SMSI : guide complet du système de management de la sécurité de l'information (2026)
Guide complet du SMSI en 2026 : définition, mise en œuvre étape par étape, norme ISO 27001, coûts France, outils, bonnes pratiques et erreurs à éviter.
SMSI : guide complet du système de management de la sécurité de l'information (2026)
En 2026, les cybermenaces ne ralentissent pas. L'ANSSI a traité 1 366 incidents de cybersécurité en 2025 — un niveau qui reste historiquement élevé, avec 128 compromissions par rançongiciel et 196 exfiltrations de données [¹]. Face à cette réalité, les entreprises françaises qui gèrent leur sécurité de façon ad hoc sont structurellement exposées.
La réponse structurée à ce défi, c'est le SMSI — le Système de Management de la Sécurité de l'Information. Ce guide vous donne tout : définition précise, mise en œuvre étape par étape, coûts réels en France, outils adaptés au marché français, et les erreurs qui font échouer les projets.
Points clés
- Un SMSI est un cadre systématique de politiques, de processus et de contrôles pour gérer la sécurité de l'information — reposant sur les trois piliers CID : Confidentialité, Intégrité, Disponibilité.
- ISO/CEI 27001:2022 est la norme de référence internationale : 93 contrôles répartis en 4 catégories (réduits depuis 114 contrôles de la version 2013).
- L'ANSSI recommande explicitement ISO 27001 comme référentiel de conformité pour la directive NIS2, désormais transposée en droit français [²].
- Coût en France : entre 50 000 et 100 000 EUR la première année pour une PME de 50 à 200 salariés — certification par un organisme accrédité COFRAC incluse [³].
- Délai moyen : 6 à 12 mois pour une PME à périmètre maîtrisé.
- NIS2, DORA et RGPD s'appuient tous sur les composantes d'un SMSI — une certification ISO 27001 satisfait simultanément à plusieurs exigences réglementaires.
Qu'est-ce qu'un SMSI ?
Le Système de Management de la Sécurité de l'Information (SMSI) est un cadre organisationnel structuré qui permet à une entreprise de gérer la sécurité de l'information de façon systématique, mesurable et continue.
Il ne s'agit pas d'un outil logiciel que l'on installe, ni d'un document que l'on rédige une fois. C'est un système de management — au même titre qu'un système de management de la qualité (ISO 9001) ou un système de management environnemental (ISO 14001). Il s'inscrit dans la durée et s'améliore continuellement.
Les trois piliers du SMSI : le triptyque CID
Tout SMSI repose sur trois propriétés fondamentales de l'information :
| Pilier | Définition | Exemple de menace |
|---|---|---|
| Confidentialité | Seules les personnes autorisées accèdent à l'information | Exfiltration de données par un attaquant externe |
| Intégrité | Les données ne sont ni altérées ni supprimées sans autorisation | Modification frauduleuse de données financières |
| Disponibilité | L'information est accessible quand les équipes en ont besoin | Attaque par rançongiciel rendant les systèmes inaccessibles |
SMSI et ISO 27001 : la distinction fondamentale
La confusion la plus fréquente : confondre le SMSI et ISO 27001.
Le SMSI est le système — l'ensemble des politiques, processus, évaluations des risques et contrôles que votre organisation met en œuvre.
ISO 27001 est la norme qui certifie ce système — elle définit les exigences minimales qu'un SMSI doit respecter pour être certifiable.
Vous pouvez avoir un SMSI sans être certifié ISO 27001. Mais vous ne pouvez pas être certifié ISO 27001 sans avoir un SMSI. La certification est la preuve externe que votre SMSI répond aux exigences internationales.
Comment fonctionne un SMSI : le cycle PDCA
Tout SMSI fonctionne selon le cycle PDCA (Plan-Do-Check-Act — ou Planifier-Déployer-Contrôler-Améliorer), le même principe d'amélioration continue utilisé dans ISO 9001 et ISO 14001.
