Exploiter le RGPD et ISO 27001 ensemble : un programme, pas deux

Une PME soumise au RGPD et poursuivant la certification ISO 27001 se retrouve souvent avec deux programmes : une voie RGPD pour l’autorité de contrôle et une voie SMSI pour le certificat. Ce qui coûte cher n’est pas l’une ou l’autre norme — c’est la duplication. Les mesures de sécurité RGPD et les contrôles Annexe A ISO 27001 sont les mêmes contrôles écrits dans deux registres.

Le RGPD et ISO/IEC 27001:2022 sont des instruments différents. Le RGPD est un règlement de protection des données avec un principe de responsabilité — le responsable doit démontrer la conformité, et le registre article 30, l’AIPD, et les mesures de sécurité article 32 en sont les preuves. ISO 27001 est une norme de système de management — définir le périmètre, mener une analyse de risque, choisir les contrôles Annexe A, exploiter le SMSI, l’auditer. Ils ne sont pas identiques, mais partagent toute la surface de sécurité opérationnelle : contrôle d’accès, chiffrement, journalisation, gestion des vulnérabilités, réponse aux incidents, gestion des fournisseurs, continuité. Une PME qui les fusionne paie cette surface une fois.

C’est le compagnon à pilier croisé du pilier RGPD et du pilier ISO 27001, et le miroir côté RGPD de l’implémentation conjointe PCI DSS / ISO 27001.

Pourquoi une PME se retrouve avec les deux

Le RGPD s’applique dès que vous traitez des données personnelles de personnes UE — pour la plupart des PME, chaque client et employé. ISO 27001 est un choix, tiré par un questionnaire de sécurité client, une exigence de contrat grande entreprise ou secteur public, ou une décision délibérée de bâtir un programme de sécurité. Une PME qui touche les deux planifie rarement le chevauchement ; elle acquiert chacun séparément et découvre le coût dupliqué quand le deuxième sprint de collecte de preuves re-collecte ce que le premier avait déjà.

La correction : un programme à deux sorties de reporting, conçu dès le départ.

Périmètre : le périmètre SMSI contient le traitement RGPD

ISO 27001 laisse définir le périmètre SMSI (clause 4.3). Le RGPD s’applique à tout traitement de données personnelles UE, indépendamment des déclarations de périmètre. La forme efficace : faire couvrir au périmètre SMSI les systèmes et unités qui traitent des données personnelles, pour que les contrôles de sécurité qu’exigent les mesures article 32 soient les contrôles que le SMSI exploite et audite. Un périmètre SMSI plus étroit qui exclut le CRM ou la RH laisse le traitement RGPD hors du périmètre audité — le pire résultat, parce que vous gérez les contrôles RGPD et ISO 27001 séparément sur des systèmes adjacents.

Un diagramme réseau, un registre d’actifs, un inventaire système — utilisés par les deux. Le RoPA dit ce qui est traité où ; le registre d’actifs SMSI dit ce qui est sécurisé comment. Ils référencent les mêmes systèmes.

Article 32 et Annexe A : un ensemble de mesures de sécurité

Le RGPD article 32 exige des mesures de sécurité adaptées au risque — pseudonymisation et chiffrement lorsque c’est approprié, confidentialité, intégrité, disponibilité et résilience, et un processus de test et d’évaluation réguliers de l’efficacité de ces mesures. Il ne prescrit pas de contrôles spécifiques. L’Annexe A ISO 27001 est le catalogue de contrôles. La « description générale des mesures techniques et organisationnelles de sécurité » que le RoPA enregistre (article 30(1)(g)) est le résumé côté RGPD des contrôles Annexe A que le SMSI exploite.

La fusion : rédigez chaque contrôle une fois sous ISO 27001, et citez-le depuis la colonne sécurité du RoPA. Une matrice de contrôles combinée cartographie le chevauchement :

Rédigez une politique et une routine de preuve par ligne ; la colonne sécurité du RoPA pointe sur le contrôle SMSI, et le contrôle SMSI référence l’activité du RoPA qu’il protège.

