Mettre en place un SMSI ISO 27001 en dix étapes

La sécurité doit pouvoir se démontrer

Environ 15 000 entités françaises seraient potentiellement concernées par NIS 2, selon une estimation de l’ANSSI (ANSSI). Pour le responsable de la sécurité des systèmes d’information (RSSI), cette pression réglementaire renforce une exigence : démontrer que les risques sont identifiés, que les décisions sont assumées et que les mesures fonctionnent. Être assujetti à cette directive ne signifie toutefois pas devoir obtenir une certification ISO 27001.

Passer des outils aux décisions traçables

Votre organisation dispose peut-être déjà de dispositifs de protection, de sauvegardes et d’une supervision opérationnelle. Pourtant, les responsabilités restent réparties entre équipes, les dérogations dorment dans des échanges de courriels et les preuves dépendent de la disponibilité d’un administrateur. Le problème n’est pas seulement technique : personne ne peut reconstituer aisément qui a accepté quel risque, sur quelle base et avec quelle échéance.

Lors d’un comité de direction, vous devez justifier le maintien en production d’une application métier dont la restauration n’a pas été testée. Face à la demande de report du directeur des opérations, vous faites formaliser l’acceptation temporaire du risque, désignez le responsable du test et fixez une échéance. La décision devient traçable, mais sa clôture reste conditionnée à une preuve de restauration exploitable.

Distinguer pilotage, conformité et certification

Un système de management de la sécurité de l’information (SMSI) organise ce passage à une sécurité gouvernée. Il faut cependant distinguer les finalités :

Démarche	Ce qu’elle établit	Limite à retenir
SMSI	Une organisation du pilotage des risques, des contrôles et de l’amélioration continue.	Son existence ne prouve pas le respect de toutes les obligations légales.
Conformité réglementaire	Le respect des obligations applicables à l’entité et à ses activités.	Elle exige une analyse juridique et des preuves adaptées à chaque obligation.
Certification ISO 27001 de l’organisation	Une évaluation indépendante de la conformité du SMSI à la norme, sur un périmètre défini.	Elle ne couvre pas automatiquement toute l’organisation ni toute sa conformité réglementaire.

ISO 27001 ne suffit donc pas à démontrer toute la conformité à NIS 2 ou à DORA, applicable depuis le 17 janvier 2025 (Règlement DORA, EUR-Lex). L’analyse des obligations de conformité à DORA doit rester un chantier explicite, articulé avec le SMSI.

Construire une feuille de route vérifiable

Ce guide propose une démarche structurée pour votre SMSI. Chaque étape associe un responsable, un livrable et un critère de validation : vous pourrez ainsi soumettre les arbitrages à la direction, vérifier les résultats et présenter des preuves exploitables, plutôt qu’une simple liste d’actions déclarées terminées.

Qu'est-ce qu'un SMSI ISO 27001 ?

Un cadre de pilotage des risques, pas un inventaire technique

Un système de management de la sécurité de l'information (SMSI) organise la manière dont votre entreprise identifie, traite et surveille ses risques de sécurité. Son objectif : préserver la confidentialité, l'intégrité et la disponibilité des informations dans un périmètre défini. Pour vous, RSSI, il relie les enjeux métier aux responsabilités, aux décisions de traitement et aux preuves d'efficacité.

Le SMSI n'est donc ni un catalogue d'outils ni une simple politique documentaire. Il suppose une gouvernance, des ressources, une évaluation des résultats et une amélioration continue. Une procédure publiée ne prouve pas que le risque est maîtrisé.

Comment articuler exigences et mesures de sécurité ?

L'annexe A contient 93 mesures de référence (ISO, ISO/IEC 27001:2022). Elle sert à vérifier que votre traitement des risques n'omet aucune mesure nécessaire, sans imposer leur déploiement indifférencié.

