Plan de transition ISO/IEC 27701:2025 pour un PIMS GDPR

La question du conseil d’administration qui révèle une lacune dans les éléments probants relatifs à la protection des données

Anya, RSSI d’une FinTech en forte croissance, examinait l’ordre du jour de la réunion du conseil d’administration. Entre les projections de chiffre d’affaires et l’expansion du marché figurait le point qui mobilisait toute sa semaine : la conformité GDPR et la préparation à ISO/IEC 27701:2025.

L’entreprise disposait d’un programme GDPR. Il existait un DPO, des mentions d’information, des accords de traitement des données, un modèle d’AIPD et un processus de traitement des demandes des personnes concernées. L’équipe commerciale avait déjà indiqué aux grands comptes que l’entreprise avançait vers un système de management des informations relatives à la vie privée ISO/IEC 27701:2025, ou PIMS. L’équipe produit préparait une fonctionnalité d’analyse assistée par IA destinée à traiter le comportement des utilisateurs clients, les tickets de support, les métadonnées de facturation et l’activité des comptes. Un client majeur de l’UE avait demandé des éléments probants montrant que les obligations de responsable du traitement et de sous-traitant étaient gérées séparément.

La réalité inconfortable n’était pas l’absence de documentation relative à la protection des données. Le problème portait sur les éléments probants.

Le registre des traitements ne faisait pas apparaître de manière cohérente la base légale, la conservation, les dépendances vis-à-vis des sous-traitants ultérieurs, les transferts internationaux ni le rôle de l’entreprise, responsable du traitement ou sous-traitant, pour chaque finalité de traitement. Les revues fournisseurs portaient sur la sécurité, mais insuffisamment sur les instructions relatives à la protection des données, la suppression, l’assistance en cas de violation, les droits d’audit et les obligations répercutées aux sous-traitants ultérieurs. L’ingénierie menait des revues de sécurité, mais la protection de la vie privée dès la conception n’était pas toujours déclenchée lorsqu’une fonctionnalité modifiait la finalité du traitement. L’audit interne testait GDPR à un niveau élevé, mais ne pouvait pas toujours relier une obligation à un responsable, un contrôle, un registre, un test et une décision de revue de direction.

Tel est le véritable enjeu de la transition ISO/IEC 27701:2025. Il ne s’agit pas seulement d’un projet de certification. C’est un test de maturité : votre organisation est-elle capable d’exploiter la protection des données comme un système managé, et non comme un dossier de documents juridiques ?

Pour les organisations pilotées par GDPR, la réponse consiste à étendre le système de management de la sécurité de l’information ISO/IEC 27001:2022 à un système de management de la protection des données qui intègre le périmètre du PIMS, les registres des activités de traitement, l’appréciation des risques relatifs à la vie privée, les AIPD, la gouvernance des fournisseurs, la gestion des violations, la cartographie des contrôles, l’audit interne et l’amélioration continue.

Pourquoi une conformité GDPR fragmentée cède sous la pression de l’audit

De nombreuses organisations traitent la conformité relative à la protection des données comme un chantier distinct de la sécurité de l’information. Le juridique gère les contrats. L’informatique gère le chiffrement. Les achats gèrent les fournisseurs. Le DPO répond aux demandes d’accès des personnes concernées. Les équipes produit lancent des fonctionnalités. La sécurité gère les incidents. Chaque fonction peut mener des travaux utiles, mais sans modèle opérationnel unique, les éléments probants relatifs à la protection des données se fragmentent.

Cela crée quatre problèmes récurrents.

Premièrement, les équipes dupliquent les efforts. Les appréciations des risques de sécurité et des risques relatifs à la vie privée peuvent utiliser des méthodes, des cotations et des responsables différents.

Deuxièmement, des lacunes apparaissent dans les services tiers, les configurations cloud, les pipelines d’analyse, les outils de support et les nouveaux projets de développement, car personne ne dispose d’une vision complète des flux de données à caractère personnel.

Troisièmement, l’assurance attendue par le conseil d’administration et les clients devient difficile à fournir. Un ensemble de politiques déconnectées ne prouve pas que les obligations relatives à la protection des données sont mises en œuvre, surveillées et améliorées.

