Annexe A ISO/IEC 27001:2022 — Liste complète des 93 contrôles

Référentiel SMSI international en français — par Matthieu Roland (Expert NIS2 / RSSI) — publié le 27 avril 2026

93Contrôles
4Catégories
11Nouveaux en 2022
65%Rattachés à l'article 30

L'Annexe A de la norme ISO/IEC 27001:2022 liste les 93 contrôles de sécurité que tout système de management de la sécurité de l'information (SMSI) doit considérer. Cette page présente la liste complète des 93 contrôles en français, avec pour chacun : objectif, description, guide d'implémentation et correspondance avec les exigences NIS2 (loi belge du 26 avril 2024).

Les 4 catégories de contrôles (clauses 5 à 8)

ClauseCatégorieNombrePérimètre
5Contrôles organisationnels37Politiques, gouvernance, gestion des risques, conformité, fournisseurs, incidents, continuité
6Contrôles sur les personnes8Sélection, contrats, sensibilisation, télétravail, signalement
7Contrôles physiques14Périmètres, accès physiques, équipements, environnement, câblage
8Contrôles technologiques34Endpoints, identités, cryptographie, journalisation, réseaux, développement
Total93SMSI complet

Les 11 nouveaux contrôles ISO 27001:2022 (vs 2013)

La version 2022 de la norme introduit 11 contrôles entièrement nouveaux, alignés sur les menaces actuelles (cloud, supply chain, threat intel) :

  1. 5.7 Threat intelligence — Collecte et analyse de renseignements sur les menaces
  2. 5.23 Sécurité de l'utilisation des services cloud — SaaS, IaaS, PaaS
  3. 5.30 Préparation des TIC pour la continuité d'activité — ICT Readiness for Business Continuity
  4. 7.4 Surveillance de la sécurité physique — CCTV, alarmes, IDS physique
  5. 8.9 Gestion de la configuration — Hardening, baselines, drift
  6. 8.10 Suppression d'information — Politiques de rétention, effacement
  7. 8.11 Masquage des données — Pseudonymisation, anonymisation, tokenization
  8. 8.12 Prévention de la fuite de données (DLP)
  9. 8.16 Activités de surveillance — UEBA, SOC, threat hunting
  10. 8.23 Filtrage web — Proxy, blocage des catégories à risque
  11. 8.28 Codage sécurisé — OWASP, validation des entrées

Voir la table de correspondance 2013 ↔ 2022 →

Les 93 contrôles en un tableau

Vue de référence : chaque ligne renvoie à la fiche détaillée. Les cinq axes d'attributs sont ceux d'ISO/IEC 27002:2022.

