ISO/IEC 27001:2022 — la norme internationale de référence pour la sécurité de l'information, exigée par un nombre croissant d'appels d'offres et de donneurs d'ordre.

Kit documentaire · ISO/IEC 27001:2022

Votre documentation ISO/IEC 27001, sans partir de zéro.

Modèles Word et Excel pour bâtir votre SMSI, documenter les contrôles de l'Annexe A et préparer l'audit de certification.

Clauses 4 à 10 et 93 contrôles de l'Annexe A
Analyse de risque, Déclaration d'Applicabilité, plan de traitement
105 fichiers modifiables et grille d'audit interne
NIS 2, DORA, RGPD : matrice de conformité croisée incluse

Acheter le kit · 389 €

Licence par entité juridiqueTéléchargement immédiatGarantie 30 jours

105

Documents inclus

7 + 93

Clauses et contrôles couverts

100 %

Exigences cartographiées

V2022

Dernière révision intégrée

Pour qui est ce kit

Conçu pour les organisations qui traitent, hébergent ou protègent des données sensibles.

Quatre profils, un même besoin : une base documentaire ISO/IEC 27001 prête à adapter.

RSSI et responsables sécurité

Bâtir ou consolider le SMSI, préparer la certification, aligner l'organisation sur l'Annexe A.

SMSICertificationAnnexe A

Éditeurs SaaS et ESN

Répondre aux questionnaires fournisseurs et aux exigences sécurité des grands comptes.

SaaSHébergeursGrands comptes

DSI et directions informatiques

Gouvernance sécurité, continuité d'activité et conformité sur un socle documentaire cohérent.

GouvernanceContinuitéConformité

Consultants et cabinets conseil

Un socle documentaire pour accompagner les clients vers la certification ISO 27001.

Missions clientsLicence cabinet sur demande

Contenu du kit

105 documents organisés par clause de l'ISO/IEC 27001:2022 et par thème de l'Annexe A.

Le kit couvre les clauses 4 à 10 et les 4 thèmes de l'Annexe A : organisationnels, personnes, physiques, technologiques. Soit les 93 contrôles à évaluer dans la Déclaration d'Applicabilité.

Liste maîtresse · ISO/IEC 27001:2022

Version 1.1, mai 2026

105 documents · 85 Word · 20 Excel

Chapitre 4 · Contexte de l'organisation

6 documents · Enjeux internes et externes, parties intéressées, périmètre du SMSI, cartographie des processus, manuel.

W
Procédure d'analyse du contexte interne et externe (4.1)
X
Matrice des parties intéressées et de leurs exigences
W
Document de définition du périmètre du SMSI
W
Cartographie des processus couverts par le SMSI
X
Registre des enjeux stratégiques sécurité
W
Manuel du système de management de la sécurité de l'information

Chapitre 5 · Leadership

6 documents · Engagement de la direction, politique de sécurité, organigramme et RACI, fiches de fonction, charte utilisateur.

W
Politique de sécurité de l'information signée direction
W
Charte d'engagement de la direction
X
Organigramme SMSI et matrice RACI sécurité
W
Fiches de fonction SSI
W
Procédure de communication de la politique SSI
W
Charte utilisateur type

Chapitre 6 · Planification

9 documents · Méthode d'appréciation des risques, actifs, plan de traitement, Déclaration d'Applicabilité, objectifs, changements.

W
Méthodologie d'appréciation des risques avec grille de cotation (6.1.2)
X
Registre des actifs informationnels
X
Matrice d'analyse des risques et catalogue de menaces
X
Plan de traitement des risques
X
Déclaration d'Applicabilité
X
Registre d'acceptation des risques résiduels
W
Objectifs de sécurité et plan de mise en œuvre
W
Procédure de planification des changements (6.3)
W
Fiche de demande de changement SMSI

Chapitre 7 · Support

6 documents · Ressources et compétences, sensibilisation, communication, maîtrise documentaire, enregistrements.