Quatrièmement, les attentes réglementaires modernes convergent. GDPR attend responsabilité et éléments probants. NIS2 attend gouvernance, gestion des risques, gestion des incidents, contrôle d’accès, gestion des actifs et sécurité de la chaîne d’approvisionnement. DORA attend des entités financières qu’elles gèrent le risque lié aux TIC, les incidents, les tests de résilience, les contrats avec les tiers et les stratégies de sortie. Un programme de protection des données en silo ne peut pas soutenir efficacement l’ensemble de ces exigences.

L’approche la plus robuste consiste à construire la transition ISO/IEC 27701:2025 sur le SMSI ISO/IEC 27001:2022. ISO/IEC 27001:2022 fournit la structure de système de management pour le contexte, les parties intéressées, le périmètre, l’appréciation des risques, le traitement des risques, les objectifs, la planification opérationnelle, l’audit interne, la revue de direction, l’action corrective et l’amélioration continue. ISO/IEC 27002:2022 fournit le socle de contrôles pour les obligations légales, l’inventaire des actifs, les relations avec les fournisseurs, les services cloud, le contrôle d’accès, la journalisation, la surveillance, la suppression, le masquage et la protection de la vie privée et des données à caractère personnel.

La transition doit répondre à cinq questions :

1. Quel est le périmètre du PIMS, y compris les rôles de responsable du traitement, de sous-traitant, de responsable conjoint du traitement et de sous-traitant ultérieur ?
2. Quelles activités de traitement, catégories de données, finalités, bases légales, destinataires, transferts et règles de conservation relèvent du périmètre ?
3. Quels risques relatifs à la vie privée exigent une AIPD, un traitement, une approbation et une acceptation du risque résiduel ?
4. Quelles politiques, quels contrôles, contrats, mesures de protection techniques et enregistrements démontrent la responsabilité au titre du GDPR ?
5. Comment l’audit interne et la revue de direction confirmeront-ils que le PIMS fonctionne et s’améliore ?

Phase 1 : approuver le périmètre du PIMS avant de réécrire les politiques

Un plan de transition ISO/IEC 27701:2025 solide ne commence pas par la réécriture de toutes les politiques de protection des données. Il commence par la gouvernance et le périmètre.

Votre périmètre SMSI existant constitue le point de départ, mais le périmètre du PIMS doit identifier explicitement le traitement des données à caractère personnel, les unités métier, services, systèmes, régions, environnements cloud, fournisseurs et rôles relatifs à la protection des données. Le conseil d’administration ou la direction doit comprendre l’importance de la transition, en particulier lorsque les clients, les autorités de régulation ou des obligations sectorielles telles que DORA dépendent d’éléments probants démontrables en matière de protection des données et de résilience.

La Politique relative au système de management des informations relatives à la vie privée [politique PIMS] de Clarysec rend l’approbation du périmètre obligatoire :

[Tous deux] La direction DOIT approuver le périmètre du PIMS dans REG01 avant la mise en œuvre initiale du PIMS et dans les 30 jours suivant toute modification substantielle.

Pour les programmes de transition utilisant la numérotation des clauses de la bibliothèque de politiques Clarysec, il s’agit de l’attente centrale de la Clause 4.1.1. Elle est importante car un périmètre implicite de protection des données constitue l’une des faiblesses les plus fréquentes en audit. Si une ligne de produit, une juridiction, un rôle de traitement, un fournisseur, une région cloud ou un processus métier change de manière substantielle, le périmètre du PIMS ne doit pas être laissé à l’interprétation.

La même politique transforme également la transition en programme piloté :

[Tous deux] Le responsable de la protection des données / responsable du PIMS DOIT consigner le plan de mise en œuvre du PIMS dans REG12 avant le déploiement du PIMS ou toute modification majeure du PIMS.

REG12 n’est pas une charge administrative. C’est le comité de pilotage des contrôles de la transition. Il doit indiquer ce qui change, pourquoi cela importe, qui en est responsable, quels éléments probants sont requis, quels risques restent ouverts et quand la préparation sera testée.

Phase 2 : constituer un inventaire de transition piloté par les registres

Pour les systèmes de management de la protection des données GDPR, le premier livrable pratique doit être un inventaire des éléments probants, et non une réécriture de politique. Clarysec utilise une approche pilotée par les registres, car les registres transforment l’intention relative à la protection des données en éléments probants auditables.

Le périmètre du PIMS dans REG01 est articulé avec les activités de traitement dans REG02, l’applicabilité des contrôles dans REG03, les risques relatifs à la vie privée et l’examen préalable à l’AIPD dans REG04, ainsi que la planification de la mise en œuvre dans REG12.