IDContrôleObjectif Type C·I·D CSF Capacités opérationnelles NIS2 art. 30CyFun2013
5.1 Politiques de sécurité de l'information Fournir une orientation et un soutien de la direction pour la sécurité de l'information conformément aux exigences métier et aux lois et réglementations pertinentes P C I A ID Gouvernance M1 GV.PO-01 5.1.1, 5.1.2
5.2 Rôles et responsabilités en matière de sécurité de l'information Assurer que les responsabilités en matière de sécurité de l'information sont définies et attribuées P C I A ID Gouvernance — GV.RR-02 6.1.1
5.3 Séparation des tâches Réduire les opportunités de modification ou d'utilisation abusive non autorisées des actifs P C I A ID Gouvernance, Gestion des identités et des accès — GV.RR-02 6.1.2
5.4 Responsabilités de la direction Exiger que la direction soutienne et démontre son engagement envers la sécurité de l'information P C I A ID Gouvernance — GV.RR-02 7.2.1
5.5 Contact avec les autorités Maintenir des contacts appropriés avec les autorités compétentes P C C I A ID RS RC Gouvernance — RS.CO-02 6.1.3
5.6 Contact avec des groupes d'intérêt spéciaux Maintenir des contacts appropriés avec des groupes d'intérêt spéciaux et des forums spécialisés en sécurité P C C I A ID RS RC Gouvernance — RS.CO-02 6.1.4
5.7 Threat intelligence 2022 Collecter et analyser des informations sur les menaces pour la sécurité de l'information P D C C I A ID DE RS Gestion des menaces et vulnérabilités M1 ID.RA-01 nouveau
5.8 Sécurité de l'information dans la gestion de projet Intégrer la sécurité de l'information dans la gestion de projet P C I A ID PR Gouvernance — PR.PS-06 6.1.5, 14.1.1
5.9 Inventaire des actifs Identifier les actifs et définir les responsabilités de protection appropriées P C I A ID Gouvernance, Gestion des actifs M9 ID.AM-01 8.1.1, 8.1.2
5.10 Utilisation acceptable de l'information et des actifs Identifier, documenter et mettre en œuvre des règles d'utilisation acceptable de l'information et des actifs P C I A PR Gouvernance, Gestion des actifs, Protection de l'information M7 M9 GV.RR-04 8.1.3, 8.2.3
5.11 Restitution des actifs S'assurer que les employés et les parties externes restituent tous les actifs en leur possession à la fin de leur emploi P C I A PR Gestion des actifs M9 GV.RR-04 8.1.4
5.12 Classification de l'information S'assurer que l'information reçoit un niveau de protection approprié P C I A ID Protection de l'information M9 ID.AM-05 8.2.1
5.13 Étiquetage de l'information Développer et mettre en œuvre un ensemble de procédures d'étiquetage de l'information P C I A PR Protection de l'information — ID.AM-05 8.2.2
5.14 Transfert d'information Maintenir la sécurité de l'information transférée au sein de l'organisation et avec toute entité externe P C I A PR Gestion des actifs, Protection de l'information M8 M11 PR.DS-02 13.2.1, 13.2.2, 13.2.3
5.15 Contrôle d'accès Gérer les droits d'accès logique et physique aux actifs P C I A PR Gestion des identités et des accès M9 PR.AA-05 9.1.1, 9.1.2
5.16 Gestion des identités Gérer le cycle de vie complet des identités P C I A PR Gestion des identités et des accès M9 PR.AA-05 PR.AA-01 9.2.1
5.17 Informations d'authentification Gérer l'allocation et la gestion des informations d'authentification P C I A PR Gestion des identités et des accès M9 M10 PR.AA-03 9.2.4, 9.3.1, 9.4.3
5.18 Droits d'accès Provisionner, réviser, modifier et retirer les droits d'accès aux actifs P C I A PR Gestion des identités et des accès M9 PR.AA-05 9.2.2, 9.2.5, 9.2.6
5.19 Sécurité de l'information dans les relations avec les fournisseurs Maintenir un niveau convenu de sécurité de l'information dans les relations avec les fournisseurs P C I A ID PR Sécurité des relations fournisseurs M4 GV.SC-04 15.1.1