X
Plan de ressources et matrice de compétences SSI
W
Plan de sensibilisation annuel et procédure de formation
W
Procédure de communication interne et externe (7.4)
W
Procédure de maîtrise documentaire (7.5)
W
Procédure de gestion des enregistrements
X
Registre de formation et sensibilisation

Chapitre 8 · Fonctionnement

5 documents · Pilotage opérationnel, appréciation et traitement des risques, processus externalisés.

W
Procédure de pilotage opérationnel du SMSI (8.1)
W
Procédure d'appréciation des risques en conditions réelles (8.2)
W
Procédure de traitement des risques opérationnels (8.3)
W
Rapport d'appréciation des risques et plan d'actions
W
Procédure de maîtrise des processus et services externalisés (8.1)

Chapitre 9 · Évaluation des performances

4 documents · Surveillance et mesure, programme d'audit interne, revue de direction.

W
Procédure de surveillance, mesure, analyse et évaluation (9.1)
W
Procédure et programme d'audit interne SMSI (9.2)
W
Procédure de revue de direction (9.3)
W
Modèle de compte-rendu de revue de direction

Chapitre 10 · Amélioration

4 documents · Amélioration continue, non-conformités et actions correctives.

W
Procédure d'amélioration continue (10.1)
W
Procédure de gestion des non-conformités et actions correctives (10.2)
W
Fiche de non-conformité et action corrective
X
Registre des non-conformités SMSI

Annexe A.5 · Contrôles organisationnels

27 documents · Politiques, actifs, classification, accès, fournisseurs et cloud, incidents, continuité, RGPD, conformité, IA générative.

W
Politique de sécurité de l'information et politiques thématiques
X
Matrice RACI rôles SSI et procédure de séparation des tâches
W
Procédure de contact avec les autorités et groupes spécialisés (A.5.5-6)
W
Procédure de veille menaces threat intelligence (A.5.7)
W
Procédure d'intégration de la SSI dans la gestion de projet (A.5.8)
X
Registre des actifs informationnels et charte d'usage acceptable
W
Procédure de classification, étiquetage et transfert d'information (A.5.12-14)
W
Politique de contrôle d'accès et gestion des identités
W
Politique de relations fournisseurs et clauses contractuelles
W
Politique de sécurité des services cloud
W
Plan de gestion des incidents de sécurité
W
Plan de continuité d'activité SSI et plan d'ICT readiness
X
Registre des exigences légales réglementaires et contractuelles
W
Procédure de protection de la propriété intellectuelle (A.5.32)
W
Procédure de protection des enregistrements (A.5.33)
W
Procédure de protection des données à caractère personnel RGPD (A.5.34)
W
Procédure de revue indépendante et conformité aux politiques (A.5.35-36)
W
Procédures opérationnelles documentées
W
Procédure de gestion des accès tiers et fournisseurs (A.5.19, A.5.21)
W
Procédure de revue et recertification périodique des accès (A.5.18, A.8.2)
W
Procédure de gestion de crise cyber (A.5.24-26)
W
Modèle d'analyse d'impact relative à la protection des données
W
Modèle de PV de test de continuité et restauration
W
Playbooks de réponse à incident ransomware fuite compromission DDoS
W
Modèles de notification d'incident CNIL 72h et ANSSI NIS 2
X
Registre des traitements RGPD
W
Politique d'usage des outils d'intelligence artificielle générative

Annexe A.6 · Contrôles sur les personnes

6 documents · Antécédents, clauses contractuelles et NDA, sensibilisation, procédure disciplinaire, départs, télétravail.

W
Procédure de vérification des antécédents pre-employment screening (A.6.1)
W
Modèle de clauses de sécurité dans le contrat de travail et NDA
W
Plan de sensibilisation éducation et formation SSI
W
Procédure disciplinaire liée à la sécurité (A.6.4)
W
Procédure de fin de contrat et changement de poste (A.6.5)
W
Charte de télétravail et procédure de signalement d'évènements

Annexe A.7 · Contrôles physiques

8 documents · Périmètres et accès, zones sécurisées, menaces environnementales, équipements, supports, maintenance, élimination.