La Politique de protection des données et de la vie privée - PME [politique Protection des données PME] fixe le socle :

Le coordinateur protection des données doit tenir un registre de toutes les activités de traitement de données à caractère personnel, incluant les catégories de données, la finalité, la base légale et les durées de conservation

Pour les environnements plus étendus, la Politique de protection des données et de la vie privée [P17 Politique de protection des données et de la vie privée] renforce l’exigence de gouvernance :

L’organisation doit maintenir un cadre formel de gouvernance de la protection des données intégré au système de management de la sécurité de l’information (SMSI) afin d’appliquer cette politique.

Cette intégration est le principe directeur de la transition. Un registre des traitements sans traitement des risques reste un tableur. Une AIPD sans responsabilité relative aux contrôles reste une note juridique. Un DPA fournisseur sans surveillance reste un dossier contractuel. Les travaux de transition ISO/IEC 27701:2025 doivent intégrer ces livrables justificatifs dans un PIMS gouverné.

Cet inventaire soutient également une approche de profil actuel et de profil cible du NIST Cybersecurity Framework 2.0. Le profil actuel documente les processus, contrôles et éléments probants existants relatifs à la protection des données. Le profil cible définit le PIMS cible aligné sur ISO/IEC 27701:2025. L’écart entre les deux devient le backlog de transition.

Phase 3 : cartographier la responsabilité GDPR dans le PIMS

La responsabilité au titre du GDPR est l’ossature des éléments probants relatifs à la protection des données. GDPR s’applique au traitement effectué dans le cadre des activités d’un établissement dans l’UE et peut également s’appliquer aux responsables du traitement ou sous-traitants non établis dans l’UE qui proposent des biens ou des services à des personnes dans l’UE ou surveillent leur comportement. Il définit largement les données à caractère personnel, y compris les identifiants directs et indirects. Il distingue les responsables du traitement des sous-traitants et définit une violation de données à caractère personnel comme une violation de la sécurité entraînant de manière accidentelle ou illicite la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel ou l’accès non autorisé à celles-ci.

Pour la planification de la transition, le point important est que GDPR n’est pas satisfait par l’affirmation « nous avons des contrôles de sécurité ». Article 5 exige un traitement licite, loyal et transparent, la limitation des finalités, la minimisation des données, l’exactitude, la limitation de la conservation, l’intégrité et la confidentialité, ainsi qu’une responsabilité démontrable. Article 6 exige une base légale. Article 9 ajoute des conditions plus strictes pour les catégories particulières de données à caractère personnel. Article 25 exige la protection des données dès la conception et par défaut. Article 28 exige la gouvernance des sous-traitants. Article 32 exige la sécurité du traitement.

La Politique de conformité juridique et réglementaire - PME [politique de conformité juridique et réglementaire PME] de Clarysec fournit aux petites organisations un point de départ simple :

Le directeur général doit maintenir un registre de conformité simple et structuré recensant :

La Politique de conformité juridique et réglementaire [P37 Politique de conformité juridique et réglementaire] pour les entreprises est plus explicite :

Toutes les obligations légales et réglementaires doivent être cartographiées avec des politiques, contrôles et responsables spécifiques au sein du système de management de la sécurité de l’information (SMSI).

Cette phrase marque la différence entre une conformité GDPR informelle et une gestion de la protection des données compatible avec les exigences d’audit. Chaque obligation GDPR substantielle doit être reliée à une politique, un contrôle, un responsable, un champ de registre et une source d’éléments probants.

Les éléments probants relatifs aux responsables du traitement et aux sous-traitants doivent être séparés. Un responsable du traitement doit prouver la base légale, la transparence, la gestion des droits, les décisions relatives aux finalités et la conservation. Un sous-traitant doit prouver le traitement sur instructions documentées, la gouvernance des sous-traitants ultérieurs, l’assistance au responsable du traitement, les mesures de sécurité, l’assistance à la notification des violations, ainsi que la restitution ou la suppression en fin de service. Si l’organisation agit dans les deux rôles, un modèle générique unique d’éléments probants ne suffit pas.

Phase 4 : utiliser la SoA comme passerelle de contrôle entre sécurité et protection des données

Une erreur fréquente de transition consiste à créer un tableur de contrôles PIMS autonome tout en laissant inchangée la Déclaration d’applicabilité du SMSI. Cela crée deux univers de contrôles concurrents.

