Normes et standards en informatique : ISO 27001, ITIL, RGAA

Une norme est un document de référence, élaboré par consensus au sein d'un organisme de normalisation reconnu (ISO, CEN, AFNOR), qui fixe des exigences ou des recommandations pour un produit, un service ou une organisation ; un standard est une spécification partagée, qui peut venir d'un tel organisme, d'un consortium (IETF, W3C) ou s'imposer par l'usage. En informatique, normes et standards garantissent que les systèmes se parlent (interopérabilité), que les organisations travaillent avec méthode (qualité, sécurité, service) et donnent confiance à leurs clients. Ce chapitre fait le tri entre les mots, dit qui écrit ces documents, quand ils deviennent obligatoires, présente ceux que tu rencontreras (ISO 27001, ISO 20000, ITIL, RGAA, SecNumCloud, RFC…) et montre comment les exploiter à l'E5.

Norme, standard, référentiel : les mots

Le vocabulaire est piégeux, d'autant que l'anglais standard se traduit souvent par « norme ». Retiens ces distinctions :

Qui les écrit

Obligatoire ou volontaire ?

Le principe, en France comme en Europe : une norme est d'application volontaire. Personne n'est obligé d'être certifié ISO 9001. Une norme devient obligatoire de trois façons :

1. par un texte : une loi, un décret ou un arrêté l'impose à certains acteurs. Le RGAA s'impose aux services publics et aux entreprises dont le chiffre d'affaires en France dépasse 250 millions d'euros ; la certification HDS s'impose à qui héberge des données de santé pour le compte d'un tiers ;
2. par un contrat : un client écrit dans son cahier des charges « le prestataire est certifié ISO/IEC 27001 » ou « le site respecte le RGAA » ; le prestataire qui signe s'y engage, et le non-respect devient une inexécution du contrat ;
3. par le marché : sans obligation légale, un client important (une banque, un hôpital, un acheteur public) n'achète qu'à des prestataires certifiés. La norme devient une condition d'accès au marché.

Les normes de management

Ces normes ne décrivent pas un produit : elles décrivent comment une organisation doit s'organiser pour atteindre un objectif, avec la même logique d'amélioration continue (planifier, réaliser, vérifier, améliorer). Une organisation peut se faire certifier par un organisme accrédité, pour un périmètre précis.

ISO/IEC 27001 et sa famille sont détaillées dans le cours analyse de risques.

Les référentiels de bonnes pratiques

ITIL (Information Technology Infrastructure Library) rassemble les bonnes pratiques de gestion des services informatiques : incidents, problèmes, changements, demandes, niveaux de service. Sa version 4 est la plus répandue ; la version 5 est parue en janvier 2026 et se déploie progressivement (ITIL, c'est quoi ?). ITIL n'est pas une norme : une organisation ne peut pas être « certifiée ITIL » ; ce sont les personnes qui passent des certifications ITIL. Une organisation qui veut une certification de ses services vise ISO/IEC 20000-1, qui reprend beaucoup de concepts d'ITIL.

COBIT, publié par l'ISACA, est un référentiel de gouvernance du système d'information : il aide la direction à aligner l'informatique sur la stratégie, à maîtriser les risques et à mesurer la performance. On le rencontre surtout dans les grandes organisations et chez les auditeurs.

Les guides de l'ANSSI (guide d'hygiène informatique, recommandations sur l'administration sécurisée, sur Active Directory, sur la journalisation) ne sont pas obligatoires pour une PME, mais ils servent de référence quand il faut justifier une mesure ou décrire les « règles de l'art ».

Les standards techniques

Sans standards, rien ne communiquerait. Le réseau de Sorbier fonctionne parce que tous ses équipements respectent les mêmes spécifications :

Pour une organisation, préférer les standards ouverts et les formats ouverts réduit la dépendance à un fournisseur : des données exportées en CSV, en JSON ou en OpenDocument se relisent avec n'importe quel logiciel ; des données enfermées dans un format propriétaire non documenté supposent de garder le logiciel qui les a créées. C'est un argument direct pour la réversibilité (chapitre 3).

Les référentiels publics français

Les enjeux économiques et juridiques

Pour une entreprise, une norme est un investissement. Elle coûte : l'achat des documents, le temps de mise en conformité, souvent un consultant, puis l'audit de certification et les audits de surveillance. Elle rapporte :

• la confiance des clients et l'accès à certains marchés (des appels d'offres exigent une certification) ;
• la réduction des risques : un SMSI qui fonctionne évite des incidents qui coûtent bien plus cher ;
• l'efficacité : des processus documentés, moins dépendants des personnes ;
• l'interopérabilité : des produits compatibles avec ceux des autres.

Juridiquement, une norme compte de trois façons : quand un texte la rend obligatoire, quand un contrat y renvoie, et comme référence des règles de l'art : en cas de litige, un expert jugera souvent la diligence d'un prestataire à l'aune des normes et des guides reconnus. Le non-respect d'une obligation réglementaire est sanctionné : pour l'accessibilité, l'Arcom peut mettre en demeure l'organisme qui ne respecte pas ses obligations, puis lui infliger une amende (obligations d'accessibilité).

