Non-conformités ISO 27001 : pourquoi le Stage 2 échoue

Le moment où se joue une certification ISO 27001 dure moins d'une minute. L'auditeur ouvre la déclaration d'applicabilité (Statement of Applicability), choisit au hasard une mesure marquée « entièrement mise en œuvre » et demande la preuve qu'elle a fonctionné ces trois derniers mois. Si la réponse est « c'est ainsi que nous travaillons, mais nous ne le documentons pas », vous venez de récolter une non-conformité. Si cela se répète sur plusieurs mesures, elle devient majeure — et le certificat est repoussé.

Le contexte rend la situation plus inconfortable encore. Au 31 décembre 2024, la Roumanie comptait 792 certificats ISO/IEC 27001 valides contre 12 065 certificats ISO 9001 (ISO Survey 2024) : la plupart des entreprises qui entrent aujourd'hui dans le processus le font sans aucun réflexe interne, alors que plus de 6 000 entités portent des obligations NIS2 et que de plus en plus de grands comptes exigent la certification par contrat. Au niveau mondial, l'ISO Survey 2024 recense 96 709 certificats valides. La bonne nouvelle : les raisons des échecs sont prévisibles et presque toutes corrigeables avant l'audit.

On n'échoue pas faute d'avoir agi, mais faute de pouvoir le prouver

La différence entre une entreprise certifiée du premier coup et une entreprise qui récolte une non-conformité majeure tient rarement au niveau réel de sécurité. Les deux ont généralement pare-feu, sauvegardes, antivirus et des équipes compétentes. La différence, c'est que l'une peut poser sur la table, dans l'ordre, la chaîne des décisions et les preuves qui les soutiennent, et l'autre non.

La distinction mérite d'être comprise, car ses conséquences sont très concrètes. Une non-conformité mineure est un écart isolé : vous obtenez un délai convenu pour la correction, vous transmettez la preuve de clôture et le processus de certification se poursuit. Une non-conformité majeure signifie qu'une exigence est totalement absente ou qu'un processus s'est effondré de manière systématique — et elle bloque la certification jusqu'à correction et vérification. Les organismes de certification accordent généralement 30 à 90 jours pour les actions correctives et planifient un audit de suivi, le plus souvent sous 90 jours.

Traduit en langage d'entreprise : une non-conformité majeure n'est pas une remarque technique, c'est un trimestre perdu. Souvent le trimestre exact où devait être signé le contrat qui vous a poussé à vous certifier.

Les zones où apparaissent les non-conformités sont remarquablement constantes d'un audit à l'autre :

• Absence de méthodologie claire d'appréciation du risque — des évaluations faites « à l'expérience », sans critères écrits (article 6.1.2).
• Traitement du risque sans preuves : des décisions prises, mais aucun enregistrement montrant que les mesures ont réellement été mises en œuvre (article 6.1.3).
• Audit interne et revue de direction absents, incomplets ou ne couvrant pas tous les processus du SMSI (articles 9.2 et 9.3).
• Une déclaration d'applicabilité incomplète, obsolète ou sans justification d'inclusion et d'exclusion des mesures (article 6.1.3 d).
• Aucun indicateur de performance du système — personne ne mesure si la sécurité fonctionne (article 9.1).
• Un processus de gestion des incidents qui n'existe qu'en document, sans enregistrement d'incidents réellement traités (mesure A.5.24).
• Contrôle d'accès sans revues périodiques : comptes d'anciens salariés, droits accumulés au fil du temps (mesures A.8.2 et A.8.3).
• Sécurité des fournisseurs non traitée — pas de classification, pas d'exigences de sécurité dans les contrats (mesure A.5.19).
• Formation et sensibilisation inconstantes, sans trace de qui a participé et quand (mesure A.6.3).
• Inventaire des actifs incomplet, ou sans propriétaires désignés (mesure A.5.9).

