Certification ISMS (ISO 27001) au Japon : ce que vos clients attendent

Un client japonais vous demande une copie de votre « certificat ISMS » avant de signer, ou exige que votre filiale japonaise soit certifiée ? La demande est courante au Japon. Derrière le sigle ISMS se trouve la certification ISO/IEC 27001, que vous connaissez déjà. Mais le marché japonais l’utilise depuis vingt ans comme un critère de sélection des fournisseurs, avec ses propres repères : un organisme d’accréditation national spécifique, un registre public consulté par les acheteurs et des questionnaires de sécurité qui viennent s’ajouter au certificat.

Cet article explique pourquoi les entreprises japonaises demandent cette certification, comment elle fonctionne au Japon, ce qui change par rapport aux repères français (COFRAC, HDS, SecNumCloud) et comment décider si votre filiale japonaise doit avoir son propre certificat ou être couverte par celui du groupe.

Il s’agit d’une présentation générale. Ce qu’un client attend précisément figure dans son cahier des charges ou son questionnaire fournisseur : c’est ce document qui fait foi.

L’essentiel en trois points

• Même norme : au Japon, « certification ISMS » désigne la certification ISO/IEC 27001. La version japonaise de la norme, JIS Q 27001, a le même contenu. Un certificat ISO/IEC 27001 accrédité en France est reconnu comme équivalent grâce aux accords de reconnaissance mutuelle entre organismes d’accréditation.
• Un critère d’achat : 8 728 organisations étaient certifiées sous l’accréditation japonaise ISMS-AC au 19 octobre 2026. Dans une enquête de l’ISMS-AC, 81,6 % des organisations certifiées interrogées déclarent avoir déjà vérifié si un fournisseur l’était aussi.
• Le certificat ne suffit pas toujours : les clients japonais demandent souvent, en plus, de remplir un questionnaire de sécurité, voire d’accepter un audit. Le périmètre du certificat doit couvrir l’entité et le service concernés au Japon.

Pourquoi les entreprises japonaises demandent une certification ISMS

Un critère de sélection installé depuis vingt ans

Le dispositif japonais de certification ISMS a été lancé en 2002 par la JIPDEC (Japan Institute for Promotion of Digital Economy and Community), dans le cadre d’une réorientation de la politique du ministère de l’Économie, du Commerce et de l’Industrie (METI) vers une approche fondée sur les systèmes de management. Selon l’organisme qui l’accrédite aujourd’hui, la certification a rapidement été citée en exemple dans les exigences d’achat du secteur public et des grandes entreprises, ce qui a accéléré son adoption.

Le mouvement se poursuit. L’ISMS-AC recensait 8 728 organisations certifiées au 19 octobre 2026 (dont 8 484 visibles dans son registre public), contre 7 413 en juin 2023. Dans l’enquête que l’ISMS-AC a menée en mars 2024 auprès de 1 704 organisations certifiées :

• 84,7 % jugent tout à fait pertinent le motif « gagner la confiance des clients » ;
• 58,0 % jugent tout à fait pertinent le motif « condition de participation à un appel d’offres ou demande d’un client », et 25,5 % le jugent plutôt pertinent ;
• 46,3 % ont déjà vérifié la certification d’un fournisseur et l’ont prise en compte positivement, et 35,3 % l’ont seulement vérifiée.

Pour une entreprise française, cela signifie qu’un fournisseur sans certificat a de fortes chances d’être interrogé sur ce point, en particulier par des clients eux-mêmes certifiés.

Dans le secteur public : ISMAP pour le cloud

Pour les services cloud, les administrations japonaises s’appuient sur ISMAP (Information system Security Management and Assessment Program), un dispositif d’évaluation créé en 2020 par les services du Premier ministre, le ministère des Affaires intérieures et des Communications et le METI. Les administrations doivent en principe acheter des services inscrits sur la liste ISMAP. Les critères d’évaluation reposent sur les normes JIS Q 27001, 27002 et 27017, complétées par les règles de sécurité de l’administration japonaise et des éléments du NIST SP 800-53.

Bientôt : un système de notation des fournisseurs

Le METI et l’agence japonaise pour la promotion des technologies de l’information (IPA) préparent un dispositif d’évaluation de la sécurité des fournisseurs, appelé SCS. Il prévoit deux niveaux : ★3, fondé sur une autoévaluation vérifiée par un expert (26 exigences, valable un an), et ★4, fondé sur une évaluation par un tiers (43 exigences, valable trois ans). Selon l’IPA, la mise en service est prévue vers mars 2027. Il s’agit d’un dispositif distinct de la certification ISMS. Si vous êtes fournisseur d’entreprises japonaises, suivez son lancement.