5.20 Traiter la sécurité de l'information dans les accords avec les fournisseurs Établir et convenir des exigences de sécurité de l'information avec chaque fournisseur P C I A ID PR Sécurité des relations fournisseurs M4 GV.SC-04 GV.SC-05 15.1.2
5.21 Gestion de la sécurité de l'information dans la chaîne d'approvisionnement TIC Gérer les risques de sécurité de l'information associés à la chaîne d'approvisionnement TIC P C I A ID PR Sécurité des relations fournisseurs M4 GV.SC-05 GV.SC-07 15.1.3
5.22 Surveillance, revue et gestion du changement des services fournisseurs Surveiller, réviser, évaluer et gérer le changement dans les services fournisseurs P D C I A ID PR Sécurité des relations fournisseurs, Assurance de la sécurité M4 GV.SC-07 15.2.1, 15.2.2
5.23 Sécurité de l'information pour l'utilisation de services cloud 2022 Gérer la sécurité de l'information lors de l'utilisation de services cloud P C I A ID PR Sécurité des relations fournisseurs M4 GV.SC-04 nouveau
5.24 Planification et préparation de la gestion des incidents de sécurité de l'information Planifier et préparer la gestion des incidents de sécurité C C I A RS RC Gouvernance, Gestion des événements de sécurité M2 RS.MA-01 16.1.1
5.25 Évaluation et décision sur les événements de sécurité de l'information Évaluer les événements de sécurité et décider s'ils doivent être classés comme incidents D C I A DE RS Gestion des événements de sécurité M2 RS.MA-01 DE.AE-02 16.1.4
5.26 Réponse aux incidents de sécurité de l'information Répondre aux incidents de sécurité conformément aux procédures documentées C C I A RS RC Gestion des événements de sécurité M2 RS.MA-01 RS.MA-03 RS.CO-02 16.1.5
5.27 Tirer les leçons des incidents de sécurité de l'information Utiliser les connaissances acquises des incidents pour renforcer les contrôles P C I A ID PR Gestion des événements de sécurité M2 RS.MA-05 16.1.6
5.28 Collecte de preuves Établir et appliquer des procédures de collecte de preuves C C I A DE RS Gestion des événements de sécurité M2 RS.MA-03 16.1.7
5.29 Sécurité de l'information pendant les perturbations Planifier comment maintenir la sécurité de l'information à un niveau approprié pendant les perturbations P C C I A PR RS RC Continuité M3 ID.AM-05 PR.IR-03 ID.IM-02 17.1.1, 17.1.2, 17.1.3
5.30 Préparation des TIC pour la continuité d'activité 2022 Préparer les TIC pour la continuité d'activité C A RS Continuité M3 ID.AM-05 PR.IR-03 RC.RP-01 ID.IM-02 nouveau
5.31 Exigences légales, statutaires, réglementaires et contractuelles Identifier et respecter les obligations légales, statutaires, réglementaires et contractuelles P C I A ID Légal et conformité M1 GV.OC-03 GV.OC-03 18.1.1, 18.1.5
5.32 Droits de propriété intellectuelle Mettre en œuvre des procédures appropriées pour protéger les droits de propriété intellectuelle P C I A ID Légal et conformité — GV.OC-03 18.1.2
5.33 Protection des enregistrements Protéger les enregistrements contre la perte, la destruction, la falsification et l'accès non autorisé P C I A ID PR Légal et conformité, Gestion des actifs, Protection de l'information — GV.OV-02 18.1.3
5.34 Confidentialité et protection des informations personnelles identifiables Assurer la confidentialité et la protection des PII conformément aux exigences légales P C I A ID PR Protection de l'information, Légal et conformité — PR.DS-01 GV.OC-03 GV.OC-03 18.1.4
5.35 Revue indépendante de la sécurité de l'information Effectuer une revue indépendante de l'approche de l'organisation pour gérer la sécurité P C C I A ID PR Assurance de la sécurité M1 M6 GV.OV-01 18.2.1
5.36 Conformité aux politiques, règles et normes de sécurité de l'information Vérifier régulièrement la conformité aux politiques, règles et normes de sécurité P C C I A ID PR Légal et conformité, Assurance de la sécurité M1 M6 GV.OV-01 18.2.2, 18.2.3