Remarquez le schéma : la plupart de ces points ne sont pas techniques. Ce sont des questions de système de management. Ils se règlent avec de la discipline et des enregistrements, pas avec un budget matériel — c'est pourquoi des entreprises dotées d'une excellente informatique échouent parfois plus durement que des entreprises à l'informatique modeste mais bien documentée.

L'auditeur n'évalue pas votre sécurité, il évalue la traçabilité

C'est le changement de perspective qui transforme toute la préparation. ISO 27001 ne certifie ni un pare-feu, ni un fournisseur cloud, ni une configuration. Elle certifie un système de management de la sécurité de l'information. La vraie question de l'auditeur n'est pas « êtes-vous sécurisés ? » mais « pouvez-vous démontrer que cette décision a été prise rationnellement, appliquée en pratique et revue périodiquement ? ».

Concrètement, chaque mesure doit s'inscrire dans une chaîne à cinq maillons : un actif identifié, un risque évalué sur cet actif, une décision consignée dans la déclaration d'applicabilité, une mesure réellement en fonctionnement et une preuve datée qu'elle a fonctionné — plus une revue confirmant que la chaîne est toujours valide. Cassez un seul maillon et la mesure disparaît du point de vue de l'auditeur, aussi bien configurée soit-elle techniquement.

Une mesure sans preuve datée n'est pas une mesure. C'est une intention.

De cette chaîne découle aussi la cause la plus fréquente de non-conformité majeure au Stage 2 : une déclaration d'applicabilité qui surestime la réalité. Vous marquez une mesure « entièrement mise en œuvre » parce que la politique existe et que l'intention est claire, et l'auditeur échantillonne précisément ces déclarations. Une déclaration honnête qui indique « partiellement mise en œuvre, échéance au trimestre prochain » est infiniment plus sûre qu'une déclaration optimiste : la première montre un système qui se connaît, la seconde un système qui ignore ce qu'il fait.

Le second piège est l'absence de lien avec le risque. Un tableau de 93 mesures cochées, sans aucune référence au registre des risques, dit à l'auditeur que vous avez rempli un modèle. Il veut voir le chemin inverse : cette mesure existe parce que ce risque a été évalué à ce niveau et que le coût de mitigation était justifié.

Ce qui a changé récemment et peut vous prendre de court

La version 2022 a réorganisé l'Annexe A en 93 mesures réparties en quatre thèmes, contre 114 dans l'ancienne structure, et a introduit 11 nouvelles mesures. Les entreprises qui partent d'un modèle de déclaration datant de l'ère 2013 omettent fréquemment ces nouvelles mesures. Les 93 doivent toutes être traitées explicitement — y compris celles que vous excluez, qui exigent une justification écrite et non une cellule vide.

La période de transition s'est terminée le 31 octobre 2025. Les certificats délivrés selon ISO 27001:2013 ont expiré à cette date. Si vous avez manqué l'échéance, il ne s'agit plus d'une « mise à jour » de certificat : vous réintégrez le processus comme une nouvelle organisation, avec un audit initial complet, Stage 1 et Stage 2. Mieux vaut vérifier sur quelle version votre certificat est délivré avant de promettre quoi que ce soit à un client.

Février 2024 a également apporté l'Amendement 1, qui touche les articles 4.1 et 4.2 : l'organisation doit déterminer si le changement climatique constitue pour elle un enjeu pertinent et tenir compte du fait que les parties intéressées peuvent avoir des exigences liées au climat. L'impact pratique est faible si vous menez déjà une analyse de contexte sérieuse — mais l'absence de détermination documentée est exactement le type de lacune qu'un auditeur consigne sans hésiter.

Les huit choses à faire avant le Stage 2

L'ordre compte : les quatre premiers points ferment la plupart des non-conformités majeures, les quatre derniers empêchent les mineures de s'accumuler.