Planifier (Plan)
- Définir le périmètre du SMSI — quels systèmes, processus, sites et types de données sont inclus
- Établir la politique de sécurité de l'information validée par la direction
- Mener une évaluation des risques — identifier les actifs informationnels, les menaces, les vulnérabilités et les impacts
- Sélectionner les contrôles pour traiter les risques identifiés
- Rédiger la Déclaration d'Applicabilité (DdA) — le document central du SMSI
Déployer (Do)
- Mettre en œuvre les contrôles sélectionnés — techniques et organisationnels
- Déployer les politiques et procédures
- Former et sensibiliser les collaborateurs à la sécurité
- Mettre en place les processus de gestion des incidents et de continuité d'activité
- Commencer la collecte systématique de preuves
Contrôler (Check)
- Surveiller l'efficacité des contrôles via des indicateurs et KPI définis
- Conduire des audits internes
- Organiser les revues de direction
- Suivre les incidents, presque-accidents et métriques de sécurité
Améliorer (Act)
- Traiter les constats d'audit et les non-conformités via des actions correctives
- Mettre à jour les évaluations des risques quand l'environnement évolue
- Optimiser les contrôles sous-performants
- Intégrer les retours d'expérience dans la phase de planification
Ce cycle ne s'arrête jamais — le SMSI n'est jamais « terminé ». Chaque itération produit un niveau de maturité de sécurité plus élevé.
Les 8 composantes fondamentales d'un SMSI
1. Politique de sécurité de l'information
Le document de gouvernance de niveau supérieur qui formalise l'engagement de l'organisation en matière de sécurité de l'information. Elle doit :
- Définir les objectifs de sécurité alignés avec la stratégie de l'entreprise
- Attribuer les rôles et responsabilités en matière de sécurité
- Préciser l'appétit pour le risque et les seuils de tolérance
- Engager l'organisation dans l'amélioration continue
- Être approuvée par la direction générale et communiquée à l'ensemble des collaborateurs
Sans politique validée par la direction, les auditeurs n'ont aucun fondement sur lequel ancrer la vérification des contrôles.
2. Évaluation et traitement des risques
Le processus systématique d'identification, d'analyse et de traitement des risques liés à la sécurité de l'information. ISO 27001 n'impose pas de méthodologie spécifique — l'organisation choisit son approche — mais elle doit être cohérente, reproductible et documentée.
Les quatre options de traitement des risques :
| Traitement | Définition | Quand l'appliquer |
|---|---|---|
| Réduire | Mettre en œuvre des contrôles pour réduire la probabilité ou l'impact | Risques élevés où le risque résiduel devient acceptable après contrôle |
| Accepter | Accepter formellement le risque résiduel | Risques faibles où le coût du traitement dépasse le bénéfice |
| Transférer | Assurance, externalisation, responsabilité contractuelle | Risques résiduels mieux gérés par un tiers |
| Éviter | Supprimer la source du risque | Risques pour lesquels l'activité elle-même ne vaut pas l'exposition |
3. Déclaration d'Applicabilité (DdA)
L'un des documents les plus importants du SMSI. La DdA liste les 93 contrôles de l'Annexe A d'ISO 27001:2022 et précise pour chacun :
- S'il est mis en œuvre ou exclu
- La justification liant chaque contrôle inclus aux risques identifiés
- L'état d'avancement de sa mise en œuvre
La DdA est le document que les auditeurs utilisent pour vérifier que la couverture des contrôles est logiquement connectée à l'évaluation des risques — et non une liste générique.
4. Contrôles de sécurité
ISO 27001:2022 organise 93 contrôles en quatre catégories :
| Catégorie | Contrôles | Exemples |
|---|---|---|
| Organisationnels | 37 contrôles | Politiques, rôles, gestion des actifs, sécurité fournisseurs, gestion des incidents, renseignement sur les menaces |
| Humains | 8 contrôles | Vérification des antécédents, formation de sensibilisation, processus disciplinaire, travail à distance |
| Physiques | 14 contrôles | Périmètres de sécurité physique, protection des équipements, politique de bureau propre, sécurité des supports |
| Technologiques | 34 contrôles | Contrôle d'accès, chiffrement, journalisation, sécurité réseau, développement sécurisé, prévention des fuites de données, sécurité cloud |
La révision 2022 a introduit 11 nouveaux contrôles couvrant les menaces modernes : renseignement sur les menaces, sécurité des services cloud, préparation des TIC à la continuité d'activité, surveillance de la sécurité physique, gestion de la configuration, suppression des informations, masquage des données, filtrage web, codage sécurisé et surveillance des activités.
