Thomas Ferreira est ingénieur sécurité chez nophi.sh, certifié CISSP, GCFA, GCIH et GCFE.
ISO/IEC 27001 est la norme internationale qui fixe les exigences d’un système de management de la sécurité de l’information (SMSI) : analyse des risques, choix des mesures de sécurité, pilotage par la direction et amélioration continue. Sa version 2022 compte 93 mesures dans son annexe A. Une organisation peut la faire certifier par un organisme accrédité, pour trois ans, avec des audits de surveillance chaque année.
La certification ISO 27001 est devenue un critère de sélection dans les appels d’offres français et européens. Pour l’obtenir, il faut passer un audit où l’auditeur vérifie, preuves à l’appui, que vos collaborateurs sont sensibilisés aux risques de sécurité. La clause 7.3 et les contrôles A.6.3 et A.5.7 ne se satisfont pas d’une vidéo regardée une fois par an. Voici ce que votre auditeur attend et comment réunir les preuves.
Ce qu’ISO 27001 exige pour la sensibilisation
La norme ISO/IEC 27001:2022 traite la sensibilisation à plusieurs endroits : deux clauses du système de management et deux contrôles de l’annexe A.
Clause 7.2 : compétence
La clause 7.2 porte sur la compétence des personnes dont le travail a un effet sur la sécurité de l’information. Elle demande de définir les compétences nécessaires, de s’assurer que les personnes les ont (formation, tutorat ou recrutement) et d’en conserver la preuve.
En cybersécurité, cela veut dire repérer les rôles à risque (direction financière, administrateurs des accès, équipes IT) et montrer que ces personnes ont reçu une formation adaptée à leurs responsabilités. Un comptable qui valide des virements et un développeur qui déploie du code n’ont pas le même profil de risque et n’ont pas besoin de la même formation.
Clause 7.3 : sensibilisation
C’est la clause centrale. Elle exige que toutes les personnes travaillant sous le contrôle de l’organisation soient sensibilisées à trois éléments :
- La politique de sécurité de l’information : chacun doit la connaître et comprendre ce qu’elle lui demande.
- Leur contribution à l’efficacité du système de management de la sécurité de l’information (SMSI) : chacun doit savoir comment ses actions pèsent sur la sécurité de tous.
- Les conséquences d’un manquement : ce qui se passe quand les règles ne sont pas respectées, pour l’organisation et sur le plan disciplinaire.
La clause couvre aussi les prestataires et sous-traitants qui accèdent à vos systèmes, au même titre que les salariés.
Mesure A.6.3 : sensibilisation et formation à la sécurité de l’information
L’annexe A d’ISO 27001:2022 liste les mesures de sécurité à choisir selon l’analyse de risques. La mesure A.6.3 est celle qui concerne le plus directement la formation : en substance, le personnel et les parties intéressées concernées reçoivent une sensibilisation et une formation à la sécurité de l’information adaptées à leur fonction, ainsi que des mises à jour régulières sur la politique et les procédures qui les concernent.
L’adaptation au rôle compte. L’auditeur vérifie que la formation tient compte du rôle de chacun. Des scénarios de simulation de phishing liés au métier (fausse facture pour la comptabilité, faux portail RH, fausse demande urgente d’un dirigeant) vont dans ce sens.
Contrôle A.5.7 : renseignement sur les menaces
Ce contrôle, nouveau dans la version 2022, demande de collecter et d’analyser des informations sur les menaces pour adapter les mesures de sécurité. Pour la sensibilisation, cela veut dire simuler les attaques réellement observées (spear phishing, BEC, faux partages de documents) plutôt que des exemples génériques.
L’ANSSI publie chaque année un panorama de la cybermenace qui décrit les vecteurs d’attaque les plus utilisés contre les entreprises françaises. Adapter vos simulations à ce panorama, et aux emails suspects que vos collaborateurs signalent, montre concrètement l’application du contrôle A.5.7.
Comment l’auditeur vérifie la conformité
L’audit de stage 2 est l’épreuve décisive. Après avoir examiné votre documentation au stage 1, l’auditeur vérifie que le SMSI fonctionne réellement, au-delà des procédures écrites.
