Qu’est-ce qu’une déclaration d’applicabilité ?
L’article 6.1.3 d) de l’ISO/IEC 27001:2022 demande une déclaration d’applicabilité qui contient les mesures nécessaires, la justification de leur inclusion, si elles sont mises en œuvre, et la justification de l’exclusion de mesures de l’annexe A. Elle relie votre traitement des risques à l’annexe A : chaque mesure découle d’un risque, d’une exigence légale ou contractuelle ou d’un choix de l’entreprise.
Ce qu’elle contient
- Mesure : numéro et titre de l’annexe A, par exemple 5.15 Contrôle d’accès.
- Applicable : oui ou non, pour chacune des 93 mesures.
- Justification : pourquoi elle est retenue (risque, exigence légale ou contractuelle, besoin métier, bonne pratique) ou exclue (activité non exercée, risque absent, hors périmètre).
- État : mise en œuvre, partiellement, prévue ou non mise en œuvre.
- Preuve et responsable : où l’auditeur voit que cela fonctionne, et qui en répond.
- Version et approbation : date, version et approbation ; l’auditeur vérifie la cohérence avec le plan de traitement des risques en vigueur.
Exemple : un éditeur SaaS de 60 personnes
Un éditeur de logiciels entièrement en télétravail, qui héberge son produit chez un fournisseur cloud certifié ISO 27001 et développe en interne. Huit lignes de sa DdA :
Erreurs fréquentes relevées en audit
- Exclure une mesure sans raison, ou avec « non pertinent » pour seule raison.
- Une DdA qui ne correspond pas au plan de traitement des risques, ou qui liste encore les 114 mesures de l’ISO 27001:2013.
- Un état « mis en œuvre » sans preuve consultable par l’auditeur.
- Ni version, ni date, ni approbation : personne ne sait quelle DdA est en vigueur.
- Exclure une mesure dont le périmètre a clairement besoin, comme la sécurité du cloud alors que tout tourne dans le cloud.
Construire la DdA dans Dazr
- À partir de vos contrôles : chaque mesure de l’annexe A du référentiel ISO 27001 reçoit une décision applicable ou exclue, avec motifs et justification.
- L’état vient du travail lui-même : état, preuves et date de revue proviennent du contrôle, la DdA reste à jour.
- Filtrer et approuver : filtrez les mesures applicables ou exclues, approuvez une version et voyez quand la DdA a changé depuis la dernière approbation.
- Export : PDF pour l’auditeur, CSV ou Excel pour travailler ; l’auditeur peut aussi la consulter en lecture seule.
- Offre : la déclaration d’applicabilité fait partie de Pro, 99 € par mois, avec 14 jours d’essai gratuit.
Dazr vous aide à construire et à étayer votre DdA ; Dazr ne certifie pas. La certification est délivrée par un organisme de certification accrédité.
Source : ISO/IEC 27001:2022, article 6.1.3 et annexe A (93 mesures). Vérifié le 19 octobre 2026.
Questions fréquentes
Les 93 mesures doivent-elles toutes figurer dans la DdA ?
Oui. Chaque mesure de l’annexe A y figure avec une décision. Les mesures exclues restent dans le document, avec la raison de l’exclusion.
Peut-on exclure une mesure ?
Oui, avec une justification, par exemple parce que l’activité n’est pas exercée, que le risque n’existe pas ou qu’elle est hors périmètre. « Non pertinent » seul n’est pas une justification.
Existe-t-il un modèle officiel ?
Non. L’ISO/IEC 27001 impose le contenu, pas la forme. Un tableau mesure, applicabilité, justification, état et preuve est la forme habituelle.
Dazr nous rend-il certifiés ISO 27001 ?
Non. Dazr tient vos contrôles, preuves et DdA en ordre pour l’audit ; le certificat est délivré par un organisme de certification accrédité.