Déclaration d'applicabilité ISO 27001 : qu'est-ce que c'est et comment la rédiger ?
La déclaration d'applicabilité (DdA, en anglais Statement of Applicability ou SoA) est le document obligatoire de l'ISO/IEC 27001:2022 qui liste les 93 mesures de l'annexe A et indique, pour chacune, si elle est nécessaire, pourquoi elle est retenue ou exclue, et si elle est mise en œuvre. L'article 6.1.3 d) l'exige ; elle relie le résultat de l'appréciation des risques aux mesures que l'organisme applique réellement.
Que demande la norme dans la déclaration d'applicabilité ?
Selon l'article 6.1.3 d), l'organisme doit produire une déclaration d'applicabilité qui contient :
- Les mesures nécessaires, déterminées lors du traitement des risques.
- La justification de leur inclusion.
- Le fait que ces mesures soient mises en œuvre ou non.
- La justification de l'exclusion de toute mesure de l'annexe A.
Les mesures nécessaires peuvent venir de l'annexe A ou d'autres sources, comme des exigences de clients ou réglementaires. L'annexe A sert à vérifier qu'aucune mesure nécessaire n'a été oubliée.
Colonnes recommandées de la DdA
| Colonne | Contenu |
|---|---|
| Mesure | Numéro et intitulé de la mesure de l'annexe A (5.1 à 8.34) |
| Thème | Organisationnel, humain, physique ou technologique |
| Applicable ? | Oui / Non |
| Justification | Risque traité, exigence légale, contractuelle ou métier ; ou motif d'exclusion |
| État de mise en œuvre | Mise en œuvre, partielle, planifiée ou non mise en œuvre |
| Référence | Politique, procédure ou preuve qui soutient la mesure |
| Responsable | Qui maintient la mesure |
| Risques liés | Identifiants de la matrice des risques traités par la mesure |
Les 93 mesures de l'annexe A en 4 thèmes
| Thème | Plage | Mesures |
|---|---|---|
| Organisationnelles | 5.1 – 5.37 | 37 |
| Liées aux personnes | 6.1 – 6.8 | 8 |
| Physiques | 7.1 – 7.14 | 14 |
| Technologiques | 8.1 – 8.34 | 34 |
Comment justifier une exclusion ?
Une exclusion est valable lorsque la mesure n'est nécessaire ni pour traiter un risque identifié ni pour respecter des exigences légales ou contractuelles. Par exemple, une entreprise sans développement logiciel interne peut exclure les mesures de développement sécurisé en expliquant qu'elle ne développe pas de logiciel et que ses prestataires sont couverts par les mesures relatives aux fournisseurs. La justification doit être précise : écrire seulement « non applicable » est une non-conformité fréquente.
Étapes pour construire la DdA
- Terminer l'appréciation des risques et décider du traitement de chaque risque.
- Déterminer les mesures nécessaires à ce traitement.
- Comparer avec les 93 mesures de l'annexe A et marquer celles qui s'appliquent.
- Rédiger la justification d'inclusion ou d'exclusion de chaque mesure.
- Enregistrer l'état de mise en œuvre et la preuve de chaque mesure.
- Faire approuver le plan de traitement et accepter les risques résiduels par les propriétaires des risques.
- Réviser la DdA à chaque changement des risques, du domaine d'application ou des mesures.
Erreurs fréquentes
- Marquer toutes les mesures comme applicables sans lien avec les risques.
- Exclure des mesures sans justification concrète.
- Déclarer des mesures mises en œuvre sans preuves.
- Utiliser la liste de 114 mesures de la version 2013 dans une DdA 2022.
- Ne pas mettre à jour la DdA après un changement de domaine d'application ou d'appréciation des risques.
Modèle de déclaration d'applicabilité
Le kit NexoDocs en français comprend une DdA sous Excel avec les 93 mesures de l'ISO/IEC 27001:2022, des listes déroulantes pour l'applicabilité et l'état, des colonnes de justification, de preuve et de responsable, et un résumé automatique par thème, ainsi qu'un exemple complété pour une entreprise fictive. Vous pouvez télécharger gratuitement la matrice des risques réduite (en anglais) pour essayer le format.
Questions fréquentes
La déclaration d'applicabilité est-elle obligatoire ?
Oui. L'ISO/IEC 27001:2022 l'exige à l'article 6.1.3 d), et c'est l'un des premiers documents que l'auditeur examine lors de la certification.
Combien de mesures doit contenir la DdA ?
Elle doit traiter les 93 mesures de l'annexe A de la version 2022 en indiquant pour chacune si elle s'applique et pourquoi. Elle peut aussi inclure des mesures supplémentaires d'autres sources.
Peut-on exclure des mesures de l'annexe A ?
Oui, lorsqu'elles ne sont nécessaires ni pour traiter les risques ni pour respecter des exigences légales ou contractuelles. Chaque exclusion doit être justifiée concrètement.
Qui approuve la déclaration d'applicabilité ?
En général la direction ou le responsable du SMSI. La norme demande aussi que les propriétaires des risques approuvent le plan de traitement et acceptent les risques résiduels.
Guides associés
- Analyse des risques ISO 27001 : que doit contenir la matrice ?
- Documents obligatoires ISO 27001:2022 : la liste par article
- Qu'est-ce qu'un SMSI et comment le mettre en place avec l'ISO 27001 ?
Mis à jour: 2026-10-20