Qu'est-ce qu'un SMSI ? Le guide complet du système de management de la sécurité de l'information (2026)
Guide complet du SMSI : définition, cycle PDCA, 8 composantes clés, exigences ISO 27001, mise en œuvre en 8 étapes, coûts et erreurs d'audit fréquentes.
Qu'est-ce qu'un SMSI ? Le guide complet du système de management de la sécurité de l'information (2026)
Soixante-dix-sept mille personnes recherchent « ISMS » chaque mois. La plupart sont des responsables sécurité, des responsables conformité et des RSSI qui ont besoin soit de construire un SMSI, soit de l'améliorer, soit de l'expliquer à leur direction.
Ce guide vous donne tout ce qu'il faut : ce qu'est un SMSI et ce qu'il n'est pas, comment il fonctionne mécaniquement, les 8 composantes que les auditeurs vérifient, un plan de mise en œuvre étape par étape, les données de coûts actuelles, et les vérités difficiles que la plupart des guides SMSI n'incluent pas.
Le marché mondial des SMSI a été évalué à 76,6 milliards USD en 2026, avec une projection à 117,9 milliards USD d'ici 2035, à un TCAC de 4,9 % [¹]. Cette croissance est portée par une crise réelle : 65 % des entreprises ont signalé au moins une cyberattaque au cours de l'année écoulée, et les violations de données ont augmenté de 58 % dans le monde [¹].
Points clés
- Un SMSI (Système de Management de la Sécurité de l'Information) est le cadre complet pour gérer la sécurité de l'information — politiques, processus, évaluations des risques, contrôles et documentation.
- ISO 27001 est la norme internationale qui certifie votre SMSI. La version actuelle est ISO/IEC 27001:2022, avec 93 contrôles répartis en 4 catégories (réduits depuis 114 contrôles en 14 catégories dans la version 2013).
- 8 composantes fondamentales constituent tout SMSI : politique, évaluation des risques, déclaration d'applicabilité, contrôles, documentation, audit interne, revue de direction et amélioration continue.
- Coûts de mise en œuvre : 15 000 à 40 000 £ la première année pour une entreprise de 50 personnes ; 50 000 à 150 000 £+ pour les grandes organisations. Une augmentation de 20 % est prévue pour 2026.
- NIS2, DORA et SOC 2 s'alignent tous sur les composantes du SMSI — un seul SMSI satisfait simultanément à plusieurs exigences de cadres réglementaires.
- 67 % des responsables sécurité investissent actuellement dans des outils de détection des menaces basés sur l'IA pour renforcer leurs capacités SMSI [¹].
Qu'est-ce qu'un SMSI ?
Un Système de Management de la Sécurité de l'Information (SMSI) est un cadre systématique de politiques, de processus et de contrôles qu'une organisation utilise pour gérer les risques liés à la sécurité de l'information.
Le SMSI définit :
- Quoi protéger — par l'identification et la classification des actifs
- Ce qui le menace — par l'évaluation structurée des risques
- Comment le protéger — par des contrôles sélectionnés dans l'Annexe A d'ISO 27001 ou des cadres équivalents
- Comment le prouver — par la documentation, la collecte de preuves et l'audit
- Comment s'améliorer continuellement — par le cycle Planifier-Déployer-Contrôler-Agir (PDCA)
Un SMSI n'est pas un produit que vous installez. Ce n'est pas un document que vous rédigez une seule fois. C'est un système de management permanent — une façon de travailler qui garantit que la sécurité est systématique, mesurable et en amélioration continue plutôt qu'ad hoc et réactive.
La distinction la plus importante : ISO 27001 est la norme qui certifie votre SMSI. Le SMSI est le système de management lui-même. Vous pouvez avoir un SMSI sans certification ISO 27001, mais toute certification ISO 27001 est une certification d'un SMSI.
Comment fonctionne un SMSI : le cycle PDCA
Tout SMSI fonctionne selon le cycle Planifier-Déployer-Contrôler-Agir (PDCA), la même boucle de management de la qualité utilisée dans ISO 9001 et ISO 14001.