5.37 Procédures opérationnelles documentées Documenter et maintenir à jour les procédures opérationnelles des installations de traitement P C C I A PR RS RC Gestion des actifs, Sécurité physique, Configuration sécurisée, Gestion des menaces et vulnérabilités, Continuité, Gestion des événements de sécurité — GV.OV-02 12.1.1
6.1 Sélection S'assurer que les candidats comprennent leurs responsabilités et sont appropriés pour les rôles P C I A PR Sécurité des ressources humaines M9 GV.RR-04 7.1.1
6.2 Termes et conditions d'emploi S'assurer que les employés et contractants comprennent et remplissent leurs responsabilités de sécurité P C I A PR Sécurité des ressources humaines M9 GV.RR-04 7.1.2
6.3 Sensibilisation, éducation et formation à la sécurité de l'information S'assurer que les employés et contractants reçoivent une sensibilisation, une éducation et une formation appropriées P C I A PR Sécurité des ressources humaines M7 PR.AT-01 7.2.2
6.4 Processus disciplinaire Avoir un processus disciplinaire formel pour les employés qui commettent une violation de sécurité P C C I A PR RS Sécurité des ressources humaines M9 GV.RR-04 7.2.3
6.5 Responsabilités après la cessation ou le changement d'emploi Gérer les responsabilités de sécurité de l'information après la cessation ou le changement d'emploi P C I A PR Sécurité des ressources humaines M9 GV.RR-04 7.3.1
6.6 Accords de confidentialité ou de non-divulgation Protéger l'information organisationnelle par des accords de confidentialité P C PR Sécurité des ressources humaines, Protection de l'information, Sécurité des relations fournisseurs M9 GV.RR-04 13.2.4
6.7 Travail à distance Mettre en œuvre des mesures de sécurité pour le travail à distance P C I A PR Gestion des actifs, Protection de l'information, Sécurité physique, Configuration sécurisée M9 PR.AA-05 6.2.2
6.8 Rapports d'événements de sécurité de l'information Établir un mécanisme pour que le personnel rapporte les événements de sécurité observés ou suspectés D C I A DE Gestion des événements de sécurité M2 DE.AE-02 16.1.2, 16.1.3
7.1 Périmètres de sécurité physique Définir et utiliser des périmètres de sécurité pour protéger les zones contenant de l'information sensible P C I A PR Sécurité physique — PR.AA-06 11.1.1
7.2 Entrées physiques Sécuriser les zones et les installations par des contrôles d'entrée appropriés P C I A PR Sécurité physique, Gestion des identités et des accès — PR.AA-06 PR.AA-06 11.1.2, 11.1.6
7.3 Sécurisation des bureaux, des salles et des installations Concevoir et appliquer la sécurité physique pour les bureaux, salles et installations P C I A PR Sécurité physique — PR.AA-06 11.1.3
7.4 Surveillance de la sécurité physique 2022 Surveiller en permanence les locaux contre les accès physiques non autorisés P D C I A PR DE Sécurité physique — PR.AA-06 nouveau
7.5 Protection contre les menaces physiques et environnementales Protéger contre les menaces physiques et environnementales P C I A PR Sécurité physique — PR.IR-02 11.1.4
7.6 Travail dans les zones sécurisées Concevoir et appliquer des mesures de sécurité pour le travail dans les zones sécurisées P C I A PR Sécurité physique — PR.AA-06 11.1.5
7.7 Bureau propre et écran vide Définir et appliquer des règles de bureau propre et d'écran vide P C PR Sécurité physique — PR.AA-06 11.2.9
7.8 Emplacement et protection des équipements Positionner les équipements de manière à réduire les risques P C I A PR Sécurité physique — PR.AA-06 11.2.1
7.9 Sécurité des actifs hors des locaux Protéger les actifs hors site P C I A PR Sécurité physique — PR.AA-06 11.2.6
7.10 Supports de stockage Gérer les supports de stockage conformément au schéma de classification P C I A PR Sécurité physique, Gestion des actifs — ID.AM-08 8.3.1, 8.3.2, 8.3.3, 11.2.5
