L’ISO 27001 est la norme internationale de référence pour structurer la protection de l’information.

Elle définit les exigences d’un système de management de la sécurité de l’information (SMSI) : un cadre qui permet à une organisation de maîtriser ses risques de façon durable, plutôt que de multiplier des mesures isolées.

La norme protège trois propriétés de l’information :

• la confidentialité : seules les personnes autorisées y accèdent ;
• l’intégrité : elle reste exacte et complète ;
• la disponibilité : elle est accessible quand on en a besoin.

L’ISO 27001 repose sur une approche par les risques et sur l’amélioration continue et consiste à :

1. définir le contexte de l’organisation, son périmètre et les attentes de ses parties intéressées ;
2. identifier et évaluer les risques de sécurité ;
3. choisir les mesures adaptées (organisationnelles, humaines, physiques et technologiques) et justifie ses choix dans une déclaration d’applicabilité ;
4. mettre en œuvre, mesurer, auditer, puis améliorer.

La direction porte la responsabilité du SMSI : c’est un engagement de gouvernance, pas seulement un projet informatique.

La norme s’applique à tous les supports (numérique, papier, échanges oraux) et à tous les secteurs et toutes les tailles d’organisation.

Pourquoi se conformer à l’ISO 27001 ?

• Une meilleure maîtrise des risques et une réponse plus structurée aux incidents.
• Un gage de confiance pour les clients, partenaires et donneurs d’ordre, souvent exigé dans les appels d’offres.
• Une base solide pour répondre à d’autres exigences (RGPD, NIS2, exigences contractuelles), sans garantir à elle seule la conformité réglementaire.

Applicable depuis 2018 dans toute l’Union européenne, le RGPD (Règlement Général sur la Protection des Données) encadre la manière dont les organisations collectent, utilisent et protègent les données personnelles.

Il impose de maîtriser ce que vous traitez : finalités, durées de conservation, mesures de sécurité, encadrement des sous-traitants et des transferts hors UE. Il exige également de documenter vos pratiques pour pouvoir démontrer votre conformité.

Bien appliqué, il renforce la confiance de vos clients et partenaires, structure votre gestion de l’information et réduit vos risques de sanction.

En France, toute organisation qui héberge des données de santé à caractère personnel recueillies lors d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social doit être certifiée HDS (Hébergeur de Données de Santé).

Cette certification, délivrée par un organisme accrédité, s’appuie sur la norme ISO 27001 complétée d’exigences propres à la santé : sécurité, traçabilité, réversibilité, information des clients. Elle est valable trois ans, avec un audit de surveillance chaque année.

Bien préparée, elle sécurise vos clients, ouvre l’accès au marché de la santé et démontre votre capacité à répondre à des attentes exigeantes.

La directive NIS 2 (UE 2022/2555) est le cadre européen qui renforce la cybersécurité des entités dites « essentielles » et « importantes », réparties dans une quinzaine de secteurs (énergie, santé, transports, numérique, administrations, industrie, etc.).

Ces entités doivent mettre en place une gestion des risques cyber (politiques de sécurité, gestion des incidents, continuité d’activité, sécurité de la chaîne d’approvisionnement), notifier rapidement les incidents significatifs aux autorités et engager la responsabilité de leurs dirigeants, sous peine de sanctions financières élevées.

Sa transposition en droit français est portée par le projet de loi « résilience », sous le contrôle de l’ANSSI.

Le Cyber Resilience Act (CRA) est le règlement européen (UE 2024/2847) qui impose des exigences de cybersécurité à tous les produits comportant des éléments numériques commercialisés dans l’Union européenne : objets connectés, logiciels, équipements, composants matériels et logiciels. Il couvre l’ensemble du cycle de vie du produit, de la conception à la fin du support.

Les fabricants doivent intégrer la sécurité dès la conception (security by design), gérer les vulnérabilités tout au long de la durée de support, fournir des mises à jour de sécurité et notifier aux autorités les vulnérabilités activement exploitées et les incidents graves. Les produits conformes portent le marquage CE.

Le règlement est entré en vigueur en décembre 2024. Les obligations de notification s’appliquent à partir de septembre 2026, et l’ensemble des exigences à partir de décembre 2027. Fabricants, importateurs et distributeurs sont concernés, d’où l’intérêt de s’y préparer dès maintenant.