5. Documentation et enregistrements
Un SMSI requiert des preuves documentaires de son fonctionnement. ISO 27001 distingue :
Documents obligatoires (les « décisions prises ») :
- Document de périmètre du SMSI
- Politique de sécurité de l'information
- Méthodologie d'évaluation des risques
- Registre des risques (résultats de l'évaluation)
- Déclaration d'Applicabilité
- Plan de traitement des risques
Enregistrements obligatoires (les « preuves de ce qui a été fait ») :
- Relevés de formation à la sécurité
- Résultats de surveillance et de mesure
- Programmes et résultats d'audit interne
- Comptes-rendus de revue de direction
- Enregistrements d'actions correctives
- Preuves d'application des contrôles
La documentation insuffisante est la première cause d'échec à l'audit de phase 1 — qui est essentiellement une revue documentaire avant tout examen opérationnel.
6. Audit interne
Évaluation régulière de la conformité et de l'efficacité du SMSI. Les audits internes doivent :
- Couvrir l'ensemble des processus et contrôles du SMSI sur un cycle défini (typiquement annuel)
- Être menés par des auditeurs indépendants des domaines audités
- Produire des constats documentés suivis jusqu'à leur résolution
- Alimenter la revue de direction
De nombreuses organisations sous-investissent dans la qualité de l'audit interne, puis découvrent des non-conformités majeures lors de l'audit de certification.
7. Revue de direction
Revue périodique par la direction générale — minimum annuelle, souvent trimestrielle — pour s'assurer que le SMSI reste adapté. Les revues doivent prendre en compte :
- Les résultats des audits internes et des évaluations des risques
- Les indicateurs de performance et KPI de sécurité
- L'état des actions correctives des revues précédentes
- Les retours des parties intéressées (clients, régulateurs, auditeurs)
- Les changements dans le contexte et la stratégie de l'organisation
Une revue de direction qui n'est qu'un formalisme trimestriel de cinq minutes n'est pas une vraie revue — et les auditeurs s'en aperçoivent.
8. Amélioration continue
Le SMSI doit démontrer une progression constante à travers :
- Les actions correctives pour les non-conformités identifiées
- Les mesures préventives pour les problèmes potentiels avant qu'ils ne deviennent des non-conformités
- L'optimisation des processus basée sur les données de surveillance et les résultats d'audit
- La mise à jour pour refléter les nouvelles menaces, exigences réglementaires et contexte organisationnel
SMSI vs autres référentiels : lequel choisir ?
| Référentiel | Nature | Certification | Idéal pour | Relation avec le SMSI |
|---|---|---|---|---|
| ISO 27001 | Norme internationale SMSI | Oui — par organisme accrédité COFRAC | Entreprises B2B, vente à l'international | EST la norme du SMSI |
| SOC 2 | Rapport d'audit américain | Oui — cabinet d'expertise comptable CPA | Entreprises SaaS visant le marché US | S'aligne sur les composantes du SMSI |
| RGPD / DSGVO | Règlement européen protection des données | Non — contrôle par autorité (CNIL) | Tout responsable de traitement EU | Les contrôles SMSI satisfont à l'article 32 RGPD |
| NIS2 | Directive UE sécurité des réseaux | Non — contrôle par autorité nationale (ANSSI) | Entités essentielles et importantes EU | L'article 21 NIS2 correspond aux mesures d'un SMSI |
| DORA | Règlement UE résilience opérationnelle finance | Non — contrôle par régulateur financier | Secteur financier EU | La gestion des risques TIC DORA s'appuie sur un SMSI |
| NIST CSF | Cadre US de cybersécurité | Non — volontaire | Secteur public américain | Cadre de gestion des risques complémentaire |
L'enseignement clé : un SMSI ISO 27001 bien conçu satisfait simultanément à la majorité des exigences NIS2 article 21, DORA gestion des risques TIC et RGPD article 32. Le même contrôle d'accès répond à ISO 27001 A.5.15, NIS2 article 21(2)(i) et RGPD article 32. La conformité multi-référentielle n'est pas le double du travail — c'est un seul SMSI avec plusieurs sorties réglementaires.