Composante	Fonction	Traduction opérationnelle
Exigences du système de management	Structurer le pilotage du SMSI	Définir le périmètre, apprécier les risques, auditer et améliorer le dispositif
Mesures de référence de l'annexe A	Éclairer le choix des protections	Vérifier la couverture des risques et justifier les mesures retenues

Ces mesures relèvent de 4 thèmes : organisationnel, humain, physique et technologique (ISO, ISO/IEC 27001:2022 et ISO/IEC 27002:2022). Ils couvrent notamment les responsabilités, la sensibilisation, la protection des locaux et la gestion des accès. La sélection découle des risques et des exigences légales, réglementaires ou contractuelles applicables ; des mesures complémentaires peuvent être nécessaires.

Lors d'une revue des accès, vous découvrez qu'un prestataire conserve un compte actif sur l'application de paie après sa mission. Vous arbitrez en faveur d'une révocation immédiate et d'un processus de départ coordonné avec les achats, plutôt que du seul ajout d'un outil de surveillance. La correction devient ainsi une responsabilité opérationnelle vérifiable.

La déclaration d'applicabilité rend vos choix traçables

La déclaration d'applicabilité formalise les mesures nécessaires, la justification de leur inclusion et leur état de mise en œuvre. Elle justifie également les exclusions des mesures de l'annexe A. Ce document doit rester cohérent avec l'appréciation des risques et le plan de traitement : une mesure retenue mais non déployée doit être présentée comme telle.

Pour structurer votre montée en compétence sur cette démarche, notre guide consacré à la formation et à la certification ISO 27001 apporte un éclairage complémentaire. L'enjeu reste de pouvoir expliquer chaque choix de protection et d'en démontrer l'application.

Pourquoi revoir votre démarche SMSI en 2026

Votre système de management de la sécurité de l'information (SMSI) doit refléter vos risques actuels, pas seulement conserver une documentation historiquement acceptable. L'échéance de migration des certificats délivrés sur l'ancienne version était fixée au 31 octobre 2025 (PECB, informations de transition ISO/IEC 27001:2022). Réutiliser un modèle non actualisé expose donc votre organisation à des angles morts : périmètre incomplet, responsabilités imprécises et mesures dont la justification ne correspond plus aux usages réels.

Revalider les justifications, pas seulement les références

L'ancienne annexe A comportait 114 mesures (ISO, ancienne édition ISO/IEC 27001:2013). Sa restructuration ne se traite pas par une substitution automatique de références dans votre déclaration d'applicabilité. Une correspondance documentaire peut faciliter la reprise ; elle ne démontre ni la pertinence d'une mesure ni son efficacité.

Repartez de l'appréciation des risques et du plan de traitement. Pour chaque mesure nécessaire, vérifiez sa justification, son responsable, son état de mise en œuvre et les preuves disponibles. Examinez aussi les exclusions : l'absence d'incident ne suffit pas à les défendre. L'annexe A reste une référence de contrôle, non un substitut à l'analyse des risques.

Confronter le SMSI aux usages réellement observés

Les fournisseurs cloud, les usages d'intelligence artificielle (IA), les informations confidentielles et le travail à distance déplacent les frontières opérationnelles de la sécurité. Identifiez les données traitées, les accès administrateurs, les engagements contractuels et les dépendances critiques, notamment lorsqu'une restauration dépend elle-même d'un prestataire indisponible.

Supposons que votre direction commerciale utilise un assistant IA connecté à son espace documentaire cloud pour préparer des réponses aux appels d'offres. Vous arbitrez entre autoriser cette connexion et limiter temporairement l'usage à des contenus expurgés, faute de garanties suffisantes sur les accès et la conservation. Cette restriction documentée protège les dossiers clients tout en donnant aux achats des exigences précises à négocier.

Pour cadrer ces usages, une politique opérationnelle doit préciser quelles données confidentielles peuvent entrer dans un prompt, avec des règles d'autorisation et d'escalade compréhensibles.

Rendre les bénéfices vérifiables en audit

Le résultat attendu n'est pas une promesse de rentabilité abstraite. Vous devez pouvoir retrouver un arbitrage et son approbateur, présenter les exigences de sécurité acceptées par un fournisseur, puis accéder aux preuves d'application sans dépendre d'une boîte mail individuelle. Reliez chaque risque traité aux décisions, aux mesures et aux éléments de contrôle : cette chaîne rend votre démarche explicable à la direction et vérifiable par l'auditeur.

