Une politique SMSI est un document court, de haut niveau, qui énonce l'engagement de votre organisation à protéger l'information, établit le cadre des objectifs de sécurité de l'information et autorise l'ensemble du Système de Management de la Sécurité de l'Information (SMSI). Considérez-la comme la constitution de votre SMSI : une page, signée par la direction, qui renvoie à tous les autres documents.
Obtenez une politique opérationnelle en quelques minutes :
- La boîte à outils Ismscalculator — évaluation de maturité, modèles de politiques et exports de preuves en un seul flux de travail (point de départ recommandé)
- Modèles Word/DOCX téléchargeables — disponibles sur des sites de conformité reconnus ; nécessitent une adaptation manuelle à votre périmètre
- Générateurs de politiques SaaS — produisent rapidement un texte de base, mais nécessitent toujours une intervention humaine pour définir le périmètre et obtenir la validation
Liste de contrôle rapide pour la personnalisation :
- Définir le périmètre du SMSI (systèmes, sites, types de données concernés)
- Nommer un responsable de la politique et un dirigeant approbateur
- Obtenir la signature de la direction générale et dater le document
- Ajouter un objectif de sécurité de l'information mesurable
- Publier le document signé et consigner les destinataires
Une bibliothèque de politiques alignée sur ISO 27001 comprend généralement 15 à 30 politiques pour la plupart des organisations. La politique SMSI de haut niveau n'en est qu'une — l'ancre qui confère son autorité à toutes les autres.
Sommaire
- Que requiert réellement ISO/IEC 27001:2026 de votre politique SMSI ?
- Un exemple de politique SMSI prêt à l'emploi que vous pouvez utiliser dès aujourd'hui
- Comment adapter ce modèle à votre organisation
- Les erreurs courantes qui génèrent des écarts en audit
- Où trouver des modèles et des générateurs de politique SMSI
- Correspondance des clauses ISO/IEC 27001:2026 pour votre politique
- Points clés à retenir
- Ce que la plupart des équipes ratent dans l'adoption de la politique
- Ismscalculator réduit le délai entre l'ébauche de la politique et les preuves prêtes pour l'audit
- Sources utiles et téléchargements
Que requiert réellement ISO/IEC 27001:2026 de votre politique SMSI ?
La clause 5.2 d'ISO/IEC 27001:2022 est l'exigence applicable. Elle est plus courte que la plupart des gens ne le pensent, mais les auditeurs la lisent attentivement. La direction générale doit établir une politique de sécurité de l'information qui :
- Est adaptée à la finalité de l'organisation
- Inclut des objectifs de sécurité de l'information ou fournit un cadre pour les définir
- Inclut un engagement à satisfaire aux exigences applicables en matière de sécurité de l'information
- Inclut un engagement à l'amélioration continue du SMSI
La politique doit être documentée, communiquée en interne et mise à disposition des parties intéressées le cas échéant. Cette dernière formulation est importante : les parties externes telles que les clients ou les régulateurs peuvent avoir besoin de la consulter ; rédigez-la donc en gardant ce public à l'esprit.
La clause 5.2 n'est pas isolée. La clause 5.1 exige que la direction générale fasse preuve de leadership et d'engagement, ce qui signifie que la politique doit porter la signature d'une personne disposant d'une réelle autorité — pas seulement celle du responsable informatique. La clause 4.3 régit la détermination du périmètre, qui influe directement sur ce que couvre la politique. Les clauses 6.1.2 et 6.1.3 exigent une méthodologie d'appréciation du risque et un plan de traitement du risque ; la politique doit donc faire référence à une approche basée sur le risque, même si elle n'en décrit pas la méthodologie en détail.