W
Politique de sécurité physique et plan des périmètres d'entrée
W
Procédure de sécurisation des bureaux, locaux et zones sécurisées (A.7.3-4, 6)
W
Plan de protection contre les menaces physiques et environnementales
W
Charte bureau propre et écran verrouillé
W
Procédure de sécurité des équipements, câblage et utilities (A.7.8, 11-12)
W
Procédure de sécurité des actifs hors site et supports de stockage (A.7.9-10)
W
Procédure de maintenance et élimination sécurisée des équipements (A.7.13-14)
W
Procédure d'inventaire physique des équipements

Annexe A.8 · Contrôles technologiques

19 documents · Postes de travail, accès privilégiés, MFA, vulnérabilités, sauvegarde, réseau, cryptographie, développement sécurisé.

W
Procédure de sécurité des postes de travail utilisateurs endpoints (A.8.1)
W
Procédure de gestion des accès privilégiés et restrictions (A.8.2-4)
W
Procédure d'authentification sécurisée MFA (A.8.5)
W
Procédure de gestion de capacité (A.8.6)
W
Politique de protection anti-malware et procédure de gestion des vulnérabilités
W
Procédure de gestion des configurations et changements IT (A.8.9, 32)
W
Procédure de suppression d'information, data masking et DLP (A.8.10-12)
W
Politique de sauvegarde redondance journalisation et monitoring
W
Procédure de synchronisation des horloges (A.8.17)
W
Procédure d'utilisation des programmes utilitaires privilégiés (A.8.18)
W
Procédure d'installation logicielle sur systèmes opérationnels (A.8.19)
W
Politique de sécurité réseau segmentation et filtrage web
W
Politique de cryptographie et procédure de gestion des clés
W
Procédure de cycle de développement sécurisé et secure coding (A.8.25, 28-29)
W
Fiche d'exigences de sécurité applicative et architecture sécurisée
W
Procédure de séparation des environnements dev test prod et protection en audit (A.8.31, 33-34)
W
Charte des comptes à privilèges et administrateurs
W
Procédure de patch management et gestion des vulnérabilités (A.8.8)
W
Procédure de tests d'intrusion et scans de vulnérabilités (A.8.8, A.8.29)

Audit et pilotage

5 documents · Grille d'audit interne, tableaux de bord, suivi des 93 contrôles, matrice de conformité croisée, liste maîtresse.

X
Grille d'audit interne ISO 27001 2022
X
Tableau de bord des indicateurs sécurité
X
Tableau de bord de suivi de mise en œuvre des 93 contrôles SoA
X
Matrice de conformité croisée ISO 27001 NIS 2 DORA RGPD ANSSI
X
Liste maîtresse des documents du SMSI

Liste maîtresse complète, checklist d'implémentation et une procédure dans l'extrait gratuit.

Pourquoi ce kit existe

Un SMSI ISO 27001 ne se rédige pas en partant d'une page blanche.

7 clauses de management, 93 contrôles en 4 thèmes. Chaque exigence appelle une politique, une procédure ou un enregistrement.

Version 2022

La plupart des modèles en ligne datent de 2013

114 anciens contrôles, sans la structure en 4 thèmes ni les 11 nouveaux contrôles : veille menaces, cloud, DLP, codage sécurisé, masquage.

Clauses 4 à 10

Un écart documentaire devient un écart d'audit

L'auditeur vérifie chaque clause et la Déclaration d'Applicabilité. Un document manquant ou incohérent génère une non-conformité.

Appels d'offres

Les donneurs d'ordre exigent la certification

Grands comptes, administrations, secteurs réglementés : ISO 27001 figure dans les appels d'offres et les questionnaires fournisseurs.

15 000 à 35 000 €

Une mission conseil coûte cher

20 à 50 jours de cabinet pour la mise en place. Le kit fournit ce socle, votre budget va à l'analyse des risques et au terrain.

Cartographie normative

Chaque exigence ISO/IEC 27001:2022 → un document du kit.