Comment fonctionne la certification au Japon

La norme : ISO/IEC 27001 et son équivalent japonais

Le Japon publie les normes internationales sous forme de normes industrielles japonaises (JIS). JIS Q 27001 est la traduction japonaise de l’ISO/IEC 27001, au contenu identique : au Japon, « certification ISMS », « certification ISO/IEC 27001 » et « certification JIS Q 27001 » désignent la même chose. L’édition 2023 correspond à l’ISO/IEC 27001:2022. Elle a été complétée en 2025 pour intégrer l’amendement de 2024 sur le changement climatique (référence japonaise JIS Q 27001:2025).

Les acteurs : l’ISMS-AC et les organismes de certification

L’accréditation des organismes de certification ISMS relève principalement de l’Information Management System Accreditation Center (ISMS-AC), une association devenue indépendante de la JIPDEC en 2018. L’ISMS-AC, membre de l’IAF (International Accreditation Forum) depuis 2007, est signataire de son accord de reconnaissance mutuelle pour l’ISO/IEC 27001. L’IAF a été intégré le 1er janvier 2026 à la nouvelle Global Accreditation Cooperation.

L’ISMS-AC accrédite une trentaine d’organismes de certification, dont des filiales japonaises de groupes internationaux connus en France (BSI, DNV, TÜV Rheinland, Bureau Veritas, SGS). L’organisme japonais d’accréditation généraliste, le Japan Accreditation Board (JAB), accrédite aussi la certification ISO/IEC 27001. D’après son enquête sur l’année 2024, ce cas reste toutefois marginal.

Un registre public consulté par les acheteurs

L’ISMS-AC publie en ligne la liste des organisations certifiées par les organismes qu’elle accrédite, consultable par nom, périmètre, organisme de certification ou numéro de certificat. Les acheteurs japonais s’en servent pour vérifier un certificat. Attention : cette liste ne contient pas les certificats émis sous une autre accréditation, par exemple celle du COFRAC. Pour ces certificats, la vérification passe par IAF CertSearch, la base mondiale des certifications accréditées, qui indique la validité, le périmètre et les sites certifiés.

Le cycle de certification

Il n’y a pas de particularité japonaise sur ce point. L’audit initial se déroule en deux étapes. Le certificat est valable trois ans, avec au moins un audit de surveillance par an et un audit de renouvellement tous les trois ans.

La transition vers la version 2022 est terminée

L’ISO/IEC 27001:2022 a été publiée le 25 octobre 2022. La période de transition fixée au niveau international a pris fin le 31 octobre 2025. L’ISMS-AC précise que les certificats non migrés à cette date ont perdu leur validité. Tout certificat valide aujourd’hui doit donc faire référence à la version 2022.

La version 2022 réorganise l’annexe A : 93 mesures de sécurité réparties en quatre thèmes (organisationnel, humain, physique, technologique), contre 114 mesures en 14 chapitres auparavant. Selon l’IAF, 11 mesures sont nouvelles, 24 résultent de la fusion de mesures existantes et 58 ont été mises à jour.

Les certifications complémentaires

Pour les fournisseurs de services cloud, l’ISMS-AC propose une certification complémentaire fondée sur l’ISO/IEC 27017, qui ne peut être obtenue qu’avec une certification ISMS : 822 organisations étaient inscrites au 19 octobre 2026. Si vous vendez un service cloud au Japon, attendez-vous à ce qu’elle soit demandée en plus du certificat ISO/IEC 27001.

France et Japon : même norme, autres repères

Trois points pour lire ce tableau.

Votre certificat français est valable au Japon. Le COFRAC accrédite les organismes qui certifient selon l’ISO/IEC 27001 et applique pour cela des exigences spécifiques. Comme l’ISMS-AC, il est signataire des accords IAF : les certificats émis sous l’une ou l’autre accréditation sont considérés comme équivalents. La différence est pratique, pas juridique : votre certificat n’apparaîtra pas dans le registre japonais, et vous devrez l’expliquer.

HDS et SecNumCloud n’ont pas d’équivalent direct au Japon. La certification HDS, exigée des hébergeurs de données de santé à caractère personnel, s’appuie sur l’ISO/IEC 27001. Son référentiel révisé, publié au Journal officiel le 16 mai 2024, impose notamment l’hébergement physique dans l’Espace économique européen ; les hébergeurs déjà certifiés avaient jusqu’au 16 mai 2026 pour s’y conformer. Le référentiel SecNumCloud de l’ANSSI (version 3.2 du 8 mars 2022) s’appuie lui aussi sur l’ISO/IEC 27001, dont il reprend la structure de l’annexe A, mais ajoute des exigences qui le distinguent de la norme, notamment la protection vis-à-vis du droit extra-européen. Ce sont des dispositifs français : face à un acheteur japonais, c’est votre certificat ISO/IEC 27001 qui sert de référence commune.