Qui a besoin d'un SMSI en France ?
Urgence maximale
Entités NIS2 essentielles et importantes : La directive NIS2, dont la transposition française est attendue pour 2026 via le projet de loi relatif à la résilience des infrastructures critiques [²], imposera des mesures de gestion des risques à des milliers d'entreprises françaises dans 18 secteurs. L'ANSSI recommande explicitement ISO 27001 comme référentiel de démonstration de conformité. Sans SMSI structuré, la mise en conformité NIS2 est pratiquement impossible à démontrer.
Fournisseurs SaaS B2B : Les acheteurs grands comptes — CAC 40, ETI, administrations — exigent désormais ISO 27001 comme prérequis aux appels d'offres et aux renouvellements de contrats. Sans certification, vous perdez des deals.
Secteur fintech et financier : DORA rend la gestion des risques TIC — fonctionnellement un SMSI — obligatoire pour les entités financières européennes.
Secteur santé et données médicales : L'article 32 du RGPD exige des « mesures techniques et organisationnelles appropriées » — un SMSI est la démonstration la plus défendable de cette conformité.
Urgence croissante
- Sous-traitants gouvernementaux et prestataires du secteur public : La commande publique européenne intègre progressivement ISO 27001 comme exigence de base.
- Industrie avec convergence IT/OT : Les environnements industriels connectés créent de nouveaux risques nécessitant une gestion systématique.
- Cabinets de conseil et d'avocats : Traiter des données clients sensibles sans cadre de sécurité formalisé devient inacceptable pour les clients grands comptes.
Comment mettre en place un SMSI : guide en 8 étapes
Étape 1 : Définir le périmètre et les objectifs (semaines 1-2)
Le périmètre du SMSI détermine ce qui est inclus ou exclu de la frontière de certification. L'erreur classique est de vouloir couvrir toute l'organisation dès le départ — cela crée une complexité ingérable.
Commencez par un périmètre restreint :
- Un produit ou service spécifique
- Un département ou une unité opérationnelle spécifique
- Un type de données spécifique (ex. données clients, données financières)
Formalisez le périmètre : quels systèmes, processus, sites physiques et unités organisationnelles sont inclus. Documentez les raisons — les auditeurs demanderont pourquoi vous avez tracé les frontières là où vous l'avez fait.
Étape 2 : Obtenir l'engagement de la direction (semaines 2-3)
Sans parrainage exécutif, les projets SMSI s'enlisent. Il vous faut :
- Un sponsor dirigeant nommé — idéalement le RSSI ou le DSI, avec visibilité au niveau du conseil
- Un budget alloué — pour le support conseil, les outils et les frais d'audit
- Une politique de sécurité approuvée — signée par la direction générale
- Un appétit pour le risque défini — quel niveau de risque résiduel l'organisation accepte
- Une structure de gouvernance de la sécurité — rôles, responsabilités et autorité de décision
La politique de sécurité de l'information doit être approuvée par la direction avant de passer à la suite. Tout le reste repose sur ce fondement.
Étape 3 : Inventaire des actifs et évaluation des risques (semaines 3-8)
L'évaluation des risques est le cœur intellectuel du SMSI. Elle pilote toutes les décisions de sélection des contrôles.
