L'audit de transition ISO 27001:2022. Cette phrase fait peur à de nombreuses startups technologiques qui ont déjà été assez diligentes pour obtenir leur certification ISO 27001:2013.
Mais n'ayez crainte. Si vous êtes déjà certifié ISO 27001:2013, cette certification reste valable jusqu'à la fin de votre cycle de certification si celui-ci se termine avant le 1er novembre 2025. Nous y reviendrons plus tard.
Pourquoi la mise à jour de la norme ISO 27001:2013 à la norme ISO 27001:2022 ?
La sécurité de l'information étant la priorité qu'elle est, les normes de sécurité doivent naturellement être révisées et améliorées régulièrement. Il va donc de soi que de nouvelles versions améliorées de la norme ISO 27001 devront être mises en œuvre à l'avenir.
Cela fait presque 10 ans que la version 2013 a été publiée et, lorsque tout le monde sera passé à la version 2022, cela fera 12 ans, il est donc certainement temps de réviser la certification.
Qu'est-ce qui a changé entre ISO 27001:2013 et ISO 27001:2022 ?
Voyons d'abord la différence entre ISO 27001:2013 et ISO 27001:2022. Vous pouvez lire un bref résumé dans le post LinkedIn de Compleye du 21 mars.
Les changements les plus évidents se trouvent à l'annexe A et portent sur les aspects liés à la cybersécurité et à la protection de la vie privée. Il y a 11 nouveaux contrôles, 58 contrôles mis à jour et 24 contrôles fusionnés.
Les nouveaux contrôles de sécurité sont les suivants
- Renseignements sur les menaces
- Sécurité de l'information pour l'utilisation des services en nuage
- Préparation des TIC à la continuité des activités
- Contrôle de la sécurité physique
- Gestion de la configuration
- Suppression d'informations
- Masquage des données
- Prévention des fuites de données
- Activités de suivi
- Filtrage du web
- Codage sécurisé
Quel est le calendrier de la transition vers la norme ISO 27001:2022 ?
Comme indiqué, votre certification ISO 27001:2013 est valable jusqu'à la fin de son cycle actuel, pour autant que ce cycle se termine avant le 31 octobre 2025, date limite pour la mise en œuvre de la norme ISO 27001:2022.
Ainsi, si vous êtes actuellement certifié en utilisant la version 2013, votre certification est encore valide, mais seulement jusqu'au 31 octobre 2025.
Qu'est-ce que l'audit de transition ISO 27001:2022 ?
L'audit de transition est l'inspection que l'auditeur effectuera pour vérifier les nouvelles exigences de la norme ISO 27001:2022. L'auditeur vérifiera comment votre organisation a mis en œuvre les nouveaux contrôles.
Quand l'audit de transition peut-il être effectué ?
Vous pouvez effectuer l'audit de transition au cours d'un audit programmé. Cela signifie que du temps supplémentaire sera ajouté à l'audit existant.
Mais vous pouvez également faire réaliser un audit spécial de transition séparément, de sorte que vous n'ayez pas à attendre le prochain audit prévu et que vous ne soyez pas obligé d'être prêt plus tôt que vous ne le souhaitez ou que vous n'en avez la capacité.
Si mon organisation n'a jamais été certifiée, dois-je certifier ISO 27001:2013 ou ISO 27001:2022 ?
Bien que vous puissiez, en théorie, obtenir la certification ISO 27001:2013 si vous prévoyez d'obtenir la certification avant octobre 2023, nous recommandons aux entreprises qui n'ont pas de certification existante de prendre, si possible, le taureau par les cornes et d'opter directement pour ISO 27001:2022.
Si vous décidez d'opter pour la norme ISO 27001:2013, l'auditeur s'attendra à ce que vous procédiez à une analyse des lacunes pour montrer que vous comprenez ce que vous devrez faire pour la norme ISO 27001:2022 et quelles ressources supplémentaires seront nécessaires. Cela s'applique également aux entreprises déjà certifiées qui choisissent de renouveler leur certification avec la version 2013 de la norme ISO 27001.
C'est important, car si vous tentez d'appliquer la norme ISO 27001:2022 et que vous n'êtes pas prêt à le faire, vous risquez de vous heurter à de nombreuses non-conformités. Il serait préférable de mettre en œuvre la norme ISO 27001:2013 et de réaliser une analyse des écarts, montrant que vous comprenez ce qui est requis et que vous serez en mesure de mettre en œuvre la norme ISO 27001:2022 avant le 31 octobre 2025.
Quelle est la date la plus tardive à laquelle je peux effectuer l'audit de transition ?
Tous les audits de transition doivent être réalisés avant le 21 juillet 2025.
Bien entendu, vous n'aurez pas besoin d'un audit de transition si vous optez directement pour la norme ISO 27001:2022.
Contactez Compleye pour obtenir plus de conseils sur le meilleur choix à faire en vue de la transition !
