ISO 27005 : Tout comprendre sur la norme de gestion des risques de sécurité de l’information
Navigation rapide dans l’article
Votre DSI vient de finir la cartographie des actifs informatiques : reste à prioriser les risques identifiés. Sans méthode, la liste s’allonge et rien n’avance. C’est le rôle de l’ISO 27005, le guide méthodologique de référence pour la gestion des risques de sécurité de l’information, pour une certification ISO 27001 comme pour une échéance NIS2.
- Guide méthodologique de gestion des risques, pas une norme certifiable en tant que telle.
- Fournit la méthode que l’ISO 27001 exige, sans imposer d’outil unique : EBIOS RM, MEHARI ou OCTAVE sont compatibles.
- Trois grandes étapes : établissement du contexte, appréciation et traitement du risque, surveillance continue.
- Aucune entreprise ne peut être « certifiée ISO 27005 », mais des professionnels peuvent l’être via PECB (Foundation ou Risk Manager).
- Pour une PME ou une ETI, une ESN accélère la cartographie et l’appréciation des risques.
Qu’est-ce que la norme ISO 27005 ?
L’ISO 27005 est un guide de référence publié par l’ISO et la CEI, rattaché à la famille ISO/CEI 27000. Sa version actuelle, la quatrième édition, date d’octobre 2022, décrit un processus complet, du contexte jusqu’à la surveillance des risques.
Définition et rôle dans le cadre de l’ISO 27001
L’ISO 27001 est la norme certifiable qui définit les exigences d’un SMSI (système de management de la sécurité de l’information). Elle exige une appréciation et un traitement des risques sans détailler comment les mener : c’est le rôle de l’ISO 27005.
À qui s’adresse cette norme de management des risques ?
Toute organisation engagée dans un SMSI ISO 27001, ou qui souhaite structurer sa gestion des risques sans viser la certification, peut s’appuyer sur l’ISO 27005. Une ETI de 250 salariés avec deux administrateurs système n’a ni le temps ni l’intérêt de copier la méthodologie d’un grand groupe : la même logique s’applique, avec un formalisme réduit.
« Concrètement, une PME n’a pas besoin d’un registre de 200 lignes. Nos ingénieurs adaptent le niveau de détail à sa maturité réelle. »
Les principes fondamentaux de l’ISO 27005
La norme structure la démarche en boucle : on définit un contexte, on apprécie les risques, on les traite, puis on surveille et on recommence, la même logique d’amélioration continue qu’un SMSI ISO 27001.
L’appréciation des risques (identification, analyse et évaluation)
L’appréciation des risques combine trois étapes : identifier les actifs et les menaces, analyser leur probabilité et leur impact, puis évaluer le risque obtenu. L’ISO 27005 ne dicte pas de méthode : EBIOS RM, MEHARI ou OCTAVE conviennent.
Définition
Appréciation du risque : identification des actifs et des menaces, analyse de leur probabilité et de leur impact, puis évaluation du niveau de risque, pour prioriser les actions.
Le traitement et l’acceptation du risque
Une fois le risque évalué, quatre options de traitement s’offrent.
| Option | Ce que ça implique |
|---|---|
| Éviter | Supprimer l’activité ou le processus à l’origine du risque |
| Réduire | Mettre en place des mesures de protection des données et de conformité pour atténuer la probabilité ou l’impact |
| Transférer | Partager le risque, par exemple via une assurance cyber |
| Accepter | Retenir le risque en connaissance de cause, selon des critères définis en amont |
L’acceptation du risque n’est jamais un abandon : c’est une décision formelle, prise selon les critères fixés dès l’établissement du contexte.
Priorisez vos risques avec nos experts
Nous vous aidons à identifier, analyser et hiérarchiser les risques qui concernent votre système d’information, avec une démarche adaptée à votre organisation.
La communication et la consultation continues
La communication n’est pas une étape isolée en fin de parcours : elle accompagne toute la démarche et implique la direction, pour que les décisions de traitement restent alignées avec les priorités métier.
« Notre constat : les projets qui échouent sont ceux où la direction découvre le registre des risques trop tard. Impliquez-la dès le cadrage. »
Comment mettre en œuvre la démarche ISO 27005 étape par étape ?
La mise en œuvre de l’ISO 27005 suit une logique en trois grandes étapes, calquées sur la structure de la norme.
- Établissement du contexte : définir le périmètre et les critères d’évaluation, d’impact et d’acceptation.
- Appréciation et traitement du risque : identifier, analyser, évaluer, puis choisir un traitement pour chaque risque retenu.
