Politiques ISO 27001:2022 : la politique obligatoire et les politiques thématiques
L'ISO/IEC 27001:2022 n'exige explicitement qu'une seule politique dans ses articles : la politique de sécurité de l'information (article 5.2), établie par la direction, documentée et communiquée. La mesure 5.1 de l'annexe A y ajoute des politiques thématiques (contrôle d'accès, sauvegarde, cryptographie, fournisseurs, télétravail, etc.), obligatoires seulement si votre déclaration d'applicabilité retient la mesure correspondante. En pratique, une PME ou ETI arrive à la politique générale plus 10 à 20 politiques thématiques, selon ses risques. Le kit NexoDocs en français contient 1 politique générale et 22 politiques thématiques (ISMS-POL-00 à ISMS-POL-22).
La politique obligatoire : article 5.2
L'article 5.2 demande à la direction d'établir une politique de sécurité de l'information adaptée à la finalité de l'organisme, qui comporte des objectifs de sécurité de l'information (ou un cadre pour les fixer) et deux engagements : satisfaire aux exigences applicables et améliorer en continu le SMSI.
- Elle doit être disponible sous forme d'information documentée.
- Elle doit être communiquée au sein de l'organisme.
- Elle doit être mise à disposition des parties intéressées, le cas échéant (clients, fournisseurs, auditeurs).
- Gardez-la courte (2 à 4 pages) et renvoyez aux politiques thématiques pour le détail.
Erreur fréquente : une politique générale de 30 pages remplie de règles techniques. Elle est difficile à faire valider, personne ne la lit et chaque modification doit repasser par la direction.
Les politiques thématiques : mesure 5.1 de l'annexe A
La mesure 5.1 demande de définir la politique de sécurité de l'information et des politiques thématiques, de les faire approuver par la direction, de les publier, de les communiquer aux personnes concernées (qui en accusent réception) et de les revoir à intervalles planifiés ou lors de changements importants. Les recommandations de l'ISO/IEC 27002:2022 citent des thèmes comme le contrôle d'accès, la sécurité physique, la gestion des actifs, le transfert d'informations, les terminaux, la sécurité des réseaux, les incidents, la sauvegarde, la cryptographie, la classification, les vulnérabilités techniques et le développement sécurisé.
La norme n'impose ni liste fermée ni format : une politique par thème, plusieurs thèmes regroupés dans un document ou des règles placées dans des procédures. Ce que vérifie l'auditeur, c'est que chaque mesure applicable dispose de règles définies, approuvées, communiquées et à jour.
Kit de documentation SMSI ISO 27001
84 fichiers pour documenter votre SMSI selon ISO/IEC 27001:2022.
Voir le kit de documentation ISO 27001 (paiement unique)Liste des politiques et des mesures qu'elles couvrent
| Politique du kit | Mesures de l'annexe A | Quand en avez-vous besoin ? |
|---|---|---|
| ISMS-POL-00 Politique de sécurité de l'information | Article 5.2 et 5.1 | Toujours. |
| ISMS-POL-01 Utilisation acceptable des actifs | 5.10 | Presque toujours : tout le monde utilise des équipements et des données. |
| ISMS-POL-02 Inventaire et gestion des actifs | 5.9, 5.11 | Dès que vous avez des actifs informationnels (donc toujours). |
| ISMS-POL-03 Classification et marquage de l'information | 5.12, 5.13 | Si vous traitez des informations de sensibilités différentes. |
| ISMS-POL-04 Contrôle d'accès et gestion des identités | 5.15 à 5.18, 8.2 à 8.5 | Toujours. |
| ISMS-POL-05 Sécurité avec les fournisseurs | 5.19 à 5.22 | Si des tiers accèdent à vos informations ou systèmes. |
| ISMS-POL-06 Utilisation des services cloud | 5.23 | Si vous utilisez une messagerie, un stockage ou des applications cloud. |
| ISMS-POL-07 Gestion des incidents | 5.24 à 5.28, 6.8 | Toujours. |
| ISMS-POL-08 Continuité d'activité et préparation des TIC | 5.29, 5.30 | Presque toujours. |
| ISMS-POL-09 Conformité légale et protection des données | 5.31 à 5.34 | Dès que vous traitez des données personnelles. |
| ISMS-POL-10 Sécurité des ressources humaines | 6.1 à 6.6 | Dès que vous avez des salariés. |
| ISMS-POL-11 Télétravail | 6.7 | En cas de télétravail ou de travail hybride. |
| ISMS-POL-12 Bureau propre et écran verrouillé | 7.7 | Si vous avez des bureaux ou des espaces partagés. |
| ISMS-POL-13 Supports de stockage et effacement sécurisé | 7.10, 7.14, 8.10 | Si vous utilisez des supports amovibles ou mettez du matériel au rebut. |
| ISMS-POL-14 Terminaux utilisateurs | 8.1 | Si le personnel utilise des ordinateurs ou téléphones avec des données de l'entreprise. |
| ISMS-POL-15 Protection contre les logiciels malveillants | 8.7 | Toujours. |
| ISMS-POL-16 Gestion des vulnérabilités techniques | 8.8 | Dès que vous exploitez ou administrez des systèmes. |
| ISMS-POL-17 Sauvegarde des informations | 8.13 | Toujours. |
| ISMS-POL-18 Journalisation et surveillance | 8.15, 8.16 | Si vous administrez des serveurs, du cloud ou des applications. |
| ISMS-POL-19 Cryptographie | 8.24 | Si vous chiffrez des données ou des communications (presque toujours). |
| ISMS-POL-20 Gestion des changements et développement sécurisé | 8.25 à 8.29, 8.32 | Si vous développez du logiciel ou modifiez la production. |
| ISMS-POL-21 Sécurité physique et environnementale | 7.1 à 7.13 | Si vous avez des bureaux, une salle serveurs ou du matériel propre. |
| ISMS-POL-22 Sécurité des réseaux et des opérations | 8.20 à 8.22 | Si vous administrez vos propres réseaux. |
C'est la structure du kit ISO 27001 NexoDocs en français : la politique générale ISMS-POL-00 dans le dossier « 03_Leadership » et 22 politiques thématiques dans « 03_POLITIQUES_ET_MESURES », chacune citant ses mesures par numéro. La colonne « Quand en avez-vous besoin ? » n'est qu'un repère : la décision finale vient de votre appréciation des risques et de la déclaration d'applicabilité.