Exploiter un référentiel au BTS

Le référentiel de l'E5 contient une sous-compétence explicite : « exploiter des référentiels, normes et standards adoptés par le prestataire informatique ». Concrètement, la commission attend que tu montres, dans une réalisation, que tu as appliqué un référentiel, pas seulement que tu le connais :

• un circuit de tickets construit avec le vocabulaire ITIL (incident, demande, priorité selon l'impact et l'urgence, escalade), dans un outil comme GLPI ;
• une configuration justifiée par une recommandation de l'ANSSI (mots de passe, administration, journalisation) ;
• une page web vérifiée avec les critères du RGAA, avec la liste des critères contrôlés ;
• une convention de nommage, un modèle de compte rendu ou une procédure imposés par l'organisation, que tu as suivis.

Exercices

Exercice 1 sur 4 Classer les références Réussi À revoir

Pour chaque référence, dis s'il s'agit d'une norme, d'un standard ouvert, d'un référentiel de bonnes pratiques, d'un référentiel réglementaire, d'une loi ou d'une qualification : ISO/IEC 27001 ; RFC 9110 (HTTP) ; ITIL ; RGPD ; RGAA ; SecNumCloud ; IEEE 802.11 ; COBIT ; ISO 32000 (PDF).

Voir la réponseMasquer la réponse de l'exercice 1

• ISO/IEC 27001 : norme internationale, certifiable.
• RFC 9110 : standard ouvert de l'IETF.
• ITIL : référentiel de bonnes pratiques (pas certifiable pour une organisation).
• RGPD : loi au sens large (règlement européen), obligatoire pour tous.
• RGAA : référentiel réglementaire, obligatoire pour certains acteurs.
• SecNumCloud : qualification délivrée par l'ANSSI selon son référentiel.
• IEEE 802.11 (Wi-Fi) : standard ouvert, publié par l'IEEE et utilisé par tous les fabricants ; il a aussi été repris par l'ISO/IEC sous la référence 8802-11, ce qui en fait également une norme.
• COBIT : référentiel de bonnes pratiques de gouvernance.
• ISO 32000 : norme internationale (le format PDF).

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 4 Est-ce obligatoire ? Réussi À revoir

Dis si la norme ou le référentiel est obligatoire dans chaque situation, et pourquoi.

1. Le site de suivi des livraisons de Sorbier, réservé à ses clients professionnels, doit-il respecter le RGAA ?
2. Le cahier des charges d'un appel d'offres d'une région exige que le titulaire soit certifié ISO/IEC 27001. Kerys ne l'est pas.
3. Bréval Infogérance veut héberger les dossiers médicaux d'une clinique.
4. Sorbier veut que ses techniciens suivent ITIL.

Voir la réponseMasquer la réponse de l'exercice 2

1. A priori non : Sorbier n'est ni un service public, ni une entreprise de plus de 250 M€ de chiffre d'affaires, et un site de suivi réservé à des professionnels n'entre pas dans les services aux consommateurs visés par l'European Accessibility Act. Respecter le RGAA reste une bonne pratique (des clients ou des salariés peuvent être en situation de handicap), et un client pourrait l'exiger par contrat.
2. Oui, par le contrat et le marché : la norme est volontaire, mais l'acheteur en fait une condition. Kerys ne peut pas répondre seule ; elle peut se faire certifier (ce qui prend des mois), ou répondre avec un partenaire certifié si l'appel d'offres l'autorise.
3. Oui, par la loi : héberger des données de santé pour le compte d'un tiers exige la certification HDS.
4. Non : ITIL est un référentiel de bonnes pratiques. Sorbier peut décider de l'adopter en interne, voire de financer des certifications ITIL individuelles, mais aucune obligation ne pèse sur elle.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 4 Ce que prouve une certification Réussi À revoir

Bréval Infogérance met en avant, dans son offre, sa « certification ISO 27001 ». Hélène Garnier demande si cela garantit que les serveurs de Sorbier ne seront jamais piratés. Réponds-lui, et dis ce qu'Antoine doit vérifier.

Voir la réponseMasquer la réponse de l'exercice 3

Non. La certification ISO/IEC 27001 prouve que Bréval a mis en place un système de management de la sécurité : elle analyse ses risques, choisit des mesures, les contrôle et les améliore, et un organisme accrédité l'a vérifié. Elle ne garantit pas l'absence d'incident ; elle garantit une méthode pour réduire les risques et réagir. Antoine doit vérifier le certificat lui-même : l'organisme certificateur et son accréditation, la date de validité, et surtout le périmètre (les services d'infogérance et les centres de données qui hébergeront les sauvegardes de Sorbier y figurent-ils ?). Il peut aussi demander la déclaration d'applicabilité (les mesures retenues) et inscrire dans le contrat l'obligation de maintenir la certification.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 4 sur 4 Un référentiel dans ton portfolio Réussi À revoir

Pour une réalisation d'E5, tu as mis en place le circuit des demandes d'assistance de Sorbier dans GLPI. Rédige le paragraphe de ta fiche de réalisation qui montre que tu as exploité un référentiel.

Voir la réponseMasquer la réponse de l'exercice 4

Exemple : « Le circuit suit les pratiques ITIL de gestion des incidents et des demandes de service. Chaque ticket est catégorisé (incident ou demande), sa priorité est calculée par GLPI à partir de l'impact et de l'urgence selon la matrice validée par le responsable informatique, et les délais de prise en compte et de résolution sont suivis par des niveaux de service (SLA) paramétrés dans GLPI. Un incident non résolu au niveau 1 en 30 minutes est escaladé au niveau 2. J'ai rédigé la procédure et trois articles de la base de connaissances selon le modèle de l'organisation. » On y trouve le référentiel nommé, des règles précises, et ce qui a été réellement paramétré.

Tu avais trouvé ?

Oui, j'avais bonPas encore