ISMAP et SecNumCloud n’ont pas le même objet. Les deux concernent le cloud utilisé par l’administration. Mais ISMAP a d’abord été conçu pour éviter que chaque administration japonaise évalue de son côté la sécurité d’un même service cloud : une évaluation commune, puis une liste de services utilisable par toutes. SecNumCloud est une qualification exigeante, qui ajoute aux exigences de sécurité des exigences de protection vis-à-vis du droit extra-européen.

La PrivacyMark, l’autre label demandé au Japon

Il arrive qu’un client japonais demande « l’ISMS ou la PrivacyMark ». La PrivacyMark est un label de protection des données personnelles géré par la JIPDEC depuis 1998. Il évalue un système de management des données personnelles selon la norme japonaise JIS Q 15001:2023. Plus de 17 700 entreprises la détiennent.

Elle se distingue de l’ISO/IEC 27001 sur deux points importants pour un groupe français :

• elle est réservée aux entreprises établies au Japon : seule votre filiale japonaise peut la demander, pas la maison mère ;
• elle couvre l’entreprise entière, pas un périmètre choisi, et doit être renouvelée tous les deux ans.

Si votre filiale japonaise traite beaucoup de données personnelles de clients japonais (marketing, centre de contact, sous-traitance de traitements), demandez à vos principaux clients s’ils attendent la PrivacyMark. Ne la demandez pas par défaut : vérifiez d’abord les attentes de vos clients.

Filiale japonaise : certificat propre ou périmètre du groupe ?

Aucune règle n’impose l’une ou l’autre solution. Le choix dépend de ce que vos clients japonais vérifient et de l’autonomie de votre filiale.

Inclure la filiale dans le périmètre du groupe

C’est la solution la plus simple si la filiale applique les politiques et les outils du groupe. Points à vérifier :

• le certificat doit citer explicitement l’entité japonaise et son site, ou au minimum le service qu’elle fournit. Un acheteur japonais vérifiera que l’entité qui signe le contrat est bien couverte ;
• le certificat ne figurera pas dans le registre de l’ISMS-AC. Préparez une copie du certificat, sa liste des sites et le lien de vérification IAF CertSearch ;
• prévoyez que le site japonais soit effectivement audité au cours du cycle, et que la documentation locale existe en japonais là où le personnel en a besoin.

Certifier la filiale séparément

Un certificat propre, délivré par un organisme accrédité par l’ISMS-AC, apparaît dans le registre japonais (si la filiale accepte la publication) et s’obtient auprès d’un organisme de certification présent au Japon. Cette solution convient mieux si la filiale a ses propres systèmes, vend ses propres services ou répond régulièrement à des appels d’offres japonais. En contrepartie, elle doit faire fonctionner son propre ISMS : appréciation des risques, audits internes, revue de direction et audits de surveillance.

Comment trancher

• Vos clients japonais exigent-ils une inscription au registre de l’ISMS-AC, ou acceptent-ils un certificat étranger accrédité ? Posez la question avant de décider.
• La filiale partage-t-elle l’infrastructure, les outils et les processus du groupe ? Si oui, le périmètre du groupe est plus cohérent.
• La filiale répond-elle seule à des appels d’offres publics ou à des clients du secteur financier ? Un certificat local est alors souvent plus simple à présenter.

Ce que les clients japonais vérifient réellement

Le certificat n’est souvent qu’une première étape. Dans l’enquête de l’ISMS-AC, 42,5 % des organisations certifiées se sont vu demander d’autres éléments que le certificat. Parmi elles :

• 68,4 % ont dû répondre à un questionnaire sur leurs mesures de sécurité ;
• 59,3 % ont dû fournir le certificat lui-même ;
• 48,0 % ont fait l’objet d’une visite ou d’un audit de sécurité par le client ;
• 11,3 % ont dû communiquer des rapports d’audit internes ou externes ;
• 4,8 % ont dû communiquer leur déclaration d’applicabilité.

Avant de transmettre votre certificat à un client japonais, vérifiez donc :

• qu’il fait référence à l’ISO/IEC 27001:2022 et qu’il est en cours de validité ;
• que le périmètre couvre l’entité qui signe le contrat, le site concerné et le service vendu ;
• que l’organisme de certification est accrédité par un signataire des accords IAF, et que le certificat est vérifiable en ligne ;
• que vous disposez d’une réponse type au questionnaire de sécurité, en anglais et si possible en japonais ;
• que vous pouvez montrer des éléments techniques récents (résultats d’audits de vulnérabilité ou de tests d’intrusion, traitement des correctifs) si le client demande des preuves au-delà du certificat.

Questions fréquentes

Q1. Notre certificat ISO/IEC 27001 émis en France est-il valable au Japon ?

