La transition vers l’ISO 27001:2013 est terminée : ce que les organisations certifiées doivent faire maintenant

Pendant trois ans, les organisations certifiées ISO/IEC 27001 ont eu une échéance claire inscrite au calendrier. Cette échéance est désormais dépassée. En vertu de l’IAF MD 26, le document de transition obligatoire du Forum international de l’accréditation, les organismes de certification devaient achever la transition de leurs clients certifiés vers l’ISO/IEC 27001:2022 avant le 31 octobre 2025.

Le même document est sans équivoque sur la suite : toutes les certifications basées sur l’ISO/IEC 27001:2013 « expireront ou seront retirées à la fin de la période de transition ». En pratique, la date d’expiration imprimée sur un ancien certificat ne reflète plus la réalité.

Où en est votre organisation ?

La plupart des organisations certifiées se trouvent dans l’une des trois situations suivantes.

Vous avez effectué la transition à temps

Votre certificat fait désormais référence à l’édition 2022. Le travail n’est toutefois pas terminé. Un audit de transition confirme que les nouvelles exigences sont en place ; les audits de surveillance vérifieront si elles sont réellement appliquées dans la durée. Attendez-vous à ce que les auditeurs recherchent des preuves que les nouveaux contrôles font partie de la pratique quotidienne, et non simplement du texte des politiques.

Vous avez effectué la transition, mais dans la précipitation

Certaines organisations ont agi tardivement et comblé les lacunes avec une documentation rédigée pour l’audit. C’est un schéma courant et il est corrigible. Profitez de la période précédant votre prochaine visite de surveillance pour remplacer les contrôles sur papier par des contrôles opérationnels : désignez des responsables, recueillez des preuves selon un calendrier défini et examinez les résultats avec la direction.

Vous n’avez pas effectué la transition

Si votre certificat était toujours basé sur l’édition 2013 à l’échéance, il ne s’agit plus d’un certificat accrédité valide. Vos clients ne l’ont peut-être pas encore remarqué, mais les équipes d’approvisionnement et de gestion des risques fournisseurs, elles, vérifient. Contactez votre organisme de certification pour connaître les exigences actuelles afin d’obtenir la certification selon l’édition 2022, et informez vos principaux clients de votre démarche avant qu’ils ne vous interrogent.

N’oubliez pas l’amendement sur le climat

En février 2024, l’ISO a publié l’ISO/IEC 27001:2022/Amd 1:2024, Changements liés à l’action climatique. Selon le communiqué conjoint ISO-IAF, l’article 4.1 exige désormais que l’organisation détermine si le changement climatique constitue un enjeu pertinent, et une note ajoutée à l’article 4.2 précise que les parties intéressées concernées peuvent avoir des exigences liées au climat.

Il s’agit d’un changement mineur, mais les auditeurs poseront des questions à ce sujet. Une analyse courte et documentée suffit généralement : le changement climatique affecte-t-il vos installations, vos fournisseurs, vos régions d’hébergement ou vos engagements de disponibilité ? Si la réponse est oui, montrez comment cela s’intègre dans votre évaluation des risques. Si la réponse est non, consignez-en les raisons.

Cinq étapes pratiques pour les douze prochains mois

1. Confirmez votre certificat. Vérifiez que le certificat lui-même, ainsi que la liste publiée par votre organisme de certification, font référence à l’ISO/IEC 27001:2022. Partagez le certificat mis à jour avec les clients qui en conservent une copie.
2. Actualisez votre déclaration d’applicabilité. Assurez-vous que chaque contrôle de l’Annexe A est soit justifié comme applicable avec un responsable désigné, soit exclu avec une raison claire. Des justifications obsolètes ou copiées sont une constatation fréquente lors des audits.
3. Refaites votre évaluation des risques. Si votre dernière évaluation complète a été réalisée avant la transition, les contrôles que vous avez sélectionnés pourraient ne plus refléter les menaces, fournisseurs ou systèmes actuels.
4. Planifiez la collecte de preuves. Les revues d’accès, les revues de fournisseurs, les tests de sauvegarde et les exercices de gestion d’incidents doivent être effectués selon un calendrier, avec les résultats conservés en un seul endroit. C’est là qu’un outil de gouvernance tel que Accel GRC fait gagner du temps.
5. Testez, ne vous contentez pas de documenter. Les contrôles techniques tels que la configuration sécurisée, la journalisation et la gestion des vulnérabilités doivent être vérifiés. Un test de sécurité indépendant vous fournit des preuves solides, tant auprès des auditeurs que des clients.

Pourquoi cela compte au-delà du certificat

Les clients lisent rarement un manuel SMSI. Ils lisent le certificat, la déclaration de portée et, de plus en plus, les réponses apportées dans vos questionnaires de sécurité. Un certificat obsolète ou une portée qui ne correspond pas aux services que vous vendez crée des frictions lors des ventes et des renouvellements.

Au Canada, les organismes de certification proposant une certification accréditée ISO/IEC 27001 sont accrédités par des organismes tels que le Conseil canadien des normes. Lorsque vous partagez votre certificat, il est utile d’orienter vos clients vers la marque d’accréditation afin qu’ils puissent la vérifier eux-mêmes.

Remarque sur la portée

La transition est un bon moment pour se demander si votre portée certifiée correspond toujours à votre activité. De nouveaux produits, régions cloud, acquisitions ou fonctions externalisées peuvent se situer en dehors du périmètre initial. Étendre la portée lors de votre prochain audit est généralement plus simple que d’expliquer à un client pourquoi le service qu’il achète n’est pas couvert.

Comment nous pouvons vous aider : Ubitrak accompagne les organisations dans leur préparation à l’ISO 27001, les évaluations des écarts et les audits internes, et Accel GRC centralise les contrôles, les responsables et les preuves en un seul endroit. Consultez notre page ISO 27001, découvrez notre revue de sécurité ou notre accompagnement à la remédiation, ou contactez-nous pour discuter de votre prochain audit de surveillance.

Sources

• IAF MD 26:2023 (Édition 2), Exigences de transition pour l’ISO/IEC 27001:2022
• ISO/IEC 27001:2022/Amd 1:2024 Changements liés à l’action climatique (ISO)
• Communiqué conjoint ISO-IAF sur les ajouts liés au changement climatique (février 2024)
• ISO/IEC 27001 (ISO)
• Conseil canadien des normes – Accréditation des systèmes de management