La norme ISO 27001 est devenue la référence pour les entreprises qui veulent protéger leurs informations, rassurer leurs clients et démontrer leur conformité au RGPD. Elle repose sur un outil central : le SMSI, ou système de management de la sécurité de l’information. Cyberattaques, fuites de données, exigences des clients grands comptes, questionnaires de sécurité de plus en plus détaillés : les raisons de s’y intéresser se multiplient, y compris pour les PME.

Beaucoup de dirigeants confondent pourtant les deux sujets. Le RGPD est une obligation légale qui protège les données personnelles ; l’ISO 27001 est une norme volontaire qui organise la sécurité de toutes les informations de l’entreprise. Les deux ne se remplacent pas, mais ils se renforcent mutuellement : un SMSI bien construit fournit une grande partie des preuves attendues par le RGPD en matière de sécurité.

Ce guide explique ce qu’est un SMSI, comment l’ISO 27001 et le RGPD s’articulent, où en est la transposition de la directive NIS 2 en France, ce que contiennent les 93 mesures de l’annexe A, comment mettre en place un SMSI étape par étape et comment préparer l’audit. Il s’appuie sur l’expérience des consultants et auditeurs SMTPE.

Qu’est-ce qu’un SMSI ?

Un système de management de la sécurité de l’information (SMSI) est l’ensemble des règles, processus, responsabilités et outils qu’une organisation met en place pour protéger ses informations. Il ne s’agit pas seulement d’informatique : le SMSI couvre aussi les personnes, les locaux, les fournisseurs, les contrats et les documents papier. Son objectif est de préserver trois propriétés essentielles de l’information.

La norme ISO/IEC 27001, dont la version en vigueur date de 2022, définit les exigences d’un SMSI certifiable. Elle suit la même structure que les autres normes de management, comme l’ISO 9001, ce qui facilite leur intégration.

Les trois piliers de la sécurité de l’information

• Confidentialité : seules les personnes autorisées accèdent à l’information.
• Intégrité : l’information est exacte, complète et n’a pas été modifiée de façon non autorisée.
• Disponibilité : l’information est accessible quand on en a besoin.

Une approche par les risques

Le cœur du SMSI est l’appréciation des risques. L’entreprise identifie ses informations et actifs importants, les menaces qui pèsent sur eux et leurs vulnérabilités, puis évalue la probabilité et l’impact de chaque scénario. Elle décide ensuite comment traiter chaque risque : le réduire par des mesures de sécurité, l’éviter, le transférer (assurance, sous-traitance) ou l’accepter de façon argumentée. Cette logique permet de dimensionner les efforts : une PME n’a pas besoin des mêmes mesures qu’un hébergeur de données de santé. Notre page certification ISO 27001 présente notre accompagnement sur ce point.

ISO 27001 et RGPD : comment les deux se complètent

Le Règlement général sur la protection des données (RGPD) s’applique depuis 2018 à toute organisation qui traite des données personnelles de personnes situées dans l’Union européenne. Il impose notamment, dans son article 32, de mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. C’est précisément ce que fait un SMSI.

Le RGPD va toutefois au-delà de la sécurité : il encadre la licéité des traitements, l’information des personnes, leurs droits, la durée de conservation, les transferts hors Union européenne. L’ISO 27001 ne couvre pas ces sujets à elle seule.

Critère	RGPD	ISO 27001
Nature	Règlement européen obligatoire	Norme internationale volontaire, certifiable
Objet	Données personnelles et droits des personnes	Toutes les informations de l’entreprise
Sécurité	Exige des mesures « appropriées », sans les détailler	Fournit une méthode et un catalogue de 93 mesures
Contrôle	CNIL (sanctions possibles)	Organisme certificateur accrédité
Preuve	Principe de responsabilité : documenter sa conformité	Certificat valable 3 ans, audits annuels

Ce que le SMSI apporte à la conformité RGPD

• La sécurité des traitements (article 32) : contrôle d’accès, chiffrement, sauvegardes, journalisation.
• La gestion des violations de données : détection, analyse et notification, avec des délais maîtrisés.
• La maîtrise des sous-traitants : clauses de sécurité, évaluation et suivi des prestataires.
• La documentation : politiques, procédures et preuves, utiles pour répondre à la CNIL ou à un client.

