ISO 27001 : ce que l'avocat prend en charge dans la certification

Un prospect exige ISO 27001 dans son appel d'offres, et le projet part chez le consultant. Quelques mois plus tard, l'auditeur demande la liste de vos exigences légales, vos contrats fournisseurs et la façon dont vos politiques s'imposent aux salariés. Ce volet n'est pas technique, et il engage l'entreprise au-delà de l'audit : jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial pour un manquement aux articles 28 ou 32 du RGPD, que le certificat n'écarte pas. Voici ce que l'avocat prend en charge dans la certification, ce qu'il laisse aux autres, et les risques qui naissent quand personne ne s'en occupe.

Certification ISO 27001 : ce que la norme demande vraiment

ISO/IEC 27001:2022 décrit un système de management de la sécurité de l'information. Elle ne fixe pas un niveau de sécurité unique : elle impose une méthode. L'entreprise définit un périmètre, analyse ses risques, retient des mesures, les justifie dans une déclaration d'applicabilité, puis se contrôle par un audit interne et une revue de direction.

L'annexe A compte 93 mesures. La plupart relèvent de l'organisation et de la technique. Plusieurs sont pourtant juridiques par nature : exigences légales et contractuelles (A.5.31), propriété intellectuelle (A.5.32), vie privée (A.5.34), contrats fournisseurs (A.5.20), conditions d'emploi (A.6.2), processus disciplinaire (A.6.4), engagements de confidentialité (A.6.6).

Une exigence de marché plus qu'une obligation légale

Aucun texte n'impose ISO 27001 à toutes les entreprises. La pression vient des clients, des appels d'offres et des investisseurs. Le certificat est délivré par un organisme tiers. En France, le Cofrac accrédite des organismes pour ce référentiel : vérifiez que l'accréditation de votre certificateur le couvre bien.

L'audit initial se déroule en deux étapes : une revue de la documentation et de l'état de préparation, puis une vérification de la mise en œuvre réelle. Le certificat vaut en général trois ans, avec un audit de surveillance chaque année. Le travail juridique n'est donc pas un coup unique : il se maintient sur tout le cycle.

Consultant ISO, RSSI, avocat : qui fait quoi dans le projet

Les trois rôles se complètent. Les confondre produit soit des doublons, soit un angle mort que l'auditeur trouvera.

• Le consultant ISO construit le système de management : périmètre, méthode d'analyse des risques, déclaration d'applicabilité, audit interne, préparation de la revue de direction.
• Le RSSI ou le DSI déploie et exploite les mesures : accès, journalisation, sauvegardes, gestion des incidents.
• L'avocat qualifie les obligations applicables, rédige ou corrige ce qui engage juridiquement l'entreprise, et défend sa position face à un fournisseur, un salarié ou une autorité.
• L'organisme de certification audite. Il ne conseille pas et il ne dit pas le droit.

Un malentendu revient souvent : l'auditeur vérifie que vos exigences légales sont identifiées et suivies, il ne valide pas votre conformité. Un audit réussi ne prouve donc pas que vos contrats tiendraient devant un juge.

L'avocat apporte une autre chose : le secret professionnel couvre ses consultations (loi du 31 décembre 1971, art. 66-5). Une analyse franche d'un risque juridique trouve là un cadre protégé. Conséquence pratique : ne versez pas la consultation elle-même au dossier d'audit. Remettez à l'auditeur une synthèse des décisions prises.

Point de vigilance. Un modèle de politique fourni avec un outil de conformité répond à la structure de la norme, pas à votre droit applicable. Sur le papier tout est coché. En cas de litige, c'est le texte signé et la procédure suivie qui comptent.

Exigences légales et contractuelles : le registre de la mesure A.5.31

C'est le premier livrable juridique. La mesure A.5.31 attend que l'entreprise recense les exigences légales, réglementaires et contractuelles qui touchent sa sécurité, et qu'elle les tienne à jour. Ce registre fait partie des pièces que l'auditeur peut demander. Un tableau de textes copiés depuis internet ne suffit pas : il doit dire ce qui s'applique à vous, pourquoi, et qui en répond.

Ce que le registre doit contenir

• RGPD : votre rôle pour chaque traitement (responsable ou sous-traitant), les articles 28, 32 et 33, les durées de conservation.
• Droit du travail : information des salariés, consultation du CSE, règlement intérieur.
• Cybersécurité : statut NIS 2 anticipé, DORA si vous servez des entités financières.
• Secret des affaires et propriété intellectuelle : ce que vous protégez et ce que vous détenez pour autrui.
• Engagements contractuels : délais de notification, localisation des données, droit d'audit, niveaux de service promis à vos clients.

