ISO 27001:2022 - Les 5 changements majeurs

ISO 27001:2022 : cinq changements majeurs à maîtriser en 2026

La version ISO/IEC 27001:2022 n'est plus un chantier de transition à programmer. En novembre 2026, l'enjeu consiste à faire fonctionner un système de management de la sécurité de l'information, ou SMSI, conforme à cette édition et capable de démontrer son efficacité.

La transition depuis ISO/IEC 27001:2013 s'est terminée le 31 octobre 2025, conformément au document IAF MD 26. Un certificat mentionnant encore uniquement l'édition 2013 doit donc conduire à vérifier sa situation auprès de l'organisme certificateur, pas à supposer que la période transitoire continue.

Voici les cinq évolutions à examiner, avec leurs conséquences concrètes pour les responsables sécurité, les pilotes de processus et la direction.

1. Une Annexe A réorganisée en quatre thèmes

Le référentiel passe de 114 à 93 mesures de sécurité, réparties en quatre ensembles :

• Mesures organisationnelles : 37.
• Mesures liées aux personnes : 8.
• Mesures physiques : 14.
• Mesures technologiques : 34.

Cette réduction du nombre de références ne signifie pas une diminution équivalente du travail. Des mesures ont été fusionnées ou actualisées. Une même référence peut désormais couvrir plusieurs pratiques auparavant suivies séparément.

Établissez une correspondance entre les anciennes références, les mesures actuelles et vos pratiques. Pour chaque mesure, identifiez un responsable, un état de mise en œuvre et les preuves associées. Vérifiez surtout que les regroupements n'ont pas fait disparaître une activité utile.

La déclaration d'applicabilité, ou DdA, doit présenter les mesures nécessaires, justifier leur inclusion et indiquer leur mise en œuvre. Elle doit également justifier les exclusions de mesures de l'Annexe A. Un tableau prérempli ne remplace pas ce raisonnement.

Le choix découle du traitement des risques. L'Annexe A sert de référence pour vérifier qu'aucune mesure nécessaire n'a été oubliée ; elle n'impose pas un déploiement uniforme des 93 mesures. Des mesures supplémentaires peuvent aussi être nécessaires selon votre contexte.

2. Onze nouvelles mesures à traduire en pratiques opérationnelles

Les nouvelles mesures concernent le renseignement sur les menaces, les services cloud, la préparation des TIC à la continuité d'activité, la surveillance de la sécurité physique, la gestion des configurations, la suppression d'informations, le masquage des données, la prévention des fuites, les activités de surveillance, le filtrage web et le codage sécurisé.

Leur intérêt ne se limite pas à enrichir une politique. Pour les mesures applicables, cherchez une activité observable :

• Menaces : sélectionner des sources pertinentes, analyser les informations et déclencher une action lorsque l'organisation est exposée.
• Cloud : clarifier les responsabilités, les conditions d'utilisation et la sortie du service.
• Suppression : organiser l'effacement lorsque les besoins de conservation prennent fin, y compris chez les prestataires concernés.
• Codage sécurisé : relier les règles de développement aux revues, tests et corrections réalisés.

Attention au vocabulaire : le masquage n'est pas nécessairement une anonymisation. Il peut cacher certaines valeurs sans empêcher toute identification. Il ne permet donc pas d'affirmer automatiquement que les données sortent du champ du RGPD.

Pour chaque mesure, posez trois questions : qui en répond, comment fonctionne-t-elle et quelle preuve permet de le vérifier ? Cette grille évite les dispositifs décrits sur le papier mais impossibles à expliquer pendant un audit.

3. Un contexte et des exigences des parties intéressées mieux explicités

L'analyse du contexte existait déjà dans l'édition précédente. Il serait inexact de la présenter comme une obligation entièrement nouvelle de 2022.

La clause 4.2(c) apporte une précision : déterminer quelles exigences des parties intéressées seront traitées par le SMSI. Il ne suffit donc pas de dresser une liste de clients, autorités et fournisseurs. Reliez leurs exigences pertinentes à des décisions et à des processus.

Une exigence client sur les accès doit, par exemple, se retrouver dans les règles d'habilitation et leur contrôle. Une dépendance envers un prestataire peut alimenter l'analyse de risques et les dispositions de continuité.

Il faut également intégrer une évolution postérieure : l'amendement ISO/IEC 27001:2022/Amd 1:2024. Celui-ci demande de déterminer si le changement climatique constitue un enjeu pertinent et rappelle que les parties intéressées peuvent avoir des exigences liées au climat.

Pour un SMSI, examinez notamment les dépendances aux locaux, à l'électricité ou aux communications. Il ne s'agit pas d'imposer automatiquement un programme environnemental distinct. Conservez une conclusion argumentée, adaptée aux risques de sécurité de l'information.

4. Une planification explicite des changements du SMSI

La clause 6.3 exige que les changements du SMSI soient réalisés de manière planifiée. Elle ne se résume pas à la gestion technique des changements informatiques.

Lorsqu'un service critique migre vers le cloud, vérifiez les conséquences sur le périmètre, les responsabilités, les fournisseurs, les risques et la documentation. Une migration correctement exécutée peut tout de même laisser un SMSI incohérent si ces éléments restent inchangés.

Une fiche de changement peut préciser :

• Le besoin et le résultat attendu.
• Les processus et actifs concernés.
• Les risques, dépendances et ressources nécessaires.
• Le responsable, les modalités de réalisation et les vérifications prévues.

Reliez cette fiche à votre analyse de risques. Après réalisation, contrôlez que les pratiques, la DdA et les documents décrivent bien la même situation.

5. Des processus et un pilotage dont il faut démontrer l'efficacité

L'engagement de la direction n'apparaît pas avec l'édition 2022. Il reste néanmoins essentiel pour transformer les exigences en décisions, ressources et améliorations concrètes.

Décrivez les interactions entre processus. Une évaluation fournisseur peut produire un risque, une action contractuelle, une mesure technique et une surveillance périodique. Sans responsable pour chaque relais, le sujet risque de rester sans suite.

Privilégiez des indicateurs qui permettent d'agir. Une revue des accès en retard devient exploitable lorsque la direction connaît le périmètre touché, le risque, le pilote et la mesure de rattrapage. Un indicateur isolé ne démontre pas la maîtrise du processus.

La revue de direction doit déboucher sur des décisions suivies. L'audit interne doit tester le fonctionnement du système et pas seulement vérifier la présence de documents portant les bons titres.

Une méthode de vérification après la transition

Pour contrôler votre situation en novembre 2026 :

1. Vérifiez l'édition, le périmètre et le statut du certificat avec l'organisme certificateur.
2. Comparez la DdA aux pratiques réellement appliquées.
3. Échantillonnez les preuves des mesures nouvelles ou modifiées.
4. Réexaminez le contexte et la pertinence des enjeux climatiques.
5. Contrôlez la planification des changements importants du SMSI.
6. Intégrez les écarts aux audits internes, actions correctives et revues de direction.

Domyno associe une plateforme SaaS à un expert humain dédié : les agents préparent le travail, l'humain le valide. Le module Contrôles & conformité permet de structurer une bibliothèque commune de contrôles, les preuves, les plans d'action et la DdA.

L'objectif reste un SMSI ISO 27001 vivant, pas une simple mise à jour de références. Pour organiser cette démarche, demandez une démonstration.