule version à laquelle on se certifie, dans sa rédaction issue de l'amendement 1 du 23 février 2024.
Le cycle PDCA appliqué aux clauses 4 à 10
La norme ne nomme plus le cycle PDCA (Plan, Do, Check, Act) depuis son édition de 2013, mais sa structure le suit toujours. Les sept clauses d'exigences se rangent dans les quatre temps du cycle.
- Plan, clauses 4 à 6 : comprendre le contexte et les parties intéressées (4.1 et 4.2, y compris la question du changement climatique ajoutée par l'amendement de 2024), fixer le périmètre (4.3), obtenir l'engagement de la direction et sa politique (5.1 et 5.2), attribuer les rôles (5.3), apprécier et traiter les risques (6.1), fixer des objectifs mesurables (6.2) et planifier les changements (6.3).
- Do, clauses 7 et 8 : donner les ressources, les compétences et la sensibilisation nécessaires (7.1 à 7.3), organiser la communication et les informations documentées (7.4 et 7.5), puis mettre en œuvre le plan de traitement et réapprécier les risques à intervalles planifiés (8.1 à 8.3).
- Check, clause 9 : surveiller et mesurer (9.1), conduire l'audit interne (9.2), tenir la revue de direction (9.3).
- Act, clause 10 : traiter les non-conformités, mener les actions correctives et améliorer le système en continu (10.1 et 10.2).
Les 93 mesures de l'annexe A, réparties en quatre thèmes (organisationnelles, liées aux personnes, physiques, technologiques), ne forment pas une étape à part : elles sont l'outillage du « Do », choisi à partir des risques du « Plan ».
Les pièces documentaires obligatoires
ISO/IEC 27001 parle d'« informations documentées ». Certaines sont exigées explicitement ; les autres sont celles que l'organisme juge nécessaires à l'efficacité de son SMSI (clause 7.5.1). Le socle exigé par la norme :
- Le périmètre du SMSI (4.3), avec ses limites et ses interfaces.
- La politique de sécurité de l'information (5.2).
- Le processus d'appréciation des risques (6.1.2) et ses résultats (8.2).
- Le processus de traitement des risques (6.1.3), le plan de traitement et ses résultats (8.3).
- La déclaration d'applicabilité (6.1.3 d) : pour chacune des 93 mesures de l'annexe A, retenue ou exclue, avec sa justification et son état de mise en œuvre.
- Les objectifs de sécurité de l'information (6.2).
- Les preuves de compétence des personnes qui interviennent sur le SMSI (7.2).
- Les informations de pilotage opérationnel nécessaires pour avoir confiance dans le fait que les processus se déroulent comme prévu (8.1).
- Les résultats de la surveillance et de la mesure (9.1).
- Le programme et les résultats de l'audit interne (9.2).
- Les résultats de la revue de direction (9.3).
- Les non-conformités, les actions menées et leurs résultats (10.2).
La moitié de cette liste n'est pas faite de procédures mais de résultats. C'est là que se joue la différence entre un SMSI qui tourne et un SMSI qui dort : l'auditeur ne lit pas seulement ce que l'organisme a prévu, il vérifie ce qu'il a fait.
Qui fait quoi dans un SMSI
La clause 5.3 demande que les responsabilités et autorités soient attribuées et communiquées. La norme ne prescrit pas d'organigramme ; dans une ETI, la répartition se dessine en général ainsi.
- La direction : elle approuve la politique, fixe le niveau de risque acceptable, donne les ressources et tient la revue de direction. Sans cet engagement (clause 5.1), il n'y a pas de SMSI certifiable.
- Le responsable du SMSI : il pilote le système au quotidien, tient la documentation, le calendrier des revues et le suivi des actions. Le rôle peut être confié au RSSI ou à une personne dédiée.
- Le RSSI : il porte l'appréciation des risques techniques, le choix et la mise en œuvre des mesures de l'annexe A, la gestion des incidents.
- Les propriétaires de risques et d'actifs : directions métier, DSI, RH, services généraux. Ce sont eux qui acceptent les risques résiduels et appliquent les mesures dans leur périmètre.
- Le DPO : il veille à ce que le SMSI prenne en compte les exigences du RGPD, et il apporte une matière déjà constituée.
Où intervient le DPO
La mesure A.5.34 de l'annexe A, « Protection de la vie privée et des données à caractère personnel », demande d'identifier et de respecter les exigences légales applicables aux données personnelles : c'est le point d'entrée naturel du DPO. Trois autres zones le concernent directement.
- Les données personnelles : le registre des traitements (article 30 du RGPD) alimente l'inventaire des informations et des actifs associés (A.5.9).
