Analyse des écarts ISO 27001 : où en est votre SMSI par rapport à la norme ?
L'analyse des écarts ISO 27001 (gap analysis ou autodiagnostic initial) compare ce que l'organisation fait déjà en sécurité de l'information avec ce qu'exige l'ISO/IEC 27001:2022. On passe en revue chaque exigence des articles 4 à 10 et chacune des 93 mesures de l'annexe A, on la classe comme satisfaite, partielle ou non satisfaite, on note la preuve disponible aujourd'hui, et l'on obtient un taux de conformité par domaine ainsi qu'une liste d'écarts qui devient le plan de projet. La norme ne l'impose pas, mais presque toutes les mises en œuvre commencent par là.
L'analyse des écarts est-elle obligatoire pour l'ISO 27001 ?
Non. Aucun article de l'ISO/IEC 27001:2022 ne demande d'analyse des écarts, et l'organisme de certification ne la contrôlera pas comme une information documentée obligatoire. Les organisations la réalisent parce qu'elle répond à trois questions avant d'engager du temps et du budget : combien manque-t-il, par quoi commencer et combien de temps le projet peut-il durer ?
Elle sert aussi de point de référence. Refaite quelques mois plus tard avec le même fichier, elle montre à la direction l'avancement du SMSI sans rapport supplémentaire. Si l'organisation applique déjà un autre système de management ISO (par exemple l'ISO 9001), plusieurs exigences des articles 4 à 10 peuvent être étendues au lieu d'être créées de zéro.
Ce qui est évalué : articles 4 à 10 et annexe A
L'autodiagnostic du kit NexoDocs (ISMS-GAP-01 Autodiagnostic des écarts) répartit la norme sur deux onglets : « Articles » et « Annexe A ». Les questions et les intitulés des mesures sont rédigés par nous et donnés à titre de référence : la norme est citée par numéro d'article et de mesure, sans en reproduire le texte.
| Partie de la norme | Ce qui est vérifié | Lignes de l'autodiagnostic |
|---|---|---|
| Article 4 · Contexte | Enjeux internes et externes (y compris la question du changement climatique de l'Amd 1:2024), parties intéressées, périmètre, système de management | 5 |
| Article 5 · Leadership | Engagement de la direction, politique de sécurité de l'information, rôles et autorités | 3 |
| Article 6 · Planification | Risques et opportunités, appréciation et traitement des risques, déclaration d'applicabilité, objectifs, modifications | 7 |
| Article 7 · Support | Ressources, compétences, sensibilisation, communication, informations documentées | 5 |
| Article 8 · Fonctionnement | Maîtrise opérationnelle, réalisation de l'appréciation et du traitement des risques | 3 |
| Article 9 · Évaluation des performances | Surveillance et mesure, programme et réalisation de l'audit interne, revue de direction | 4 |
| Article 10 · Amélioration | Amélioration continue, non-conformités et actions correctives | 2 |
| Annexe A · 93 mesures | Organisationnelles (37), liées aux personnes (8), physiques (14) et technologiques (34) | 93, avec une colonne « Applicable ? » |
Cela fait 29 questions pour les articles et 93 lignes pour les mesures. Le fichier signale par « (nouvelle en 2022) » les mesures apparues dans l'édition 2022, comme les renseignements sur les menaces (5.7), la sécurité de l'information dans l'utilisation de services en nuage (5.23), la gestion des configurations (8.9), la prévention de la fuite de données (8.12) et le codage sécurisé (8.28) : ce sont souvent les écarts les plus fréquents chez les organisations qui viennent de l'édition 2013.
Kit de documentation SMSI ISO 27001
84 fichiers pour documenter votre SMSI selon ISO/IEC 27001:2022.
Voir le kit de documentation ISO 27001 (paiement unique)Réaliser une analyse des écarts étape par étape
- Fixer un périmètre provisoire : quels processus, sites, systèmes et services sont inclus. Sans périmètre, l'évaluation mélange des éléments qui seront exclus plus tard.