Planifier
- Définir le périmètre du SMSI — quels systèmes, processus, sites et types de données sont inclus
- Établir la politique de sécurité de l'information
- Réaliser une évaluation des risques — identifier les actifs, les menaces, les vulnérabilités et les impacts
- Évaluer les risques — lesquels sont acceptables et lesquels nécessitent un traitement
- Sélectionner des contrôles pour traiter les risques identifiés
- Créer la Déclaration d'Applicabilité (DdA)
Déployer
- Mettre en œuvre les contrôles sélectionnés — mesures techniques et organisationnelles
- Déployer politiques et procédures
- Réaliser des formations de sensibilisation à la sécurité
- Mettre en place des processus de réponse aux incidents et de continuité d'activité
- Commencer la collecte systématique de preuves
Contrôler
- Surveiller l'efficacité des contrôles par rapport aux métriques et KPI définis
- Réaliser des audits internes
- Tenir des revues de direction
- Suivre les incidents, quasi-incidents et métriques de sécurité
- Identifier les non-conformités et opportunités d'amélioration
Agir
- Traiter les constats d'audit et non-conformités par des actions correctives
- Mettre à jour les évaluations des risques quand le paysage des menaces évolue
- Optimiser les contrôles sous-performants
- Réinjecter les enseignements dans la phase Planifier
Les 8 composantes fondamentales d'un SMSI
1. Politique de sécurité de l'information
Le document de gouvernance de premier niveau qui établit l'engagement de l'organisation envers la sécurité de l'information. Elle doit être approuvée par la direction générale et communiquée à l'ensemble de l'organisation.
2. Évaluation et traitement des risques
Le processus systématique d'identification, d'analyse et de traitement des risques liés à la sécurité de l'information. ISO 27001 n'impose pas de méthodologie de risque spécifique, mais elle doit être cohérente, reproductible et documentée.
Les quatre options de traitement des risques :
| Traitement | Définition | Quand l'appliquer |
|---|---|---|
| Réduire | Mettre en œuvre des contrôles pour réduire la probabilité ou l'impact | Éléments à risque élevé dont le risque résiduel devient acceptable |
| Accepter | Accepter formellement le risque résiduel | Éléments à faible risque où le coût du traitement dépasse le bénéfice |
| Transférer | Assurance, externalisation, responsabilité contractuelle | Risques résiduels que d'autres sont mieux placés pour gérer |
| Éviter | Éliminer entièrement la source de risque | Risques où l'activité elle-même ne justifie pas l'exposition |
3. Déclaration d'Applicabilité (DdA)
L'un des documents SMSI les plus importants. La DdA répertorie les 93 contrôles de l'Annexe A d'ISO 27001:2022 et indique :
- Quels contrôles sont mis en œuvre
- Quels contrôles sont exclus (et pourquoi)
- La justification liant chaque contrôle inclus aux risques identifiés
4. Contrôles de sécurité
ISO 27001:2022 organise 93 contrôles en quatre catégories :
| Catégorie | Contrôles | Exemples |
|---|---|---|
| Organisationnels | 37 contrôles | Politiques, rôles, gestion des actifs, sécurité fournisseurs, gestion des incidents, renseignements sur les menaces |
| Personnes | 8 contrôles | Vérification des antécédents, sensibilisation à la sécurité, processus disciplinaire, télétravail |
| Physiques | 14 contrôles | Périmètres de sécurité physique, protection des équipements, politique du bureau propre, supports de stockage |
| Technologiques | 34 contrôles | Contrôle d'accès, chiffrement, journalisation, sécurité réseau, développement sécurisé, DLP, sécurité cloud |
La révision 2022 a ajouté 11 nouveaux contrôles couvrant les menaces modernes : renseignements sur les menaces, sécurité des services cloud, préparation TIC pour la continuité d'activité, surveillance de la sécurité physique, gestion de la configuration, suppression de l'information, masquage des données, filtrage web, codage sécurisé, activités de surveillance et détection des fuites de données.
