Notes de veilleNote de veille
Fin de la transition vers ISO 27001:2022 : où en êtes-vous ?
Les certificats fondés sur la version 2013 de la norme ISO/IEC 27001 cessent d'être valides à la fin de la période de transition, fixée au 31 octobre 2025. Selon votre situation, la suite tient en un courriel ou en un nouvel audit.
Ce 31 octobre 2025 marque la fin de la transition ISO 27001:2022. Le Forum international de l’accréditation (IAF), dans son document obligatoire IAF MD 26:2023, avait fixé une période de trois ans à compter de la publication de la nouvelle version, le 25 octobre 2022. À l’issue de cette période, les certificats délivrés selon la version 2013 de la norme ISO/IEC 27001 expirent ou sont retirés. Aucun organisme accrédité ne peut plus les maintenir.
Ce qui a changé entre 2013 et 2022
Le cœur de la norme, les clauses 4 à 10 qui décrivent le système de management, a peu bougé : quelques précisions sur les parties intéressées, les processus, la planification des modifications (nouvelle clause 6.3) et la surveillance. Le changement principal porte sur l’annexe A, alignée sur ISO/IEC 27002:2022. Les 114 mesures de 2013 sont devenues 93, regroupées en quatre thèmes (organisationnelles, humaines, physiques, technologiques). Onze mesures sont nouvelles, parmi lesquelles le renseignement sur les menaces, la sécurité des services en nuage, la préparation des technologies à la continuité d’activité, la gestion des configurations, la suppression des informations, le masquage des données, la prévention des fuites, le filtrage web et le développement sécurisé.
Un amendement publié en février 2024 (ISO/IEC 27001:2022/Amd 1:2024) demande en outre de déterminer si le changement climatique est un enjeu pertinent pour le système de management. La portée pratique est souvent modeste, mais l’auditeur vérifiera que la question a été posée.
Quatre situations, quatre suites
| Votre situation au 31 octobre 2025 | Ce que cela signifie | Ce qu’il faut faire |
|---|---|---|
| Audit de transition réalisé, certificat 2022 reçu | Vous êtes à jour | Vérifier que la déclaration d’applicabilité publiée ou communiquée aux clients est la nouvelle |
| Audit de transition réalisé, écarts en cours de levée | La décision de certification dépend de l’organisme et des délais convenus | Contacter l’organisme aujourd’hui, transmettre les preuves de correction, obtenir une position écrite |
| Aucun audit de transition | Le certificat 2013 n’est plus valide | Prévoir un audit de certification, souvent assimilé à une certification initiale ; informer les clients et les donneurs d’ordres qui l’exigent |
| Pas certifié, projet en cours | Seule la version 2022 est certifiable depuis la fin de la période d’accueil des audits initiaux selon la version 2013 | Construire directement sur la version 2022 et son annexe A |
Dans le troisième cas, l’enjeu dépasse la conformité : des contrats, des marchés publics ou des agréments peuvent exiger un certificat valide. Une interruption, même de quelques semaines, se signale aux clients plutôt que de se découvrir lors d’une vérification.
Ce que nous recommandons
Ne pas confondre transition et mise à jour documentaire. Renuméroter la déclaration d’applicabilité selon les 93 mesures ne suffit pas. Les nouvelles mesures doivent être réellement mises en œuvre ou leur exclusion justifiée par l’analyse de risques. Les auditeurs de transition ont surtout regardé le renseignement sur les menaces, les services en nuage et la prévention des fuites, où les écarts sont fréquents.
Profiter de la transition pour rapprocher les référentiels. L’annexe A de 2022 se lit plus facilement en regard de NIS 2, de DORA ou du référentiel SOC 2. Une table de correspondance unique évite d’auditer trois fois la même mesure ; notre guide pour gérer plusieurs référentiels sans multiplier les audits en donne la méthode.
Regarder la suite. Le cycle de certification reste de trois ans, avec des audits de surveillance annuels. Le premier audit de surveillance après la transition est l’occasion de montrer que les nouvelles mesures produisent des preuves dans la durée, pas seulement le jour de l’audit.
Notre expertise cybersécurité et conformité accompagne les organisations dans ces audits, et notre produit Gouvernance sert à conserver les preuves des contrôles réalisés, avec leur date et leur auteur.
- ISO/IEC 27001:2022, Sécurité de l’information, cybersécurité et protection de la vie privée — Systèmes de management de la sécurité de l’information — Exigences.
- ISO/IEC 27001:2022/Amd 1:2024, Actions relatives au changement climatique.
- IAF MD 26:2023, Transition Requirements for ISO/IEC 27001:2022, International Accreditation Forum.
- ISO/IEC 27002:2022, Mesures de sécurité de l’information.