Un audit ISO 27001 du SMSI ne certifie ni votre pare-feu, ni vos politiques, ni une liste de mesures prises isolément. Il certifie votre SMSI (système de management de la sécurité de l’information) : le système qui décide quels risques informationnels vous traitez, comment, et comment vous prouvez que cette protection continue de fonctionner. La plupart des certifications retardées viennent d’un SMSI traité comme une pile de documents plutôt que comme un système vivant. Ce guide explique ce qu’est un SMSI, ce que l’auditeur vérifie exactement aux étapes 1 et 2, les documents obligatoires, les non-conformités les plus fréquentes et pourquoi, en Belgique, l’audit ISO 27001 est devenu une échéance NIS2 autant qu’une certification.
L’essentiel
- Un SMSI = les clauses 4 à 10 de l’ISO/IEC 27001:2022 (le système de management) + les mesures de l’Annexe A retenues dans votre déclaration d’applicabilité (93 mesures, 4 thèmes).
- L’audit de certification se déroule en deux temps : étape 1 (conception et documentation) et étape 2 (mise en œuvre et efficacité).
- Avant l’étape 2, il faut au moins un audit interne (9.2) et une revue de direction (9.3) réalisés : le SMSI doit avoir tourné, pas seulement été rédigé.
- Un certificat est valable 3 ans, avec des audits de surveillance annuels puis un renouvellement. Les certificats ISO 27001:2013 ont expiré le 31 octobre 2025.
- En Belgique, l’ISO 27001 est l’une des deux voies de conformité NIS2 reconnues par le CCB pour les entités essentielles, avec ses propres règles de périmètre.
Qu’est-ce qu’un SMSI selon l’ISO 27001 ?
Un SMSI (système de management de la sécurité de l’information, ISMS en anglais) est l’ensemble des politiques, processus, rôles, décisions de risque et enregistrements qu’une organisation utilise pour protéger la confidentialité, l’intégrité et la disponibilité de ses informations, et pour améliorer cette protection en continu. L’ISO/IEC 27001 fixe les exigences pour établir, mettre en œuvre, tenir à jour et améliorer continuellement un SMSI. C’est la seule norme de la famille ISO 27000 qui permet une certification ; l’ISO/IEC 27002 est un guide de mise en œuvre des mesures, non certifiable.
Cette distinction est décisive pour l’audit. Les mesures de l’Annexe A (contrôle d’accès, sauvegardes, journalisation, sécurité des fournisseurs…) sont le quoi. Le SMSI est le comment on décide, on exploite, on mesure et on améliore. Une organisation peut disposer d’excellentes mesures techniques et échouer quand même, parce que personne ne peut expliquer pourquoi ces mesures ont été choisies, qui a accepté le risque résiduel ou si quelqu’un vérifie qu’elles fonctionnent. L’ISO 27001 partage la structure harmonisée de l’ISO 9001, de l’ISO 22301 et de l’ISO/IEC 42001 (management de l’IA) : un SMSI est donc aussi une base solide pour la gouvernance de l’IA.
La structure du SMSI : clauses 4 à 10
| Clause | Exigence | Ce que l’auditeur recherche |
|---|---|---|
| 4. Contexte | Enjeux internes/externes, parties intéressées, périmètre du SMSI | Régulateurs identifiés (CCB pour NIS2, BNB/FSMA pour DORA, Autorité de protection des données pour le RGPD) et clients ; un périmètre fidèle à la réalité. Depuis l’amendement 1 (2024), le changement climatique doit être pris en compte. |
| 5. Leadership | Engagement, politique, rôles et responsabilités | Une direction visiblement impliquée, une politique approuvée, un responsable du SMSI désigné. |
| 6. Planification | Appréciation et traitement des risques, DdA, objectifs, planification des changements | Une méthode de risque reproductible, des propriétaires de risques nommés, des objectifs mesurables. |
| 7. Support | Ressources, compétences, sensibilisation, communication, informations documentées | Preuves de formation, documents maîtrisés, un personnel qui sait que la politique le concerne. |
| 8. Fonctionnement | Mise en œuvre du plan de traitement des risques, maîtrise opérationnelle | Des preuves que les mesures prévues tournent réellement (tickets, journaux, revues). |
| 9. Évaluation des performances | Surveillance et mesure, audit interne, revue de direction | Des indicateurs analysés, un audit interne impartial, une revue de direction documentée. |
| 10. Amélioration | Amélioration continue, non-conformité et action corrective | Une analyse des causes et des actions correctives dont l’efficacité est vérifiée. |
Que vérifie concrètement un audit ISO 27001 ?
