Ce que contiennent les fichiers
- le domaine d’application du SMSI, avec les enjeux internes et externes, la question du changement climatique de l’amendement 1:2024, les parties intéressées et leurs exigences, les sites, les exclusions et les interfaces (paragraphes 4.1 à 4.3) ;
- la politique de sécurité de l’information avec les engagements de la direction, les rôles et vos politiques spécifiques à une thématique (5.2) ;
- l’appréciation des risques : la méthode, les échelles de 1 à 5, votre seuil d’acceptation et le registre avec vraisemblance × impact calculé pour chaque risque (6.1.2) ;
- le plan de traitement des risques avec l’option, les mesures de l’annexe A, l’action, le responsable et l’échéance, et une colonne pour l’approbation de chaque propriétaire du risque (6.1.3) ;
- la déclaration d’applicabilité : les 93 mesures de l’annexe A, incluses ou exclues, la justification (les risques traités par une mesure sont remplis pour vous) et la mise en œuvre (6.1.3 d), aussi en fichier CSV pour un tableur ;
- les objectifs de sécurité de l’information avec indicateur, ressources, responsable et échéance (6.2), et un fichier à lire d’abord indiquant ce que la norme demande au-delà de ces fichiers.
Les contrôles du kit
Un niveau de risque n’est calculé qu’à partir de notes entières de 1 à 5 ; tout le reste est marqué à compléter. Un numéro de mesure absent de l’annexe A est signalé comme refusé, jamais deviné. Une mesure que vous excluez alors qu’un de vos risques s’appuie sur elle est signalée dans le formulaire et dans la déclaration d’applicabilité. Rien n’est laissé vide en silence : chaque lacune porte la mention À COMPLÉTER, ou son équivalent dans la langue du document.
ISO 27001 et NIS 2
La directive NIS 2 (UE) 2022/2555 n’exige pas de certification ISO/IEC 27001. Son article 21 impose aux entités essentielles et importantes des mesures de gestion des risques tenant compte, le cas échéant, des normes européennes et internationales pertinentes, et son article 25 demande aux États membres d’en encourager l’utilisation. Une appréciation des risques, une politique et une déclaration d’applicabilité sont un moyen courant de montrer comment ces mesures ont été choisies. Comment le kit rattache ses politiques à SOC 2 et à l’article 21 : politiques SOC 2 et NIS 2.
Ce que le kit ne fait pas
Il ne contient pas le texte de la norme : les intitulés des mesures sont nos propres mots, et il vous faut votre exemplaire de l’ISO/IEC 27001 pour en lire les exigences. Il ne rédige pas les procédures derrière chaque mesure, ne mène ni l’audit interne ni la revue de direction et ne certifie rien : seul un audit par un organisme de certification accrédité mène à un certificat. Les documents sont en français, en anglais, en allemand, en espagnol, en polonais et en italien.
Rien de ce que vous saisissez ne quitte votre navigateur ; les fichiers sont créés sur votre appareil. Des modèles, pas un conseil juridique.