Ce que les auditeurs veulent réellement voir va au-delà du document lui-même. Ils recherchent :
- Une politique signée et datée, approuvée par la direction générale
- La preuve que la politique a été communiquée (journaux de diffusion, accusés de réception lors de l'intégration, confirmations de lecture)
- La preuve que le personnel concerné l'a comprise (registres de formation, formulaires d'accusé de réception signés)
- Un cycle de révision défini et les enregistrements des révisions passées
« L'écart d'audit le plus fréquent au titre de la clause 5.2 est l'absence de preuves enregistrées de communication et de compréhension. Les auditeurs attendent des enregistrements — accusés de réception lors de l'intégration, politiques signées, confirmations de lecture automatisées — et non pas simplement un document publié sur un intranet. » — Guidance sur la clause 5.2 d'ISO 27001:2022
Conseil pratique : Mettez en place un processus simple d'accusé de réception le jour de la publication de la politique. Un formulaire partagé, un outil de signature électronique comme DocuSign, ou même un fil de messagerie avec les réponses consignées dans un tableur satisfont tous à l'exigence de preuves de l'auditeur. Le format importe moins que l'enregistrement.
Un exemple de politique SMSI prêt à l'emploi que vous pouvez utiliser dès aujourd'hui
Le texte ci-dessous constitue une politique de haut niveau prête à la production. Remplacez les espaces réservés entre crochets par les informations propres à votre organisation. Limitez le document à une page — les recommandations s'accordent à préconiser une politique de haut niveau courte qui renvoie à des politiques thématiques, plutôt que d'y intégrer des détails opérationnels.
POLITIQUE DE SÉCURITÉ DE L'INFORMATION [Nom de l'organisation] | ID de politique : ISP-001 | Version : 1.0 Responsable : [RSSI / Directeur informatique] | Approuvé par : [PDG / Conseil d'administration] | Date d'approbation : [Date] | Prochaine révision : [Date + 12 mois] | Classification : Publique / Interne
Objet et périmètre (Clause 5.2 — adaptée à la finalité ; Clause 4.3 — périmètre) [Nom de l'organisation] s'engage à protéger la confidentialité, l'intégrité et la disponibilité de tous les actifs informationnels entrant dans le périmètre de son SMSI. Cette politique s'applique à [décrire le périmètre : par ex., « l'ensemble des systèmes d'information, du personnel et des tiers contribuant à la fourniture de [produit/service] depuis [site(s)]»].
Objectifs (Clause 5.2 — objectifs ou cadre pour les définir ; Clause 6.2) L'organisation doit établir, surveiller et revoir des objectifs de sécurité de l'information mesurables. Les objectifs sont documentés séparément et revus au moins annuellement par la direction.
Approche basée sur le risque (Clauses 6.1.2–6.1.3) Les risques liés à la sécurité de l'information doivent être identifiés, appréciés et traités conformément à la méthodologie d'appréciation du risque de l'organisation. Les décisions de traitement du risque sont documentées dans le Plan de traitement du risque.
Conformité (Clause 5.2 — exigences applicables) L'organisation s'engage à satisfaire à toutes les exigences légales, réglementaires, contractuelles et internes applicables en matière de sécurité de l'information.
Amélioration continue (Clause 5.2 — amélioration continue ; Clause 10) L'organisation s'engage à l'amélioration continue du SMSI par le biais de revues de direction régulières, d'audits internes et d'actions correctives.
Rôles et responsabilités (Clause 5.3) La direction générale est responsable de cette politique. Le [RSSI / Directeur informatique] est chargé de maintenir le SMSI et d'en rendre compte sur ses performances. L'ensemble du personnel est responsable du respect de cette politique et des politiques thématiques associées.
Politiques associées Cette politique est complétée par des politiques thématiques incluant, sans s'y limiter : la Politique de contrôle d'accès, la Politique de réponse aux incidents, la Politique de classification des données, la Politique de gestion des risques tiers et la Politique de continuité d'activité.