Comment décider des politiques dont votre entreprise a besoin
- Partez de l'appréciation des risques (6.1.2) et de la déclaration d'applicabilité (6.1.3) : chaque mesure applicable a besoin de règles écrites quelque part.
- Regroupez les thèmes dans une petite structure : télétravail, terminaux et bureau propre peuvent tenir dans une seule politique du poste de travail.
- N'écrivez pas de politique pour une mesure exclue : si vous ne développez pas de logiciel, justifiez l'exclusion de 8.25 à 8.28 dans la déclaration d'applicabilité.
- Écrivez ce que vous faites réellement : l'auditeur compare la politique avec la pratique et les enregistrements.
- Donnez à chaque politique un responsable, une date de revue et une version.
En France : PSSI de l'ANSSI, charte informatique et CSE
Beaucoup d'organismes français parlent de PSSI (politique de sécurité des systèmes d'information), selon la démarche décrite par l'ANSSI : elle recouvre la politique de l'article 5.2 et une bonne partie des politiques thématiques, et les documents du kit peuvent s'y rattacher. Les règles destinées aux utilisateurs sont souvent reprises dans une charte informatique annexée au règlement intérieur ; dans ce cas, et dès qu'une politique introduit un moyen de contrôle de l'activité des salariés (journalisation, surveillance des terminaux), prévoyez l'information-consultation du CSE et le respect des recommandations de la CNIL. Pour les entités concernées par NIS 2, la transposition par le projet de loi Résilience est encore en cours : des politiques documentées faciliteront la preuve des mesures de gestion des risques quand le texte sera adopté. Ceci n'est pas un conseil juridique.
Ce que vérifie l'auditeur dans vos politiques
- L'approbation par la direction (signature, compte rendu ou trace d'approbation) et la version en vigueur.
- La preuve de communication : e-mail, intranet, accueil des nouveaux arrivants ou accusé de réception.
- La revue à intervalles planifiés : date de la dernière revue et modifications enregistrées.
- La cohérence avec la déclaration d'applicabilité : aucune mesure applicable sans règles et aucune politique pour une mesure exclue.
- Une pratique conforme au texte : si la politique prévoit une sauvegarde quotidienne testée chaque trimestre, il faut les enregistrements de ces tests.
Étape suivante
Essayez gratuitement ou passez directement à la solution complète.
Kit de documentation SMSI ISO 27001
84 fichiers pour documenter votre SMSI selon ISO/IEC 27001:2022.
Voir le kit de documentation ISO 27001 (paiement unique)
Échantillon gratuit
Téléchargez gratuitement une version réduite de la matrice des risques du kit (Excel, 10 scénarios, carte de chaleur ; échantillon en anglais). Voyez comment le niveau et la catégorie sont calculés avant de décider.
Télécharger l'échantillon gratuit (en anglais)Questions fréquentes
Combien de politiques exige l'ISO 27001 ?
Une seule est explicitement exigée dans les articles : la politique de sécurité de l'information (5.2). Les politiques thématiques de la mesure 5.1 dépendent des mesures de l'annexe A que vous déclarez applicables ; il n'y a pas de nombre fixe.
Les politiques thématiques doivent-elles être des documents séparés ?
Non. La norme exige qu'elles existent et soient approuvées, communiquées et revues, sans imposer de format. Une petite entreprise peut regrouper plusieurs thèmes dans un seul document.
À quelle fréquence faut-il revoir les politiques ?
À intervalles planifiés et lors de changements importants. Une revue annuelle avant la revue de direction est la pratique courante.
Une PSSI suffit-elle pour l'ISO 27001 ?
Elle peut couvrir l'article 5.2 et plusieurs politiques thématiques si elle est approuvée, communiquée, revue et cohérente avec la déclaration d'applicabilité. Vérifiez qu'aucune mesure applicable ne reste sans règle.
Un modèle de politique suffit-il ?
Comme point de départ, oui : il fait gagner la structure et la rédaction de base. Il faut ensuite l'adapter à ce que fait réellement l'entreprise ; un modèle non adapté est un constat d'audit classique.
Guides associés
Documents obligatoires ISO 27001:2022 : la liste par article
Les informations documentées exigées par l'ISO/IEC 27001:2022, article par article (politique, risques, DdA, objectifs, audit), et les documents de l'annexe A.
Lire le guide →Déclaration d'applicabilité ISO 27001 : qu'est-ce que c'est et comment la rédiger ?
Ce que doit contenir la déclaration d'applicabilité ISO/IEC 27001:2022 pour les 93 mesures, justifier les exclusions, erreurs fréquentes. Avec modèle Excel.
Lire le guide →Liste de contrôle d'audit interne ISO 27001 : structure, cotation et modèle
Liste de contrôle d'audit interne ISO/IEC 27001:2022 : articles 4 à 10 et 93 mesures de l'Annexe A, cotation des constats et preuves à demander.
Lire le guide →Mis à jour: 2026-10-30