Les dix étapes pour mettre en place votre SMSI

Cadrer les décisions avant de déployer

Votre système de management de la sécurité de l'information (SMSI) doit relier chaque risque à une décision, un responsable et une preuve vérifiable.

RSSI d'un éditeur SaaS, vous découvrez que le support exporte des données clients vers un outil externe. Vous arbitrez avec la direction son inclusion dans le périmètre et formalisez les responsabilités du fournisseur. Cette décision évite de sécuriser l'hébergement en laissant une dépendance critique hors analyse.

Franchir chaque étape sur preuve

Le tableau constitue une séquence de validation, pas un calendrier universel. Les retours d'exploitation peuvent imposer de réviser le périmètre ou l'appréciation des risques.

Étape	Responsable	Livrable	Dépendance	Critère de validation
Analyser le contexte	RSSI et métiers	Contexte, parties intéressées, exigences applicables	Orientations stratégiques	Exigences confirmées par leurs référents
Définir le périmètre	RSSI	Périmètre justifié, interfaces et dépendances	Contexte analysé	Exclusions justifiées, interfaces couvertes
Engager la direction	Direction	Politique, responsabilités et gouvernance validées	Périmètre défini	Engagement et ressources actés
Cartographier	Métiers et DSI	Inventaire des informations, actifs, processus et dépendances	Responsabilités attribuées	Propriétaires identifiés
Apprécier les risques	RSSI et propriétaires	Méthode, critères, registre des risques	Inventaire validé	Critères définis avant évaluation
Décider du traitement	Propriétaires des risques	Plan de traitement, déclaration d'applicabilité	Risques évalués	Traitement approuvé, risques résiduels acceptés, décisions tracées
Déployer et former	Responsables des mesures	Mesures opérationnelles, documentation maîtrisée, compétences démontrées	Traitement approuvé	Preuves de mise en œuvre vérifiées
Exploiter et mesurer	RSSI et opérations	Preuves de fonctionnement, indicateurs, suivi des incidents	Mesures déployées	Efficacité évaluée selon les objectifs
Auditer et revoir	Auditeur impartial et direction	Audit interne, revue de direction	Résultats d'exploitation disponibles	Constats examinés, décisions documentées
Corriger et décider	Responsables concernés et direction	Corrections, actions correctives, décision de certification	Constats analysés	Efficacité vérifiée avant clôture

Organiser la montée en compétence

Ces durées concernent exclusivement la formation, jamais le déploiement du SMSI.

Formation Elitek	Durée
ISO 27001 Foundation	14 h (fiche formation Elitek, fournie, fiche pecb-iso-27001-foundation)
ISO 27001 Lead Implementer	35 h (fiche formation Elitek, fournie, fiche pecb-iso-27001-lead-implementer)

Complétez cette préparation par une sensibilisation cybersécurité des salariés adaptée aux activités exposées. Vérifiez les comportements en situation : une présence en formation ne démontre pas, seule, la compétence.

Enfin, distinguez correction immédiate et action corrective sur la cause : leur efficacité conditionne la clôture des non-conformités, sans rendre obligatoire une certification externe.

Quel budget prévoir et comment financer les compétences ?

Construire un budget par poste, sans masquer le temps interne

Pour un responsable de la sécurité des systèmes d'information (RSSI), le budget du système de management de la sécurité de l'information (SMSI) doit relier chaque dépense à un livrable, un responsable et une échéance. Un montant global sans périmètre ni diagnostic d'écart serait trompeur.

• Temps interne : pilotage, analyse des risques, rédaction documentaire, collecte des preuves et mobilisation des responsables métiers.
• Remédiation : correction des écarts techniques et organisationnels, avec priorisation selon les risques.
• Prestations éventuelles : accompagnement méthodologique, expertise ciblée ou audit interne indépendant des activités examinées.
• Outillage utile : gestion documentaire, suivi des actions et conservation des preuves ; vérifiez les capacités existantes avant tout achat.
• Formation et certification : développement des compétences, examen individuel éventuel et audit de certification de l'organisation, à budgéter séparément.