- Réunir les personnes qui savent comment les choses se passent réellement : le responsable du SMSI, l'informatique, les propriétaires des principaux processus, les RH et, s'il y en a, le juridique ou la conformité.
- Dans l'onglet « Articles », choisir pour chaque question l'un des trois statuts : Satisfait, Partiel ou Non satisfait. Il n'existe pas d'option « Non applicable », car les articles 4 à 10 ne peuvent pas être exclus.
- Dans l'onglet « Annexe A », indiquer d'abord si la mesure est applicable (décision préliminaire), puis son statut. La décision définitive se prend plus tard, dans la déclaration d'applicabilité.
- Noter la preuve actuelle : document, enregistrement, ticket ou configuration. Si vous ne pouvez pas la montrer, choisissez « Partiel » même si l'activité a lieu.
- Lire la « Synthèse » : taux de conformité par domaine, exigences non encore évaluées et mesures marquées non applicables.
- Reporter les écarts en rouge dans le plan de projet avec un responsable et une date, en commençant par les articles 4 à 6, dont tout le reste dépend.
Comment la conformité est calculée
Dans le modèle, chaque ligne reçoit un score selon son statut, et le pourcentage de chaque domaine est la moyenne des lignes évaluées :
| Statut | Score | Quand l'utiliser |
|---|---|---|
| Satisfait | 100 % | Existe, est documenté lorsque c'est nécessaire et est appliqué, avec preuve |
| Partiel | 50 % | Incomplet, non documenté ou sans enregistrements pour le démontrer |
| Non satisfait | 0 % | N'est pas réalisé, ou aucune preuve |
| Non applicable (annexe A uniquement) | Exclu de la moyenne | Mesure écartée à titre provisoire, à justifier ensuite dans la déclaration d'applicabilité |
Exemple : si l'article 7 (5 questions) compte 2 Satisfait, 2 Partiel et 1 Non satisfait, le résultat est (100 + 100 + 50 + 50 + 0) / 5 = 60 %. La synthèse utilise un feu tricolore : rouge en dessous de 50 %, jaune de 50 à 79 % et vert à partir de 80 %. Les lignes non encore évaluées ne comptent pas dans le pourcentage ; c'est pourquoi la synthèse indique à part combien restent à traiter.
Que faire du résultat
- Prioriser selon les dépendances, pas selon la facilité : sans contexte (4.1), périmètre (4.3) et méthode d'appréciation des risques (6.1.2), on ne peut pas choisir correctement les mesures.
- Utiliser le statut préliminaire de l'annexe A comme brouillon de la déclaration d'applicabilité, mais le confirmer avec l'appréciation des risques.
- Regrouper les écarts en lots de travail (gouvernance, risques, politiques et mesures, personnes, fournisseurs, évaluation et amélioration) et les inscrire au plan avec des dates.
- Estimer la durée à partir du résultat : beaucoup de domaines en rouge dans les articles 4 à 10 allongent généralement plus le projet que quelques mesures techniques en attente.
- Refaire l'autodiagnostic avant l'audit de certification et le comparer avec l'audit interne (9.2) : un autodiagnostic a tendance à être optimiste.
Erreurs fréquentes
- Choisir « Satisfait » parce que « nous le faisons », sans preuve à montrer.
- Utiliser « Non applicable » pour les articles 4 à 10, qui ne peuvent pas être exclus.
- Exclure des mesures de l'annexe A par commodité, sans lien avec les risques : cela ne tiendra pas dans la déclaration d'applicabilité.
- Le faire uniquement depuis l'informatique, sans les RH, les achats ni les propriétaires de processus.
- Le laisser dans un tiroir : s'il ne devient pas un plan avec des responsables et des dates, il ne sert à rien.