La dernière ligne s'oublie facilement. Prenons un scénario type : un éditeur SaaS de 80 salariés a signé avec ses grands comptes des annexes de sécurité différentes, dont une notification d'incident sous 24 heures et un hébergement limité à l'Union européenne. Si sa procédure d'incident prévoit 48 heures, ce décalage crée un manquement contractuel, alors que le RGPD n'impose au sous-traitant qu'une notification dans les meilleurs délais (art. 33, § 2). Un contrat peut être plus sévère que la loi, et la mesure A.5.31 vise aussi le contrat.

Le registre sert également à arbitrer. Il dit quel engagement harmoniser, quelle clause renégocier et quel périmètre certifier. C'est aussi là que se décide la question du rôle : un éditeur de logiciels SaaS est le plus souvent sous-traitant pour les données de ses clients et responsable de traitement pour ses propres données.

Politiques de sécurité : les rendre opposables aux salariés

ISO 27001 demande des politiques approuvées et communiquées. Le droit du travail demande autre chose : qu'elles s'imposent réellement. La mesure A.6.4 prévoit un processus disciplinaire. Encore faut-il pouvoir sanctionner sur le fondement du document.

Quand une politique devient une adjonction au règlement intérieur

Un document qui pose des obligations générales et permanentes en matière de discipline ou de santé et de sécurité au travail est une adjonction au règlement intérieur (Code du travail, art. L1321-5). Il suit alors la même procédure : avis du CSE, communication à l'inspection du travail, entrée en vigueur au moins un mois après la publicité (art. L1321-4). Sans règlement intérieur, le texte précise que ces documents restent soumis aux mêmes règles. Le règlement intérieur est lui-même obligatoire à partir de 50 salariés, douze mois après le franchissement du seuil (art. L1311-2).

La Cour de cassation a posé une limite. Le document qui se borne à rappeler les dispositions légales et réglementaires applicables en matière de sécurité ne crée pas d'obligation nouvelle et n'est pas une adjonction (Cass. soc., 23 juin 2021, n° 19-15.737). L'affaire portait sur des consignes de sécurité au travail, pas sur une politique informatique, mais le critère est celui du texte : une règle propre à l'entreprise, permanente et sanctionnable relève en principe de la procédure. Interdire le stockage de données clients sur un compte personnel peut en être un exemple. Dans le doute, passez devant le CSE. Le coût de la procédure reste faible face à une sanction annulée.

Le sujet des chartes dépasse cet article : pour les usages de l'IA, voir notre article sur la charte IA interne et le shadow AI.

Journalisation et surveillance : l'autre face de la sécurité

Les mesures A.8.15 et A.8.16 attendent des journaux et une surveillance. Elles rencontrent trois règles : aucune donnée personnelle sur un salarié ne peut être collectée par un dispositif qu'il ne connaît pas (art. L1222-4), le CSE des entreprises d'au moins 50 salariés est consulté avant la mise en œuvre d'un moyen de contrôle de l'activité (art. L2312-38), et toute restriction doit rester proportionnée (art. L1121-1). Ajoutez la durée : la CNIL recommande de conserver les journaux entre six mois et un an (délibération n° 2021-122 du 14 octobre 2021), sauf justification.

Conservation et suppression

La mesure A.8.10 traite de la suppression, la mesure A.5.33 de la protection des enregistrements. Le droit tire ici dans deux sens. Le RGPD limite la conservation à ce qui est nécessaire (art. 5, § 1, e). Le Code de commerce impose dix ans pour les pièces comptables (art. L123-22), et la prescription de droit commun de cinq ans (Code civil, art. 2224) justifie de garder certaines preuves. Une politique qui écrit « suppression à la fin du contrat » sans distinguer ces cas n'est ni tenable ni exacte.

Contrats fournisseurs et sous-traitants : ce que l'audit ISO 27001 regarde

Les mesures A.5.19 à A.5.21 et A.5.23 portent sur les fournisseurs, leurs contrats, la chaîne d'approvisionnement et les services cloud. C'est souvent le chantier le plus long, car il dépend de tiers qui n'ont pas votre calendrier. Voir aussi les clauses de contrats fournisseurs à revoir pour un audit ISO 27001.

Le passage obligé de l'article 28 du RGPD

Tout sous-traitant doit présenter des garanties suffisantes (art. 28, § 1), et le contrat doit porter les mentions de l'article 28, § 3. La chaîne se répercute : les mêmes obligations pèsent sur le sous-traitant ultérieur (art. 28, § 4).

