Modèles et enregistrements · ISO 27001 · Chapitre A.5.31
Registre des exigences légales et contractuelles de sécurité
La liste des lois, règlements et contrats qui imposent des obligations de sécurité à l’entreprise, avec ce qu’ils exigent et la manière dont chacun est respecté.
En une phrase
Le registre des exigences légales et contractuelles identifie les lois, règlements et contrats qui imposent des obligations de sécurité — protection des données, NIS 2, ENS, clauses clients — et explique comment chacune est respectée ; il répond à la mesure 5.31 de l’ISO/IEC 27001:2022, qui exige de les identifier, de les documenter et de les tenir à jour.
- Où la norme l’exige
- ISO 27001 · Chapitre A.5.31 Les chapitres suivent l’ISO/IEC 27001:2022 ; ceux qui commencent par « A. » sont des mesures de l’Annexe A, exigibles dans la mesure où la déclaration d’applicabilité les inclut.
- Type d’information
- Document obligatoire Mesure 5.31 de l’Annexe A, qui demande de les documenter et de les tenir à jour
- Qui le renseigne
- Responsable de la sécurité avec le service juridique Les contrats sont fournis par ceux qui les signent : commercial, achats
- Quand
- À chaque évolution de la loi ou signature d’un contrat Avec une revue complète au moins une fois par an
- Durée de conservation
- Toujours en vigueur Il est tenu à jour ; les versions antérieures montrent depuis quand chaque obligation était connue
Ce que demande la norme
Ce qu’exige ISO 27001 et ce qui est laissé à votre appréciation
Le chapitre 4.2 demande de connaître les exigences des parties intéressées, et la mesure 5.31 précise celles qui proviennent des lois, règlements et contrats : les identifier, les documenter et les tenir à jour, avec l’approche retenue pour les respecter.
Contrairement au registre des obligations d’un système de management de la conformité, celui-ci se limite à ce qui touche la sécurité de l’information. Son utilité est double : il alimente l’appréciation des risques et justifie l’inclusion de mesures dans la déclaration d’applicabilité.
Des mesures voisines complètent le tableau : propriété intellectuelle (5.32), protection des enregistrements (5.33), vie privée et protection des données personnelles (5.34).
Structure
Les champs que doit comporter le modèle
- Texte ou contrat d’origine, avec sa référence
- Exigence de sécurité précise qu’il impose
- Portée : processus, systèmes ou données concernés
- Moyen de conformité : mesure, procédure ou preuve
- Responsable
- Délais de notification ou de réponse qu’il fixe
- Date d’identification et de dernière revue
Exemple
Exemple : trois exigences d’un éditeur de logiciels
Entreprise, personnes et chiffres fictifs : l’exemple montre seulement à quoi ressemble un enregistrement correctement renseigné.
| Champ | Contenu |
|---|---|
| RGPD, art. 33 | Notifier les violations de données personnelles à l’autorité de contrôle sous 72 heures · Procédure incidents PS-08 · Délégué à la protection des données |
| RGPD, art. 28 | Contrat de sous-traitance avec chaque client qui nous confie des données · Modèle de contrat approuvé · Commercial et juridique |
| Contrat avec un client public (fictif) | Respecter l’ENS en catégorie moyenne · Certification prévue · Responsable de la sécurité |
| Contrat avec un assureur client (fictif) | Signaler les incidents graves sous 24 heures · Ajouté à la procédure PS-08 |
| Dernière revue | 15 juillet 2026 |
À l’audit
Les erreurs que relèvent souvent les auditeurs
- Une liste de lois sans dire ce qu’elles exigent ni comment elles sont respectées.
- Les engagements de sécurité des contrats clients n’apparaissent pas.
- Des délais de notification contractuels que la procédure de gestion des incidents ignore.
- Aucune revue après l’entrée en vigueur de nouveaux textes, comme la transposition de NIS 2.
Dans Kimobox
Comment tenir cet enregistrement dans Kimobox
- 1Les parties intéressées et leurs exigences de sécurité sont enregistrées dans une table versionnée.
- 2Chaque exigence est reliée à la mesure ou à la procédure qui la satisfait, dans la déclaration d’applicabilité.
- 3La revue périodique est programmée et alerte son responsable.
Questions fréquentes
Ce que l’on nous demande avant de commencer
Est-ce la même chose que le registre des obligations de l’ISO 37301 ?
Non. Celui de l’ISO 37301 couvre toutes les obligations de conformité de l’organisme ; celui-ci se limite à celles qui touchent la sécurité de l’information. Si les deux systèmes coexistent, le registre sécurité peut être une vue filtrée du registre général.
Faut-il y inclure les contrats clients ?
Oui. La mesure 5.31 parle expressément d’exigences contractuelles, et ce sont souvent les plus exigeantes : délais de signalement des incidents, audits par le client ou localisation des données.
Tenez les enregistrements ISO 27001 sans modèles éparpillés
Nous vous montrons le module en fonctionnement avec des données proches des vôtres.
Poursuivez la visite
Pages associées
Modèle de registre des obligations de conformité ISO 37301
Comment documenter les obligations de conformité exigées par l’ISO 37301 : exigences obligatoires et…
Contexte de l’organisme
Tout SMSI part de deux questions : quels actifs faut-il protéger, et qui attend quoi de cette protection ?
Modèle de déclaration d’applicabilité ISO 27001
Ce que doit contenir la déclaration d’applicabilité de l’ISO 27001 (6.1.3 d) : mesures nécessaires…
Modèle d’appréciation des risques de sécurité ISO 27001
Comment documenter l’appréciation des risques de sécurité exigée par l’ISO 27001 : critères d’acceptation…
Sources
D’où vient chaque donnée
Références au texte officiel en vigueur. Si une norme est révisée, cette page est mise à jour et la date de révision en témoigne.
- ISO/IEC 27001:2022 — Systèmes de management de la sécurité de l’information. Exigences ISO/IEC · 25 octobre 2022
- ISO/IEC 27002:2022 — Mesures de sécurité de l’information ISO/IEC · Février 2022
- Règlement (UE) 2016/679, règlement général sur la protection des données EUR-Lex · 27 avril 2016
- Directive (UE) 2022/2555 (NIS 2) EUR-Lex · 14 décembre 2022