Clause par clause et thème par thème, le texte normatif et les documents fournis. C'est ce qu'un auditeur de certification demande à voir en premier.

Clause 4

Contexte de l'organisation : enjeux (4.1), parties intéressées (4.2), périmètre du SMSI documenté (4.3), processus couverts (4.4)

Analyse du contexteParties intéresséesPérimètre SMSICartographie processusEnjeux stratégiques

Clause 5

Leadership : engagement direction (5.1), politique SSI documentée (5.2), rôles et responsabilités (5.3)

Politique SSI signée directionCharte d'engagement directionOrganigramme + RACI SMSIFiches de fonction SSICommunication politiqueCharte utilisateur

Clause 6

Planification : appréciation des risques (6.1.2), traitement (6.1.3) avec Déclaration d'Applicabilité, objectifs (6.2), planification des changements (6.3, nouveauté 2022)

Méthodologie risques + grille cotationRegistre des actifsAnalyse de risque + catalogue menacesPlan de traitementDéclaration d'ApplicabilitéAcceptation risques résiduelsObjectifs SSIPlanification changements (6.3)Fiche demande changement

Clause 7

Support : ressources (7.1), compétences (7.2), sensibilisation (7.3), communication (7.4), informations documentées (7.5)

Plan ressources + matrice compétencesPlan de sensibilisation + formationCommunication SMSIMaîtrise documentaireListe maîtresse documentsGestion des enregistrementsRegistre formation

Clause 8

Fonctionnement opérationnel : pilotage (8.1), appréciation des risques (8.2) et traitement (8.3) en conditions réelles, maîtrise des processus externalisés

Pilotage opérationnelAppréciation risques opérationnelsTraitement risquesRapport + plan d'actionsMaîtrise processus externalisés

Clause 9

Évaluation : surveillance (9.1), programme d'audit interne (9.2), revue de direction avec 7 inputs obligatoires (9.3)

Surveillance & mesureTableau de bord KPIProcédure + programme d'auditGrille audit ISO 27001Procédure revue directionModèle CR revue direction

Clause 10

Amélioration : amélioration continue (10.1), non-conformités et actions correctives (10.2)

Amélioration continueGestion NC + actions correctivesFiche NC / ACRegistre NC

Annexe A.5

37 contrôles organisationnels (A.5.1 à A.5.37) : politiques, rôles et séparation des tâches, responsabilités du management, contact autorités et groupes spécialisés, SSI en gestion de projet, gestion des actifs, usage acceptable, classification et étiquetage, contrôle d'accès et identités, relations fournisseurs et cloud, threat intelligence, gestion des incidents, continuité, propriété intellectuelle, protection des enregistrements, RGPD / DCP, revue indépendante, conformité, procédures opérationnelles

Politique SSI + thématiques (A.5.1)RACI + séparation tâches (A.5.2-4)Contact autorités & groupes (A.5.5-6)Threat intelligence (A.5.7)SSI en gestion de projet (A.5.8)Registre actifs + usage acceptable (A.5.9-11)Classification + étiquetage + transfert (A.5.12-14)Contrôle d'accès + IAM (A.5.15-18)Relations fournisseurs (A.5.19-22)Sécurité cloud (A.5.23)Gestion des incidents (A.5.24-28)Continuité + ICT readiness (A.5.29-30)Exigences légales (A.5.31)Propriété intellectuelle (A.5.32)Protection enregistrements (A.5.33)Protection DCP / RGPD (A.5.34)Revue indépendante + conformité (A.5.35-36)Procédures opérationnelles (A.5.37)

Annexe A.6

8 contrôles sur les personnes (A.6.1 à A.6.8) : vérification des antécédents, clauses contractuelles, sensibilisation et formation, procédure disciplinaire, fin de contrat, NDA, télétravail, signalement

Vérification antécédents (A.6.1)Contrat travail + NDA (A.6.2, A.6.6)Plan de sensibilisation (A.6.3)Procédure disciplinaire (A.6.4)Fin de contrat (A.6.5)Charte télétravail + signalement (A.6.7-8)

