Correspondance avec le RGPD et l’ISO 27001

RGPD (Annexe D)

La table indique quelles mesures aident à respecter chaque article du règlement : registre des activités de l’article 30, analyse d’impact de l’article 35, contrat de sous-traitance de l’article 28, notification des violations de l’article 33. Elle sert à ordonner les preuves, mais le certificat n’équivaut pas à la conformité au RGPD et ne la remplace pas.

ISO/IEC 27001

Désormais autonome, la norme n’exige plus de SMSI certifié. Elle partage la structure de l’ISO/IEC 27001, si bien que le contexte, les audits, la revue de direction et les non-conformités peuvent être communs aux deux systèmes, ce qui est propre à la vie privée étant traité à part.

Depuis l’édition de 2019 (Annexe F)

L’Annexe F fait correspondre l’ancienne numérotation à la nouvelle. Celui qui était certifié selon l’édition 2019 peut s’en servir pour revoir sa déclaration d’applicabilité ; les délais de transition sont fixés par l’organisme de certification.

Ce que demande habituellement l’auditeur

• Matrice reliant chaque mesure à l’article du RGPD qu’elle soutient
• Processus partagés avec l’ISO 27001 identifiés
• Déclaration d’applicabilité revue avec la numérotation de 2025
• Plan de transition convenu avec l’organisme de certification

Comment traiter les correspondances dans Kimobox

1. 1Étiquetez chaque mesure avec l’article du RGPD et la mesure de l’ISO 27001 correspondants.
2. 2Partagez audits, non-conformités et revue de direction entre les deux systèmes.
3. 3Versionnez la déclaration d’applicabilité pour conserver celle de 2019 et celle de 2025.