Qui devrait lire ceci : une entreprise poussée vers ISO 27001 par un client et vers NIS2 par un régulateur, en même temps, et sur le point de mener deux projets.
Ne menez pas deux projets. L’essentiel du travail est le même, et les parties qui diffèrent ne sont pas celles que l’on croit.
La mesure du recouvrement
L’article 21(2) de NIS2 énumère dix catégories de mesures que les entités concernées doivent prendre. Projetées sur les articles et l’annexe A d’ISO 27001:2022, la couverture se situe autour de 70 à 80 pour cent. Cinq des dix sont pleinement couvertes par un SMSI qui fonctionne. Les cinq autres le sont partiellement. Aucune n’est un vide complet.
| Mesure de l’article 21(2) | Couverture par ISO 27001 |
|---|---|
| (a) Analyse des risques et politique de sécurité | Complète |
| (b) Gestion des incidents | Partielle |
| (c) Continuité d’activité et gestion de crise | Partielle |
| (d) Sécurité de la chaîne d’approvisionnement | Partielle |
| (e) Acquisition, développement et maintenance sécurisés | Complète |
| (f) Évaluation de l’efficacité des mesures | Complète |
| (g) Hygiène informatique et formation | Partielle |
| (h) Cryptographie et chiffrement | Complète |
| (i) Sécurité RH, contrôle d’accès, gestion des actifs | Complète |
| (j) MFA, communications sécurisées et communications d’urgence | Partielle |
Lecture pratique : si vous construisez correctement un SMSI, vous avez parcouru l’essentiel de l’article 21 sans avoir ouvert de projet NIS2. Le détail des dix mesures figure dans les dix mesures de l’article 21 de NIS2.
Là où « partielle » fait vraiment mal
« Partielle » travaille beaucoup dans ce tableau, alors soyons précis sur les cinq.
Gestion des incidents. ISO 27001 veut que vous détectiez, réagissiez, appreniez et amélioriez. Elle ne dit rien sur le fait d’en informer quiconque à l’extérieur. NIS2 le dit, et avec un chronomètre. Voir plus bas.
Continuité d’activité. ISO 27001 demande la continuité de la sécurité de l’information. NIS2 demande la résilience opérationnelle du service, avec gestion de crise et dispositifs de sauvegarde à un niveau qu’un SMSI n’atteint pas nécessairement.
Chaîne d’approvisionnement. L’annexe A 5.19 à 5.22 d’ISO 27001 couvre vos fournisseurs directs. NIS2 attend que vous considériez les dépendances derrière eux et que vous répercutiez les exigences. Si vos clients vous envoient déjà des questionnaires fournisseurs, c’est ce mécanisme pointé vers vous, décrit dans la sécurité de la chaîne d’approvisionnement sous NIS2.
Hygiène et formation. ISO 27001 exige sensibilisation et compétence. NIS2 l’exige de l’organe de direction en particulier, et en fait son obligation plutôt qu’un registre de formation, comme détaillé dans les exigences de formation pour les dirigeants et les salariés.
MFA et communications sécurisées. ISO 27001 cite l’authentification comme mesure à sélectionner. NIS2 nomme l’authentification multifacteur et les communications d’urgence sécurisées comme des choses que vous utilisez. Une mesure marquée applicable et partiellement déployée passe l’une et pas l’autre.
Les cinq obligations NIS2 qu’aucun SMSI ne contient
C’est le cinquième qui ne se projette pas, et c’est la partie qui surprend ceux qui pensaient qu’un certificat réglerait la question.
1. Délais de notification d’incident. Alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois, au CSIRT ou à l’autorité compétente. ISO 27001 n’a pas d’obligation équivalente ni de chronomètre. S’y tromper est un manquement déclaratif, pas un manquement de sécurité, et cela se compte en heures. La mécanique figure dans le calendrier de notification des incidents NIS2.
2. Responsabilité de l’organe de direction. L’article 20 met l’approbation et la supervision des mesures sur l’organe de direction et l’en rend responsable. ISO 27001 demande l’engagement de la direction, ce qui n’est pas la même chose juridiquement. Voir la responsabilité des dirigeants sous NIS2.
3. Enregistrement. Les entités concernées doivent s’enregistrer auprès de l’autorité nationale. Purement administratif, sans équivalent ISO 27001, et facile à oublier entièrement.