ISO/IEC 27001:2022 exige que les décisions de traitement des risques soient reflétées dans la Déclaration d’applicabilité. La Politique de gestion des risques [Politique de gestion des risques] de Clarysec précise :

Une Déclaration d’applicabilité (SoA) doit refléter toutes les décisions de traitement et doit être mise à jour chaque fois que la couverture des contrôles est modifiée.

Pour la transition ISO/IEC 27701:2025, la SoA devient la passerelle entre le SMSI et le PIMS. Si une AIPD ou un traitement des risques relatifs à la vie privée ajoute du chiffrement, du masquage des données, des contrôles de suppression, des mécanismes de consentement, des diligences préalables relatives aux sous-traitants, des restrictions d’accès ou la surveillance du workflow de demandes d’exercice des droits, la SoA et REG03 doivent refléter la décision.

Le Zenith Blueprint : feuille de route en 30 étapes pour les auditeurs [Zenith Blueprint] le renforce à l’étape 6 :

✓ Contrôles additionnels : existe-t-il des contrôles hors Annexe A que vous pourriez inclure ? ISO 27001
permet d’ajouter d’autres contrôles dans la SoA. Par exemple, vous pouvez vouloir inclure
la conformité avec NIST CSF ou des contrôles spécifiques de protection des données issus d’ISO 27701.

Ne forcez pas les obligations relatives à la protection des données dans des contrôles inadaptés. Ajoutez des contrôles spécifiques à la protection des données lorsque nécessaire, mais gouvernez-les au moyen du même modèle de traitement des risques, de responsabilité, de statut de mise en œuvre, d’éléments probants et d’audit.

Les contrôles ISO/IEC 27002:2022 qui ancrent la transition

Dans Zenith Controls : le guide de cartographie croisée de conformité [Zenith Controls], deux contrôles ISO/IEC 27002:2022 sont centraux pour la transition ISO/IEC 27701:2025 : 5.31 Exigences légales, statutaires, réglementaires et contractuelles, et 5.34 Protection de la vie privée et des données à caractère personnel.

Le contrôle 5.31 est le point central de la conformité. Il soutient l’identification, la documentation, la désignation de responsables et la revue des exigences légales, réglementaires, statutaires et contractuelles. Il s’articule naturellement avec la responsabilité GDPR, la gouvernance NIS2, les obligations DORA de gestion du risque lié aux TIC, les clauses clients relatives à la protection des données et les engagements de traitement cloud.

Le contrôle 5.34 est l’ancrage opérationnel de la protection des données. Zenith Controls explique clairement la dépendance :

Un inventaire des actifs informationnels (5.9) doit inclure les détentions de données à caractère personnel (bases de données clients, dossiers RH). Cela soutient 5.34 en garantissant que l’organisation sait quelles données à caractère personnel elle détient et où elles se trouvent, ce qui constitue la première étape pour les protéger.

La correspondance des contrôles doit être utilisée comme une liste de contrôle de conception pratique.

C’est ici que la protection des données devient opérationnelle. Pour chaque activité de traitement à haut risque, posez les questions suivantes : quels actifs contiennent les données à caractère personnel, comment sont-elles classifiées, qui peut y accéder, où sont-elles transférées, quels services cloud les traitent, quelle règle de conservation s’applique, quelle surveillance détecte les usages abusifs et quels éléments probants démontrent que ces contrôles fonctionnent ?

Exemple de workflow : intégration d’une fonctionnalité d’analyse assistée par IA

Revenons à la FinTech d’Anya. L’équipe produit souhaite lancer une fonctionnalité d’analyse assistée par IA qui traite les identifiants utilisateurs, l’activité des comptes, les métadonnées de support, les métadonnées de facturation et les signaux comportementaux. Certains grands comptes pourraient utiliser les résultats à des fins de surveillance du personnel, ce qui augmente le risque relatif à la vie privée.

Un workflow de transition PIMS doit traiter ce lancement comme un événement de protection des données contrôlé.

Étape 1 : mettre à jour REG02 pour les rôles et finalités de traitement

Le responsable de processus crée ou met à jour l’enregistrement du traitement. Les champs requis incluent la finalité, les catégories de données, les catégories de personnes concernées, la base légale ou l’instruction du client, la durée de conservation, les systèmes, les fournisseurs, les destinataires, les transferts et le contexte de rôle.