Le 15 avril 2022, la CNIL a infligé 1,5 M€ à un éditeur de logiciels pour laboratoires (SAN-2022-009). Ses documents contractuels, conditions générales comprises, ne portaient pas les mentions requises, des données avaient été extraites au-delà des instructions, et la sécurité était insuffisante. L'éditeur a soutenu que l'obligation pesait aussi sur ses clients : la formation restreinte a répondu que cela n'effaçait pas sa responsabilité propre. Pour la méthode côté éditeur, voir notre mode d'emploi du DPA.

Ce qu'il faut sécuriser au-delà du DPA

• Notification : un délai chiffré. Le RGPD dit « dans les meilleurs délais » pour le sous-traitant (art. 33, § 2). Vos engagements clients en dépendent, comme vos 72 heures quand vous êtes responsable de traitement.
• Audit et preuve : le droit d'obtenir rapports, certificats et réponses aux questionnaires.
• Maintien des certifications : l'obligation d'informer en cas de perte ou de changement de périmètre.
• Réversibilité et suppression : format, délai, attestation.
• Responsabilité : un plafond qui laisse sa substance à l'obligation essentielle. La clause qui l'en prive est réputée non écrite (Code civil, art. 1170).

Le fournisseur qui refuse de négocier

Un grand hébergeur ne modifiera pas son contrat pour votre audit. La norme n'exige pas une signature idéale : elle attend un risque traité. On documente alors l'écart, la mesure compensatoire et la décision de la direction. Seule limite : si ce fournisseur est sous-traitant, les mentions de l'article 28 restent impératives. Pour le reste, ce choix s'assume par écrit. Il pèse moins lourd qu'une clause mal lue, découverte le jour de l'incident.

Confidentialité et responsabilités : salariés, prestataires, sortie

La mesure A.6.6 vise les engagements de confidentialité et A.6.5 les responsabilités qui survivent au départ. Le sujet n'a rien de formel. Pour relever du secret des affaires, une information doit faire l'objet de mesures de protection raisonnables (Code de commerce, art. L151-1, 3°). Une entreprise sans engagement écrit, sans contrôle d'accès et sans classification affaiblit donc sa propre protection.

Trois points méritent une relecture juridique :

1. Le périmètre de l'information protégée. Une clause qui couvre « toute information » sans autre précision protège mal. Elle doit viser les catégories utiles et les exceptions d'usage.
2. La durée après le départ. Le contrat de travail et les accords avec les prestataires doivent dire ce qui survit, et combien de temps.
3. Les prestataires individuels. Un freelance n'est pas un salarié : ni le règlement intérieur ni la charte ne l'engagent. Tout doit figurer dans son contrat.

Les responsabilités se répartissent aussi par écrit. Qui décide de notifier ? Qui arbitre un risque résiduel ? La revue de direction le montre à l'auditeur, mais cette trace servira surtout en cas de crise, quand il faudra établir qui savait quoi, et quand.

Le certificat ISO 27001 ne vaut pas conformité légale

Voici l'erreur la plus coûteuse : croire que le certificat ferme le sujet réglementaire.

Côté RGPD

Les articles 28, § 5 et 32, § 3 donnent une valeur d'élément de preuve aux codes de conduite approuvés et aux mécanismes de certification approuvés au titre de l'article 42. ISO 27001 ne figure pas, au 2 novembre 2026, au registre européen de ces mécanismes. Même une certification approuvée ne diminue pas la responsabilité de l'entreprise (art. 42, § 4). Un certificat ISO reste un indice utile de rigueur organisationnelle, à apprécier avec le reste du dossier. Pour les manquements aux articles 28 et 32, l'amende peut atteindre 10 M€ ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (art. 83, § 4).

La CNIL l'a dit il y a longtemps. Dans sa délibération n° 2012-176 du 21 juin 2012, une société d'un groupe bancaire invoquait une politique de sécurité appuyée sur ISO 27001 et 27002 pour écarter sa faute. La formation restreinte a écarté l'argument : ces procédures ne portaient pas sur le paramétrage en cause, et elles n'avaient pas produit les résultats attendus. Des dossiers partagés de la messagerie étaient restés accessibles à 84 895 personnes pendant près de deux ans. La décision, un avertissement rendu avant le RGPD, garde sa logique : on juge la mesure réelle, pas le référentiel.

Le risque documenté puis ignoré

L'analyse de risques ISO peut se retourner contre vous. Le 22 janvier 2026, la CNIL a sanctionné France Travail de 5 M€ (SAN-2026-003). Les analyses d'impact avaient identifié la faiblesse de l'authentification et prévu l'authentification multifacteur, non déployée à temps. La formation restreinte y a vu une négligence grave (point 126). Ces analyses n'étaient pas des documents ISO, mais un plan de traitement des risques joue le même rôle : un risque, une date, un responsable. Chaque risque accepté doit donc être motivé et chaque retard réarbitré. Le dossier d'audit pourrait un jour être lu par une autorité.