Ce que l’auditeur regarde lors du stage 2
Les registres de formation individuels. L’auditeur demande la liste des collaborateurs et vérifie que chacun a une trace de formation datée. Pour les recrutements des 12 derniers mois, il vérifie que la sensibilisation a eu lieu pendant l’intégration. Un registre sans date ni nom ne prouve rien.
Les résultats des campagnes de simulation. Les indicateurs attendus sont précis :
- le taux de clic par campagne et son évolution ;
- le taux de signalement des emails suspects ;
- la part des effectifs incluse dans les campagnes ;
- les résultats des formations suivies après une simulation.
Les indicateurs d’amélioration continue. ISO 27001 repose sur le cycle PDCA (Plan, Do, Check, Act). L’auditeur cherche une progression plutôt que la perfection. Un taux de clic qui baisse d’une campagne à l’autre montre que le programme fonctionne. Un programme qui ne mesure rien, ou dont les résultats stagnent sans action corrective, attire une non-conformité.
La revue de direction. La clause 9.3 demande à la direction de revoir le SMSI régulièrement, et les résultats du programme de sensibilisation font partie des éléments d’entrée de cette revue (clause 9.3.2). L’auditeur lit le compte rendu et vérifie que ces résultats y figurent, avec les décisions prises.
Les entretiens. L’auditeur interroge des collaborateurs tirés au sort, hors de l’équipe IT. Il pose des questions simples : « Que faites-vous si vous recevez un email suspect ? », « Où trouvez-vous la politique de sécurité ? ». Des collaborateurs incapables de répondre trahissent une sensibilisation insuffisante, même avec des registres complets.
Les non-conformités fréquentes sur la sensibilisation
Sur la clause 7.3, ces écarts reviennent souvent en audit :
- aucune preuve pour les prestataires et sous-traitants qui accèdent aux systèmes ;
- des formations sans mesure d’efficacité : on forme, sans savoir si les comportements changent ;
- aucune sensibilisation documentée pour les personnes embauchées dans les 6 derniers mois ;
- des résultats de simulation qui se dégradent sans plan d’action documenté.
ISO 27001 ou SOC 2 ?
SOC 2 est un cadre d’audit américain de l’AICPA : il aboutit à un rapport d’attestation établi par un cabinet d’expertise comptable sur une période d’observation. ISO 27001 donne lieu à une certification de trois ans délivrée par un organisme accrédité, en France par le COFRAC. Pour une PME dont les clients sont français ou européens, ISO 27001 est la référence attendue dans les appels d’offres, et elle recoupe une grande partie des exigences organisationnelles de NIS2 et du RGPD. SOC 2 se justifie surtout face à des clients américains.
Le coût d’une certification ISO 27001 pour une PME
Le budget dépend de la taille du périmètre certifié, de la maturité de départ et de l’organisme de certification. Il se décompose en quatre postes : l’éventuel accompagnement par un consultant (analyse d’écarts, mise en place du SMSI), les audits de certification (stage 1 et stage 2) puis de surveillance, les outils (gestion des risques, documentation, sensibilisation) et le temps interne de la direction et des équipes. Des politiques déjà formalisées, une MFA en place et un annuaire d’entreprise tenu à jour réduisent le délai et les honoraires. Demandez plusieurs devis à des organismes accrédités avant de vous engager.
La certification ouvre l’accès aux appels d’offres qui l’exigent et donne des arguments face à l’assureur cyber. Le programme de sensibilisation qu’elle impose a aussi un effet mesuré : selon le KnowBe4 Phishing by Industry Benchmarking Report 2025, le taux de clic moyen passe de 33,1 % à 4,1 % après 12 mois de formation. En France, une violation de données coûte en moyenne 3,59 M€ (IBM Cost of a Data Breach 2025), un chiffre qui concerne surtout les grandes organisations mais donne l’ordre de grandeur du risque.
Ce que nophi.sh apporte pour le volet sensibilisation
nophi.sh couvre une partie de la clause 7.3 et de la mesure A.6.3, la certification portant sur l’ensemble de votre SMSI : simulations de phishing, formation après un échec, signalement des emails suspects et un historique de résultats utilisable comme preuve lors de votre audit.