Aller plus loin avec l’ISO/IEC 27701

Pour couvrir plus largement la protection de la vie privée, l’ISO/IEC 27701 propose des exigences dédiées à la gestion des informations personnelles, en complément de l’ISO 27001. C’est une option intéressante pour les entreprises qui traitent de grands volumes de données personnelles pour le compte de leurs clients.

ISO 27001 et NIS 2 : où en est la France ?

La directive européenne NIS 2, adoptée fin 2022, élargit fortement le nombre d’organisations soumises à des obligations de cybersécurité : plusieurs milliers d’entités en France, réparties dans 18 secteurs, classées en entités essentielles et entités importantes selon leur taille et leur activité. Les États membres devaient la transposer avant le 17 octobre 2024.

En France, la transposition passe par le projet de loi dit « Résilience ». Adopté par le Sénat en mars 2025, il n’a toujours pas été définitivement voté : il a été retiré de l’ordre du jour de l’Assemblée nationale début octobre 2026. Les obligations NIS 2 ne s’appliquent donc pas encore formellement aux entreprises françaises, mais leur arrivée n’est qu’une question de temps.

Pourquoi s’y préparer dès maintenant

• Les mesures exigées par NIS 2 (gestion des risques, gestion des incidents, continuité d’activité, sécurité de la chaîne d’approvisionnement) correspondent largement à celles d’un SMSI.
• L’ANSSI a publié en 2026 un document de travail (ReCyF) qui préfigure le référentiel attendu.
• Les grandes entreprises concernées répercutent déjà leurs exigences sur leurs fournisseurs, y compris des PME non directement soumises.

L’ISO 27001 n’est pas imposée par NIS 2, mais c’est l’un des cadres les plus utilisés pour organiser ces mesures et démontrer leur mise en œuvre. Les questions d’obligation sont détaillées dans notre article certification ISO : obligatoire ou volontaire ?

Les 93 mesures de sécurité de l’annexe A

L’annexe A de l’ISO 27001:2022 propose un catalogue de 93 mesures de sécurité, regroupées en quatre thèmes. L’entreprise n’est pas obligée de toutes les appliquer : elle retient celles qui répondent à ses risques et justifie ses choix dans un document clé, la déclaration d’applicabilité. Ce document est systématiquement examiné par l’auditeur.

Depuis la fin de la période de transition, au 31 octobre 2025, tous les certificats doivent être conformes à la version 2022 de la norme.

Thème	Nombre de mesures	Exemples
Organisationnelles	37	Politiques, gestion des actifs, fournisseurs, incidents, continuité, conformité
Liées aux personnes	8	Sensibilisation, confidentialité, télétravail, signalement des événements
Physiques	14	Accès aux locaux, bureau propre, sécurité des équipements, supports
Technologiques	34	Authentification, sauvegardes, journalisation, développement sécurisé, filtrage web

Les nouveautés de la version 2022

La révision de 2022 a introduit des mesures nouvelles, qui reflètent l’évolution des menaces : renseignement sur les menaces, sécurité des services cloud, préparation des technologies de l’information à la continuité d’activité, surveillance des activités, masquage des données, prévention des fuites de données, filtrage web, codage sécurisé. Ces mesures sont souvent celles sur lesquelles les PME ont le plus de travail.

Les mesures prioritaires pour une PME

Face aux 93 mesures de l’annexe A, beaucoup de PME ne savent pas par où commencer. Or quelques mesures de base réduisent déjà une très grande partie des risques réels : la plupart des incidents qui touchent les petites entreprises (rançongiciels, hameçonnage, vols de comptes, pertes de données) exploitent des faiblesses simples. Les traiter en priorité permet d’obtenir rapidement des résultats concrets, avant même la certification.

Voici les mesures que nous recommandons de traiter en premier dans la quasi-totalité des PME.