Inventaire des actifs :
- Actifs informationnels (bases de données, fichiers, connaissances)
- Actifs informatiques (serveurs, postes, services cloud, outils SaaS)
- Personnes (salariés, sous-traitants, tiers avec accès)
- Actifs physiques (bureaux, équipements, archives papier)
Évaluation des risques :
- Identifier les menaces (rançongiciel, menace interne, divulgation accidentelle, attaque de la chaîne d'approvisionnement)
- Identifier les vulnérabilités (absence de patchs, contrôles d'accès défaillants, absence de chiffrement)
- Évaluer probabilité et impact (matrice de risques)
- Prioriser les risques à traiter
Traitement des risques :
- Pour chaque risque : décider de réduire, accepter, transférer ou éviter
- Documenter la décision et sa justification
- Relier les contrôles d'atténuation à l'Annexe A d'ISO 27001
Étape 4 : Rédiger la Déclaration d'Applicabilité (semaines 8-10)
Passez en revue les 93 contrôles de l'Annexe A d'ISO 27001:2022 :
- Inclure les contrôles justifiés par les risques identifiés
- Exclure les contrôles genuinement non applicables (ex. contrôles sur les supports physiques pour une entreprise 100 % cloud)
- Documenter la justification pour chaque inclusion et exclusion
La DdA est un document vivant — elle évolue avec votre paysage de risques et la mise en œuvre de vos contrôles.
Étape 5 : Mettre en œuvre les contrôles (semaines 8-24)
C'est là que le travail réel commence. Priorisez par niveau de risque — traitez les risques les plus élevés en premier.
Gains rapides (généralement dans les 4 premières semaines) :
- Authentification multi-facteurs sur tous les systèmes critiques
- Politique de mots de passe et déploiement d'un gestionnaire
- Revue des droits d'accès et processus de départ
- Formation de sensibilisation à la sécurité pour tous les collaborateurs
- Inventaire et classification des actifs
Contrôles à moyen terme (4 à 12 semaines) :
- Programme de gestion des vulnérabilités
- Plan de réponse aux incidents et tests associés
- Plan de continuité d'activité
- Évaluations de sécurité des fournisseurs
- Chiffrement des données au repos et en transit
Contrôles à plus long terme (12 à 24 semaines) :
- Cycle de développement sécurisé
- Programme de tests d'intrusion
- Détection avancée des menaces et surveillance
- Programme de gestion des risques tiers
Étape 6 : Construire l'infrastructure documentaire (semaines 12-18)
Créez les documents et enregistrements obligatoires :
- Politiques et procédures couvrant chaque domaine de contrôle
- Modèles d'évaluations des risques, de revues de direction et de programmes d'audit
- Processus de collecte de preuves — comment vous capturez et conservez les démonstrations de bon fonctionnement des contrôles
- Un système de gestion documentaire (contrôle de version, cycles de revue, workflow d'approbation)
Évitez le piège de la documentation pour elle-même. Chaque document doit refléter la façon dont vous travaillez réellement.
Étape 7 : Audit interne et revue de direction (semaines 20-24)
Avant l'audit de certification, conduisez un cycle complet d'audit interne :
- Planifiez le périmètre d'audit — tous les processus et contrôles du SMSI doivent être couverts
- Exécutez l'audit — interviewez les collaborateurs, examinez les enregistrements, testez le fonctionnement des contrôles
- Documentez les constats — conformités et non-conformités
- Définissez les actions correctives pour toutes les non-conformités
- Organisez une revue de direction — présentez les résultats à la direction, obtenez les décisions d'amélioration
C'est votre répétition générale avant l'audit de certification. Chaque non-conformité que vos auditeurs internes identifient est une surprise de moins lors de l'audit de l'organisme accrédité.
Étape 8 : Audit de certification (mois 6 à 12)
La certification ISO 27001 nécessite un audit par un organisme de certification accrédité. En France, les organismes doivent être accrédités par le COFRAC (Comité français d'accréditation). Les principaux organismes sont AFNOR Certification, Bureau Veritas, SGS, Lloyd's Register et DNV.
Audit de phase 1 (revue documentaire, typiquement 1 à 2 jours) :
- L'auditeur examine la documentation du SMSI
- Confirme que le périmètre est défini
- Vérifie que la DdA est complète et justifiée
- Identifie les domaines à approfondir lors de la phase 2
Audit de phase 2 (vérification de l'implémentation, typiquement 2 à 5 jours selon le périmètre) :
- L'auditeur teste que les contrôles documentés sont effectivement mis en œuvre et opérationnels
- Interviewe les collaborateurs — connaissent-ils leurs responsabilités en matière de sécurité ?