Un audit ISO 27001 vérifie deux couches : le système de management (clauses 4 à 10, toutes obligatoires, aucune exclusion possible) et les mesures de l’Annexe A déclarées applicables dans votre déclaration d’applicabilité. L’Annexe A de la version 2022 compte 93 mesures réparties en quatre thèmes : organisationnelles (37, A.5), liées aux personnes (8, A.6), physiques (14, A.7) et technologiques (34, A.8).
La déclaration d’applicabilité (DdA, ou SoA), exigée par la clause 6.1.3 d), fait le lien entre les deux. Elle liste chaque mesure de l’Annexe A, indique si elle est retenue, pourquoi, si elle est mise en œuvre, et justifie chaque exclusion. Les exclusions sont permises, mais seulement si l’appréciation des risques, les obligations légales ou le contexte de l’organisation les justifient.
En pratique, un bon auditeur suit une piste d’audit : risque → décision de traitement → mesure dans la DdA → preuve en exploitation. Il choisit un risque dans votre registre (par exemple un rançongiciel sur l’ERP), vérifie que son propriétaire a validé le traitement, retrouve les mesures associées dans la DdA (sauvegardes A.8.13, protection contre les logiciels malveillants A.8.7, gestion des vulnérabilités A.8.8), puis demande la preuve qu’elles fonctionnent : un rapport de test de restauration, la console EDR, le dernier cycle de correctifs. Si un maillon manque, il y a constat.
Documents obligatoires pour un audit ISO 27001
L’ISO 27001 exige explicitement les informations documentées ci-dessous. Utilisez la troisième colonne comme auto-évaluation : c’est la question que l’auditeur se posera implicitement pour chaque document.
| Clause | Information documentée | La question de l’auditeur |
|---|---|---|
| 4.3 | Périmètre du SMSI | Correspond-il aux sites, équipes, services cloud et à l’IT externalisée réels ? |
| 5.2 | Politique de sécurité de l’information | Approuvée par la direction et communiquée ? |
| 6.1.2 | Processus d’appréciation des risques, y compris critères d’acceptation | Deux évaluateurs aboutiraient-ils à des résultats comparables ? |
| 6.1.3 | Processus de traitement des risques | Les propriétaires de risques sont-ils nommés et ont-ils accepté le risque résiduel ? |
| 6.1.3 d) | Déclaration d’applicabilité | Chaque inclusion et exclusion est-elle justifiée, avec son état de mise en œuvre ? |
| 6.2 | Objectifs de sécurité de l’information | Mesurables, attribués, datés et suivis ? |
| 7.2 | Preuves de compétence | Les rôles clés peuvent-ils prouver leurs compétences (formations, expérience, certifications) ? |
| 8.1 | Planification et maîtrise opérationnelles | Les processus ont-ils été réalisés comme prévu ? |
| 8.2 / 8.3 | Résultats de l’appréciation et du traitement des risques | Datés, renouvelés à intervalles planifiés et après tout changement significatif ? |
| 9.1 | Résultats de surveillance et de mesure | Les indicateurs sont-ils réellement analysés et suivis d’effet ? |
| 9.2 | Programme et résultats d’audit interne | Tout le périmètre couvert, par quelqu’un qui n’audite pas son propre travail ? |
| 9.3 | Résultats de la revue de direction | Toutes les données d’entrée requises traitées et les décisions consignées ? |
| 10.2 | Non-conformités et actions correctives | La cause racine a-t-elle été identifiée et la correction vérifiée ? |
Les mesures de l’Annexe A que vous retenez ajoutent leurs propres enregistrements : inventaire des actifs (A.5.9), règles de contrôle d’accès (A.5.15), accords fournisseurs (A.5.20), gestion des incidents (A.5.24 à A.5.28), registre des exigences légales et réglementaires (A.5.31), procédures d’exploitation documentées (A.5.37), journaux (A.8.15), etc. Gardez des documents courts et maîtrisés (clause 7.5 : versionnés, approuvés, accessibles) : un auditeur accorde bien plus de valeur à la preuve qu’un processus tourne qu’à une politique épaisse.