Mesure	Pourquoi elle est prioritaire
Sauvegardes déconnectées et testées	Seule protection efficace contre la perte totale de données en cas de rançongiciel
Authentification multifacteur	Bloque la grande majorité des usurpations de comptes, notamment sur la messagerie
Mises à jour régulières	Corrige les failles connues exploitées par les attaquants
Gestion des arrivées et départs	Évite les comptes actifs d’anciens collaborateurs ou prestataires
Sensibilisation à l’hameçonnage	Le facteur humain reste la première porte d’entrée des attaques
Inventaire des services cloud	On ne protège bien que ce que l’on connaît
Procédure de gestion des incidents	Permet de réagir vite et de notifier une violation de données dans les délais du RGPD

Construire progressivement

Ces mesures constituent un socle. Une fois en place, l’analyse des risques permet d’identifier les mesures complémentaires utiles à votre activité : chiffrement des postes nomades, segmentation du réseau, journalisation, plan de continuité, clauses de sécurité dans les contrats fournisseurs. Cette progression évite de s’épuiser sur des mesures secondaires tout en laissant des failles majeures ouvertes.

Mettre en place un SMSI en 7 étapes

La mise en place d’un SMSI suit une démarche structurée, qui ressemble à celle des autres normes de management, avec une place centrale pour l’analyse des risques. Pour une PME, il faut généralement compter de 6 à 12 mois entre le lancement et la certification, selon le périmètre et la maturité de départ.

Voici les étapes que nous suivons avec nos clients.

Les étapes

1. Définir le périmètre : activités, sites, systèmes et services couverts. Un périmètre bien choisi (par exemple, le service vendu aux clients qui exigent la certification) simplifie fortement le projet.
2. Analyser le contexte : enjeux, parties intéressées, exigences légales et contractuelles (RGPD, clauses clients).
3. Apprécier les risques : inventaire des actifs, scénarios de menaces, évaluation, choix du traitement.
4. Rédiger la déclaration d’applicabilité et le plan de traitement des risques.
5. Déployer les mesures : techniques (sauvegardes, authentification forte, mises à jour) et organisationnelles (politiques, sensibilisation, gestion des incidents, fournisseurs).
6. Mesurer et auditer : indicateurs, audit interne, revue de direction.
7. Passer l’audit de certification auprès d’un organisme accrédité, en deux étapes.

Qui doit être impliqué ?

La sécurité de l’information n’est pas l’affaire du seul service informatique. La direction fixe les objectifs et accepte les risques résiduels. Les ressources humaines gèrent les arrivées, départs et sensibilisations. Les achats intègrent la sécurité dans les contrats. Chaque responsable de service connaît les informations sensibles de son activité. Exemple vécu : dans une ESN accompagnée par SMTPE, l’analyse des risques a montré que le principal scénario redouté ne venait pas d’une attaque technique, mais de l’accès non retiré d’anciens collaborateurs aux outils des clients. La correction est passée par un processus RH, pas par un nouvel outil informatique.

L’audit interne ISO 27001

Comme toutes les normes de management, l’ISO 27001 exige un audit interne régulier. C’est l’étape qui permet de vérifier que le SMSI est conforme, que les mesures déclarées sont réellement appliquées et que l’entreprise est prête pour l’audit de certification. L’auditeur ne se contente pas de lire les politiques : il vérifie sur le terrain que les comptes sont revus, que les sauvegardes sont testées, que les incidents sont enregistrés.

Pour être efficace, l’audit interne doit être réalisé par une personne compétente et indépendante des activités auditées.

Ce que l’auditeur vérifie en priorité

• La cohérence entre l’analyse des risques, la déclaration d’applicabilité et les mesures réellement en place.
• La gestion des accès : attribution, revue périodique, retrait au départ des collaborateurs.
• Les sauvegardes et leurs tests de restauration.
• La gestion des incidents de sécurité et des violations de données.
• La maîtrise des fournisseurs et des services cloud.
• La sensibilisation du personnel.

SMTPE réalise des audits internes et de pré-certification ISO 27001 pour des entreprises de toute la France. Le déroulement d’un audit et les points de préparation sont détaillés dans notre guide pour préparer un audit de certification ISO.

Les erreurs fréquentes

Les projets ISO 27001 échouent rarement pour des raisons techniques. Ils échouent parce que le SMSI reste théorique, trop large ou porté par une seule personne. Voici les erreurs que nous relevons le plus souvent en audit.

Elles se corrigent facilement lorsqu’elles sont identifiées tôt.

Les erreurs de conception

• Un périmètre trop large dès le départ, qui rend le projet ingérable.
• Une analyse de risques générique, copiée d’un modèle, sans lien avec les activités réelles.
• Une déclaration d’applicabilité qui affirme des mesures non mises en œuvre.