7.11 Services de support S'assurer que les équipements sont protégés contre les pannes d'alimentation P D I A PR DE Sécurité physique M3 PR.IR-02 11.2.2
7.12 Sécurité du câblage Protéger les câbles transportant des données ou supportant des services d'information P C A PR Sécurité physique — PR.IR-02 11.2.3
7.13 Maintenance des équipements Maintenir les équipements correctement pour assurer leur disponibilité et intégrité P C I A PR Sécurité physique — PR.AA-06 11.2.4
7.14 Mise au rebut ou réutilisation sécurisée des équipements S'assurer que l'information est effacée avant la mise au rebut ou la réutilisation P C PR Sécurité physique — ID.AM-08 11.2.7
8.1 Dispositifs de point de terminaison utilisateur Protéger l'information stockée, traitée ou accessible via des dispositifs de point de terminaison P C I A PR Gestion des actifs, Protection de l'information M7 PR.PS-01 6.2.1, 11.2.8
8.2 Droits d'accès privilégié Restreindre et contrôler l'allocation et l'utilisation des droits d'accès privilégié P C I A PR Gestion des identités et des accès M9 M10 PR.AA-05 9.2.3
8.3 Restriction d'accès à l'information Restreindre l'accès à l'information et aux actifs conformément à la politique d'accès P C I A PR Gestion des identités et des accès M9 PR.AA-01 9.4.1
8.4 Accès au code source Gérer de manière sécurisée l'accès au code source P C I A PR Configuration sécurisée, Gestion des identités et des accès, Sécurité applicative — PR.PS-06 9.4.5
8.5 Authentification sécurisée Mettre en œuvre des technologies d'authentification sécurisée P C I A PR Gestion des identités et des accès M10 PR.AA-03 9.4.2
8.6 Gestion de la capacité Surveiller et prévoir l'utilisation des ressources pour assurer la performance requise P D I A ID PR DE Continuité — PR.PS-01 12.1.3
8.7 Protection contre les malwares Protéger l'information et les systèmes contre les malwares P D C C I A PR DE Sécurité des systèmes et réseaux, Protection de l'information M7 PR.PS-05 PR.PS-01 12.2.1
8.8 Gestion des vulnérabilités techniques Identifier et traiter les vulnérabilités techniques en temps opportun P C I A ID PR Gestion des menaces et vulnérabilités M5 ID.RA-01 ID.RA-06 12.6.1, 18.2.3
8.9 Gestion de la configuration 2022 Établir et maintenir des configurations de sécurité P C I A PR Configuration sécurisée M5 PR.PS-01 nouveau
8.10 Suppression d'information 2022 Supprimer l'information stockée dans les systèmes lorsqu'elle n'est plus requise P C PR Protection de l'information, Légal et conformité — ID.AM-08 nouveau
8.11 Masquage des données 2022 Utiliser le masquage des données conformément à la politique de contrôle d'accès P C PR Protection de l'information — PR.DS-01 nouveau
8.12 Prévention de la fuite de données 2022 Détecter et prévenir la divulgation, modification ou suppression non autorisée d'information P D C PR DE Protection de l'information — PR.DS-01 nouveau
8.13 Sauvegarde de l'information Maintenir des copies de sauvegarde de l'information et les tester C I A RC Continuité M3 RC.RP-01 PR.DS-11 12.3.1
8.14 Redondance des installations de traitement de l'information Mettre en œuvre des installations de traitement de l'information avec une redondance suffisante P A PR Continuité, Gestion des actifs M3 RC.RP-01 17.2.1
8.15 Journalisation (Logging) Créer, conserver et réviser des journaux d'événements D C I A PR DE Gestion des événements de sécurité M2 PR.PS-04 12.4.1, 12.4.2, 12.4.3
8.16 Activités de surveillance 2022 Surveiller les réseaux, systèmes et applications pour détecter les comportements anormaux D C C I A DE RS Gestion des événements de sécurité M2 DE.AE-02 PR.PS-04 nouveau
