Parties intéressées pertinentes (ISO 27001)

Définition

Les parties intéressées pertinentes, notion introduite par la clause 4.2 de la norme ISO 27001, désignent l'ensemble des acteurs, internes ou externes à l'organisation, dont les attentes et exigences relatives à la sécurité de l'information doivent être identifiées et prises en compte lors de la conception et du fonctionnement du système de management de la sécurité de l'information. Cette catégorie recouvre des acteurs variés : les clients, dont les exigences contractuelles ou attentes implicites en matière de protection de leurs données conditionnent souvent directement le périmètre et le niveau d'exigence du système de management, les autorités réglementaires, dont les obligations légales comme celles du RGPD ou de la directive NIS2 s'imposent indépendamment de la volonté propre de l'organisation, les actionnaires et la direction, les employés, les fournisseurs et prestataires, ainsi que les organismes de certification lorsque l'organisation vise une certification tierce partie. Pour chaque partie intéressée identifiée, l'organisation doit déterminer précisément quelles exigences la concernent, en distinguant celles ayant une nature obligatoire, comme les obligations légales, de celles ayant une nature contractuelle ou simplement attendue sans caractère formellement contraignant. Cette cartographie constitue un intrant direct pour l'analyse des risques et pour la définition des objectifs de sécurité, en garantissant que le système de management répond effectivement aux enjeux concrets de l'organisation plutôt qu'à une liste abstraite de bonnes pratiques génériques.