État des textes au . Nous mettons cette fiche à jour quand la réglementation évolue.
Définition
ISO/IEC 27001 est la norme internationale de référence pour un système de management de la sécurité de l'information (SMSI). Sa version en vigueur est ISO/IEC 27001:2022 ; la transition depuis la version 2013 s'est close le 31 octobre 2025. C'est la principale norme certifiable de la famille 27000, avec ISO/IEC 27701:2025 pour la protection de la vie privée, certifiable seule depuis sa publication en octobre 2025. Un organisme de certification accrédité (par le COFRAC en France) atteste que l'organisation pilote sa sécurité de façon structurée et l'améliore en continu.
Pourquoi c'est important
La norme impose une appréciation des risques, une déclaration d'applicabilité et un cycle d'amélioration continue (approche PDCA). Son annexe A liste 93 mesures depuis la révision de 2022, regroupées en quatre thèmes : organisationnel, humain, physique et technologique. La certification est de plus en plus demandée dans les appels d'offres, sert de socle à d'autres référentiels (dont HDS) et facilite la démonstration de conformité à NIS2 ou DORA. La version 2022 ajoute notamment une mesure sur la sécurité des services cloud (5.23) ; les usages d'IA relèvent d'une autre norme, ISO/IEC 42001. Le certificat est valable trois ans, avec des audits de surveillance annuels : une organisation certifiée doit entretenir son SMSI, mesurer sa performance et traiter les non-conformités, sous peine de perdre la certification. C'est cette exigence de continuité qui en fait un signal de confiance auprès des donneurs d'ordre.
Ce que fait AOCSI
Nous vous menons du diagnostic initial à l'audit de certification, en construisant un SMSI proportionné et tenu par vos équipes : voir notre accompagnement à la certification et notre offre ISO 27001 pour les PME. La certification elle-même est délivrée par un organisme accrédité, indépendant de nous.
Textes et sources
Pôle de rattachementISO 27001Prestations et prix