Le cycle d’audit de certification ISO 27001, étape par étape
La certification ISO 27001 suit un cycle de trois ans piloté par un organisme de certification indépendant : un audit initial en deux étapes, des audits de surveillance la première et la deuxième année, puis un audit de renouvellement la troisième année. Le SMSI doit déjà avoir produit son premier audit interne et sa première revue de direction avant le début de l’audit externe.
| Audit | Quand | Objet |
|---|---|---|
| Audit interne + revue de direction | Avant l’étape 1/l’étape 2 | Prouver que le SMSI a tourné au moins un cycle complet |
| Étape 1 (phase 1) | Début de la certification | Conception, documentation et préparation à l’étape 2 |
| Étape 2 (phase 2) | En général quelques semaines après l’étape 1 | Mise en œuvre et efficacité du SMSI et des mesures |
| Audits de surveillance | Au moins une fois par année civile (le premier dans les 12 mois suivant la certification) | Échantillon de clauses et de mesures ; suivi des constats précédents |
| Audit de renouvellement | Avant l’expiration du certificat de 3 ans | Performance globale du SMSI sur le cycle |
Qui vous audite ? Un organisme de certification accrédité selon l’ISO/IEC 17021-1 et l’ISO/IEC 27006-1, qui détermine aussi le nombre de jours d’audit en fonction de l’effectif couvert et de la complexité du SMSI. En Belgique, l’organisme national d’accréditation est BELAC ; les certificats émis sous d’autres accréditeurs reconnus par l’IAF (RvA, DAkkS, COFRAC…) sont également reconnus, et le CCB publie une liste des organismes d’évaluation de la conformité pour NIS2. L’indépendance est stricte : le consultant qui a aidé à construire votre SMSI ne peut pas être votre auditeur de certification, et l’organisme de certification ne peut pas faire de conseil. C’est pourquoi ICTLAB prépare et accompagne les organisations, mais ne les certifie jamais.
Étape 1 vs étape 2 : ce que l’auditeur vérifie
L’étape 1 répond à la question « ce SMSI est-il prêt à être audité ? » et l’étape 2 à « ce SMSI fonctionne-t-il ? ». Les points soulevés à l’étape 1 sont des points d’attention à traiter avant l’étape 2 ; s’ils sont toujours ouverts à l’étape 2, ils deviennent généralement des non-conformités.
| Étape 1 | Étape 2 | |
|---|---|---|
| Objectif | Préparation : le SMSI est-il conçu et documenté comme l’exige la norme ? | Conformité et efficacité : le SMSI et les mesures sont-ils mis en œuvre et efficaces ? |
| Preuves | Périmètre, contexte, méthode de risque, DdA, politique, objectifs, audit interne et revue de direction | Enregistrements, échantillons, captures système, observation, entretiens dans tous les services |
| Personnes interrogées | Responsable du SMSI, direction, propriétaires des documents clés | Direction, IT, RH, opérations, interfaces fournisseurs, utilisateurs finaux |
| Résultat type | Rapport de préparation avec points d’attention, plan de l’étape 2 | Recommandation (ou non) de certification, rapport de non-conformités |
| Durée | Courte, souvent un à deux jours, parfois à distance | Plus longue, calculée selon l’effectif couvert et la complexité |
Non-conformités : majeures, mineures et pistes de progrès
Les auditeurs classent leurs constats en trois niveaux. Votre réponse, via la clause 10.2, compte autant que le constat lui-même.