Analyse de risque : une analyse, deux tranches

ISO 27001 mandate une analyse de risque (clauses 6.1.2, 6.1.3) couvrant le périmètre SMSI — l’analyse de risque ISO 27001 est l’artefact large, produisant la Déclaration d’applicabilité.

Le RGPD exige une AIPD (article 35) pour les traitements à haut risque, non une analyse de risque SMSI complète. Le modèle d’AIPD est une coupe plus étroite, axée impact données personnelles.

La fusion : mener l’analyse de risque ISO 27001 une fois au périmètre SMSI, puis découper les lignes d’impact données personnelles en AIPD pour les opérations à haut risque que le RoPA a signalées. Même liste de menaces, même registre d’actifs ; la section « risques pour les personnes » de l’AIPD est la coupe RGPD des lignes données personnelles du registre de risque SMSI. Une analyse, deux documents générés à partir d’elle.

Réponse aux incidents : un runbook, deux horloges de notification

C’est la fusion à plus forte valeur. Le RGPD article 33 déclenche une horloge de notification de fuite de 72 heures ; ISO 27001 Annexe A.5.24–A.5.27 exige un plan de réponse aux incidents avec détection, signalement, évaluation, réponse et apprentissage. L’article droits des personnes et horloge 72 heures décrit le runbook de fuite RGPD.

La fusion : une procédure de réponse aux incidents (le plan A.5.24 du SMSI), avec les étapes de notification RGPD 72 heures embarquées comme branche — quand l’incident est une fuite de données personnelles, la procédure déroule le modèle de notification article 33(3) et la décision de communication article 34 haut risque. Un runbook, un registre des fuites, un exercice de simulation (tabletop ISO 27001) qui teste à la fois la réponse SMSI et le chemin 72 heures RGPD. Le registre des fuites est la preuve que les deux auditeurs demandent.

Gestion des fournisseurs : un DPA, une évaluation A.5.19

Le RGPD article 28 exige un accord de traitement de données avec chaque sous-traitant ; ISO 27001 Annexe A.5.19–A.5.23 exige la gestion des relations fournisseurs incluant l’évaluation de sécurité. La fusion : un registre fournisseurs, où chaque ligne porte à la fois le statut DPA article 28 (signé / en attente) et l’évaluation de sécurité A.5.19 (conforme / écarts). Le questionnaire de sécurité fournisseur que vous envoyez est le même artefact pour les deux normes — les réponses alimentent la colonne destinataires du RoPA (RGPD) et le registre de risque fournisseur (ISO 27001).

Le modèle de partage des preuves

Dossiers de preuves organisés par sujet de contrôle, non par norme :

preuves/
controle-acces/         # politique + revues d'accès → Art 32 + A.5.15
chiffrement/            # inventaire crypto + gestion clés → Art 32(1)(a) + A.8.24
journalisation/         # config journaux + revues → Art 32 + A.8.15
gestion-vuln/           # rapports scan + remédiation → Art 32(1)(d) + A.8.8
reponse-incidents/      # PRI + registre fuites + modèle 72h → Art 33-34 + A.5.24
gestion-fournisseurs/   # registre DPA + évaluations → Art 28 + A.5.19
risque/                 # registre de risque SMSI + lignes AIPD découpées
ropa/                   # Registre article 30 (propre au RGPD)
da/                     # Déclaration d'applicabilité (propre à ISO 27001)
gouvernance-smsi/       # revue de direction, comptes-rendus audit interne (propre à ISO 27001)
demandes-personnes/     # log des demandes + réponses (propre au RGPD)

L’auditeur RGPD demande les preuves de réponse aux incidents → reponse-incidents/. L’auditeur ISO 27001 demande la même chose → même dossier. Les dossiers ropa/, demandes-personnes/, da/, gouvernance-smsi/ sont le travail à norme unique, isolés pour que les contrôles partagés restent propres.