5. Documentation et enregistrements
Documents obligatoires :
- Document de périmètre du SMSI
- Politique de sécurité de l'information
- Méthodologie d'évaluation des risques
- Registre des risques
- Déclaration d'Applicabilité
- Plan de traitement des risques
Enregistrements obligatoires :
- Enregistrements de formation à la sécurité
- Résultats de surveillance et mesures
- Programmes et résultats d'audits internes
- Procès-verbaux des revues de direction
- Enregistrements d'actions correctives
- Preuves de fonctionnement des contrôles
La documentation manquante est la cause la plus fréquente d'échec à l'audit d'étape 1 — qui est essentiellement une revue documentaire.
6. Audit interne
Évaluation régulière de la conformité et de l'efficacité du SMSI. Les audits internes doivent :
- Couvrir tous les processus et contrôles du SMSI sur un cycle défini (typiquement annuel)
- Être menés par des auditeurs indépendants des domaines évalués
- Produire des constats documentés suivis jusqu'à leur résolution
7. Revue de direction
Revue périodique par la direction générale — au minimum annuelle, souvent trimestrielle — pour s'assurer que le SMSI reste adapté à son objectif. Les revues doivent considérer : résultats des audits, métriques de performance, statut des actions correctives, retours des parties prenantes pertinentes, et évolution du contexte organisationnel.
8. Amélioration continue
Le SMSI doit démontrer une amélioration permanente à travers des actions correctives pour les non-conformités identifiées, des mesures préventives, l'optimisation des processus et les mises à jour reflétant l'évolution des menaces et des exigences réglementaires.
SMSI vs. autres cadres : de quoi avez-vous besoin ?
| Cadre | Ce que c'est | Certification | Idéal pour | Relation au SMSI |
|---|---|---|---|---|
| ISO 27001 | Norme internationale pour SMSI | Oui — par organisme accrédité COFRAC | Ventes enterprise EU/mondiales | EST la norme SMSI |
| SOC 2 | Rapport d'audit américain sur Trust Services Criteria | Oui — rapport d'un cabinet CPA | Entreprises SaaS américaines | S'aligne sur les composantes SMSI |
| NIST CSF | Cadre de cybersécurité volontaire américain | Non | Secteur fédéral/public américain | Cadre de gestion des risques |
| RGPD | Règlement européen sur la protection des données | Non — appliqué par les autorités | Tout responsable de traitement EU | Les contrôles SMSI satisfont de nombreuses exigences RGPD |
| NIS2 | Directive EU sur la sécurité des réseaux et systèmes | Non — appliqué par les autorités | Entités essentielles/importantes EU | Les mesures SMSI Article 21 satisfont la plupart des exigences NIS2 |
| DORA | Résilience opérationnelle numérique EU pour la finance | Non — appliqué par les autorités | Secteur financier EU | Gestion des risques TIC SMSI s'aligne sur DORA |
L'insight clé : Un SMSI ISO 27001 bien conçu satisfait simultanément la plupart des exigences de NIS2 Article 21, de la gestion des risques TIC DORA et des critères SOC 2 Trust Services.
Qui a réellement besoin d'un SMSI ?
Urgence élevée :
- Éditeurs SaaS et fournisseurs cloud B2B — Les acheteurs entreprises exigent désormais la certification ISO 27001 avant de signer des contrats.
- Fintech et institutions financières — DORA rend obligatoire la gestion des risques TIC (fonctionnellement un SMSI) pour les entités financières EU.
- Healthtech et traitants de données médicales — RGPD Article 32 exige des « mesures techniques et organisationnelles appropriées » — un SMSI est la mise en œuvre la plus défendable.
- Entités essentielles et importantes NIS2 — Article 21 exige des mesures de gestion des risques qui constituent un SMSI fonctionnel.
Urgence croissante :
- Sous-traitants gouvernementaux et fournisseurs du secteur public — Les marchés publics EU exigent de plus en plus ISO 27001 comme niveau de base.