Si l’entreprise est sous-traitant pour les analyses clients, REG02 doit indiquer le traitement sur instructions du client. Si elle utilise également des données agrégées pour améliorer son propre produit, cette finalité distincte peut en faire un responsable du traitement pour le traitement secondaire. L’enregistrement ne doit pas brouiller les rôles.

Étape 2 : réaliser l’examen préalable REG04

La Politique d’appréciation des risques relatifs à la vie privée et de DPIA [Politique d’appréciation des risques relatifs à la vie privée et d’AIPD] de Clarysec exige :

[Tous deux] Le responsable de processus / propriétaire de l’activité DOIT réaliser l’examen préalable REG04 de base pour toutes les activités de traitement REG02 actives relevant du périmètre dans les 30 jours ouvrés suivant l’approbation ou l’extension du périmètre du PIMS.

L’examen préalable doit identifier la surveillance, le profilage, les catégories particulières, les personnes vulnérables, les nouvelles technologies, le traitement à grande échelle, les transferts transfrontaliers ou les changements de finalité. Si les seuils sont atteints, une AIPD est déclenchée.

Étape 3 : réaliser l’AIPD et définir le traitement

La P17 Politique de protection des données et de la vie privée exige :

Tous les changements significatifs apportés aux systèmes ou processus impliquant des données à caractère personnel (PII) doivent faire l’objet d’une analyse d’impact relative à la protection des données (DPIA) documentée, revue par le délégué à la protection des données (DPO).

Dans la bibliothèque Clarysec, cela est rattaché à la Clause 5.6. L’AIPD doit apprécier les risques tels que la collecte excessive, une finalité peu claire, la réidentification, l’accès non autorisé par des administrateurs clients, une conservation imprécise et l’exposition liée aux sous-traitants ultérieurs. Les traitements peuvent inclure la minimisation au niveau des champs, la pseudonymisation, des contrôles de configuration client, des paramètres de conservation par défaut, une journalisation d’audit renforcée, des mises à jour du DPA, des mentions produit et des restrictions sur l’entraînement des modèles.

Étape 4 : mettre à jour REG03 et la SoA

La politique PIMS exige :

[Tous deux] Le responsable de la protection des données / responsable du PIMS DOIT maintenir REG03 avec les contrôles inclus, les contrôles exclus, le statut de mise en œuvre et la justification chaque année et dans les 30 jours suivant chaque modification du traitement des risques relatifs à la vie privée.

Si l’AIPD ajoute du masquage pour les analyses hors production, de la journalisation pour les accès administrateur, des contrôles de suppression, des clauses fournisseurs ou des mesures de protection de configuration client, REG03 et la SoA doivent être mises à jour.

Étape 5 : démontrer la protection de la vie privée dès la conception

La politique Protection des données PME énonce clairement le principe :

La protection de la vie privée dès la conception et par défaut doit être appliquée dans tous les nouveaux systèmes et services

Les éléments probants doivent inclure l’AIPD, la revue d’architecture, la décision de minimisation des données, le modèle d’accès, la configuration de journalisation, le paramètre de conservation, les résultats des tests, l’approbation de mise en production et la revue post-lancement. Cela transforme le lancement de la fonctionnalité en éléments probants PIMS réutilisables.

Gouvernance de la protection des données chez les fournisseurs dans un contexte DORA et NIS2

La gouvernance de la protection des données chez les fournisseurs est l’un des principaux points d’échec des transitions. GDPR Article 28 exige que les responsables du traitement recourent à des sous-traitants présentant des garanties suffisantes et inscrivent les obligations des sous-traitants dans des contrats écrits. DORA Articles 28 à 30 exigent des entités financières qu’elles gèrent le risque lié aux prestataires tiers TIC, tiennent des registres des accords contractuels, conduisent des diligences préalables, incluent des droits d’audit et des clauses de sortie, gèrent la sous-traitance et traitent les fonctions critiques ou importantes. NIS2 Article 21 exige des mesures de sécurité de la chaîne d’approvisionnement, y compris la prise en compte des vulnérabilités des fournisseurs, des pratiques de cybersécurité et des procédures de développement sécurisé.