La cadence : aligner les années

Menez les deux sur un seul battement annuel :

1. Rafraîchissement du risque — mettre à jour l’analyse de risque ISO 27001 ; découper les nouvelles lignes d’AIPD pour les traitements RGPD à haut risque.
2. Revue des contrôles — parcourir la matrice combinée ; mettre à jour les politiques ; enregistrer les preuves ; rafraîchir la colonne sécurité du RoPA.
3. Audit interne (ISO 27001 9.2) — auditor le programme fusionné contre les attentes de contrôle des deux normes, incluant un échantillon de demandes de personnes.
4. Revue de direction (9.3) — présenter les résultats, y compris le statut de conformité RGPD.
5. Revue des AIPD — confirmer que les opérations à haut risque signalées ont encore des AIPD valides ; mener de nouvelles AIPD avant tout nouveau traitement à haut risque.

Décalez l’audit interne avant toute interaction RGPD avec l’autorité de contrôle pour que les mêmes preuves soient revues en interne d’abord.

Où les normes divergent réellement

• Droits des personnes (articles 15–22). La machinerie des droits du RGPD — accès, rectification, effacement, portabilité, opposition, décisions automatisées — n’a pas d’équivalent ISO 27001. Le processus de traitement des demandes est le travail propre au RGPD.
• Notification de fuite à une autorité (article 33) et aux personnes (article 34). ISO 27001 a la réponse aux incidents mais pas d’horloge de notification externe à l’autorité. Le modèle 72 heures et la décision de communication haut risque sont le travail propre au RGPD.
• RoPA. Le registre article 30 est propre au RGPD.
• AIPD vs analyse de risque SMSI. Les deux sont des analyses de risque mais l’AIPD est à périmètre impact données personnelles et déclencheur-défini ; l’analyse de risque SMSI est plus large. Ce sont des documents différents découpés de la même analyse.
• Clauses de management SMSI. Les clauses ISO 27001 5 (leadership), 9 (audit interne, revue de direction), 10 (amélioration continue) sont la machinerie de système de management ; le RGPD n’a pas d’équivalent.

Les contrôles opérationnels fusionnent ; la machinerie des droits, les horloges de notification, le RoPA, et la gouvernance SMSI non.

Comment cela s’intègre dans la série

C’est le pont à pilier croisé entre le pilier RGPD et le pilier ISO 27001, et le miroir côté RGPD de l’implémentation conjointe PCI DSS / ISO 27001. Il suppose que vous avez lu le RoPA, les droits des personnes et l’horloge 72 heures, et le modèle d’AIPD — la fusion repose sur ces artefacts — et l’analyse de risque ISO 27001 + le modèle de Déclaration d’applicabilité côté ISO.

Que faire ensuite

Si vous exploitez le RGPD et ISO 27001 comme projets séparés, le premier geste est la matrice de contrôles combinée — une ligne par sujet, l’article RGPD et le contrôle Annexe A côte à côte. Ce document montre le chevauchement et les queues à norme unique en une vue. Réorganisez les dossiers de preuves par sujet de contrôle. Embarquez la branche de notification RGPD 72 heures dans le plan de réponse aux incidents SMSI, et menez un tabletop qui exerce les deux chemins. La fusion réduit deux sprints de preuves à un ; le travail à norme unique reste isolé et petit.

Vous exploitez le RGPD et ISO 27001 comme projets séparés et payez deux fois ? Réservez une session de conception de programme conjoint — nous bâtissons la matrice de contrôles combinée, embarquons le chemin de notification 72 heures dans votre plan de réponse aux incidents, et séquençons la cadence d’audit pour qu’un audit interne alimente les deux. Bilingue FR/EN, sans obligation. → /contact · /fr/iso-27001-evaluation/ · téléchargez le guide de conformité RGPD pour PME