- Entreprises industrielles avec convergence OT/IT — La convergence des systèmes crée de nouveaux risques de sécurité de l'information nécessitant une gestion systématique.
Mettre en œuvre un SMSI : guide en 8 étapes
Étape 1 : Définir le périmètre et les objectifs (Semaines 1-2)
Commencez par un périmètre délimité :
- Un produit ou service spécifique
- Un département ou une unité métier spécifique
- Un type de données spécifique (ex : données personnelles clients, données financières)
Le périmètre devrait être le plus petit qui satisfait vos exigences clients et réglementaires — et vous l'élargissez délibérément à mesure que le SMSI mûrit.
Étape 2 : Obtenir l'engagement de la direction (Semaines 2-3)
Sans parrainage exécutif, les projets SMSI s'enlisent. Vous avez besoin de :
- Sponsor exécutif nommé — idéalement RSSI ou DSI avec visibilité au conseil
- Budget alloué — pour le support consultant, l'outillage et les frais d'audit
- Politique de sécurité approuvée — signée par la direction
- Appétit pour le risque défini — quel risque résiduel l'organisation accepte
Étape 3 : Inventaire des actifs et évaluation des risques (Semaines 3-8)
L'évaluation des risques est le cœur intellectuel du SMSI. Elle guide chaque décision de sélection des contrôles.
Inventaire des actifs :
- Actifs informationnels (bases de données, fichiers, connaissances)
- Actifs IT (serveurs, postes, services cloud, outils SaaS)
- Personnes (employés, prestataires, tiers ayant accès)
- Actifs physiques (bureaux, équipements, dossiers papier)
Traitement des risques : Pour chaque risque, décider de réduire, accepter, transférer ou éviter. Documenter la décision et la justification. Mapper les contrôles de réduction sur l'Annexe A d'ISO 27001.
Étape 4 : Créer la Déclaration d'Applicabilité (Semaines 8-10)
Parcourir les 93 contrôles de l'Annexe A d'ISO 27001:2022 : inclure les contrôles où les risques le justifient, exclure ceux réellement non applicables avec justification.
Étape 5 : Mettre en œuvre les contrôles (Semaines 8-24)
Gains rapides (typiquement en moins de 4 semaines) :
- Authentification multi-facteurs (MFA) sur tous les systèmes
- Politique de mots de passe et gestionnaire de mots de passe
- Revue des accès et processus de départ
- Formation de sensibilisation à la sécurité pour tous les employés
- Inventaire et classification des actifs
Contrôles à moyen terme (4-12 semaines) :
- Programme de gestion des vulnérabilités
- Plan de réponse aux incidents et exercices de test
- Plan de continuité d'activité
- Évaluations de sécurité des fournisseurs
- Chiffrement des données au repos et en transit
Étape 6 : Construire le cadre documentaire (Semaines 12-18)
Créer des politiques et procédures couvrant chaque domaine de contrôle. Développer des modèles pour les évaluations des risques, les revues de direction et les programmes d'audit. Mettre en place des processus de collecte de preuves.
Étape 7 : Audit interne et revue de direction (Semaines 20-24)
Avant l'audit de certification, réaliser un cycle complet d'audit interne :
- Planifier le périmètre d'audit — tous les processus et contrôles SMSI doivent être couverts
- Exécuter l'audit — interviewer, examiner les enregistrements, tester les contrôles
- Documenter les constats — conformités et non-conformités
- Convenir d'actions correctives pour toutes les non-conformités
Étape 8 : Audit de certification (Mois 6-12)
La certification ISO 27001 nécessite un audit par un organisme de certification accrédité. En France, les organismes accrédités par COFRAC comprennent Bureau Veritas, SGS et LRQA.
