Ce texte suppose connues les évolutions de la version 2022, traitées dans notre guide de migration : réorganisation de l'annexe A de 114 à 93 contrôles, onze contrôles nouveaux, introduction des attributs. Il porte sur ce qui vient après, l'audit lui-même, et sur une question que peu d'articles abordent parce qu'elle est désagréable : que faire quand la date est passée.
La fenêtre s'est refermée le 31 octobre 2025
La période de transition fixée par l'IAF courait jusqu'à cette date. Les certificats émis selon ISO/IEC 27001:2013 ont cessé d'être valides à son terme, qu'un audit de transition ait été planifié ou non.
Nous sommes en 2026 : pour une organisation restée en 2013, il ne s'agit plus d'une transition mais d'une nouvelle certification. La distinction n'est pas administrative, elle change le cycle d'audit, le coût et le délai. Vérifiez la date exacte portée par votre certificat auprès de votre organisme de certification plutôt que de vous fier à une règle générale, les situations de suspension ayant été traitées au cas par cas.
Ce que l'auditeur regarde vraiment
L'audit de transition ne repasse pas l'intégralité du système. Il se concentre sur trois objets.
La déclaration d'applicabilité. C'est le document central, et celui qui échoue le plus. Il doit refléter les 93 contrôles de la nouvelle annexe A, justifier chaque exclusion, et surtout être cohérent avec l'appréciation du risque. Une exclusion motivée par « non applicable » sans référence à un risque identifié est un écart, parce que la norme exige que les contrôles nécessaires soient déterminés à partir du traitement du risque.
Les onze contrôles nouveaux. L'auditeur vérifie qu'ils ont été appréciés, pas nécessairement qu'ils sont tous en place. Un contrôle jugé non applicable avec une justification tenant la route est acceptable ; un contrôle simplement absent du raisonnement ne l'est pas.
La preuve de fonctionnement. Un contrôle documenté mais jamais exécuté n'est pas un contrôle. La question posée est : montrez-moi la dernière exécution, et ce qui s'est passé quand elle a détecté quelque chose.
Les écarts les plus fréquents
La déclaration d'applicabilité recopiée. Reprendre la structure 2013 en renumérotant produit un document formellement à jour et matériellement faux. Les contrôles ont été regroupés, pas seulement renumérotés : plusieurs anciens contrôles fusionnent dans un seul nouveau, et le périmètre couvert change.
L'appréciation du risque non reprise. Si la déclaration d'applicabilité évolue et que l'analyse de risque reste celle de 2019, l'auditeur constate une rupture de chaîne entre les deux, et c'est un écart sur la clause 6.1.3.
Les preuves collectées la veille. Un contrôle de revue trimestrielle des accès dont les quatre preuves portent la même date de création perd sa crédibilité. La date de la preuve compte autant que son contenu.
Le périmètre inchangé alors que l'organisation a changé. Une acquisition, une migration vers un service en nuage ou l'arrivée d'un système d'IA modifient le périmètre du système de management. Un périmètre non revu depuis trois ans est un signal que l'auditeur suit.
Les nouveaux contrôles qui posent le plus de difficultés
Trois reviennent systématiquement.
Le renseignement sur les menaces demande une source, un traitement et une trace de décision. Recevoir un bulletin hebdomadaire et ne rien en faire ne satisfait pas le contrôle.
La sécurité pour l'usage de services en nuage suppose une position écrite sur le partage des responsabilités, service par service. La plupart des organisations en ont une pour leur hébergeur principal, et aucune pour la douzaine d'outils métier souscrits par les directions.
La prévention de la fuite de données demande une définition de ce qui ne doit pas sortir. Sans classification préalable, le contrôle ne peut pas être évalué.
Si le certificat est tombé
Trois options, à arbitrer selon ce que vos clients exigent.
Repartir sur une certification initiale complète, avec audit en deux étapes. C'est le chemin le plus long, et le seul qui rétablisse un certificat.
Maintenir le système de management sans certificat le temps de préparer l'audit, en documentant la continuité des revues et des audits internes. Un système qui n'a pas cessé de fonctionner se recertifie plus vite qu'un système remis en route.
Vérifier si vos obligations contractuelles acceptent un équivalent temporaire, par exemple un rapport SOC 2 ou une attestation d'audit interne, le temps de la recertification. Cette option se négocie client par client et se prépare avant qu'ils ne posent la question.
Ce que Zaxyr apporte
Zaxyr tient la déclaration d'applicabilité rattachée à l'appréciation du risque, de sorte qu'une exclusion sans justification de risque apparaît comme un écart avant l'audit et non pendant. Les preuves sont collectées à leur rythme d'exécution, avec leur date réelle, ce qui répond à la question de l'auditeur sur la dernière exécution sans reconstitution de dernière minute.