Période finale du calendrier de transition ISO/IEC 27001:2022
La période durant laquelle les organismes certifiés selon la révision de 2013 doivent achever leurs audits de transition.
L'ISO/IEC 27001:2022 a réorganisé l'ensemble des mesures du système de management de la sécurité de l'information : les mesures ont été regroupées sous quatre thèmes et des sujets de menace actuels ont été ajoutés. Pour les organisations certifiées, la transition ne consiste pas à reconstruire le système mais à faire correspondre l'ensemble des mesures à la nouvelle structure.
Au cœur de la transition se trouve la mise à jour de la Déclaration d'applicabilité (SoA) : la raison pour laquelle chaque mesure est appliquée ou non est rejustifiée au regard de la nouvelle structure. L'évaluation des risques constitue la base de cette justification.
Lorsque la période de transition expire, les certificats délivrés selon l'ancienne édition perdent leur validité. Pour les organisations laissées à la dernière période, le goulot d'étranglement est généralement le rendez-vous d'audit plutôt que la documentation.
La fenêtre de transition s'est refermée
La période définie par l'IAF MD 26 pour la transition vers l'ISO/IEC 27001:2022 était de 36 mois, et cette fenêtre s'est refermée : les certificats ISO/IEC 27001:2013 sans transition achevée devaient expirer ou être retirés après le 31 octobre 2025.
Autrement dit, un certificat valide de système de management de la sécurité de l'information doit aujourd'hui être délivré selon l'ISO/IEC 27001:2022. Un certificat faisant référence à l'édition de 2013 n'est pas considéré comme une preuve de conformité actuelle.
Le calendrier comportait aussi des jalons intermédiaires : le fait que les organismes d'accréditation soient prêts à évaluer l'édition de 2022, et que les organismes de certification commencent à réaliser la certification initiale et la recertification uniquement selon l'édition de 2022, faisaient partie de ce processus.
Ce que fait une organisation ayant manqué la transition
Un certificat expiré ne peut être sauvé par une « transition » ; le processus se déroule comme une nouvelle certification. Cela signifie un cycle d'audit complet plutôt qu'un audit de surveillance, et un calendrier plus long.
Pendant ce temps, le volet commercial continue de fonctionner : présenter un certificat périmé comme s'il était valide entraîne un échec dans la diligence raisonnable du client, des litiges contractuels et des problèmes dans l'évaluation des fournisseurs.
La structure introduite par l'édition de 2022
La révision de 2022 a réorganisé les mesures de l'Annexe A : les mesures ont été regroupées sous quatre thèmes et de nouvelles mesures ont été ajoutées. La Déclaration d'applicabilité (SoA) doit être reconstruite selon cette nouvelle structure.
En pratique, la partie la plus difficile n'est pas de faire correspondre les mesures existantes à la nouvelle numérotation, mais d'établir une pratique réellement opérationnelle pour les mesures nouvellement ajoutées. La correspondance est un exercice de tableau ; la mise en œuvre est un exercice de processus.
Ce qu'un système de management de la sécurité de l'information garantit
Un certificat de système de management de la sécurité de l'information ne montre pas que l'organisation ne subira jamais de violation ; il montre que l'organisation connaît ses actifs informationnels, a évalué ses risques et exploite les contrôles qu'elle a choisis.
Le cœur du système est l'évaluation des risques et la sélection des mesures. La liste des mesures figurant en annexe de la norme n'est pas une liste d'obligations : l'organisation décide, sur la base de son évaluation des risques, quelles mesures appliquer et rédige la justification pour celles qu'elle n'applique pas.
Ce document de justification est le point le plus scruté lors d'un audit : ne pas appliquer une mesure n'est pas un défaut ; la laisser sans justification en est un.
Que faire dans la dernière période d'une transition
Dans la dernière période d'une transition, deux risques entrent en jeu ensemble : le calendrier de l'auditeur se resserre et le temps restant pour clôturer une non-conformité constatée diminue. Lorsque les deux se combinent, la validité du certificat peut être interrompue.
Le travail à effectuer dans cette dernière période n'est donc pas de lancer un nouvel exercice, mais d'abord d'établir clairement la situation actuelle : quelles clauses sont satisfaites, quels enregistrements manquent, et quand un rendez-vous d'audit peut être obtenu.
La réorganisation de l'ensemble des mesures est la tâche la plus visible de la transition : les mesures sont mises en correspondance avec le nouveau regroupement et la déclaration d'applicabilité est renouvelée selon cette structure. Techniquement, il s'agit d'un exercice de correspondance ; les mesures elles-mêmes n'ont pas besoin d'être reconstruites.
Que faire ?
- 1Vérifiez la date de validité de votre certificat et le temps de transition restant.
- 2Réorganisez la DdA selon la nouvelle structure de mesures.
- 3Prenez rendez-vous tôt pour votre audit de transition.
Cet article est fourni à titre informatif et ne constitue pas un avis juridique. La manière dont une réglementation s'applique à votre produit dépend des caractéristiques techniques du produit et du marché cible ; le champ d'application exact ne peut être déterminé qu'en examinant le produit.