Étape 1 (revue documentaire, typiquement 1-2 jours) :
- L'auditeur vérifie la documentation du SMSI
- Confirme la définition du périmètre
- Vérifie l'exhaustivité et la justification de la DdA
Étape 2 (vérification de la mise en œuvre, typiquement 2-5 jours selon le périmètre) :
- L'auditeur teste que les contrôles documentés sont réellement mis en œuvre et fonctionnels
- Entretiens avec les employés — connaissent-ils leurs responsabilités en matière de sécurité ?
- Examen des preuves de fonctionnement des contrôles
Le certificat est valide trois ans, avec des audits de surveillance annuels et un audit de renouvellement la troisième année.
Coûts SMSI : grille tarifaire 2026
Par taille d'organisation
| Taille d'organisation | Coûts de mise en œuvre | Honoraires d'audit | Plateforme | Total Année 1 |
|---|---|---|---|---|
| Micro (1-10 employés) | 2 000–8 000 £ | 6 250 £+ | 1 200–3 600 £/an | 10 000–18 000 £ |
| Petite (10-50 employés) | 5 000–20 000 £ | 6 250–9 375 £ | 3 600–12 000 £/an | 15 000–40 000 £ |
| Moyenne (50-500 employés) | 15 000–40 000 £ | 9 375–15 000 £ | 12 000–36 000 £/an | 40 000–90 000 £ |
| Grande (500+ employés) | 40 000–100 000 £+ | 15 000–40 000 £ | 36 000 £+/an | 90 000–180 000 £+ |
Facteurs de coût clés en 2026 :
- Les taux journaliers des consultants ont sensiblement augmenté — prévoir 1 250–1 500 £/jour
- Une augmentation de 20 % des coûts est prévue pour 2026 [²]
- Les plateformes d'automatisation réduisent l'effort de mise en œuvre de 40 à 60 %
Ce que la plupart des guides SMSI ne vous disent pas
L'écart documentaire reste le tueur d'audit numéro 1
La documentation manquante provoque plus d'échecs à l'audit d'étape 1 que tout déficit de contrôle technique. L'audit d'étape 1 est une revue documentaire — si vos documents obligatoires ne sont pas complets et corrects, l'audit s'arrête là. Les éléments les plus fréquemment manquants : plan de traitement des risques non relié à la DdA, procès-verbaux de revue de direction ne couvrant pas tous les sujets requis, enregistrements d'actions correctives sans analyse des causes profondes.
La définition du périmètre SMSI est une décision stratégique, pas technique
Un périmètre trop large crée une complexité de mise en œuvre ingérable. Trop étroit et les clients se demandent pourquoi certains produits ou systèmes ne sont pas couverts. Le bon périmètre est le plus petit qui satisfait vos exigences clients et réglementaires — et vous l'élargissez délibérément.
L'engagement de la direction est un indicateur avancé du succès SMSI
Les organisations où le RSSI a l'autorité budgétaire et la visibilité au conseil surpassent systématiquement celles où la sécurité est une fonction du département IT. Les auditeurs interrogent la direction — et ils voient immédiatement si la direction s'engage réellement avec le SMSI ou n'a fait que signer la politique.
La dérive post-certification est réelle — et très courante
La période la plus dangereuse pour un SMSI est les 18 mois suivant la certification initiale. Les organisations se relâchent, la cadence d'audit interne diminue, les formations se raréfient, la documentation se périme. Puis l'audit de surveillance arrive et la panique s'installe. Intégrez la maintenance du SMSI dans des rythmes opérationnels réguliers.
