ISO 27001 en 10 minutes : ce qui change avec la version 2022

L'Annexe A passe de 114 à 93 contrôles

La version 2013 organisait ses 114 contrôles en 14 catégories (A.5 à A.18). La version 2022 les regroupe en seulement 4 grands thèmes, ce qui change la façon dont on lit et on cartographie la norme :

• Organisationnels — 37 contrôles (politiques, rôles, gestion des tiers, gestion des incidents...)
• Personnes — 8 contrôles (sensibilisation, télétravail, confidentialité...)
• Physiques — 14 contrôles (sécurité des locaux, équipements, supports amovibles...)
• Technologiques — 34 contrôles (contrôle d'accès, chiffrement, développement sécurisé...)

11 contrôles n'existaient pas avant

Ce ne sont pas des reformulations : ce sont des exigences nouvelles, absentes de la version 2013. Si votre dernier audit remonte à quelques années, c'est probablement le point qui demande le plus de travail réel :

• Veille sur les menaces (threat intelligence)
• Sécurité de l'information dans l'usage du cloud
• Préparation des TIC pour la continuité d'activité
• Surveillance physique des sites
• Gestion de la configuration
• Suppression de l'information
• Masquage des données
• Prévention de la fuite de données (DLP)
• Surveillance des activités (monitoring)
• Filtrage web
• Codage sécurisé

Un système d'attributs, pour filtrer les contrôles autrement

Nouveauté moins visible mais utile en pratique : chaque contrôle porte désormais des attributs — type de contrôle (préventif, détectif, correctif), propriétés de sécurité (confidentialité, intégrité, disponibilité), concepts de cybersécurité, capacités opérationnelles et domaines de sécurité. Cela permet de regrouper les contrôles par angle métier plutôt que par seul numéro d'annexe — par exemple, isoler d'un coup de filtre tous les contrôles "détectifs" liés à la surveillance, indépendamment de leur catégorie d'origine.

La période de transition est terminée

Les organisations certifiées sur la version 2013 avaient jusqu'au 31 octobre 2025 pour basculer vers la version 2022 — délai fixé par l'IAF (International Accreditation Forum) à trois ans après la publication de la norme. Cette échéance est maintenant dépassée : une certification encore émise sur la base de la version 2013 n'est plus valable. Si votre dernière transition remonte à avant cette date, le premier réflexe est de vérifier auprès de votre organisme certificateur que votre Déclaration d'applicabilité (SoA) référence bien les 93 contrôles de l'Annexe A:2022.

Ce que ça change concrètement pour la préparation d'audit

Le vrai travail n'est pas de relire la norme — c'est de retrouver, pour chacun des 11 nouveaux contrôles, la preuve documentaire qui justifie sa mise en œuvre dans votre organisation, quand elle existe déjà dispersée dans des politiques, des contrats fournisseurs ou des configurations techniques. C'est exactement le type de travail que l'extraction et le mapping automatisés accélèrent : plutôt que de relire chaque document à la main pour vérifier s'il couvre un contrôle donné, on part des exigences de l'Annexe A:2022 et on remonte vers les preuves existantes.