Oui, s’il a été délivré par un organisme accrédité par le COFRAC ou par un autre signataire des accords IAF. Il est équivalent à un certificat émis sous accréditation japonaise. Il n’apparaîtra cependant pas dans le registre public de l’ISMS-AC : fournissez le certificat et un moyen de le vérifier, par exemple IAF CertSearch.

Q2. Quelle différence entre « certification ISMS » et « certification ISO 27001 » ?

Aucune sur le fond. Au Japon, « ISMS » est le nom courant de la certification ISO/IEC 27001. La norme japonaise JIS Q 27001 en est la traduction, au contenu identique.

Q3. Notre certificat date de la version 2013. Est-il encore valable ?

Non. La transition vers la version 2022 devait être terminée le 31 octobre 2025. Les certificats non migrés ont perdu leur validité : un certificat de la version 2013 ne peut plus être présenté à un client.

Q4. Faut-il aussi obtenir la PrivacyMark ?

Seulement si vos clients la demandent. Elle porte sur la protection des données personnelles, est réservée aux entreprises établies au Japon et couvre toute l’entreprise. Pour une filiale qui traite beaucoup de données personnelles de clients japonais, la question mérite d’être posée.

Q5. Combien de temps faut-il pour certifier une filiale japonaise ?

Cela dépend surtout de ce qui existe déjà. Si la filiale applique un ISMS de groupe qui fonctionne, l’étendre au site japonais est beaucoup plus rapide que de construire un système à partir de zéro. Dans les deux cas, il faut prévoir au moins un cycle complet d’audit interne et de revue de direction avant l’audit de certification.

Parler à AEVUS

AEVUS est une entreprise de cybersécurité basée au Japon. Nous accompagnons la mise en place et le maintien d’un ISMS : définition du périmètre, appréciation des risques, déclaration d’applicabilité, préparation des audits de surveillance. Nos équipes de tests d’intrusion et d’audit de vulnérabilité apportent à l’appréciation des risques une vision concrète des menaces. Si vous devez répondre aux exigences d’un client japonais ou décider du périmètre de certification de votre filiale, contactez-nous.

En résumé

• Au Japon, « ISMS » désigne la certification ISO/IEC 27001. La norme japonaise JIS Q 27001 a le même contenu.
• L’accréditation relève principalement de l’ISMS-AC, signataire des accords IAF. Un certificat accrédité par le COFRAC est équivalent, mais n’apparaît pas dans le registre japonais.
• Seuls les certificats conformes à la version 2022 sont valides depuis le 31 octobre 2025.
• Les clients japonais demandent souvent plus que le certificat : questionnaire de sécurité, parfois audit.
• Pour la filiale japonaise, le choix entre périmètre du groupe et certificat propre dépend d’abord de ce que vos clients vérifient.

Sources

• ISMS-AC, registre des organisations certifiées ISMS (en japonais)
• ISMS-AC, publication de l’ISO/IEC 27001:2022 et délai de transition, révision du 27 février 2023 (en japonais, PDF)
• ISMS-AC, rapport d’enquête sur le dispositif de certification ISMS, juillet 2024 (en japonais, PDF)
• ISMS-AC, présentation du dispositif de certification ISMS (en japonais, PDF)
• ISMS-AC, International cooperation
• ISMS-AC, registre de la certification complémentaire cloud (en japonais)
• ISO/IEC JTC 1/SC 27, SC 27 Journal 2026 (Issue 1), article « The State of the ISMS Conformity Assessment Scheme in Japan » (PDF)
• IAF, MD 26:2023, Transition Requirements for ISO/IEC 27001:2022 (PDF)
• JAB, nombre de certifications de systèmes de management au 31 décembre 2024 (en japonais, PDF)
• JIPDEC, présentation des évolutions des normes de la famille ISO/IEC 27000, décembre 2025 (en japonais, PDF)
• ISMAP, présentation du dispositif (PDF)
• IPA, présentation détaillée du dispositif SCS (en japonais)
• IPA, questions fréquentes sur le dispositif SCS (en japonais)
• JIPDEC, The PrivacyMark System 2026 (PDF)
• JIPDEC, PrivacyMark : durée de validité
• COFRAC, section Certifications
• COFRAC, CERT CEPE REF 35 : exigences spécifiques pour l’accréditation des organismes certifiant des systèmes de management dans le domaine des technologies de l’information (PDF)
• Agence du numérique en santé, publication au Journal officiel du référentiel de certification HDS, 16 mai 2024
• ANSSI, SecNumCloud, référentiel d’exigences, version 3.2 du 8 mars 2022 (PDF)

Articles connexes

• Attaques par la chaîne d’approvisionnement : se protéger au Japon
• Fuite de données : APPI japonaise et RGPD comparés
• Les cyberattaques marquantes au Japon en 2026