Simulations de phishing : preuves pour le contrôle A.6.3
Chaque campagne de simulation de phishing enregistre :
- pour chaque personne, l’email reçu, la date et sa réaction (ouverture, clic, saisie d’identifiants, signalement) ;
- les taux de clic et de signalement par campagne ;
- les personnes jamais testées.
nophi.sh propose 80 scénarios prêts à l’emploi, en français et en anglais, sur 16 catégories : fausse facture, changement de RIB fournisseur, fraude au président, faux partage Microsoft 365, faux message RH, faux courrier des impôts, etc. Choisir les scénarios selon le métier des personnes ciblées répond à l’exigence de formation « appropriée » du contrôle A.6.3.
Formation après un échec : preuves pour la clause 7.3
Quand un collaborateur clique ou saisit ses identifiants lors d’une simulation, nophi.sh lui assigne automatiquement un module court, selon des règles que vous définissez par catégorie de scénario ou par action. Des relances partent avant l’échéance, puis le manager est prévenu. Le cours intégré « Sensibilisation au phishing : les fondamentaux » comprend 5 leçons et un quiz de 10 questions (80 % pour réussir). L’éditeur de cours vous permet d’ajouter vos propres contenus, par exemple une présentation de votre politique de sécurité.
Le suivi des formations par personne (assignée, terminée, en retard) sert de registre de sensibilisation. Pour couvrir les trois éléments de la clause 7.3, ajoutez à vos contenus la politique de sécurité et les conséquences d’un manquement.
Tableau de bord : données pour la revue de direction (clause 9.3)
La clause 9.3 demande que la revue de direction prenne en compte les résultats de la surveillance et de la mesure. Le tableau de bord nophi.sh fournit, pour la partie sensibilisation :
- un score de posture et un score de risque par personne ;
- l’évolution des taux de clic et de signalement ;
- la comparaison entre départements et entre équipes de managers ;
- les personnes qui cliquent à répétition, celles jamais testées et les formations en retard ;
- les emails suspects signalés par les collaborateurs.
Rapport d’audit : documentation pour l’organisme de certification
Le rapport d’audit PDF contient une synthèse, les tendances, la répartition du risque, les résultats par département et le suivi des formations. L’export CSV donne le détail nominatif. Ces deux documents servent de preuves pour votre audit ISO 27001 (A.6.3). Voir aussi notre page conformité.
Menaces réelles : contrôle A.5.7
Quand un collaborateur transfère un email suspect à l’adresse nophi.sh (ou utilise le bouton « Signaler » de Microsoft 365 configuré vers cette adresse), il reçoit en général en une à deux minutes un verdict de l’IA avec ses raisons, et vos contacts sécurité sont alertés. Ces signalements vous montrent ce que vos équipes reçoivent vraiment. Vous pouvez en tirer vos propres modèles de simulation, et l’offre Enterprise inclut des scénarios construits à partir des attaques que vous avez réellement reçues.
Les preuves à réunir pour l’auditeur
Voici les documents à préparer pour la partie sensibilisation, et ce que chacun démontre.
Résultats par campagne
Contenu : date, scénario, nombre de personnes ciblées, taux de clic et de signalement, résultat par personne, formation assignée.
Ce qu’ils prouvent : l’organisation teste la sensibilisation en conditions réelles (A.6.3), mesure les résultats (clause 7.3) et suit chaque personne.
Évolution sur 12 mois
Contenu : tendance des taux de clic et de signalement sur toutes les campagnes de la période, écart entre la première campagne et la plus récente, résultats par département.
Ce qu’elle prouve : l’amélioration continue attendue par le cycle PDCA.
Registre de formation individuel
Contenu : pour chaque personne, les formations assignées et terminées, avec les dates.
Ce qu’il prouve : la sensibilisation individuelle demandée par la clause 7.3, y compris pour les nouveaux arrivants.
Couverture des effectifs
Contenu : personnes incluses dans les campagnes, personnes jamais testées, évolution dans le temps.
Ce qu’elle prouve : la sensibilisation touche toute l’organisation, équipes non techniques comprises, ce que l’auditeur vérifie presque toujours.
Éléments pour la revue de direction
Contenu : synthèse des indicateurs (score de posture, emails suspects signalés, évolution des résultats) et décisions pour la période suivante.
Ce qu’ils prouvent : la direction est informée et les résultats du programme alimentent la revue de direction (clause 9.3.2).
Le rapport d’audit PDF et l’export CSV de nophi.sh couvrent les quatre premiers points. Les décisions de la revue de direction, la politique de sécurité et la sensibilisation des prestataires restent à documenter de votre côté.