Le contrôle ISO/IEC 27002:2022 5.19, Sécurité de l’information dans les relations avec les fournisseurs, constitue l’ancrage opérationnel. Zenith Controls cartographie ce domaine avec les accords fournisseurs, la sécurité de la chaîne d’approvisionnement TIC, le transfert d’informations, la surveillance de la conformité, l’utilisation acceptable, les obligations des sous-traitants au titre du GDPR, la cybersécurité de la chaîne d’approvisionnement NIS2, le risque DORA lié aux prestataires tiers TIC, la gouvernance des fournisseurs selon NIST et la gestion des fournisseurs selon COBIT.

Pour les entités financières soumises à DORA, ces éléments probants doivent être reliés aux registres des tiers TIC et aux évaluations des fonctions critiques ou importantes. Pour les entités NIS2, les mêmes enregistrements fournisseurs soutiennent la gestion des risques liés à la chaîne d’approvisionnement. Pour NIST CSF 2.0, la gouvernance des fournisseurs s’aligne sur la fonction GOVERN, en particulier les résultats relatifs à la gestion des risques de la chaîne d’approvisionnement. Pour COBIT 2019, la gouvernance des fournisseurs s’aligne sur des objectifs tels que APO10 Gestion des fournisseurs et les contrôles opérationnels DSS relatifs aux fournisseurs.

La préparation aux incidents et aux violations doit être intégrée

Les plans de transition relatifs à la protection des données se concentrent souvent trop sur la documentation et insuffisamment sur la gestion des violations. C’est dangereux, car GDPR, NIS2 et DORA attendent tous des processus d’incident rigoureux, même si les seuils et délais de notification diffèrent.

GDPR exige d’évaluer si un événement de sécurité a causé une violation de données à caractère personnel et si une notification à l’autorité de contrôle ou aux personnes concernées est requise. NIS2 établit un reporting par étapes pour les incidents significatifs, avec notamment une alerte précoce dans les 24 heures, une notification dans les 72 heures et un rapport final dans le mois. DORA exige des entités financières qu’elles détectent, gèrent, classifient, enregistrent, notifient, traitent et tirent les enseignements des incidents liés aux TIC, avec un reporting par étapes pour les incidents majeurs.

NIST CSF 2.0 soutient ce cycle au moyen des résultats Detect, Respond, Recover et Govern. L’équipe de transition doit veiller à ce que les décisions relatives aux violations de données à caractère personnel soient intégrées au workflow de sécurité pour les incidents, et non traitées comme une réflexion juridique ultérieure déconnectée.

Une seule feuille de route, plusieurs résultats de conformité

La transition ISO/IEC 27701:2025 gagne en valeur lorsqu’elle réduit les travaux de conformité dupliqués. Zenith Blueprint, étape 14, recommande de croiser les références GDPR, NIS2 et DORA afin que les organisations puissent montrer que le traitement des risques et les contrôles répondent à plusieurs obligations :

Pour chaque réglementation, le cas échéant, vous pouvez créer un tableau de cartographie simple (éventuellement
en annexe d’un rapport) qui énumère les principales exigences de sécurité de la réglementation et les
contrôles/politiques correspondants dans votre SMSI.

Pour la planification de la transition relative à la protection des données, la cartographie doit être pratique et pilotée par les éléments probants.

Dans Zenith Controls, le contrôle ISO/IEC 27002:2022 5.31 soutient la traçabilité juridique et réglementaire à travers la responsabilité GDPR, les obligations de conformité DORA, les attentes de gouvernance NIS2, NIST CSF 2.0 GV.OC-03 et la surveillance de la conformité externe selon COBIT. Le contrôle 5.34 soutient GDPR Articles 25 et 32, la protection du cycle de vie des données à caractère personnel, les attentes relatives au traitement cloud des données à caractère personnel et les contrôles de sécurité intégrant la protection des données.

Le résultat n’est pas un modèle simpliste du type « un contrôle égale une loi ». C’est un modèle d’éléments probants défendable, dans lequel un ensemble de contrôles bien conçu soutient plusieurs besoins d’assurance.

Comment les auditeurs testeront la transition

Un plan de transition solide anticipe les techniques d’audit.

Un auditeur de système de management ISO commencera par le périmètre, les parties intéressées, les exigences légales, les risques, les objectifs, les contrôles opérationnels, les audits internes, les revues de direction, les non-conformités et l’amélioration. Il vérifiera si le périmètre du PIMS est approuvé, si les obligations relatives à la protection des données sont incluses dans le registre de conformité, si les contrôles sont justifiés dans la SoA et si les éléments probants de mise en œuvre correspondent au périmètre déclaré.

