Modèle de déclaration d’applicabilité ISO 27001

Ce que demande la norme

---

Ce qu’exige ISO 27001 et ce qui est laissé à votre appréciation

Après l’appréciation des risques, la norme demande de choisir les mesures nécessaires pour les traiter et de les comparer à l’Annexe A pour vérifier qu’aucune mesure nécessaire n’a été omise. Le résultat est formalisé dans la déclaration d’applicabilité, qui doit contenir les mesures nécessaires, la justification de leur inclusion, leur état de mise en œuvre et la justification des exclusions.

La norme n’oblige pas à appliquer les 93 mesures : elle oblige à se prononcer sur chacune. Elle admet aussi des mesures propres ou issues d’autres référentiels, qui s’ajoutent à la déclaration à côté de celles de l’Annexe A.

C’est un document vivant : il évolue avec les risques, le périmètre ou l’état de mise en œuvre, et sa version en vigueur est celle que cite le certificat.

Structure

---

Les champs que doit comporter le modèle

• Identifiant et intitulé de la mesure (Annexe A ou autre référentiel)
• Applicable ? Oui ou non
• Justification de l’inclusion : risque, exigence légale ou contractuelle
• Justification de l’exclusion, si elle ne s’applique pas
• État de mise en œuvre : en place, en cours, planifiée
• Référence à la preuve ou à la procédure qui la décline
• Propriétaire de la mesure
• Version, date et approbation

À l’audit

---

Les erreurs que relèvent souvent les auditeurs

• Des exclusions justifiées par « non applicable » sans dire pourquoi.
• Des mesures indiquées comme en place sans preuve pour l’étayer.
• La DdA ne cite pas le risque qui justifie chaque mesure : le lien avec l’appréciation n’apparaît pas.
• Une version différente de celle qui figure sur le certificat ou dans le rapport d’audit.
• La structure à 114 mesures de l’édition 2013 est toujours utilisée.

Dans Kimobox

---

Comment tenir cet enregistrement dans Kimobox

1. 1La déclaration d’applicabilité reprend les mesures de l’Annexe A avec leur état de mise en œuvre.
2. 2Chaque mesure est reliée à la preuve qui la démontre et aux risques qu’elle traite.
3. 3La déclaration est un document maîtrisé et versionné : on conserve qui a approuvé chaque version et quand.

Questions fréquentes

---

Ce que l’on nous demande avant de commencer