- Surveillance, réexamen et documentation : suivre l’efficacité des mesures et ajuster en continu.
Étape 1 : Établissement du contexte
Cette étape consiste à fixer le périmètre et les critères de référence : à partir de quel seuil un risque est-il acceptable ? La norme ne propose pas d’échelle standard, à chaque organisation de définir la sienne.
Étape 2 : Appréciation et traitement du risque
En France, la méthode EBIOS RM (ANSSI) illustre bien cette étape, en cinq ateliers : cadrage, sources de risque, scénarios stratégiques, scénarios opérationnels, traitement du risque. Elle est pleinement compatible avec l’ISO 27005 et reste la référence pour un SI français.
Étape 3 : Surveillance, réexamen et documentation
Le risque évolue avec votre SI : un nouveau prestataire ou une migration cloud peut modifier votre exposition. Cette étape suit l’efficacité des traitements, notamment via une cybersécurité managée RedSOC, dans une logique continue plutôt qu’une photo figée annuelle.
Note : le projet de loi Résilience, qui transpose NIS2 en droit français, est en cours d’examen au Parlement, avec un passage en séance publique à l’Assemblée nationale à partir du 7 octobre 2026. Rien n’est encore adopté, mais anticiper une gestion des risques structurée reste la meilleure préparation.
« Résultat : les entreprises qui documentent leurs risques au fil de l’eau gagnent un temps précieux le jour où un audit arrive. »
Se former et se faire accompagner sur l’ISO 27005
L’ISO 27005 n’est pas certifiable pour une entreprise : elle sert de référence méthodologique, ce qui n’empêche pas les professionnels de valider leurs compétences individuellement.
Les différentes certifications professionnelles (Risk Manager)
PECB propose deux formations sur l’ISO/CEI 27005 : Foundation, pour découvrir les concepts, et Risk Manager, plus poussée, avec 21 crédits CPD à la clé. Elle couvre les principes fondamentaux, un programme de gestion du risque et d’autres méthodes comme OCTAVE ou MEHARI.
Pourquoi se faire accompagner par une ESN pour sa mise en œuvre ?
Votre équipe IT gère déjà le quotidien : tickets, projets, incidents. Une cartographie des risques finit souvent au fond du tiroir. Chez AVA6, nos consultants en audit-conseil apportent un regard externe objectif et du temps gagné. Nos équipes accompagnent aussi la mise en conformité NIS2 et RGPD.
« Notre recommandation : commencez par une cartographie simple de vos actifs critiques avant de tout formaliser d’un coup. »
FAQ – Vos questions sur la norme ISO 27005
Quelle est la différence entre l'ISO 27001 et l'ISO 27005 ?
L’ISO 27001 est la norme certifiable qui définit les exigences globales d’un SMSI. L’ISO 27005 est le guide méthodologique dédié à la gestion des risques de sécurité de l’information.
L'ISO 27005 est-elle certifiable pour une entreprise ?
Non. C’est une norme guide. Elle sert de méthodologie pour répondre aux exigences de gestion des risques d’une certification ISO 27001.
Quels sont les principaux livrables d'une démarche ISO 27005 ?
Une politique de gestion des risques, une cartographie des actifs, un registre des risques et un plan de traitement retenu.
Faut-il utiliser la méthode EBIOS RM avec l'ISO 27005 ?
Oui. Développée par l’ANSSI, elle est compatible avec l’ISO 27005 et en constitue une mise en œuvre concrète et reconnue en France.
Pourquoi se faire accompagner par un prestataire externe pour l'ISO 27005 ?
Pour une PME ou une ETI avec une équipe IT réduite, un prestataire apporte un regard externe objectif et un vrai gain de temps sur les cartographies et les analyses de risques.
Faites le point sur votre maturité cyber
Nous réalisons un échange avec nos experts pour identifier vos priorités et définir les prochaines étapes de votre gestion des risques.
Sources
- https://fr.wikipedia.org/wiki/ISO/CEI_27005
- https://en.wikipedia.org/wiki/ISO/IEC_27005
- https://pecb.com/en/education-and-certification-for-individuals/iso-iec-27005/iso-iec-27005-risk-manager
- https://cyber.gouv.fr/la-directive-nis-2
- https://www.nis-2-directive.com/NIS_2_Directive_Article_34.html
- https://aide.monespacenis2.cyber.gouv.fr/fr/article/avancement-de-la-transposition-de-la-directive-nis-2-1b3j1da/