Un auditeur protection des données échantillonnera les enregistrements de traitement, les AIPD, les demandes d’exercice des droits, les décisions relatives aux violations, les contrats de sous-traitance, les contrôles de conservation et l’intégration des projets. Il n’acceptera pas l’intention de politique lorsque les éléments probants de fonctionnement sont absents.

Un évaluateur aligné sur NIST recherchera les éléments probants relatifs à la gouvernance, aux obligations légales et contractuelles, aux profils cibles, au risque fournisseur, à la surveillance, à la réponse et au rétablissement.

Un auditeur COBIT 2019 se concentrera sur la supervision par le conseil d’administration, le reporting de conformité, la gouvernance des fournisseurs, les rôles et responsabilités, ainsi que sur la gestion du risque relatif à la vie privée tout au long du cycle de vie de l’information.

La Politique de surveillance, d’audit et d’amélioration du PIMS [Politique de surveillance, d’audit et d’amélioration du PIMS] de Clarysec rend le programme d’audit obligatoire :

[Tous] Le réviseur Audit interne / conformité DOIT préparer un programme d’audit interne du PIMS fondé sur les risques dans REG12 chaque année avant le premier cycle d’audit PIMS planifié.

La Politique d’audit et de surveillance de la conformité [Politique d’audit et de surveillance de la conformité] applique la même discipline au niveau du SMSI :

Un plan d’audit fondé sur les risques doit être élaboré et approuvé chaque année, en tenant compte :

Pour les organisations plus petites, la Politique d’audit et de surveillance de la conformité - PME [Politique d’audit et de surveillance de la conformité PME] maintient une planification d’audit ciblée :

Le plan doit identifier les principaux systèmes et politiques à revoir, en mettant l’accent sur :

Pendant la transition, le premier audit interne ne doit pas tout tester. Il doit tester les risques de transition les plus élevés : enregistrements de traitement incomplets, déclencheurs d’AIPD manquants, clauses fournisseurs faibles en matière de protection des données, décisions relatives aux violations non testées, rôles de responsable du traitement et de sous-traitant imprécis, et inadéquation avec la SoA.

Une feuille de route pratique de transition ISO/IEC 27701:2025 sur 90 jours

Une feuille de route réaliste doit être suffisamment courte pour être exécutée et suffisamment structurée pour créer des éléments probants.

L’objectif de 90 jours ne signifie pas que chaque point de remédiation sera clôturé. Il signifie que la direction doit disposer d’un périmètre approuvé, d’un socle crédible d’éléments probants, d’un traitement des risques priorisé, de résultats d’audit ciblés et d’une décision de direction sur la préparation.

Piloter la transition par les éléments probants

Les organisations qui réussissent leur transition ISO/IEC 27701:2025 ne sont pas celles qui disposent de la politique de protection des données la plus longue. Ce sont celles qui peuvent prouver comment les obligations relatives à la protection des données passent de la loi au périmètre, du périmètre aux enregistrements de traitement, des enregistrements de traitement à l’appréciation des risques, de l’appréciation des risques aux contrôles, des contrôles aux éléments probants, puis des éléments probants à l’amélioration.

Clarysec aide les équipes à rendre cette transition concrète. Notre ensemble de politiques PIMS, nos cartographies GDPR, nos registres d’éléments probants pour responsables du traitement et sous-traitants, nos workflows d’AIPD, nos modèles de gouvernance de la protection des données chez les fournisseurs, nos supports de gestion des violations, nos ordres du jour de revue de direction, Zenith Blueprint et Zenith Controls offrent aux RSSI, DPO, responsables conformité, auditeurs et propriétaires métiers un chemin structuré de l’intention relative à la protection des données vers un fonctionnement compatible avec les exigences d’audit.

Si votre organisation prépare ISO/IEC 27701:2025, commencez cette semaine par trois actions : approuver le périmètre de transition PIMS dans REG01, renseigner REG02 pour votre service le plus à risque et réaliser le premier examen préalable REG04. Utilisez ensuite Clarysec pour transformer cet ensemble d’éléments probants en une feuille de route complète de transition PIMS alignée sur GDPR, prête pour les clients, les auditeurs, les autorités de régulation et le conseil d’administration.