Distinguer formation, examen individuel et audit de l'organisation

Les tarifs vérifiés de la formation Elitek ISO 27001 Lead Implementer constituent un poste identifié, pas une estimation du coût total du SMSI.

Modalité	Tarif de formation	Examen PECB
Formation Elitek	2 990 € TTC (source : fiche formation Elitek, fournie, fiche pecb-iso-27001-lead-implementer)	Non inclus, sur devis
Option e-learning Elitek	1 290 € TTC (source : grille Elitek vérifiée fournie)	Non inclus, sur devis

L'examen PECB concerne la certification d'une personne. Ses frais ne couvrent pas l'audit du SMSI : le devis de certification de l'organisation doit être demandé séparément à un organisme certificateur, sur la base du périmètre retenu.

Faire financer une compétence nécessaire au projet

L'entreprise peut mobiliser son plan de développement des compétences. Une prise en charge par son opérateur de compétences (OPCO) reste soumise aux critères applicables, aux enveloppes disponibles et à l'accord préalable ; ne présumez pas d'une éligibilité au compte personnel de formation (CPF).

En comité budgétaire, votre direction financière demande de reporter la formation pour préserver l'achat d'un outil documentaire. Vous montrez que l'outil existant permet déjà de tracer les validations, tandis que l'analyse des risques manque de pilote autonome. L'arbitrage peut alors financer la compétence manquante et différer l'acquisition.

Pour négocier votre formation avec votre employeur, joignez au dossier les compétences visées, les livrables attendus, le calendrier, le devis et les modalités de transfert aux équipes. Vous présentez ainsi une dépense directement rattachée à l'exécution du projet.

Comment Elitek vous aide à piloter la mise en œuvre

Relier la formation aux livrables de votre feuille de route

La formation ISO 27001 Lead Implementer proposée par Elitek prépare le responsable de la sécurité des systèmes d'information (RSSI) à piloter un système de management de la sécurité de l'information (SMSI). Elle vise à structurer votre démarche : cadrage, appréciation des risques, traitement, documentation et amélioration continue. Elle ne constitue ni une prestation de déploiement du SMSI ni un audit de certification de votre organisation.

Avant inscription, demandez un programme détaillé et faites préciser les ateliers pratiques, les modalités pédagogiques et les échanges prévus avec le formateur certifié. Reliez chaque séquence aux livrables attendus : périmètre documenté, méthode d'appréciation des risques, déclaration d'applicabilité, plan de traitement et indicateurs. Vérifiez notamment comment le stagiaire pourra travailler sur un cas contextualisé, sans exposer d'informations confidentielles.

Vous devez présenter au comité de direction un périmètre couvrant une plateforme client, mais la responsabilité des services externalisés reste floue. Vous recherchez donc un atelier permettant de clarifier les interfaces et les responsabilités, plutôt qu'une simple présentation documentaire. Cet arbitrage vous aide à préparer une décision de périmètre défendable devant le sponsor.

Distinguer les résultats attendus et les certifications

Objet	Portée	Limite à retenir
Réussite à l'examen	Validation des connaissances et compétences évaluées	Elle ne suffit pas à obtenir automatiquement le titre Lead.
Certification individuelle PECB	Reconnaissance du professionnel selon les critères applicables	Le titre délivré dépend aussi de l'expérience justifiée.
Certification de l'organisation	Évaluation de la conformité du SMSI sur son périmètre	Elle relève d'un audit distinct par un organisme certificateur.

L'examen dure 3 heures et se déroule à livre ouvert, dans les limites des documents autorisés (PECB, exigences d'examen ISO/IEC 27001 Lead Implementer). Pour le niveau Lead, les conditions comprennent 5 ans d'expérience professionnelle, dont 2 ans en sécurité de l'information (PECB, conditions de certification ISO/IEC 27001 Lead Implementer), ainsi que 300 heures d'activités liées au SMSI (PECB, conditions de certification ISO/IEC 27001 Lead Implementer). Faites confirmer le titre accessible au regard de votre dossier et des critères PECB applicables.

