ISO/IEC 27001 : la sécurité de l’information, démontrée.
L’ISO/IEC 27001 demande d’évaluer les risques sur l’information, de choisir les mesures pour les traiter et de démontrer qu’elles fonctionnent. Les clients la demandent, l’administration publique italienne aussi pour le cloud, et elle aide ceux qui doivent répondre de NIS2.
Ce que c’est
Risques évalués, mesures choisies, preuves rassemblées.
La norme demande un système de management qui protège la confidentialité, l’intégrité et la disponibilité de l’information au moyen d’un processus de gestion des risques. Elle vaut pour tous les secteurs ; l’informatique est celui qui compte le plus de certificats. Les certificats sur l’édition 2013 ne sont plus valables depuis le 31/10/2025.
À qui elle sert
- Ceux qui développent des logiciels ou gèrent des données pour le compte de leurs clients
- Ceux qui proposent des services cloud à l’administration publique italienne
- Ceux qui relèvent de NIS2 et veulent une méthode reconnue pour les mesures de sécurité
- Ceux qui reçoivent des questionnaires de sécurité de leurs clients et veulent répondre avec un certificat
Ce qu’elle vous apporte
Pour qualifier un service cloud pour l’administration publique au niveau QC1, l’ACN, l’Agence nationale italienne de cybersécurité, demande l’ISO/IEC 27001 avec les extensions 27017 et 27018, ou CSA STAR niveau 2.
ACN, mesures pour les services cloud, niveau QC1Si vous êtes certifié, vous avez un pont vers les mesures de base NIS : l’UNI/PdR 174:2025, développée avec le soutien de l’ACN.
ACN, UNI/PdR 174:2025Dans les appels d’offres italiens qui le prévoient, la garantie est réduite jusqu’à 20 % : l’ISO/IEC 27001 figure parmi les certifications de l’annexe II.13.
D.Lgs. 36/2023, art. 106 c. 8 et allegato II.13
Le parcours
De l’analyse au certificat, en quatre étapes.
- 1
Périmètre et risques
On décide quoi protéger — sites, systèmes, processus — et on évalue les risques sur l’information.
- 2
Mesures et applicabilité
On choisit les mesures, on écrit pourquoi chacune est appliquée ou exclue, et on les met en œuvre.
- 3
Audit interne et revue
Avant d’appeler l’organisme, un audit interne et la revue de direction disent si le système tient.
- 4
Audit de certification
L’organisme accrédité le mène en deux étapes, la seconde sur les sites de l’entreprise. Le certificat dure trois ans, avec une surveillance chaque année.
10ISO
Comment 10ISO vous aidera
Le travail qui se répète, ce sont les agents qui le feront ; les décisions restent à vous et à ceux qui vous accompagnent. 10ISO arrive bientôt : voici ce que nous construisons.
- L’analyse des risques et les mesures choisies, tenues alignées quand quelque chose changeBientôt disponible
- Les preuves des mesures collectées là où elles naissent : accès, sauvegardes, formation, fournisseursBientôt disponible
- Les mesures NIS que la 27001 couvre déjà, et celles qui manquentBientôt disponible
- Une norme de plus, 22301 ou 9001, sur les mêmes chapitresBientôt disponible
Questions
Les premières questions que l’on pose sur ISO/IEC 27001.
L’ISO/IEC 27001 suffit-elle pour être en règle avec NIS2 ?
Non. L’ACN mesure la conformité sur la mise en œuvre de toutes les exigences de ses mesures de base, pas sur un certificat. Si vous êtes certifié, vous partez avec de l’avance, et l’UNI/PdR 174:2025 aide à voir ce qui manque.
Avec la 27001, suis-je en règle avec le GDPR ?
Non. Accredia l’écrit clairement : un certificat de système ne garantit pas la conformité légale. Pour le GDPR, les seules certifications sont celles prévues à l’art. 42.
J’ai encore un certificat ISO/IEC 27001:2013 : est-il valable ?
Non. Les certificats sur l’édition 2013 ont expiré ou ont été retirés le 31/10/2025 : il faut une certification sur l’édition 2022.
Sources
Chaque référence de cette fiche provient de l’une de ces sources, vérifiées le 28/09/2026. Si une loi ou une norme change, la fiche est mise à jour.
Sources
- ISO — ISO/IEC 27001:2022, Information security management systems (s’ouvre dans un nouvel onglet)
- IAF MD 26 — Transition requirements for ISO/IEC 27001:2022 (s’ouvre dans un nouvel onglet)
- ACN — servizi cloud per la PA, misure del livello QC1 (s’ouvre dans un nouvel onglet)
- ACN — UNI/PdR 174:2025 per i soggetti NIS certificati ISO/IEC 27001 (s’ouvre dans un nouvel onglet)
- ACN — FAQ NIS su misure di sicurezza e notifica degli incidenti (s’ouvre dans un nouvel onglet)
- Accredia — Organismi di certificazione dei sistemi di gestione (s’ouvre dans un nouvel onglet)
- D.Lgs. 36/2023, art. 106 — garanzie per la partecipazione (Normattiva) (s’ouvre dans un nouvel onglet)
- D.Lgs. 36/2023, allegato II.13 — certificazioni per la riduzione delle garanzie (testo della GU n. 77 del 31/03/2023) (s’ouvre dans un nouvel onglet)
Liste d’attente
Nous vous écrirons quand 10ISO ouvrira.
Une minute : qui vous êtes, votre e-mail et la norme qui vous intéresse. Ce n’est pas un abonnement et nous ne vous demandons pas de carte.