- Les sous-traitants : clauses de l'article 28, questionnaires et audits recoupent les mesures fournisseurs A.5.19 à A.5.23. Notre méthode d'audit des sous-traitants s'y réutilise.
- Les violations : la procédure des articles 33 et 34, le registre des violations et la notification à la CNIL sous 72 heures s'intègrent à la gestion des incidents (A.5.24 à A.5.28). Voir notre guide sur les violations de données.
Le DPO peut-il piloter lui-même le SMSI ? L'article 38.6 du RGPD l'autorise à exercer d'autres missions à condition qu'elles n'entraînent pas de conflit d'intérêts, ce que la CJUE a rappelé dans l'arrêt X-FAB Dresden du 9 février 2023 (C-453/21). Un DPO qui déciderait seul des moyens de sécurité d'un traitement s'en approcherait : le cumul se tranche au cas par cas, et se documente.
Construire son SMSI en six étapes
- Cadrer le périmètre. Commencer par un périmètre qui a un sens commercial ou réglementaire (le service SaaS vendu aux clients, l'hébergement de données de santé, une filiale), plutôt que « toute l'entreprise ». Recenser les enjeux internes et externes et les parties intéressées (clauses 4.1 à 4.3).
- Obtenir l'engagement de la direction. Une politique signée, des rôles nommés, un budget et une date de première revue de direction (clause 5).
- Apprécier les risques. Choisir une méthode stable et reproductible : ISO/IEC 27005 en donne les lignes directrices, et la méthode EBIOS Risk Manager de l'ANSSI est très utilisée en France. Leto propose une matrice EBIOS pour structurer l'analyse. Un DPO qui a déjà conduit des AIPD connaît la logique ; notre guide pour réaliser une AIPD montre ce qui se transpose.
- Traiter les risques et rédiger la déclaration d'applicabilité. Pour chaque risque : réduire, éviter, transférer ou accepter. Confronter ensuite le résultat aux 93 mesures de l'annexe A, et justifier chaque inclusion et chaque exclusion.
- Mettre en œuvre. Déployer les mesures, former et sensibiliser les équipes (clause 7.3 et mesure A.6.3), et conserver les traces de ce qui est fait au fil de l'eau.
- Mesurer, auditer, revoir. Lancer les premiers indicateurs, réaliser un audit interne complet puis une revue de direction. Ce n'est qu'à ce stade que le système a fait un tour complet.
Faire vivre le SMSI
Un SMSI se juge sur son deuxième et son troisième cycle, pas sur le premier. Quatre mécanismes le maintiennent en mouvement.
Les indicateurs
La clause 9.1 demande de déterminer ce qui est mesuré, comment, quand et par qui, puis d'analyser les résultats. Quelques indicateurs suivis tous les mois valent mieux qu'un tableau de bord de quarante lignes que personne ne lit : délai de correction des vulnérabilités critiques, taux de revue des accès à privilèges, part des fournisseurs critiques évalués dans l'année, délai de traitement des incidents, taux de complétion de la sensibilisation.
L'audit interne
La clause 9.2 impose un programme d'audit qui couvre l'ensemble du SMSI à intervalles planifiés, conduit par des auditeurs objectifs et impartiaux : on n'audite pas son propre travail. La norme ISO 19011:2018 donne les lignes directrices pour mener ces audits. Un DPO qui pratique déjà l'audit RGPD en connaît la mécanique.
La revue de direction
Depuis 2022, la clause 9.3 distingue les entrées et les sorties de la revue. En entrée : l'état des actions précédentes, les changements de contexte et d'attentes des parties intéressées, les non-conformités, les résultats de mesure et d'audit, l'atteinte des objectifs, les retours des parties intéressées, les résultats de l'appréciation des risques. En sortie : des décisions d'amélioration et de changement, documentées.
L'amélioration continue
Chaque non-conformité donne lieu à une correction, à une analyse de cause et, si besoin, à une action corrective dont l'efficacité est vérifiée (clause 10.2). La clause 6.3, ajoutée en 2022, demande en outre que les changements du SMSI eux-mêmes soient planifiés : un nouveau produit, une acquisition ou un changement d'hébergeur passent par le système, pas à côté.
Les erreurs fréquentes
- Un périmètre trop large : vouloir couvrir toute l'organisation dès le premier cycle étire le projet sur des mois sans preuve de fonctionnement. Mieux vaut un périmètre resserré, tenu, puis élargi.
- Une documentation sans preuve : des procédures impeccables et aucun enregistrement de leur application. L'auditeur demande les revues d'accès réalisées, pas la procédure de revue d'accès.