8.17 Synchronisation des horloges Synchroniser les horloges des systèmes avec des sources de temps approuvées D C I A PR DE Gestion des événements de sécurité — PR.PS-04 12.4.4
8.18 Utilisation de programmes utilitaires privilégiés Restreindre l'utilisation de programmes utilitaires qui peuvent outrepasser les contrôles système et applicatifs P C I A PR Configuration sécurisée, Sécurité applicative — PR.AA-05 9.4.4
8.19 Installation de logiciels sur les systèmes opérationnels Mettre en œuvre des procédures et des mesures pour gérer l'installation de logiciels P C I A PR Configuration sécurisée, Sécurité applicative M5 PR.PS-01 ID.RA-06 12.5.1, 12.6.2
8.20 Sécurité des réseaux Gérer et contrôler les réseaux pour protéger l'information P D C I A PR DE Sécurité des systèmes et réseaux M11 PR.IR-01 PR.IR-01 13.1.1
8.21 Sécurité des services réseau Identifier et mettre en œuvre des mécanismes de sécurité pour les services réseau P D C I A PR DE Sécurité des systèmes et réseaux M11 PR.AA-05 PR.IR-01 PR.IR-01 PR.DS-02 13.1.2
8.22 Ségrégation des réseaux Séparer les groupes de services d'information, utilisateurs et systèmes d'information P C I A PR Sécurité des systèmes et réseaux M11 PR.IR-01 PR.DS-02 13.1.3
8.23 Filtrage web 2022 Gérer l'accès aux sites web externes pour réduire l'exposition aux contenus malveillants P C I A PR Sécurité des systèmes et réseaux — PR.PS-05 nouveau
8.24 Utilisation de la cryptographie Définir et mettre en œuvre des règles d'utilisation des contrôles cryptographiques P C I A PR Configuration sécurisée M8 PR.DS-01 PR.DS-01 PR.DS-01 PR.DS-02 PR.AA-01 10.1.1, 10.1.2
8.25 Cycle de vie de développement sécurisé Établir et appliquer des règles pour le développement sécurisé de logiciels et de systèmes P C I A PR Sécurité applicative, Configuration sécurisée M5 PR.PS-06 GV.SC-07 14.2.1
8.26 Exigences de sécurité des applications Identifier et spécifier les exigences de sécurité pour le développement ou l'acquisition d'applications P C I A ID PR Sécurité applicative, Protection de l'information M5 PR.PS-06 14.1.2, 14.1.3
8.27 Architecture de système sécurisé et principes d'ingénierie Établir et appliquer des principes pour l'ingénierie de systèmes sécurisés P C I A PR Sécurité applicative, Configuration sécurisée M5 PR.PS-06 14.2.5
8.28 Codage sécurisé 2022 Appliquer des principes de codage sécurisé au développement logiciel P C I A PR Sécurité applicative, Configuration sécurisée M5 PR.PS-06 nouveau
8.29 Tests de sécurité en développement et acceptation Définir et mettre en œuvre des processus de tests de sécurité P C I A ID Sécurité applicative, Protection de l'information, Configuration sécurisée M5 M6 PR.PS-06 14.2.8, 14.2.9
8.30 Développement externalisé Superviser les activités de développement de systèmes externalisées P D C I A ID PR DE Sécurité applicative, Sécurité des relations fournisseurs M5 PR.PS-06 GV.SC-07 GV.SC-04 14.2.7
8.31 Séparation des environnements de développement, de test et de production Séparer les environnements de développement, de test et de production P C I A PR Sécurité applicative, Configuration sécurisée M5 PR.PS-06 12.1.4, 14.2.6
8.32 Gestion des changements Gérer les changements aux installations et systèmes de traitement de l'information P C I A PR Sécurité applicative, Configuration sécurisée M5 PR.PS-01 12.1.2, 14.2.2, 14.2.3, 14.2.4
8.33 Information de test Protéger les données de test P C I PR Protection de l'information — PR.PS-06 14.3.1
8.34 Protection des systèmes d'information pendant les tests d'audit Planifier et convenir des tests d'audit pour minimiser les interruptions P C I A PR Gouvernance, Assurance de la sécurité M6 GV.OV-01 12.7.1

Télécharger la matrice ISO 27001 ↔ NIS2 ↔ CyFun

Format CSV gratuit avec 93 contrôles ISO, mapping article 30 loi NIS2, mapping CyFun CCB.

Télécharger la matrice (CSV)