nous n'avons pas de certificat ISO, comment répondre correctement à cette question

L'absence de certificat n'est pas un « non », mais une autre justification

Ne remplissez pas automatiquement « non » pour cette question. Un certificat ISO 27001 est une preuve d'un auditeur que le système de management est conforme à la norme — mais la question sous-jacente de votre client porte généralement sur les mesures elles-mêmes, pas sur le document. Si vous disposez d'une politique pour la gestion des accès, la gestion des incidents, la continuité et les autres éléments de l'Annexe A d'ISO 27001, vous pouvez la décrire sans prétendre à une certification. Répondez donc à la question en deux niveaux : d'abord le fait (« non certifié »), puis l'explication (« avec une politique qui s'aligne sur les éléments suivants »). Ainsi, la réponse reste exacte et fournit néanmoins à votre client quelque chose d'utile.

En pratique, le questionnaire divise généralement cela lui-même : une question sur la certification ISO 27001 séparément, et des questions distinctes sur les mesures sous-jacentes. Répondez à ces dernières selon leurs propres mérites — par exemple la question sur la politique d'accès et la gestion des actifs informationnels ou celle sur l'analyse des risques et la sécurité des systèmes d'information. Si vous n'avez pas de document pour un domaine spécifique, répondez « non » ou « partiellement » — pas à toute la liste à la fois parce que le certificat manque. Un élément manquant n'a pas besoin de contaminer chaque autre réponse.

L'Annexe A et l'article 21, paragraphe 2, exigent des mesures, pas un certificat

ISO/IEC 27001 lui-même se compose de deux parties : les exigences relatives au système de management, et l'Annexe A avec les mesures de contrôle (accès, cryptographie, fournisseurs, incidents, continuité, et ainsi de suite). Un certificat montre qu'un auditeur a examiné le système ; ce n'est pas le seul moyen de montrer que les mesures existent. De même, l'article 21, paragraphe 2, de la directive NIS2 demande ce qu'une organisation fait — pas quel certificat elle possède. Pour la plupart des questionnaires, il est donc vrai que la politique et une pratique démontrable répondent au cœur de la question, même sans certificat ISO.