- Non-conformité majeure : une exigence n’est pas du tout satisfaite, ou une défaillance remet en cause les résultats du SMSI (pas d’audit interne, pas de revue de direction, appréciation des risques jamais réalisée). Elle bloque la certification jusqu’à ce que l’organisme accepte votre correction et votre action corrective.
- Non-conformité mineure : un manquement ponctuel (un départ dont le compte a été désactivé tardivement, un fournisseur sans évaluation de sécurité). Un plan d’actions correctives accepté suffit ; il est vérifié à l’audit suivant. Plusieurs mineures sur la même exigence peuvent être requalifiées en majeure.
- Observation / piste de progrès : aucune exigence enfreinte, mais une faiblesse à corriger. L’ignorer, c’est préparer la non-conformité mineure de l’année suivante.
Une bonne réponse comporte quatre volets : la correction (régler le cas), l’analyse de la cause racine (pourquoi le processus l’a-t-il permis ?), l’action corrective (modifier le processus pour éviter la récurrence) et la vérification de l’efficacité. « Nous avons resensibilisé le collaborateur » est rarement accepté comme cause racine.
Les 10 constats d’audit SMSI les plus fréquents
Voici les constats qui reviennent le plus souvent lors des audits ISO 27001, avec la clause ou la mesure concernée. Chacun coûte moins cher à corriger avant l’étape 1 qu’après l’étape 2.
- Un périmètre qui ne reflète pas la réalité (4.3) : plateformes cloud, IT externalisée ou second site discrètement écartés.
- Une appréciation des risques non reproductible (6.1.2) : pas de critères d’acceptation, pas d’échelles définies, des résultats qui dépendent de la personne qui remplit le tableur.
- Un risque résiduel jamais accepté (6.1.3 f) : propriétaires de risques non identifiés ou qui ne valident pas.
- Une DdA copiée-collée (6.1.3 d) : toutes les mesures « mises en œuvre », sans justification ni lien avec les risques.
- Des objectifs non mesurables (6.2, 9.1) : « améliorer la sécurité » au lieu d’un indicateur daté et attribué.
- Un audit interne ni impartial ni complet (9.2) : le responsable du SMSI qui audite son propre travail, ou la moitié du périmètre jamais auditée.
- Une revue de direction sans les données d’entrée requises (9.3) : pas de revue des résultats d’audit, de l’état des risques ou des objectifs ; direction absente.
- Une sécurité fournisseurs et cloud non démontrée (A.5.19 à A.5.23) : aucune évaluation des fournisseurs SaaS clés, pas de clauses de sécurité dans les contrats.
- Des revues d’accès et un processus de départ défaillants (A.5.15 à A.5.18) : revues planifiées mais non réalisées, comptes actifs d’anciens collaborateurs.
- Des processus vulnérabilités et incidents uniquement sur papier (A.8.8, A.5.24 à A.5.28) : scans sans suivi de remédiation, plan d’incident jamais testé. Voir notre guide scan de vulnérabilités vs test d’intrusion et notre modèle de plan de réponse aux incidents.
L’audit du SMSI en Belgique : NIS2, CCB, DORA et RGPD
En Belgique, un audit ISO 27001 n’est plus seulement un certificat commercial : c’est l’une des voies reconnues pour démontrer la conformité NIS2 et une base de preuves solide pour DORA et le RGPD. Le périmètre retenu doit donc servir l’objectif réglementaire, pas seulement l’argument commercial.
