Qu'est-ce qu'un SMSI et comment le mettre en place avec l'ISO 27001 ?
Un SMSI (système de management de la sécurité de l'information) est l'ensemble des politiques, processus, responsabilités et mesures par lesquels un organisme décide, documente et revoit la façon dont il protège ses informations. L'ISO/IEC 27001:2022 fixe les exigences d'un SMSI dans ses articles 4 à 10 et propose en annexe A une liste de 93 mesures de référence ; un organisme peut être certifié si un organisme de certification vérifie que son SMSI répond à ces exigences.
À quoi sert un SMSI ?
Un SMSI organise la sécurité de l'information comme un système de management : on fixe des objectifs, on évalue les risques, on applique des mesures et on vérifie qu'elles fonctionnent. La sécurité ne repose plus sur des efforts isolés : elle devient reproductible, mesurable et démontrable auprès des clients, des auditeurs et des autorités.
La structure de l'ISO/IEC 27001:2022
| Article | Thème | Ce que l'on traite |
|---|---|---|
| 4 | Contexte | Enjeux internes et externes, parties intéressées et domaine d'application du SMSI |
| 5 | Leadership | Engagement de la direction, politique et rôles |
| 6 | Planification | Appréciation et traitement des risques, déclaration d'applicabilité et objectifs |
| 7 | Support | Ressources, compétences, sensibilisation, communication et informations documentées |
| 8 | Fonctionnement | Mise en œuvre des mesures et appréciations des risques périodiques |
| 9 | Évaluation des performances | Surveillance et mesure, audit interne et revue de direction |
| 10 | Amélioration | Non-conformités, actions correctives et amélioration continue |
Les 93 mesures de l'annexe A
La version 2022 regroupe les mesures en quatre thèmes : 37 organisationnelles, 8 liées aux personnes, 14 physiques et 34 technologiques. Elles ne s'appliquent pas toutes à tous les organismes : la déclaration d'applicabilité (DdA, ou SoA en anglais) indique lesquelles sont retenues, pourquoi et où en est leur mise en œuvre.
Quels documents pour un SMSI ?
- Domaine d'application du SMSI et politique de sécurité de l'information.
- Méthode et résultats de l'appréciation des risques, et plan de traitement des risques.
- Déclaration d'applicabilité.
- Objectifs de sécurité de l'information et preuves de compétence du personnel.
- Résultats de la surveillance et de la mesure.
- Programme et résultats d'audit interne, et revue de direction.
- Enregistrement des non-conformités et des actions correctives.
Chaque organisme documente en plus ce qu'il juge nécessaire à l'efficacité de son SMSI, par exemple des politiques thématiques (contrôle d'accès, sauvegardes, fournisseurs) et des procédures.
SMSI, NIS 2 et RGPD
La directive NIS 2 (UE) 2022/2555 impose aux entités concernées des mesures de gestion des risques de cybersécurité, et le RGPD exige des mesures de sécurité adaptées pour les données personnelles. Aucun des deux textes n'impose la certification ISO 27001, mais un SMSI fournit un cadre structuré pour mettre en place ces mesures et en garder la preuve.
Comment se passe la certification ?
La certification est délivrée par un organisme de certification accrédité (en France, par le COFRAC), généralement en deux étapes : une revue de la documentation, puis un audit de la mise en œuvre. Le certificat est maintenu par des audits de surveillance annuels. La norme s'achète auprès de l'ISO ou de l'AFNOR (NF EN ISO/IEC 27001) ; les kits de modèles ne la contiennent pas.
Par où commencer ?
Définissez le domaine d'application, obtenez l'engagement de la direction et réalisez l'appréciation des risques : elle détermine les mesures nécessaires et la déclaration d'applicabilité. Des modèles modifiables font gagner du temps de rédaction, mais chaque document doit être adapté à la réalité de l'organisme. Le kit NexoDocs en français réunit 84 fichiers Word et Excel classés par étapes, et vous pouvez essayer gratuitement sa matrice des risques (échantillon en anglais).
Questions fréquentes
SMSI et ISO 27001, est-ce la même chose ?
Non. Le SMSI est le système de management de l'organisme ; l'ISO/IEC 27001 est la norme qui définit les exigences que ce système doit respecter pour être certifié.
Combien de mesures compte l'ISO 27001:2022 ?
L'annexe A compte 93 mesures réparties en quatre thèmes : 37 organisationnelles, 8 liées aux personnes, 14 physiques et 34 technologiques.
Une PME peut-elle mettre en place un SMSI ?
Oui. La norme s'applique aux organismes de toute taille ; le domaine d'application et la documentation s'adaptent à chacun.
Combien de temps faut-il pour mettre en place un SMSI ?
Cela dépend du domaine d'application et des ressources ; dans une PME, il faut en général plusieurs mois entre la planification, la mise en œuvre des mesures et le premier audit interne.
Guides associés
- Analyse des risques ISO 27001 : que doit contenir la matrice ?
- Déclaration d'applicabilité ISO 27001 : qu'est-ce que c'est et comment la rédiger ?
- Documents obligatoires ISO 27001:2022 : la liste par article
Mis à jour: 2026-10-20