ISO 50001, 27001, 22301, 37001 : versions et exigences 2026-2027

Quelles éditions sont en vigueur, et quelles dates comptent en 2026-2027 ?

Une édition par norme, et deux échéances à surveiller : la fin de la transition ISO 37001 et la révision d’ISO 22301. Le tableau reprend les pages ISO des comités et les documents de transition, consultés le 5 novembre 2026.

Les trois amendements de 2024, intitulés « Climate action changes », ajoutent la question du changement climatique au contexte de l’organisme (articles 4.1 et 4.2). Selon le communiqué commun de l’IAF et de l’ISO, il n’y a pas de programme de transition : les auditeurs vérifient que l’organisme a déterminé si le climat est un enjeu pertinent et, si oui, qu’il en tient compte. L’IAF a cessé ses activités le 1er janvier 2026 ; Global ACI a repris son rôle et publie désormais les documents de transition.

ISO 37001 : que change la fin de transition du 28 février 2027 ?

Elle met fin à la validité des certificats accrédités selon ISO 37001:2016. Le document de transition de Global ACI, version 1.0 du 10 juillet 2026, reprend l’IAF MD 30:2025 sans changement de fond et fixe le calendrier :

• les certifications initiales et les renouvellements se font selon ISO 37001:2025 seulement, au plus tard à partir du 31 août 2026 ;
• les clients certifiés font leur transition avant le 28 février 2027, lors d’un audit programmé (surveillance, renouvellement) ou d’un audit de transition spécial ;
• après cette date, les certifications accréditées selon l’édition 2016 ne sont plus valides.

L’audit de transition couvre tous les changements de l’édition 2025 et peut se faire à distance si ses objectifs sont atteints. Le temps supplémentaire dépend des changements apportés au système ; l’organisme le détermine et le justifie selon ISO/IEC 17021-1. Les changements de fond, selon Global ACI : des sous-articles sur le changement climatique et sur la culture de conformité, le traitement des conflits d’intérêts, une notion de fonction anticorruption clarifiée et la dernière structure harmonisée.

Pour un site certifié qui aurait manqué l’échéance, le certificat selon l’édition 2016 n’a plus de valeur accréditée. Le document de Global ACI ne fixe pas les conditions de reprise d’un certificat échu : elles relèvent des règles de votre organisme, à lui demander par écrit.

ISO/IEC 27001 : la transition est close, que reste-t-il à vérifier ?

Que votre système vit vraiment selon l’édition 2022. L’IAF MD 26:2023 fixait la fin des transitions des clients certifiés au 31 octobre 2025, 36 mois après le mois de publication ; toutes les certifications selon l’édition 2013 devaient expirer ou être retirées à cette date.

Trois points restent regardés en audit :

• la déclaration d’applicabilité : elle se rapporte aux 93 mesures de l’annexe A, issues d’ISO/IEC 27002:2022, et non plus aux 114 de l’édition 2013 ;
• la planification des modifications (article 6.3), ajoutée en 2022 ;
• l’amendement 1:2024 sur le climat, à traiter dans le contexte.

Côté organismes de certification, ISO/IEC 27006-1:2024, publiée en mars 2024, a remplacé ISO/IEC 27006:2015 et son amendement de 2020 : c’est le texte qui fixe les exigences supplémentaires applicables aux organismes qui certifient les SMSI.

ISO 22301 et ISO 50001 : que préparent les comités ?

Une révision pour ISO 22301, rien pour ISO 50001. La page ISO d’ISO 22301 affiche le stade 90.92, « norme internationale à réviser », depuis le 5 décembre 2025. Le projet ISO/CD 22301, qui remplacera l’édition 2019, a atteint le stade 30.60, clôture de la période de commentaires, le 10 mai 2026. Aucune date de publication n’est annoncée et Global ACI n’a publié aucun document de transition pour cette norme. Au 6 novembre 2026, la fiche du projet en est toujours au stade 30.60.

La conduite à tenir est simple : un projet n’est pas une exigence. On construit et on certifie sur ISO 22301:2019, amendement de 2024 compris, et l’on relit le système quand le texte révisé paraît.

ISO 50001:2018 a été confirmée en 2024, ce qui la maintient en vigueur. Deux textes associés sont à connaître : ISO 50003:2021, qui fixe les exigences des organismes de certification, durée d’audit comprise, dont l’examen systématique a été clos le 5 juin 2026 sans issue affichée ; et ISO 50006:2023, guide des indicateurs et des situations de référence.

Quelles exigences marocaines encadrent ces normes en 2026-2027 ?

Quatre cadres, aucun nouveau texte spécifique identifié. Ils ne rendent aucune de ces normes obligatoire, mais ils fixent des exigences qu’un système certifié doit intégrer à son registre réglementaire.

Deux précisions de calendrier. La loi n° 46-19, promulguée le 21 avril 2021, a remplacé l’Instance centrale de prévention de la corruption par l’INPPLC (art. 54) ; sa traduction française a été publiée au Bulletin officiel n° 7448 du 16 octobre 2025. Le décret n° 2-21-406 du 15 juillet 2021 désigne la Direction générale de la sécurité des systèmes d’information comme autorité nationale de la cybersécurité (art. 1).

Que faire d’ici fin 2027 ?

Vérifier quatre points, selon les normes que vous détenez ou visez.

• Certificat ISO 37001 : il porte sur l’édition 2025 ; sinon, contactez votre organisme sans attendre.
  
• Certificat ISO/IEC 27001 : déclaration d’applicabilité alignée sur les 93 mesures de l’annexe A et article 6.3 appliqué.
  
• Les quatre normes : l’enjeu climatique est traité dans l’analyse du contexte (amendements de 2024).
  
• ISO 22301 : système construit sur l’édition 2019, veille sur le projet de révision.
  
• ISO 50001 : seuil du décret n° 2-17-746 recalculé chaque année, données transmises à l’AMEE.
  
• Registre réglementaire : lois n° 05-20, 09-08 et 46-19 évaluées pour votre activité.
  

Notre guide des normes ISO 50001, 27001, 22301 et 37001 détaille ce que chacune exige et comment l’ajouter à un système ISO 9001 ; le cas type d’un exportateur qui ajoute ISO/IEC 27001 montre un projet complet.