NIS2 : l’ISO 27001 comme voie de conformité CCB
En vertu de la loi belge NIS2 du 26 avril 2024, applicable depuis le 18 octobre 2024, les entités essentielles doivent se soumettre à une évaluation régulière de la conformité. Le Centre pour la Cybersécurité Belgique (CCB) reconnaît deux voies : la certification CyberFundamentals (CyFun®) ou la certification ISO/IEC 27001. Pour la voie ISO, le CCB attend un périmètre couvrant l’organisation et ses services pertinents pour NIS2 ; des environnements ne peuvent être exclus que si la séparation IT/OT est démontrable et documentée, avec la preuve que la partie exclue n’a pas d’impact sur les risques du périmètre. Le premier jalon (18 avril 2026, date à laquelle les entités suivant la voie ISO devaient communiquer au CCB leur périmètre, leur DdA et leur dernier audit interne) est passé ; le prochain est le 18 avril 2027. Confirmez vos obligations exactes auprès du CCB. Les entités importantes ne sont pas tenues de se certifier mais peuvent le faire volontairement pour bénéficier d’une présomption de conformité. Pour la correspondance complète, lisez NIS2 et ISO 27001 en Belgique.
DORA : le SMSI est l’ossature, pas la ligne d’arrivée
Pour les banques, assureurs et autres entités financières, l’ISO 27001 n’est pas un certificat de conformité DORA. Un SMSI qui fonctionne fournit toutefois l’essentiel de la mécanique exigée par le cadre de gestion du risque lié aux TIC (DORA, art. 5 à 16) : gouvernance, appréciation des risques, inventaire des actifs, gestion des incidents. Il faut ensuite ajouter les couches propres à DORA, comme le registre d’information, la classification des incidents et les tests de résilience. Voir notre guide DORA pour les institutions financières belges.
RGPD : la preuve de « mesures appropriées »
L’article 32 du RGPD exige des « mesures techniques et organisationnelles appropriées » sans préciser lesquelles. Un SMSI qui intègre les données personnelles dans son appréciation des risques transforme cette obligation vague en décisions documentées et auditées, exactement ce que l’Autorité de protection des données demande après une violation. Plus de détails dans RGPD vs NIS2.
Se préparer à l’audit : un plan de 90 jours avant l’étape 1
Ce plan suppose que vos politiques et mesures techniques de base existent déjà. En partant de zéro, une PME doit prévoir plusieurs mois (couramment six à douze) avant l’étape 1, en commençant par une analyse des écarts ISO 27001.
- Semaines 1 à 3, cadrer : confirmer le périmètre au regard de l’objectif réglementaire (services NIS2, fonctions DORA), recenser les parties intéressées et les exigences légales, fixer la méthode de risque et les critères d’acceptation.
- Semaines 3 à 6, décider : réaliser l’appréciation des risques, construire le plan de traitement, rédiger la DdA avec de vraies justifications, faire accepter le risque résiduel par ses propriétaires.
- Semaines 6 à 10, exploiter et prouver : réaliser les revues d’accès, les sessions de sensibilisation, les évaluations fournisseurs, la remédiation des vulnérabilités et un exercice d’incident, en conservant les preuves.
- Semaines 10 à 12, évaluer : mener un audit interne impartial sur tout le périmètre, tenir la revue de direction, ouvrir les actions correctives, puis planifier l’étape 1.
Comment ICTLAB vous aide à réussir l’audit de votre SMSI
La pratique ISO 27001 d’ICTLAB est dirigée par Caner Korkut, ISO 27001 Lead Implementer. Nous partons de l’angle réglementaire : un périmètre qui tient pour NIS2 et DORA, une méthode de risque que votre équipe peut reproduire et des preuves qu’un auditeur peut échantillonner. Concrètement, nous réalisons l’analyse des écarts, la conception du SMSI, l’appréciation des risques et la DdA, les mesures techniques (du test d’intrusion au durcissement cloud), un audit blanc de l’étape 1, et nous vous accompagnons pendant l’audit de certification et les plans d’actions correctives. Découvrez notre accompagnement à la certification ISO 27001 et nos audits de sécurité, ou planifiez un échange de préparation.