Vérifiez aussi la configuration de votre domaine email avec le test de sécurité email. Un domaine sans DMARC en mode « reject » peut être usurpé, et c’est une question que les auditeurs posent de plus en plus souvent. Pour démarrer vos preuves, lancez une campagne de référence pendant l’essai de 14 jours (produit complet, sans carte bancaire).
Sources : ISO/IEC 27001:2022, AFNOR Certification, ANSSI, Panorama de la cybermenace 2024, ENISA, Information Security Awareness, KnowBe4 Phishing by Industry Benchmarking Report 2025, IBM Cost of a Data Breach 2025.
Questions fréquentes
La clause 7.3 d'ISO 27001 impose-t-elle concrètement la simulation de phishing ?
La norme ne la cite pas. La clause 7.3 exige que chaque personne travaillant sous le contrôle de l'organisation connaisse la politique de sécurité, sa contribution à l'efficacité du SMSI et les conséquences d'un manquement. Les simulations de phishing sont un moyen direct de montrer que cette sensibilisation fonctionne : elles la testent en conditions réelles et produisent des résultats que l'auditeur peut vérifier.
Quelles preuves faut-il apporter lors d'un audit ISO 27001 stage 2 ?
L'auditeur de stage 2 regarde en général quatre types de preuves : des registres de formation datés par collaborateur, les résultats des simulations de phishing (taux de clic, taux de signalement, évolution), la preuve que les nouveaux arrivants sont sensibilisés dès leur intégration et des indicateurs d'amélioration continue. Il interroge aussi des employés pour vérifier qu'ils connaissent la politique de sécurité. Un historique des campagnes exportable, avec le détail par personne, constitue une bonne base.
Combien coûte une certification ISO 27001 pour une PME française ?
Le budget dépend du périmètre certifié, de la maturité de départ et de l'organisme de certification. Il comprend l'éventuel accompagnement par un consultant, les audits de certification (stage 1 et stage 2) puis de surveillance, les outils et le temps interne, souvent le poste le plus sous-estimé. Demandez plusieurs devis à des organismes accrédités par le COFRAC avant de lancer le projet.
Quelle est la différence entre ISO 27001 et SOC 2 ?
ISO 27001 donne lieu à une certification valable 3 ans, avec des audits de surveillance annuels, délivrée par un organisme accrédité. SOC 2 est un cadre d'audit américain (AICPA) qui aboutit à un rapport d'attestation établi par un cabinet d'expertise comptable sur une période d'observation. ISO 27001 est la référence attendue par les clients européens et dans les appels d'offres en France ; SOC 2 est surtout demandé par des clients américains.
Peut-on utiliser nophi.sh uniquement pour l'audit ISO 27001, sans programme continu ?
Une seule campagne produit des résultats, mais l'auditeur regarde l'amélioration continue : un résultat isolé montre mal que le programme tient dans la durée. La clause 7.3 et la mesure A.6.3 attendent des mises à jour régulières. En pratique, trois ou quatre campagnes réparties sur 6 à 12 mois montrent une progression. La formule Starter de nophi.sh coûte 99 € HT par mois jusqu'à 50 utilisateurs.
ISO 27001 est-elle compatible avec NIS2 et DORA ?
Oui. ISO 27001 recoupe une large partie des exigences de sensibilisation de NIS2 et de DORA. La clause 7.3 et le contrôle A.6.3 correspondent aux articles de NIS2 sur la formation, et un programme de sensibilisation documenté selon ISO 27001 sert aussi pour l'article 13 de DORA. Le rapport d'audit PDF et l'export CSV de nophi.sh peuvent servir de preuves pour les trois audits. NIS2 et DORA demandent toutefois bien plus que de la sensibilisation.
Comment ISO 27001 traite-t-elle les prestataires et sous-traitants ?
La clause 7.3 s'applique à « toutes les personnes travaillant sous le contrôle de l'organisation », y compris les prestataires et sous-traitants qui accèdent à vos systèmes ou à vos données. Les contrôles A.5.19 et A.5.20 (sécurité dans les relations avec les fournisseurs) demandent de fixer contractuellement les exigences de sécurité. Si un prestataire traite des données sensibles ou accède à votre réseau, l'auditeur vérifiera que votre programme de sensibilisation le couvre, ou que vous avez obtenu des garanties équivalentes.