Erreurs d'audit SMSI fréquentes
Sur la base des constats réels des organismes de certification :
- Évaluation des risques traitée comme une case à cocher — réalisée une fois, non révisée lors des changements
- Les politiques disent une chose, la pratique montre autre chose — politique de contrôle d'accès documentée mais droits d'accès réels non vérifiés
- L'audit interne ne couvre pas tous les contrôles — plan d'audit annuel n'atteignant pas une couverture complète
- L'analyse des causes profondes est superficielle — les actions correctives corrigent les symptômes, pas les causes
- La sécurité des fournisseurs est nominale — politique existante mais aucune évaluation de fournisseurs réellement conduite
- Procès-verbaux de revue de direction incomplets — ne couvrent pas tous les éléments d'entrée requis
- Preuves de formation de sensibilisation manquantes — formation réalisée mais enregistrements non conservés
- La continuité d'activité n'a pas été testée — PCA documenté mais aucun enregistrement de test
SMSI et NIS2 : cartographie des exigences
| Exigence Article 21 NIS2 | Composante SMSI |
|---|---|
| Analyse des risques et politiques de sécurité | Politique SMSI et évaluation des risques |
| Gestion des incidents | Contrôles de gestion des incidents (A.5.24–A.5.28) |
| Continuité d'activité et gestion de crise | Contrôles BCM (A.5.29–A.5.30) |
| Sécurité de la chaîne d'approvisionnement | Contrôles de sécurité fournisseurs (A.5.19–A.5.23) |
| Sécurité lors de l'acquisition et du développement | Contrôles de développement sécurisé (A.8.25–A.8.34) |
| Politiques d'évaluation de l'efficacité | Audit interne et surveillance |
| Hygiène cyber et formation | Contrôles de sensibilisation (A.6.3) |
| Cryptographie | Contrôles cryptographiques (A.8.24) |
| Sécurité RH, contrôle d'accès, gestion des actifs | Contrôles personnes, organisationnels et techniques |
| Authentification multi-facteurs | Contrôles d'authentification (A.8.5) |
Comment Orbiq soutient votre SMSI
Orbiq est construit spécifiquement pour les entreprises européennes qui souhaitent gérer leur SMSI efficacement :
- Surveillance continue — Les vérifications automatisées des contrôles s'exécutent en continu contre votre SMSI, remontant les écarts avant que les auditeurs ne les trouvent.
- Gestion des preuves — Collecte automatisée de preuves mappées simultanément sur les contrôles ISO 27001, les exigences NIS2 et les critères SOC 2.
- Questionnaires assistés par IA — Lorsque des clients envoient des questionnaires de sécurité, Orbiq y répond automatiquement à partir de vos preuves SMSI.
- Trust Center — Publiez vos certifications SMSI et vos contrôles dans un hub en libre-service pour les acheteurs enterprise.
Découvrez la plateforme SMSI d'Orbiq →
Pour aller plus loin
- Certification ISO 27001 — Guide complet — Processus de certification étape par étape
- Qu'est-ce qu'ISO 27001 ? — La norme en profondeur
- Coût de la certification ISO 27001 — Décomposition complète des coûts
- ISO 27001 n'est pas la conformité NIS2 — Comprendre l'écart et comment le combler
Sources & Références
- Market Growth Reports — « Information Security Management System Market Size, Share | Industry Report [2035] », marketgrowthreports.com, 2026. Chiffres : taille du marché 76,6 Mds USD (2026), TCAC 4,9 %, 65 % des entreprises signalant des cyberattaques, hausse de 58 % des violations de données, 67 % des responsables sécurité investissant dans l'IA.
- HightTable — « ISO 27001 Certification Cost: Full Breakdown (2026) », hightable.io/iso-27001-certification-cost/. Chiffres : honoraires d'audit 6 250–15 000 £, projection d'augmentation de 20 %, taux journalier consultant 1 250 £.
- ElevateConsult — « ISO 27001 Audit Blueprint 2026: Exact Costs, Timelines & Audit Types », elevateconsult.com
- GRC Solutions — « 5 Reasons ISO 27001 Implementations Fail », grcsolutions.io
- Qualio — « 8 Ways to Fail an ISO Audit in 2026 », qualio.com/blog/iso-audit
- ISMS.online — « Avoiding common ISO 27001 internal audit mistakes », isms.online
- ISO.org — « ISO/IEC 27001:2022 — Information security management systems », iso.org/standard/27001
- DataGuard — « Building ISMS framework: Steps and best practices for implementation », dataguard.com
Ce guide est maintenu par l'équipe Orbiq. Dernière mise à jour : mars 2026.