- Examine les preuves de fonctionnement des contrôles
- Identifie les non-conformités éventuelles
Après la phase 2, l'organisme de certification délivre le certificat ISO 27001. Le certificat est valide trois ans, avec des audits de surveillance annuels (revues réduites pour confirmer la conformité continue) et un audit de recertification à l'issue des trois ans.
Coûts d'un SMSI en France : données 2026
Par taille d'organisation
| Taille de l'entreprise | Mise en œuvre | Audit de certification | Plateforme | Total 1ère année |
|---|---|---|---|---|
| Micro (1-10 salariés) | 5 000–15 000 € | 6 000–10 000 € | 1 200–4 000 €/an | 12 000–30 000 € |
| PME (10-50 salariés) | 10 000–25 000 € | 8 000–12 000 € | 3 000–10 000 €/an | 22 000–50 000 € |
| ETI (50-250 salariés) | 20 000–50 000 € | 10 000–20 000 € | 10 000–30 000 €/an | 40 000–100 000 € |
| Grande entreprise (250+) | 50 000–150 000 € | 15 000–40 000 € | 30 000 €+/an | 95 000–200 000 €+ |
Principaux facteurs de coût en France :
- Les taux journaliers des consultants SMSI expérimentés atteignent 1 200 à 1 800 € HT par jour [³]
- Les coûts récurrents représentent environ 20 % de l'investissement initial par an après la première certification [³]
- Les plateformes d'automatisation de la conformité réduisent l'effort de mise en œuvre de 40 à 60 % par rapport aux approches manuelles [⁴]
- Formation des collaborateurs : 25 à 50 € par personne pour des modules e-learning, jusqu'à 10 000–15 000 € pour des sessions en présentiel
Coûts récurrents annuels
Après la première certification, les coûts de maintenance du SMSI diminuent sensiblement :
- Audit de surveillance annuel : 3 000–8 000 €
- Abonnement à une plateforme de conformité : 3 000–30 000 €/an selon le niveau
- Effort d'audit interne : 5 à 15 jours-personnes
- Revue de direction et mises à jour : 3 à 5 jours-personnes
- Audit de recertification (année 3) : similaire à la certification initiale
Ce que les guides SMSI ne vous disent pas
Après avoir analysé des dizaines de projets SMSI en France et en Europe, voici les vérités difficiles que les guides génériques omettent :
La lacune documentaire reste la première cause d'échec en phase 1
Une documentation insuffisante provoque plus d'échecs à l'audit de phase 1 que tout déficit de contrôle technique. L'audit de phase 1 est avant tout une revue documentaire — si vos documents obligatoires sont incomplets ou incorrects, l'audit s'arrête là. Les éléments manquants les plus fréquents : plan de traitement des risques non lié à la DdA, comptes-rendus de revue de direction ne couvrant pas tous les sujets requis, et enregistrements d'actions correctives sans analyse des causes racines [⁵].
Le périmètre est une décision stratégique, pas technique
Votre frontière de périmètre détermine quels risques vous vous engagez à gérer. Trop large, et vous faites face à une charge de mise en œuvre ingérable. Trop étroit, et les clients demandent pourquoi certains produits ou systèmes ne sont pas couverts. Le bon périmètre est le plus petit périmètre qui répond à vos exigences clients et réglementaires — et vous l'élargissez délibérément au fil de la maturité du SMSI.
L'engagement de la direction est l'indicateur avancé de réussite
Les organisations où le RSSI dispose d'un budget et d'une visibilité au niveau du conseil surpassent systématiquement celles où la sécurité est une fonction du département informatique. Si votre revue de direction est un formalisme trimestriel de cinq minutes plutôt qu'une vraie réunion de gouvernance, votre SMSI sera en difficulté lors de la recertification. Les auditeurs interrogent la direction — et ils voient immédiatement si la direction s'implique réellement dans le SMSI ou s'est contentée de signer la politique.