Annexe A.7

14 contrôles physiques (A.7.1 à A.7.14) : périmètre, entrée, locaux, monitoring, protection environnementale, zones sécurisées, équipements, utilities, câblage, maintenance, élimination

Périmètre + entrée (A.7.1-2)Bureaux + surveillance + zones sécurisées (A.7.3-4, 6)Menaces environnementales (A.7.5)Charte bureau propre (A.7.7)Équipements + câblage + utilities (A.7.8, 11-12)Actifs off-site + supports (A.7.9-10)Maintenance + disposal (A.7.13-14)

Annexe A.8

34 contrôles technologiques (A.8.1 à A.8.34) : endpoints, accès privilégiés, authentification, anti-malware, vulnérabilités, configurations, DLP, data masking, sauvegardes, logs, monitoring, horloges, programmes utilitaires privilégiés, installation logicielle, réseau, cloud, crypto, développement sécurisé, exigences applicatives, architecture sécurisée, environnements dev/test/prod

Endpoints utilisateurs (A.8.1)Accès privilégiés + restrictions (A.8.2-4)Authentification (A.8.5)Gestion capacité (A.8.6)Anti-malware + vulnérabilités (A.8.7-8)Configurations + change IT (A.8.9, 32)Suppression + data masking + DLP (A.8.10-12)Sauvegarde + redondance + logs + monitoring (A.8.13-16)Synchronisation horloges (A.8.17)Utilitaires privilégiés (A.8.18)Installation logicielle (A.8.19)Réseau + segmentation + web filter (A.8.20-23)Cryptographie (A.8.24)Développement sécurisé + secure coding (A.8.25, 28-29)Exigences applicatives + architecture (A.8.26-27)Développement externalisé (A.8.30)Environnements dev/test/prod (A.8.31, 33-34)

Non inclus

Documents spécifiques au contexte opérationnel de votre organisation, qui doivent être rédigés ou paramétrés au cas par cas par vos équipes, votre RSSI ou votre DSI, car ils dépendent de votre système d'information réel

Déclaration d'Applicabilité renseignée (par votre SoA)Analyse de risque instanciée (avec vos actifs réels)Plan de continuité d'activité détaillé (PCA technique)Configurations techniques (hardening, firewalls, IAM)Cartographie réseau et architecture réelleInventaire exhaustif des actifs (instancié sur votre SI)Rapport de pentest / audit technique

XLivrées dans le kit en Excel : la Déclaration d'Applicabilité des 93 contrôles et la grille d'audit interne, clauses et Annexe A.

Conformité technique

Les points que regarde un auditeur ISO/IEC 27001 chevronné.

Dix points que les auditeurs de certification vérifient en premier. Le kit les traite un par un.

Périmètre du SMSI documenté

Limites et applicabilité, interfaces et dépendances avec le cloud et les sous-traitants.

4.3

Méthode d'appréciation des risques

Critères de vraisemblance, d'impact et d'acceptation explicites, compatible EBIOS RM et ISO 27005.

6.1.2

Déclaration d'Applicabilité

93 contrôles listés : statut, justification, mise en œuvre, document de référence.

6.1.3

Gestion des incidents

Événement, incident, incident majeur, escalade, notification CNIL sous 72 h, retour d'expérience.

A.5.24 à A.5.28

Continuité d'activité

BIA, RTO et RPO par processus, scénarios de sinistre, tests PCA et PRA documentés.

A.5.29 et A.5.30

Gestion des accès

Moindre privilège, revue périodique des droits, arrivées et départs, MFA pour les accès privilégiés.

A.5.15 à A.5.18, A.8.2 à A.8.5

Gestion des vulnérabilités

Détection continue, délais de correction par criticité, lien avec la veille menaces et les correctifs.

A.8.8

Cryptographie et gestion des clés

Politique de chiffrement, cycle de vie des clés, séparation des rôles.

A.8.24

Sécurité du cloud

Responsabilité partagée documentée, clauses sécurité fournisseurs, évaluation des prestataires cloud.

