Un système de management, pas une liste
Les clauses centrales de la norme demandent le contexte et le périmètre, l’engagement de la direction, un processus d’appréciation et de traitement des risques, des ressources et des compétences, la planification opérationnelle, l’évaluation des performances et l’amélioration continue. L’annexe A est le catalogue dans lequel le traitement des risques puise, et la déclaration d’applicabilité consigne quelles mesures s’appliquent et pourquoi. Une organisation peut être certifiée avec des mesures exclues, si l’exclusion est justifiée par l’appréciation des risques. C’est pourquoi deux certificats peuvent couvrir des réalités très différentes.
Ce que regardent réellement les auditeurs
La preuve que le processus tourne : des appréciations de risques datées et portées, des revues de direction avec décisions, des résultats d’audit interne, des actions correctives closes, et pour chaque mesure applicable les enregistrements qui montrent qu’elle fonctionne (revues d’accès, enregistrements de changements, évaluations fournisseurs, sessions de sensibilisation). Les audits de certification échantillonnent ; le risque pour l’organisation certifiée est une preuve qui existe la semaine de l’audit et nulle part ailleurs dans l’année.
Là où elle rencontre les textes européens
L’ISO 27001 ne rend pas une organisation conforme à NIS2 ou à DORA, mais son référentiel de mesures recouvre largement les mesures de gestion des risques de NIS2 et le cadre de risque TIC de DORA, et un référentiel mappé permet à un seul programme de servir les trois. La valeur du certificat dans une chaîne d’approvisionnement est précisément là : le périmètre ISO 27001 et la déclaration d’applicabilité d’un fournisseur disent à un acheteur quelles mesures sont revendiquées, et l’évaluation propre de l’acheteur lui dit s’il doit les croire.