1. 1Relisez la déclaration d'applicabilité ligne par ligne et rétrogradez tout statut optimiste. Toute mesure marquée « entièrement mise en œuvre » pour laquelle vous ne pouvez pas produire une preuve en 60 secondes devient « partiellement mise en œuvre », avec échéance et responsable.
2. 2Reliez chaque mesure incluse à un risque concret du registre, évalué sur l'impact, la probabilité et le coût de mitigation. Chaque mesure exclue reçoit une justification écrite de deux ou trois lignes.
3. 3Rassemblez des preuves datées des trois derniers mois pour les mesures déclarées opérationnelles : journaux, rapports, comptes rendus de réunion, tickets, feuilles de présence. Un dossier de preuves organisé par mesure raccourcit l'audit et change le ton de la discussion.
4. 4Menez un véritable audit interne couvrant tous les processus du SMSI et un échantillon de mesures, puis tenez la revue de direction avec toutes les données d'entrée exigées par la norme et consignez les décisions prises. Les articles 9.2 et 9.3 sont parmi les plus souvent manqués justement parce qu'ils ressemblent à des formalités.
5. 5Définissez trois à cinq indicateurs de performance du système et mesurez-les pendant au moins un trimestre avant l'audit. Sans historique, l'article 9.1 reste une promesse.
6. 6Testez les processus qui n'existent que sur le papier : simulez un incident et enregistrez son traitement, réalisez une revue complète des droits d'accès, vérifiez le plan de continuité. Les processus non testés sont les premiers à céder aux questions.
7. 7Vérifiez la chaîne de fournisseurs : qui a accès à vos données, quelles exigences de sécurité figurent au contrat, quand ils ont été évalués pour la dernière fois.
8. 8Clôturez les constats de votre audit interne par une analyse des causes profondes, et non par un pansement sur le symptôme. Les auditeurs externes vérifient fréquemment la qualité des actions correctives antérieures.

À quoi ressemble la préparation en pratique

Notre offre ISO 27001:2022 Implementation Kickstarter, disponible dans la boutique de forfaits, est construite exactement autour de cette chaîne de traçabilité : 14 mesures prioritaires de l'Annexe A mises en œuvre, un registre des risques évalué sur impact × probabilité × coût de mitigation, une déclaration d'applicabilité cohérente avec ce registre, plus de 8 politiques (sécurité, accès, réponse aux incidents, continuité) et un audit interne simulé. La durée va de 3-4 semaines pour un environnement de moins de 50 équipements à 8-12 semaines pour les organisations au-delà de 100 équipements.

L'élément qui change le plus le résultat est l'audit interne simulé, mené comme un audit de certification : les mêmes questions, les mêmes demandes de preuves, le même échantillonnage. Il est bien moins coûteux d'entendre « je ne peux pas le prouver » de notre part que de celle de l'organisme de certification. Le reste de la préparation s'appuie sur notre pratique de cybersécurité, car une mesure documentée mais mal exploitée reste une non-conformité.

Dans les 30 derniers jours avant l'audit, la liste courte ressemble à ceci :

• Prévoyez assez de temps entre le Stage 1 et le Stage 2 — la recommandation usuelle est d'au moins six semaines, afin de clôturer ce que le Stage 1 a révélé.
• Confirmez que la version approuvée de la déclaration d'applicabilité est bien la version courante et que les dates d'approbation sont visibles.
• Désignez un responsable par grand domaine, capable d'ouvrir la preuve en temps réel.
• Vérifiez que les 93 mesures ont toutes un statut et une justification, sans cellules vides.
• Documentez votre détermination sur la pertinence du changement climatique, conformément à l'Amendement 1.

Conclusion

La certification ISO 27001 ne se gagne pas avec plus de sécurité, mais avec une sécurité démontrable : chaque mesure reliée à un risque, réellement en fonctionnement et appuyée par une preuve datée. Si vous avez un audit planifié, ou si vous construisez tout juste votre système et voulez un avis honnête sur votre situation, parlons-en 30 minutes — prenez rendez-vous et nous parcourrons votre déclaration d'applicabilité exactement comme le fera l'auditeur.