A.5.23

Audit interne et revue de direction

Programme couvrant clauses et Annexe A, 7 entrées de revue, dont risques et plan de traitement.

9.2 et 9.3

27001

ISO/IEC 27001 : reconnaissance internationale

La norme internationale de référence pour la sécurité de l'information, alignée avec de nombreux référentiels sectoriels et réglementaires.

Reconnaissance mondiale (ISO/IEC)NIS 2 (UE)DORA (secteur financier UE)ANSSI (France)RGPD (article 32)HDS (santé)

Audit flash SMSI

Où en êtes-vous aujourd'hui ?

Répondez aux 12 questions clause par clause et thème par thème pour obtenir votre score de maturité ISO 27001:2022. Résultat immédiat, gratuit, aucune information personnelle demandée.

Question 1 / 12

Clause 4 — Contexte

/ 100

Acheter le kit ISO 27001 · 389 €

Processus de déploiement

De la commande à l'audit blanc, voici la route.

Jour 1

Téléchargement

ZIP complet : 105 documents Word et Excel.

Semaines 1 à 4

Personnalisation

Logo, périmètre, organigramme SMSI, rôles, actifs, fournisseurs cloud, contexte réglementaire.

Semaines 5 à 12

Mise en œuvre

Analyse de risque, Déclaration d'Applicabilité, déploiement des contrôles, sensibilisation, preuves.

Semaines 12 à 16

Audit blanc

Audit interne avec la grille du kit, plan d'actions, revue de direction, préparation à la certification.

Délai typique : 12 à 16 semaines jusqu'à un SMSI prêt pour l'audit de certification, selon vos ressources internes (RSSI, DSI, propriétaires d'actifs).

Besoin d'un coup de main ? Nos consultants peuvent personnaliser le kit à votre site et vous accompagner dans le déploiement, sur devis.

Demander un devis

Sans risque

Garantie 30 jours, sans condition.

Garantie 30 jours satisfait ou remboursé

Vous testez le kit. Si vous changez d'avis, on vous rembourse.

Vous avez 30 jours pour télécharger le kit, examiner son contenu, ouvrir les documents, vérifier que la qualité rédactionnelle correspond à vos attentes. Si quelque chose ne va pas, vous nous écrivez un email — sans justification — et le remboursement est traité sous 5 jours ouvrés. C'est aussi simple que ça.

Questions fréquentes

Les réponses à vos interrogations.

Le kit suffit-il pour obtenir la certification ISO 27001 ?

Non, il fournit la documentation des clauses 4 à 10 et de l'Annexe A. La certification dépend de la mise en œuvre : analyse de risque réelle, Déclaration d'Applicabilité renseignée, contrôles déployés, preuves collectées.

Les documents sont-ils modifiables ?

Oui. 85 fichiers Word et 20 fichiers Excel, sans PDF verrouillé. Charte neutre, prête pour votre logo et vos codes.

Le kit couvre-t-il NIS 2, DORA et le RGPD ?

Il est construit sur l'ISO/IEC 27001:2022 et fournit une matrice de conformité croisée avec NIS 2, DORA, le RGPD et l'ANSSI. Il ne remplace pas une analyse réglementaire propre à votre secteur.

La licence couvre-t-elle plusieurs entités ?

Elle couvre une organisation (entité juridique), usage interne illimité. Groupe, filiales ou cabinet conseil : contactez-nous pour une licence adaptée.

Quand recevrai-je les fichiers ?

Dès la validation du paiement : lien sur la page de confirmation et par e-mail. ZIP complet, dossiers par type de document.

Et si le kit ne me convient pas ?

30 jours pour l'examiner. Écrivez à support@managementqualite.com en expliquant ce qui ne convient pas : remboursement sous 4 à 5 jours ouvrés après validation.

Passez à l'action

Votre SMSI ISO 27001. Prêt aujourd'hui.

105 documents Word et Excel, téléchargement immédiat après paiement.

389 €TTC · Licence par entité juridique · Paiement unique