4. Divulgation coordonnée des vulnérabilités. NIS2 attend une participation au mécanisme européen. ISO 27001 couvre la gestion interne des vulnérabilités, pas la coordination externe.
5. Juridiction. Quel État membre vous supervise est une question NIS2 qui a une vraie réponse, et cela compte si vous opérez dans plusieurs pays. ISO 27001 se moque de votre localisation. Voir quelle juridiction s’applique.
Notez leur point commun. Aucune n’est une mesure de sécurité. Toutes sont des obligations de l’organisation, et quatre sur cinq ne peuvent pas être démontrées par un certificat.
Le séquencement qui fait l’économie
Deux règles, peu coûteuses si vous décidez tôt.
Construisez un seul référentiel de mesures, pas deux. Implémentez une mesure une fois, projetez-la sur les deux référentiels, prouvez-la une fois. Deux registres, deux corpus de politiques et deux dossiers de preuves décrivant les mêmes mesures : c’est l’erreur la plus fréquente et la plus coûteuse ici, et elle s’aggrave car chaque référentiel futur aura son propre dossier.
Faites le cadrage des deux dès le départ. Le périmètre ISO 27001 est votre décision. Le périmètre NIS2 relève de la loi et ne se négocie pas. Si vous êtes concerné, déterminez d’abord la frontière du service réglementé, puis tracez le périmètre de votre SMSI pour qu’il la contienne. Tracer d’abord le périmètre ISO le plus étroit possible, puis découvrir que le service réglementé en sort à moitié, oblige à refaire l’appréciation des risques et la déclaration d’applicabilité. C’est le piège décrit dans le périmètre et la déclaration d’applicabilité, avec des conséquences juridiques en plus.
Si vous ignorez si vous êtes concerné, réglez cela avant tout le reste. Le vérificateur de périmètre NIS2 prend quelques minutes, et les catégories sont expliquées dans entités essentielles et importantes comparées.
Ce que cela coûte face à deux projets
Menés séparément, vous payez deux fois l’analyse d’écart, deux fois le travail de politiques, deux fois la collecte de preuves et deux fois l’effort interne, qui reste le plus gros poste dans les deux cas, comme exposé dans ce que la norme ISO 27001 coûte réellement à une PME.
Menés ensemble, vous payez une fois les 70 à 80 pour cent, et le supplément NIS2 se limite aux cinq obligations ci-dessus plus l’approfondissement des cinq mesures partielles. Dans une entreprise de 20 à 250 personnes, ce supplément se compte en semaines, pas en mois, et il est surtout procédural.
La seule chose que vous ne pouvez pas fusionner, c’est le certificat. ISO 27001 est audité par un organisme de certification. NIS2 est supervisé par une autorité, et la supervision des entités importantes est généralement réactive plutôt qu’un audit programmé. Détenir un certificat ne libère pas de l’obligation NIS2, même si c’est le moyen le plus efficace de pouvoir en démontrer l’essentiel, un point traité dans les normes de certification sous NIS2.
La réalité technique : les deux référentiels s’arrêtent au même endroit
Voici ce qu’aucun des deux ne fait, et c’est la même chose.
ISO 27001 demande de sélectionner et d’implémenter des mesures. NIS2 demande des mesures appropriées au risque. Les deux sont indifférents à la qualité du résultat. L’A.8.8 et l’article 21(2)(e) demandent tous deux de traiter les vulnérabilités techniques, et une procédure documentée avec une analyse mensuelle y satisfait, que les constats critiques aient été corrigés ou non. Les deux demandent des journaux. Aucun ne demande si quelqu’un les lit. L’article 21(2)(b) et l’A.5.24 veulent une gestion des incidents, et une procédure écrite y satisfait pendant que rien dans le parc ne déclencherait l’incident.
Faire les deux une fois vous donne donc un référentiel, un enregistrement de preuves et deux obligations remplies pour à peine plus que le prix d’une. Cela ne vous dit pas si une intrusion serait remarquée. Cela suppose une détection et une gestion de l’exposition qui tournent en continu et réinjectent leurs constats dans le même enregistrement, la moitié du problème que les référentiels décrivent et qu’aucun n’exécute. Le point de départ de l’un ou l’autre projet, et le moyen le plus rapide de voir quels écarts sont documentaires et lesquels sont techniques, est un audit structuré avant de vous engager.
