Documents obligatoires ISO 27001:2022 : la liste par article
L'ISO/IEC 27001:2022 exige des informations documentées pour : le domaine d'application du SMSI (4.3), la politique de sécurité de l'information (5.2), les processus d'appréciation et de traitement des risques et leurs résultats (6.1.2, 6.1.3, 8.2, 8.3), la déclaration d'applicabilité (6.1.3 d), les objectifs de sécurité (6.2), les preuves de compétence (7.2), la planification opérationnelle (8.1), les résultats de surveillance et de mesure (9.1), le programme et les résultats d'audit interne (9.2), les résultats de la revue de direction (9.3) et les non-conformités et actions correctives (10.2).
Informations documentées obligatoires par article
| Article | Document ou enregistrement | Type |
|---|---|---|
| 4.3 | Domaine d'application du SMSI | Document |
| 5.2 | Politique de sécurité de l'information | Document |
| 6.1.2 | Processus d'appréciation des risques (méthodologie) | Document |
| 6.1.3 | Processus de traitement des risques et plan de traitement | Document |
| 6.1.3 d) | Déclaration d'applicabilité (DdA) | Document |
| 6.2 | Objectifs de sécurité de l'information | Document |
| 7.2 | Preuves de la compétence du personnel | Enregistrement |
| 8.1 | Informations prouvant que les processus sont réalisés comme prévu | Enregistrement |
| 8.2 | Résultats des appréciations des risques | Enregistrement |
| 8.3 | Résultats du traitement des risques | Enregistrement |
| 9.1 | Résultats de la surveillance et de la mesure | Enregistrement |
| 9.2.2 | Programme d'audit et résultats d'audit | Enregistrement |
| 9.3.3 | Résultats des revues de direction | Enregistrement |
| 10.2 | Non-conformités, actions menées et résultats des actions correctives | Enregistrement |
Les documents que l'organisme décide lui-même
L'article 7.5.1 b) ajoute toutes les informations documentées que l'organisme juge nécessaires à l'efficacité de son SMSI. En pratique, il s'agit de procédures (maîtrise documentaire, audit interne, action corrective, gestion des changements) et des enregistrements d'exploitation qui montrent que les mesures fonctionnent.
Documents attendus pour les mesures de l'annexe A
Plusieurs mesures de l'annexe A se démontrent mieux avec des documents. Elles ne sont pas obligatoires en elles-mêmes, mais si la mesure est applicable, l'auditeur attendra des preuves comme :
- Des politiques thématiques : contrôle d'accès, utilisation acceptable, classification, fournisseurs, cloud, télétravail, sauvegarde, cryptographie (5.1, 5.10, 5.12, 5.15, 5.19, 5.23, 6.7, 8.13, 8.24).
- L'inventaire des informations et autres actifs associés (5.9).
- Les procédures d'exploitation documentées (5.37).
- La gestion des incidents de sécurité de l'information (5.24 à 5.28).
- Les exigences légales, réglementaires et contractuelles identifiées (5.31).
- La sécurité de l'information pendant une perturbation et la préparation des TIC (5.29, 5.30).
Et en France ?
La norme est publiée en France sous la référence NF EN ISO/IEC 27001. La certification est délivrée par un organisme de certification accrédité, en France généralement par le COFRAC. Les guides de l'ANSSI et la méthode EBIOS Risk Manager peuvent alimenter le SMSI, mais ne remplacent pas les informations documentées exigées par la norme.
Comment organiser la documentation
Une structure simple facilite l'audit : un index maître avec le code, la version, le propriétaire et la date de revue de chaque document ; des dossiers par article (contexte, leadership, planification, support, fonctionnement, évaluation des performances, amélioration) et un dossier des politiques de l'annexe A. L'essentiel est que chaque document soit approuvé, versionné et accessible aux personnes qui en ont besoin (article 7.5.3).
Le kit NexoDocs en français
Le kit NexoDocs en français réunit les documents obligatoires, des politiques pour les mesures de l'annexe A, des registres Excel avec formules, un index maître et des exemples complétés pour une entreprise fictive, le tout classé par étape. Chaque document doit être adapté à votre organisme. Vous pouvez essayer gratuitement la matrice des risques réduite (en anglais).
Questions fréquentes
Combien de documents obligatoires compte l'ISO 27001:2022 ?
Selon le regroupement, environ 14 éléments d'information documentée exigés par les articles 4 à 10, plus ce que l'organisme juge nécessaire et ce que demandent les mesures applicables de l'annexe A.
Les procédures sont-elles obligatoires ?
La norme n'exige pas de procédures portant un nom précis, mais elle exige une information documentée suffisante. La plupart des organismes documentent au moins la maîtrise documentaire, l'audit interne et l'action corrective.
Qu'est-ce qui a changé depuis la version 2013 ?
La planification des modifications (6.3) a été ajoutée et l'annexe A est passée de 114 à 93 mesures réparties en 4 thèmes : la déclaration d'applicabilité et les politiques doivent être mises à jour.
Avoir tous les documents garantit-il la certification ?
Non. L'auditeur vérifie que les documents sont appliqués et qu'il existe des preuves ; la certification est délivrée par un organisme de certification après son audit.
Guides associés
- Analyse des risques ISO 27001 : que doit contenir la matrice ?
- Déclaration d'applicabilité ISO 27001 : qu'est-ce que c'est et comment la rédiger ?
- Qu'est-ce qu'un SMSI et comment le mettre en place avec l'ISO 27001 ?
Mis à jour: 2026-10-20