Côté NIS 2

La directive encourage le recours aux normes internationales (art. 25), et son article 21 recoupe largement ISO 27001 : analyse des risques, incidents, chaîne d'approvisionnement, formation. Mais elle ne prévoit aucune équivalence avec ce certificat. Son article 24 vise les schémas européens de certification, pas ISO. Elle ajoute des points que la norme n'organise pas : notification aux autorités (art. 23) et responsabilité propre des organes de direction (art. 20).

Il reste une prudence de calendrier. Au 2 novembre 2026, aucune loi de transposition n'est parue au Journal officiel. Le projet adopté par le Sénat le 12 mars 2025 attend l'Assemblée nationale : la Conférence des présidents l'a retiré de l'ordre du jour le 6 octobre, et ses relevés suivants, jusqu'à celui du 27 octobre, ne le réinscrivent pas. Une inscription à partir du 9 novembre est envisagée selon l'AFP, sans être acquise. Ces obligations ne s'appliquent donc pas encore en droit français, mais vos clients peuvent déjà vous les répercuter par contrat. Le cadrage NIS 2 se prépare en parallèle du projet ISO.

Afficher sa certification ISO 27001 : les risques commerciaux

Le certificat devient vite un argument de vente. Il porte alors un risque que le consultant ne traite pas : la promesse.

Le périmètre d'abord. Un certificat couvre un périmètre précis, défini dans la certification. Si seule la plateforme d'hébergement est certifiée, écrire « entreprise certifiée ISO 27001 » sur toute la communication dépasse la réalité.

La sanction ensuite. Afficher un certificat sans l'autorisation nécessaire, ou affirmer qu'un service a été approuvé par un organisme alors que ce n'est pas le cas, compte parmi les pratiques réputées trompeuses (Code de la consommation, art. L121-4, 2° et 4°). Ces dispositions valent aussi pour les pratiques visant des professionnels (art. L121-5). La peine atteint deux ans d'emprisonnement et 300 000 € d'amende, avec une amende portée jusqu'à 10 % du chiffre d'affaires moyen annuel selon les avantages tirés. Commise en ligne, l'infraction est punie de cinq ans et de 750 000 € (art. L132-2). Un logo laissé en ligne après l'expiration du certificat entre dans la zone de risque. Aucune décision portant précisément sur un certificat ISO 27001 n'a été relevée dans les bases publiques consultées : ce risque se lit dans le texte, pas encore dans la jurisprudence.

Le contrat enfin. Si vous vous engagez à maintenir la certification, sa perte devient une inexécution, avec dommages et intérêts possibles (Code civil, art. 1231-1). Écrivez ce que vous pouvez tenir : le périmètre, le référentiel, et l'information du client en cas de changement. Les réponses aux questionnaires de sécurité méritent la même attention, car elles finissent souvent en annexe du contrat.

Préparer l'audit : le dossier juridique et le bon calendrier

Le dossier juridique tient en quelques pièces, à relier à la déclaration d'applicabilité :

1. Le registre des exigences légales et contractuelles, daté et attribué.
2. Les politiques en vigueur, avec la preuve de leur passage devant le CSE quand il s'impose.
3. Une cartographie des fournisseurs critiques : contrat, DPA, écarts, décisions.
4. Les modèles d'engagement de confidentialité et leur diffusion.
5. Les risques juridiques inscrits dans l'analyse de risques, avec leur propriétaire.
6. Les traces de formation des équipes : voir comment prouver la formation des collaborateurs le jour de l'audit.

L'ordre compte. Associez l'avocat dès le cadrage du périmètre : la revue des contrats dépend de tiers et le CSE a besoin de temps, sans compter le délai d'un mois de l'article L1321-4. Une revue tardive se limite aux écarts visibles. Après la certification, chaque nouveau fournisseur, nouveau client ou texte adopté doit retomber dans le registre avant l'audit de surveillance.

Je ne certifie pas, et je ne remplace ni votre consultant ni votre RSSI. Avocat au Barreau de Paris et développeur web certifié, je prends en charge ce qui engage juridiquement votre entreprise, à partir de vos contrats et de vos architectures réels : c'est l'objet de mon accompagnement sur le volet juridique de la certification ISO 27001. Si un audit approche ou si un client vient de vous l'imposer, nous pouvons regarder ensemble l'état de votre dossier.