Signature : _________________________ [PDG / Président du Conseil d'administration] Date : _____________
Remarques sur l'utilisation de ce modèle :
- Conservez l'original signé dans votre système de gestion documentaire avec l'historique des versions
- Référencez chaque politique associée par son nom et son identifiant de document — ne copiez pas son contenu ici
- La boîte à outils Ismscalculator comprend des versions DOCX exportables de ce modèle et des politiques associées ; le guide du cadre SMSI explique comment ils s'articulent
Comment adapter ce modèle à votre organisation
Les textes génériques échouent en audit. Les auditeurs repèrent les politiques copiées-collées qui font référence à des départements ou à des mesures qui n'existent pas dans l'organisation. Suivez ces étapes dans l'ordre.
-
Définissez d'abord le périmètre de votre SMSI. Identifiez les systèmes, les sites, les unités métier et les types de données qui entrent dans le périmètre. Rédigez une ou deux phrases qu'un auditeur non technique peut vérifier par rapport à votre registre des actifs. Pour une entreprise SaaS basée en France, cela pourrait se lire : « L'ensemble de l'infrastructure cloud, des dépôts de code source et des données clients traités dans le cadre de la plateforme [Nom du produit], exploitée depuis notre siège social à Paris. »
-
Identifiez les parties intéressées. Dressez la liste des parties prenantes internes (salariés, prestataires) et externes (clients, régulateurs, auditeurs, fournisseurs cloud). Cela détermine la manière dont la politique est diffusée et le niveau de détail approprié pour une publication externe.
-
Définissez 1 à 3 objectifs de sécurité de l'information mesurables. Les engagements vagues ne satisfont pas la clause 6.2. Exemples concrets :
- « Réduire le délai moyen de détection des incidents de sécurité à moins de 72 heures d'ici le T4 2026, mesuré via les rapports du SIEM. »
- « Atteindre 100 % de complétion de la formation annuelle de sensibilisation à la sécurité pour l'ensemble des salariés d'ici le 31 décembre 2026. »
-
Désignez un responsable et une autorité d'approbation. Le responsable de la politique maintient et met à jour le document. L'approbateur (PDG, Conseil d'administration ou équivalent) le signe. Ces deux fonctions doivent être assumées par des personnes différentes. Les responsables informatiques pilotent généralement la mise en œuvre du SMSI, mais l'approbateur doit être un dirigeant disposant d'une autorité organisationnelle réelle.
-
Faites référence aux procédures de contrôle, ne les intégrez pas. La politique indique quoi et pourquoi. Les procédures indiquent comment. Référencez votre Procédure de contrôle d'accès par son identifiant de document ; ne collez pas son contenu dans la politique. Cela maintient la politique stable lorsque les processus opérationnels évoluent.
-
Définissez un calendrier de révision et respectez-le. La révision annuelle est le minimum. Déclenchez une révision hors cycle après des changements organisationnels significatifs, des incidents majeurs ou des modifications du périmètre. Consignez chaque révision avec la date, les participants et les conclusions.
Enregistrements à conserver pour chaque étape :
| Étape | Preuves à collecter |
|---|---|
| Définition du périmètre | Document de déclaration du périmètre, extrait du registre des actifs |
| Parties intéressées | Registre des parties prenantes |
| Objectifs | Registre des objectifs avec indicateurs et cibles |
| Responsabilité et approbation | Politique signée avec nom de l'approbateur et date |
| Communication | Journal de diffusion, enregistrements d'accusés de réception |
| Révision | Comptes rendus de revue de direction, historique des versions |
Les erreurs courantes qui génèrent des écarts en audit
La plupart des défaillances de politique SMSI se réduisent à une courte liste d'erreurs récurrentes. Corrigez-les avant que votre auditeur n'arrive.
- Surcharger la politique de détails. Intégrer des procédures, des configurations techniques ou des instructions pas à pas transforme une politique d'une page en un document de 20 pages que personne ne lit et que personne ne maintient. Les politiques indiquent quoi et pourquoi ; les procédures indiquent comment.