SMSI et audit ISO 27001 : questions fréquentes
Quelle est la différence entre un SMSI et l’ISO 27001 ?
Le SMSI (système de management de la sécurité de l’information) est le système lui-même : les politiques, processus, rôles, décisions de risque et enregistrements qu’une organisation utilise pour gérer la sécurité de l’information. L’ISO/IEC 27001 est la norme internationale qui fixe les exigences auxquelles ce SMSI doit répondre. On ne certifie pas « l’ISO 27001 » : on certifie son SMSI selon l’ISO 27001.
Quelle différence entre l’audit d’étape 1 et l’audit d’étape 2 ISO 27001 ?
L’étape 1 vérifie que le SMSI est suffisamment conçu et documenté pour être audité : périmètre, méthode d’appréciation des risques, déclaration d’applicabilité, audit interne et revue de direction. L’étape 2 est l’audit de certification proprement dit : l’auditeur échantillonne des preuves, interroge le personnel et teste si les mesures sont mises en œuvre et efficaces au quotidien.
L’audit interne est-il obligatoire avant la certification ISO 27001 ?
Oui. La clause 9.2 impose un programme d’audit interne et la clause 9.3 une revue de direction. Les organismes de certification attendent au moins un audit interne complet couvrant tout le périmètre et une revue de direction réalisés avant l’étape 2. L’absence de l’un ou de l’autre est l’une des causes les plus fréquentes de report de la certification.
Combien de temps un certificat ISO 27001 est-il valable ?
Trois ans. Pendant ce cycle, l’organisme réalise des audits de surveillance au moins une fois par année civile (le premier dans les 12 mois suivant la décision de certification), puis un audit de renouvellement avant l’expiration. Les certificats ISO/IEC 27001:2013 ne sont plus valables depuis le 31 octobre 2025 : tous les audits portent désormais sur la version 2022.
Quels documents sont obligatoires pour un audit ISO 27001 ?
Les informations documentées essentielles sont : le périmètre du SMSI (4.3), la politique de sécurité (5.2), les processus d’appréciation et de traitement des risques (6.1.2, 6.1.3), la déclaration d’applicabilité (6.1.3 d), les objectifs de sécurité (6.2), les preuves de compétence (7.2), la planification opérationnelle (8.1), les résultats d’appréciation et de traitement des risques (8.2, 8.3), les résultats de surveillance (9.1), le programme et les résultats d’audit interne (9.2), les résultats de revue de direction (9.3) et les non-conformités avec actions correctives (10.2).
La certification ISO 27001 rend-elle conforme à NIS2 en Belgique ?
Elle peut être votre voie de conformité, mais pas automatiquement. En Belgique, les entités essentielles peuvent démontrer leur conformité NIS2 via les CyberFundamentals ou via une certification ISO/IEC 27001. Pour la voie ISO, le CCB exige un périmètre couvrant l’organisation et ses services NIS2, avec des exclusions limitées aux environnements IT/OT démontrablement séparés. Un certificat au périmètre réduit, obtenu pour des raisons commerciales, risque de ne pas être accepté.
Que se passe-t-il si l’auditeur relève une non-conformité majeure ?
Une non-conformité majeure (exigence non satisfaite, ou défaillance qui remet en cause les résultats du SMSI) bloque la décision de certification. Vous devez la corriger, en analyser la cause racine et mettre en œuvre une action corrective, que l’organisme doit accepter, parfois via une visite complémentaire, dans le délai qu’il fixe. Une non-conformité mineure exige seulement un plan d’actions correctives accepté.
Information générale fondée sur l’ISO/IEC 27001:2022 (y compris l’amendement 1:2024), l’ISO/IEC 17021-1, l’ISO/IEC 27006-1 et le cadre NIS2 belge tel que publié par le CCB ; ne constitue pas un conseil juridique. Les organismes de certification et le CCB peuvent appliquer des règles et calendriers spécifiques : vérifiez-les pour votre situation.