Les erreurs de fonctionnement

• Une sécurité confiée au seul informaticien, sans implication de la direction.
• Des sauvegardes jamais testées : la restauration échoue le jour où elle est nécessaire.
• Des fournisseurs oubliés, notamment les services cloud et les prestataires informatiques.
• Une sensibilisation ponctuelle, au lieu d’une démarche régulière.

Intégrer plutôt qu’empiler

Pour les entreprises déjà certifiées ISO 9001, l’ISO 27001 s’intègre naturellement dans un système de management intégré : même revue de direction, même gestion documentaire, mêmes audits internes. C’est la solution la plus efficace pour éviter les doublons. Un consultant maîtrisant les deux normes facilite cette intégration.

Faire vivre le SMSI après la certification

Un SMSI n’est jamais terminé. Les menaces évoluent, l’entreprise change d’outils, de prestataires et de collaborateurs. Pour rester efficace et réussir les audits de surveillance annuels, il faut revoir l’analyse des risques au moins une fois par an et à chaque changement important, suivre quelques indicateurs simples (taux de comptes revus, tests de restauration réussis, incidents traités, participation aux sensibilisations), et présenter ces résultats en revue de direction. C’est cette régularité qui transforme une certification en véritable protection.

Questions fréquentes

La certification ISO 27001 rend-elle conforme au RGPD ?

Non, pas à elle seule. Elle couvre la sécurité des données, qui est une partie importante du RGPD, mais pas les autres obligations : base légale des traitements, information des personnes, exercice des droits, durées de conservation. Un SMSI facilite toutefois grandement la démonstration de conformité sur le volet sécurité.

Une PME peut-elle être certifiée ISO 27001 ?

Oui. La norme s’adapte à toutes les tailles d’organisation, grâce à l’approche par les risques et au choix du périmètre. Beaucoup de PME du numérique se font certifier pour répondre aux exigences de leurs clients.

Combien de temps faut-il pour être certifié ?

Pour une PME, comptez généralement de 6 à 12 mois. Le SMSI doit avoir fonctionné suffisamment longtemps pour produire des preuves : revues des accès, tests de sauvegarde, audit interne, revue de direction.

Faut-il un logiciel spécifique ?

Non. Un SMSI peut fonctionner avec des outils simples. Un logiciel de gestion peut faciliter le suivi des risques, des mesures et des actions, mais il n’est pas exigé par la norme.

Qui doit piloter le SMSI dans l’entreprise ?

Un responsable de la sécurité de l’information doit être désigné, mais il n’a pas besoin d’être informaticien. Dans une PME, ce rôle est souvent confié au responsable qualité, au directeur administratif ou à un membre de la direction, appuyé par le prestataire informatique pour les mesures techniques. L’essentiel est qu’il dispose du temps et de l’autorité nécessaires.

Faut-il un délégué à la protection des données ?

Le RGPD impose la désignation d’un délégué à la protection des données dans certains cas seulement, notamment pour les organismes publics et pour les traitements à grande échelle de données sensibles ou de suivi des personnes. Dans les autres cas, elle reste recommandée. Le délégué et le responsable du SMSI travaillent en étroite collaboration.

Le télétravail est-il couvert par l’ISO 27001 ?

Oui. La version 2022 contient une mesure spécifique au travail à distance : sécurisation des postes, des connexions, des documents et des échanges. C’est un point souvent examiné en audit dans les entreprises de services.

L’ISO 27001 est-elle obligatoire avec NIS 2 ?

Non. NIS 2 impose des mesures de cybersécurité, pas une certification. L’ISO 27001 reste un cadre reconnu pour les organiser. En France, la loi de transposition n’est pas encore adoptée.

Conclusion

L’ISO 27001 organise la sécurité de toutes les informations de l’entreprise grâce à un SMSI fondé sur l’analyse des risques. Elle ne remplace pas le RGPD, mais elle fournit une grande partie des preuves attendues sur la sécurité des données personnelles. Elle prépare aussi l’entreprise aux obligations de la directive NIS 2, dont la transposition française est toujours en attente.

Pour réussir, choisissez un périmètre pertinent, impliquez la direction et les métiers, testez réellement vos mesures et faites auditer votre système avant la certification. Les consultants SMTPE vous accompagnent à chaque étape, de la définition du périmètre jusqu’à l’audit de certification, puis dans le suivi de votre système au fil des années.