La dérive post-certification est réelle — et très fréquente
La période la plus dangereuse pour un SMSI est les 18 mois suivant la certification initiale. Les organisations se détendent, la cadence d'audit interne diminue, la formation des collaborateurs devient sporadique, et la documentation se périme. Puis arrive l'audit de surveillance et la panique s'installe. Intégrez la maintenance du SMSI dans les rythmes opérationnels réguliers — contrôles mensuels des contrôles, points trimestriels de management, cycles d'audit annuels complets — plutôt que de le traiter comme un sprint périodique.
La DdA est auditée plus rigoureusement que beaucoup ne le pensent
Les auditeurs ne vérifient pas seulement que vous avez une DdA. Ils testent si les exclusions de contrôles sont genuinement justifiées. Si vous excluez le contrôle « surveillance des activités » (A.8.16) en affirmant qu'il n'est pas applicable, les auditeurs vérifieront si vous avez une quelconque journalisation ou détection d'anomalies — et si c'est le cas, l'exclusion n'est pas justifiable. Soyez rigoureux sur les exclusions ; la position par défaut doit être d'inclure et de mettre en œuvre, pas d'exclure.
Erreurs courantes lors des audits SMSI
Sur la base des constats réels des organismes de certification, voici les raisons les plus fréquentes de non-conformités majeures :
- L'évaluation des risques traitée comme une case à cocher — évaluation des risques effectuée une seule fois, non révisée lorsque l'organisation évolue [⁶]
- Les politiques disent une chose, la pratique en montre une autre — politique de contrôle d'accès documentée mais droits d'accès réels non révisés
- L'audit interne ne couvre pas tous les contrôles — le programme d'audit annuel n'atteint pas une couverture complète du périmètre SMSI
- L'analyse des causes racines est superficielle — les actions correctives traitent les symptômes, pas les causes ; les mêmes non-conformités réapparaissent
- La sécurité des fournisseurs est nominale — politique d'évaluation de la sécurité des fournisseurs existante mais aucune évaluation réellement conduite
- Les comptes-rendus de revue de direction sont incomplets — ne couvrent pas tous les points requis (résultats d'audit, objectifs de sécurité, problèmes externes pertinents)
- Les preuves de formation à la sécurité sont manquantes — la formation a été conduite mais les enregistrements n'ont pas été conservés
- La continuité d'activité n'a pas été testée — PCA documenté mais aucun enregistrement de test ni rapport de retour d'expérience
SMSI et conformité réglementaire française
SMSI et NIS2 (directive transposée en France)
La directive NIS2 est en cours de transposition en droit français via le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat en mars 2025 et attendu pour promulgation en 2026. L'article 21 de NIS2 exige dix catégories de mesures de gestion des risques. Un SMSI aligné ISO 27001 en couvre la majorité :
| Exigence NIS2 article 21 | Composante SMSI |
|---|---|
| Analyse des risques et politiques de sécurité | Politique SMSI et évaluation des risques |
| Gestion des incidents | Contrôles de gestion des incidents (A.5.24–A.5.28) |
| Continuité des activités et gestion de crise | Contrôles BCM (A.5.29–A.5.30) |
| Sécurité de la chaîne d'approvisionnement | Contrôles de sécurité fournisseurs (A.5.19–A.5.23) |
| Sécurité dans l'acquisition et le développement | Contrôles de développement sécurisé (A.8.25–A.8.34) |
| Politiques d'évaluation de l'efficacité | Audit interne et surveillance |
| Hygiène cyber et formation | Contrôles de sensibilisation (A.6.3) |
| Cryptographie | Contrôles cryptographiques (A.8.24) |
| Sécurité RH, contrôle d'accès, gestion des actifs | Contrôles humains, organisationnels et technologiques |
| Authentification multi-facteurs | Contrôles d'authentification (A.8.5) |
Les lacunes nécessitant un travail additionnel spécifique NIS2 : procédures de notification d'incident dans les 24 heures, documentation de sécurité de la chaîne d'approvisionnement pour les fournisseurs critiques, et mécanismes de responsabilité au niveau de la direction.