- Mélanger politique et procédure. Lorsqu'une politique change à chaque modification de processus, elle perd son autorité. Maintenez-les séparées.
- Utiliser un modèle générique sans l'adapter. Faire référence à une « Équipe sécurité du centre de données » lorsque votre organisation utilise AWS et ne dispose d'aucun centre de données physique constitue un signal d'alarme immédiat. Définissez d'abord le périmètre, puis rédigez.
- Absence de signature de la direction générale. Une politique approuvée par le seul responsable informatique ne satisfait pas la clause 5.1. La signature doit émaner d'une personne disposant d'une autorité organisationnelle.
- Absence de preuves de communication. Publier un document sur un intranet ne revient pas à le communiquer. Les auditeurs veulent des enregistrements.
- Responsabilité floue. « Le département informatique » n'est pas un responsable. Désignez un rôle spécifique.
- Absence de calendrier de révision défini. Si la politique ne comporte pas de date de prochaine révision, les auditeurs supposent qu'elle n'a jamais été révisée.
- Périmètre incohérent. Le périmètre figurant dans la politique doit correspondre à la déclaration de périmètre de votre documentation SMSI. Les divergences laissent supposer que les documents ont été rédigés indépendamment.
- Distribution à un mauvais public. Les parties externes peuvent avoir besoin d'une version de la politique ; le personnel interne a besoin de la version complète accompagnée d'un accusé de réception. Envoyer la mauvaise version au mauvais destinataire crée des lacunes.
- Référence à des mesures non applicables. Si vous avez exclu une mesure de l'Annex A, documentez la justification dans votre Déclaration d'applicabilité. Ne laissez pas de références fantômes dans la politique.
Trois signaux d'alarme à corriger immédiatement avant le jour de l'audit :
- Absence de numéro de version ou de date d'approbation sur le document de politique
- Absence d'enregistrements d'accusés de réception pour les salariés actuels
- Objectifs formulés comme des aspirations (« nous visons à améliorer la sécurité ») plutôt que comme des cibles mesurables
Où trouver des modèles et des générateurs de politique SMSI
Les sources de modèles se répartissent en quatre catégories, chacune présentant un compromis différent entre rapidité, profondeur d'adaptation et robustesse face à l'audit.
La rédaction en interne vous offre un contrôle maximal et aucun coût de licence, mais elle requiert une personne qui maîtrise suffisamment la clause 5.2 pour y rédiger. Recommandée pour les grandes entreprises disposant d'une équipe sécurité dédiée et du temps nécessaire.
Les modèles téléchargeables (Word, PDF, DOCX) provenant de sites de conformité sont rapides à obtenir et faciles à personnaliser. Le risque est qu'ils sont génériques par conception. Vous devez encore les adapter au périmètre, supprimer les sections non pertinentes et ajouter les spécificités de votre organisation avant qu'ils soient prêts pour l'audit. Un guide pratique destiné aux dirigeants sur la politique de sécurité explique ce qui rend une politique réellement utile plutôt que décorative.
Les générateurs de politiques SaaS produisent un texte de base en quelques minutes à partir d'informations sur votre organisation. Les meilleurs d'entre eux associent le résultat à des clauses ISO spécifiques. L'inconvénient est que le résultat nécessite toujours une relecture humaine, et que certains générateurs produisent un texte trop générique pour survivre à un audit de certification sans édition significative.
Les politiques créées par des consultants offrent la plus grande robustesse face à l'audit, car un expert en mise en œuvre adapte chaque ligne à votre périmètre et à votre profil de risque. Le coût est plus élevé et le délai plus long. Pour les secteurs réglementés — services financiers, santé, sous-traitants de la défense — c'est souvent le bon choix.