Préparer une demande adaptée à votre mandat

Faites d'abord valider le périmètre et le sponsor, puis identifiez les compétences manquantes dans votre équipe. Appuyez votre demande de programme et de devis pour la formation ISO 27001 Lead Implementer sur ces écarts, vos livrables prioritaires et vos contraintes de disponibilité : vous pourrez ainsi vérifier l'adéquation pédagogique avant de vous engager.

FAQ

Combien de temps faut-il pour déployer un SMSI ?

La durée dépend du périmètre, de la maturité des pratiques, des ressources disponibles et des écarts à traiter. Un système déjà documenté ne demande pas le même effort qu'une organisation sans inventaire ni gouvernance des risques. Commencez par un diagnostic et construisez le calendrier à partir des livrables et de leurs dépendances. Prévoyez aussi le temps nécessaire pour produire des preuves de fonctionnement, réaliser l'audit interne et tenir la revue de direction avant une éventuelle certification.

Quels documents préparer en priorité pour un SMSI ?

Préparez d'abord le périmètre du SMSI, la politique de sécurité, les responsabilités et la méthode d'appréciation des risques. Constituez ensuite les résultats de cette appréciation, le plan de traitement et la déclaration d'applicabilité. Ajoutez les objectifs, les informations documentées nécessaires aux activités et les preuves de leur fonctionnement. Les résultats de surveillance, d'audit interne, de revue de direction et de traitement des non-conformités complètent cet ensemble. La documentation doit rester proportionnée aux besoins, sans transformer le projet en accumulation de modèles.

Toutes les mesures de l'annexe A sont-elles obligatoires ?

L'annexe A est un ensemble de mesures de référence, pas une liste à appliquer indistinctement. L'organisation détermine les mesures nécessaires à partir de ses risques et de ses obligations, puis vérifie qu'aucune mesure pertinente n'a été oubliée. La déclaration d'applicabilité documente les mesures nécessaires, leur justification et leur état de mise en œuvre, ainsi que les exclusions justifiées de l'annexe A. Des mesures supplémentaires peuvent être nécessaires. Une exclusion ne peut donc pas reposer uniquement sur une contrainte budgétaire.

La méthode EBIOS Risk Manager est-elle imposée par ISO 27001 ?

Non, ISO 27001 n'impose pas une méthode d'analyse de risques nommée. Elle demande un processus défini, cohérent et capable de produire des résultats valides et comparables. EBIOS Risk Manager, proposée par l'ANSSI, peut contribuer à cette démarche si elle est adaptée au contexte et articulée avec les exigences du SMSI. Le RSSI doit notamment formaliser les critères d'appréciation et d'acceptation, identifier les propriétaires des risques et conserver les résultats ainsi que les décisions de traitement.

Un RSSI peut-il réaliser lui-même l'audit interne du SMSI ?

L'audit interne doit préserver l'objectivité et l'impartialité du processus. Un RSSI qui a conçu et pilote les dispositifs examinés risque de se retrouver en situation d'autoévaluation. Selon l'organisation, vous pouvez mobiliser un auditeur interne indépendant des activités auditées, organiser un audit croisé ou recourir à un prestataire compétent. L'enjeu est de démontrer cette impartialité et la compétence de l'auditeur. L'audit interne reste distinct de l'audit réalisé par l'organisme chargé de certifier l'organisation.

La certification PECB Lead Implementer certifie-t-elle l'entreprise ?

Non. La certification PECB Lead Implementer concerne une personne et ses compétences, selon les exigences d'examen et d'expérience applicables. La certification ISO 27001 de l'organisation porte sur son SMSI, dans un périmètre défini, après évaluation par un organisme certificateur. Former votre RSSI aide à structurer le projet, mais ne remplace ni les mesures opérationnelles ni les preuves attendues. Les frais de formation, d'examen individuel et d'audit de certification de l'organisation doivent donc être distingués dans votre budget.