SMSI et RGPD
L'article 32 du RGPD exige des « mesures techniques et organisationnelles appropriées » pour assurer un niveau de sécurité adapté aux risques. Un SMSI ISO 27001 est la démonstration la plus défendable de cette conformité devant la CNIL. Les contrôles de chiffrement (A.8.24), de contrôle d'accès (A.5.15–A.5.18) et de gestion des incidents (A.5.24–A.5.28) couvrent directement les exigences de l'article 32.
Comment Orbiq accompagne votre SMSI
La plateforme d'automatisation de la conformité Orbiq est conçue pour la gestion du SMSI à grande échelle :
- Surveillance continue — des contrôles automatisés s'exécutent en continu sur votre SMSI, remontant les lacunes avant que les auditeurs ne les trouvent. Pas des instantanés périodiques — un état des contrôles en temps réel.
- Gestion des preuves — collecte automatisée de preuves cartographiées simultanément aux contrôles ISO 27001, aux exigences NIS2 et aux critères SOC 2. Un seul ensemble de preuves, plusieurs sorties de conformité.
- Questionnaires alimentés par l'IA — lorsque vos clients envoient des questionnaires de sécurité, Orbiq y répond automatiquement à partir des preuves de votre SMSI, transformant un processus manuel de deux semaines en quelques heures.
- Trust Center — publiez vos certifications SMSI, l'état de vos contrôles et votre documentation de sécurité comme un portail en libre-service. Les acheteurs grands comptes vérifient votre conformité en temps réel.
Découvrez la plateforme SMSI d'Orbiq →
Pour aller plus loin
- Certification ISO 27001 : guide complet — Processus de certification étape par étape, phases d'audit et préparation
- Qu'est-ce qu'un SMSI ? — Le concept en profondeur : composantes, cycle PDCA et questions fréquentes
- Coût de la certification ISO 27001 — Analyse complète des coûts pour PME et ETI
- Meilleur logiciel SMSI 2026 — Comparaison honnête des plateformes pour construire et maintenir votre SMSI
- NIS2 : qu'est-ce que c'est ? — Comprendre NIS2 et son application en France
- ISO 27001 n'est pas la conformité NIS2 — Comprendre les lacunes et comment les combler
Sources et références
- ANSSI — « Panorama de la cybermenace 2025 », cyber.gouv.fr, mars 2026. Données : 1 366 incidents traités, 128 compromissions par rançongiciel, 196 exfiltrations de données.
- ANSSI — Recommandations ISO 27001 pour la conformité NIS2, cyber.gouv.fr. ANSSI recommande explicitement ISO 27001 comme référentiel de démonstration pour les mesures NIS2 article 21. Projet de loi relatif à la résilience des infrastructures critiques — adopté au Sénat mars 2025, promulgation attendue 2026.
- Données coûts France 2026 : Fidens, « Combien coûte une certification ISO 27001 ? », fidens.fr/iso-27001/prix-certification/ ; Donnees.net, « Certification ISO 27001 : combien ça coûte pour une PME ? », donnees.net/certification-iso-27001-cout-pme.
- HightTable — « ISO 27001 Certification Cost: Full Breakdown (2026) », hightable.io/iso-27001-certification-cost/. Réduction des coûts par automatisation : 40–60%.
- GRC Solutions — « 5 Reasons ISO 27001 Implementations Fail (and How to Avoid Them) », grcsolutions.io.
- Konfirmity — « ISO 27001 Common Audit Findings: A Practical Guide (2026) », konfirmity.com/blog/iso-27001-common-audit-findings.
- ISO.org — « ISO/IEC 27001:2022 — Information security management systems », iso.org/standard/27001.
- ShieldNet360 — « ISO 27001 audit guide: requirements & process for SMEs, 2026 », shieldnet360.com.
- ChannelNews — « Bilan annuel : l'Anssi publie son Panorama de la cybermenace 2025 », channelnews.fr.
- COFRAC — Organismes accrédités ISO 27001 en France, cofrac.fr.
Ce guide est maintenu par l'équipe Orbiq. Dernière mise à jour : mars 2026.