Liste de décision :
| Situation | Source recommandée |
|---|---|
| Start-up, délai serré, budget limité | Générateur SaaS + vérification de maturité |
| Établissement financier réglementé | Approche consultant, périmètre en premier |
| Grande entreprise avec équipe sécurité interne | Rédaction en interne avec référence à un modèle |
| ETI, première démarche ISO 27001 | Modèle téléchargeable + revue par un consultant |
Pour les organisations du secteur des services financiers, le guide SMSI pour la protection des données financières explique comment adapter le périmètre et les mesures aux environnements réglementés.
Conseil pratique : Quelle que soit la source utilisée, effectuez une vérification de maturité avant de finaliser la politique. L'auto-évaluation gratuite en 2 minutes d'Ismscalculator identifie les lacunes de votre politique et de la configuration de votre SMSI avant qu'un auditeur ne le fasse — vous évitant ainsi un écart à corriger dès le premier jour de certification.
Correspondance des clauses ISO/IEC 27001:2026 pour votre politique
Utilisez ce tableau pour valider chaque section de votre politique lors des revues internes ou des contrôles pré-audit.
| Élément de la politique | Exemple d'énoncé de politique | Clause(s) ISO | Preuves attendues |
|---|---|---|---|
| Objet et périmètre | « Cette politique s'applique à tous les actifs informationnels soutenant [Produit] depuis [Site]. » | 4.3, 5.2 | Déclaration de périmètre, registre des actifs |
| Engagement de la direction | « La direction générale s'engage à établir et maintenir le SMSI. » | 5.1, 5.2 | Politique signée, comptes rendus de réunion |
| Objectifs de sécurité de l'information | « Des objectifs mesurables sont définis, surveillés et revus annuellement. » | 5.2, 6.2 | Registre des objectifs avec indicateurs |
| Approche basée sur le risque | « Les risques sont identifiés, appréciés et traités conformément à la méthodologie d'appréciation du risque. » | 6.1.2, 6.1.3 | Registre des risques, plan de traitement du risque |
| Exigences applicables | « L'organisation s'engage à satisfaire aux exigences légales, réglementaires et contractuelles. » | 5.2 | Registre juridique, enregistrements de revue contractuelle |
| Amélioration continue | « L'organisation s'engage à l'amélioration continue du SMSI. » | 5.2 | Comptes rendus de revue de direction, rapports d'audit |
| Rôles et responsabilités | « Le RSSI est chargé du maintien du SMSI et du reporting sur ses performances. » | 5.3 | Matrice RACI, fiches de poste |
| Communication et disponibilité | « Cette politique est communiquée à l'ensemble du personnel et mise à disposition des parties intéressées. » | 5.2 | Journal de diffusion, enregistrements d'accusés de réception |
Pour une présentation approfondie de l'articulation de ces clauses au sein du cadre SMSI complet, le guide clause par clause couvre les clauses 4 à 10 dans l'ordre.
Points clés à retenir
Une politique SMSI conforme requiert un engagement signé de la direction générale, des objectifs mesurables, un périmètre défini et la preuve documentée que chaque personne concernée l'a reçue et en a pris connaissance.
| Point | Détails |
|---|---|
| Garder la politique courte | Une page est l'objectif ; renvoyez aux procédures plutôt que d'intégrer les détails opérationnels. |
| Prouver la communication | Les journaux de diffusion et les enregistrements d'accusés de réception sont ce que les auditeurs vérifient, pas seulement le document publié. |
| Définir le périmètre avant de rédiger | Définissez d'abord les systèmes, les sites et les types de données concernés ; puis adaptez chaque énoncé de politique en conséquence. |
| Définir des objectifs mesurables | Les engagements vagues ne satisfont pas la clause 6.2 ; associez chaque objectif à un indicateur et à une date cible. |
| Utiliser Ismscalculator | L'auto-évaluation gratuite en 2 minutes et la boîte à outils de politiques vous aident à identifier les lacunes et à exporter des preuves prêtes pour l'audit avant le jour de la certification. |
Ce que la plupart des équipes ratent dans l'adoption de la politique
La défaillance la plus négligée dans le travail sur la politique SMSI n'est pas un problème de rédaction. C'est un problème de diffusion et de culture. Les organisations passent des semaines à perfectionner le libellé de la politique, puis publient le document sur une page intranet que personne ne consulte et considèrent la tâche comme accomplie. Six mois plus tard, un auditeur demande les enregistrements d'accusés de réception et la salle reste silencieuse.