- Le SMSI « papier » monté pour l'audit : une documentation produite en quelques semaines avant l'étape 1, qui ne survit pas au premier audit de surveillance un an plus tard.
- Une déclaration d'applicabilité copiée d'un modèle : des exclusions sans justification ou des mesures « appliquées » qui n'existent pas. C'est l'une des premières pièces que l'auditeur confronte au terrain.
- Le DPO tenu à l'écart : le SMSI reconstruit un inventaire, une gestion des fournisseurs et une procédure d'incident qui existent déjà côté RGPD, et les deux finissent par diverger.
Un SMSI et une conformité RGPD, une seule documentation
Le RGPD impose des mesures techniques et organisationnelles appropriées au risque (article 32) et la capacité de démontrer sa conformité (article 24, voir notre guide des documents RGPD qui prouvent la conformité), sans prescrire de système de management. Un SMSI est l'un des moyens les plus solides de produire cette démonstration pour la partie sécurité.
Plutôt que deux dossiers parallèles, la pratique qui tient dans le temps consiste à faire pointer les deux référentiels vers les mêmes pièces : un seul inventaire (registre des traitements et actifs du SMSI), une seule méthode de risque (AIPD et appréciation des risques), une seule évaluation des fournisseurs (article 28 et mesures A.5.19 à A.5.23), une seule procédure d'incident (articles 33 et 34 et A.5.24 à A.5.28). Le même socle sert aux réponses aux clients : nos 6 astuces pour répondre aux questionnaires de sécurité et le plan d'assurance sécurité s'appuient sur les mêmes preuves.
Les deux restent distincts. Un SMSI ne traite ni des bases légales, ni de l'information des personnes, ni de l'exercice des droits ; une conformité RGPD n'impose ni audit interne, ni revue de direction, ni déclaration d'applicabilité. Pour la vie privée, la norme ISO/IEC 27701, autonome depuis son édition du 14 octobre 2025, décrit un système de management dédié. Et pour les entités soumises à NIS 2, un SMSI couvre une grande partie des mesures de l'article 21, sans dispenser des obligations propres à la directive détaillées dans notre guide des obligations NIS 2.
Questions fréquemment posées
Qu'est-ce qu'un SMSI ?
Un SMSI, ou système de management de la sécurité de l'information, est l'ensemble des politiques, processus, rôles et mesures par lesquels un organisme gère les risques sur la sécurité de son information et les révise en continu. Ses exigences sont fixées par la norme ISO/IEC 27001:2022, amendée en 2024.
SMSI ou PSSI : quelle différence ?
La PSSI est un document qui énonce les règles de sécurité de l'organisme. Le SMSI est le système qui la produit, la fait appliquer, mesure ses résultats et la corrige. ISO/IEC 27001 exige une politique de sécurité de l'information (clause 5.2) : la PSSI est donc une pièce du SMSI.
Faut-il être certifié pour avoir un SMSI ?
Non. Un organisme peut construire et faire fonctionner un SMSI conforme à ISO/IEC 27001 sans le faire certifier. La certification, délivrée par un organisme accrédité par le COFRAC à l'issue d'un audit en deux étapes, sert à le prouver à des tiers : clients, acheteurs publics, partenaires.
Qui pilote le SMSI ?
La direction en est responsable : elle approuve la politique, fixe le niveau de risque acceptable et tient la revue de direction. Le pilotage quotidien revient à un responsable du SMSI, souvent le RSSI. Le DPO y contribue sur les données personnelles, les sous-traitants et les violations.
Combien de temps pour mettre en place un SMSI ?
Il faut compter plusieurs mois pour un premier cycle complet, parce qu'un SMSI n'est en place qu'après avoir tourné : appréciation des risques, mesures déployées, au moins un audit interne et une revue de direction. Le délai dépend surtout du périmètre retenu et de l'existant, notamment ce que la conformité RGPD a déjà documenté.
Existe-t-il une formation SMSI ?
Oui. Les formations les plus répandues préparent à la mise en œuvre d'un SMSI selon ISO/IEC 27001 (parcours de type « Lead Implementer ») ou à son audit selon ISO 19011 (parcours de type « Lead Auditor »). Elles sont utiles au responsable du SMSI et aux auditeurs internes, et la clause 7.2 demande de conserver la preuve de ces compétences.
Leto tient déjà la partie RGPD de votre SMSI
Registre des traitements, gestion des sous-traitants, questionnaires sécurité, violations de données : Leto outille au quotidien les briques que votre SMSI réutilise, et les garde à jour sans tableur. Pour voir comment elles s'articulent avec votre projet ISO 27001, demandez une démo à l'équipe Leto.
