Un SMSI ISO/IEC 27001 pour les EME et les sociétés fintech

L'ISO indique que chaque entreprise décide de demander ou non la certification, et que le certificat est délivré par un organisme d'évaluation de la conformité accrédité, dont un organisme d'accréditation a confirmé la compétence.

Le lien avec votre agrément

DORA n'autorise les entités financières de l'UE à contracter qu'avec des prestataires TIC respectant des normes appropriées de sécurité de l'information (art. 28(5)). La demande d'agrément d'un établissement de paiement au titre de la DSP2 comprend un document relatif à la politique de sécurité (art. 5(1)(j)). Un SMSI ISO/IEC 27001 sert de base commune à ces deux documents et aux questionnaires bancaires.

1. Périmètre. Entités, produits, environnements cloud et bureaux inclus. Pour un groupe réunissant un EME et une société technologique, ce premier choix conditionne tout le reste.
2. Risques. Registre des actifs et des risques, appréciation, plan de traitement avec responsables.
3. Déclaration d'applicabilité. Chaque mesure de l'annexe A, avec la décision, sa justification et le renvoi à la preuve.
4. Politiques et procédures. Seulement celles qu'exigent les mesures retenues, écrites comme vous travaillez.
5. Enregistrements. Journaux d'accès, contrôles des sauvegardes, formations, analyses d'incidents : la trace qui montre que les mesures fonctionnent.
6. Audit interne et revue de direction. Nous menons l'audit interne et préparons les éléments de la revue.

Une personne vérifie chaque constat, et tous les documents vous appartiennent.

L'UKAS précise que l'édition 2022 a fusionné 24 mesures et en a mis à jour 58. Les organismes de certification devaient avoir fait migrer leurs clients au plus tard le 31 octobre 2025, et les audits de transition examinaient la mise à jour de la déclaration d'applicabilité et du plan de traitement des risques (IAF MD 26). La certification se fait aujourd'hui selon l'ISO/IEC 27001:2022 et son amendement 1:2024 sur l'action climatique.

Décisions typiques d'une fintech

Pour un EME entièrement dans le cloud, les mesures de sécurité physique sont souvent assurées par le fournisseur, ce qui se justifie par le contrat et les rapports de ce dernier. Les mesures de développement sécurisé s'appliquent dès que vous développez le produit en interne. Une exclusion non justifiée devient une non-conformité dans le rapport d'audit.

Selon l'IAF MD 5:2023, la durée de l'audit initial correspond à l'étape 1 plus l'étape 2, et pendant le premier cycle de trois ans la surveillance annuelle représente environ un tiers de cette durée.

Nous vous préparons aux deux étapes : audit interne, levée des non-conformités, collecte des preuves et entraînement des responsables de mesures aux questions de l'auditeur. Si une banque attend des réponses plus tôt, une base SMSI vérifiée couvre d'emblée l'essentiel de son questionnaire de sécurité.

Sous DORA, le cadre de gestion du risque TIC est documenté et réexaminé au moins une fois par an (art. 6(5)), et le registre d'informations sur les contrats TIC est remis en entier à l'autorité sur demande (art. 28(3)). Nous intégrons ces éléments au SMSI et produisons une table de correspondance entre mesures ISO et exigences DORA. Le dossier d'agrément relève de notre pratique agréments.