Modèle : l'autodiagnostic des écarts du kit ISO 27001
Le kit ISO 27001 de NexoDocs en français comprend l'autodiagnostic ISMS-GAP-01 : un fichier Excel sans macros avec les 29 questions des articles 4 à 10 et les 93 mesures de l'annexe A déjà chargées, la preuve qu'un auditeur demande généralement et le document du kit qui couvre chaque ligne, une liste déroulante pour le statut, un score automatique et une synthèse par domaine avec feu tricolore. Il se remplit en une à deux heures. C'est la première tâche du plan de projet SMSI avec diagramme de Gantt (ISMS-PRJ-01) du même kit, et son résultat alimente l'appréciation des risques et la déclaration d'applicabilité.
Étape suivante
Essayez gratuitement ou passez directement à la solution complète.
Kit de documentation SMSI ISO 27001
84 fichiers pour documenter votre SMSI selon ISO/IEC 27001:2022.
Voir le kit de documentation ISO 27001 (paiement unique)
Échantillon gratuit
Téléchargez gratuitement une version réduite de la matrice des risques du kit (Excel, 10 scénarios, carte de chaleur ; échantillon en anglais). Voyez comment le niveau et la catégorie sont calculés avant de décider.
Télécharger l'échantillon gratuit (en anglais)Questions fréquentes
Combien de temps prend une analyse des écarts ISO 27001 ?
Remplir le modèle prend une à deux heures avec les bonnes personnes autour de la table. Rassembler et vérifier les preuves derrière chaque réponse peut demander quelques jours de plus dans une organisation de taille moyenne.
Quelle différence entre analyse des écarts et audit interne ?
L'analyse des écarts est un autodiagnostic de planification, sans format imposé. L'audit interne (article 9.2) est obligatoire, il est mené par des personnes objectives et impartiales selon un programme défini, et ses constats sont enregistrés comme non-conformités ou observations.
Est-elle utile si nous passons de l'ISO 27001:2013 ?
Oui. C'est un bon moyen de préparer la transition : le fichier signale les mesures nouvelles de l'édition 2022 et la question du changement climatique de l'amendement de 2024, qui sont ce qui manque le plus souvent.
L'analyse des écarts remplace-t-elle l'appréciation des risques ?
Non. L'analyse des écarts mesure l'état des exigences et des mesures ; l'appréciation des risques (6.1.2) est obligatoire et c'est elle qui justifie les mesures appliquées.
L'analyse des écarts couvre-t-elle aussi NIS 2 ?
Pas directement. Elle mesure l'état par rapport à l'ISO/IEC 27001:2022. Les entités visées par NIS 2 vérifient en plus les mesures de l'article 21 de la directive, dont beaucoup recoupent l'annexe A ; en France, la loi « Résilience » qui la transpose n'était pas encore adoptée par l'Assemblée nationale au 29 octobre 2026. La certification est délivrée par un organisme accrédité par le COFRAC.
Un score de 100 % garantit-il la réussite de l'audit ?
Non. La certification est décidée par un organisme de certification après son audit ; l'analyse des écarts est un autodiagnostic qui organise le travail et montre l'avancement.
Guides associés
Documents obligatoires ISO 27001:2022 : la liste par article
Les informations documentées exigées par l'ISO/IEC 27001:2022, article par article (politique, risques, DdA, objectifs, audit), et les documents de l'annexe A.
Lire le guide →Analyse des risques ISO 27001 : que doit contenir la matrice ?
Ce que l'ISO/IEC 27001:2022 exige pour l'appréciation des risques, les colonnes d'une matrice SMSI et le calcul du niveau. Échantillon Excel gratuit.
Lire le guide →Déclaration d'applicabilité ISO 27001 : qu'est-ce que c'est et comment la rédiger ?
Ce que doit contenir la déclaration d'applicabilité ISO/IEC 27001:2022 pour les 93 mesures, justifier les exclusions, erreurs fréquentes. Avec modèle Excel.
Lire le guide →Mis à jour: 2026-10-29