La solution est plus simple que la plupart des gens ne le pensent : intégrez la présentation de la politique à l'onboarding. Chaque nouveau salarié ou prestataire doit lire et signer la politique dans le cadre de sa première semaine, avec un enregistrement dans votre système RH. Prévoyez ensuite une brève revue de politique lors des réunions générales trimestrielles ou des réunions d'équipe — non pas sous la forme d'un exposé de conformité, mais comme un rappel de cinq minutes sur ce que couvre la politique et pourquoi elle est importante. Cette cadence crée une trace documentaire et, plus important encore, elle instaure une culture de sécurité dans laquelle la politique est un document vivant plutôt qu'un PDF oublié.
Le processus de revue de direction est le cadre naturel pour la révision annuelle de la politique — utilisez-le pour mettre à jour les objectifs, confirmer le périmètre et re-signer le document en cas de changement significatif.
Ismscalculator réduit le délai entre l'ébauche de la politique et les preuves prêtes pour l'audit
Rédiger une politique SMSI conforme est une étape. La prouver à un auditeur en est une autre. Ismscalculator relie les deux. L'évaluation de maturité de la plateforme cartographie votre état actuel par rapport aux exigences d'ISO 27001:2022 selon les quatre thèmes de mesures de l'Annex A, ce qui vous permet de savoir exactement quelles lacunes de politique combler avant de soumettre votre demande de certification. La boîte à outils de politiques comprend des modèles DOCX exportables pré-associés à la clause 5.2, et la fonctionnalité d'export de preuves regroupe les enregistrements d'accusés de réception, les journaux de révision et le suivi des objectifs dans le format attendu par les auditeurs.
Pour les équipes souhaitant bénéficier d'un accompagnement expert en complément de la boîte à outils, le réseau de consultants ISO 27001 indépendants d'Ismscalculator vous met en relation avec des experts en mise en œuvre et des auditeurs principaux qui peuvent revoir votre politique, valider votre périmètre et vous préparer à la certification. Commencez par l'auto-évaluation gratuite en 2 minutes pour savoir où en sont votre politique et votre SMSI dès maintenant.
Sources utiles et téléchargements
- ISO/IEC 27001:2022 — page officielle de la norme (ISO.org) — la source de référence pour toutes les exigences SMSI
- Les référentiels de sécurité pour les PME — conseils pratiques sur le choix et l'adaptation des référentiels pour les petites et moyennes organisations
- Boîte à outils et modèles Ismscalculator — évaluations de maturité, modèles de politiques, planification Gantt et exports de preuves pour la mise en œuvre d'ISO 27001
Rappel sur la gestion des versions : Chaque version de politique doit porter un numéro de version unique, une date d'approbation et un résumé des modifications. Conservez un journal des modifications joint au document et archivez les versions antérieures pendant au moins trois ans. Les auditeurs demandent fréquemment les versions précédentes pour vérifier que les cycles de révision ont bien eu lieu. Conservez les enregistrements de diffusion avec chaque version afin de pouvoir démontrer, à tout moment, qui a reçu quelle version et à quelle date.
Recommandé
- Vérification gratuite de maturité ISO 27001 — Auto-évaluation en 2 minutes | ISMS Calculator
- Construire un SMSI de zéro : Guide pour start-ups | ISMS Calculator
- Construire un SMSI pour la protection des données financières : Guide 2026 | ISMS Calculator
- Gestion des accès à privilèges dans le SMSI : Guide sécurité | ISMS Calculator