Un SMSI ISO 27001:2022 couvre environ 70 à 80 % de ce que demande l’article 21 de NIS2. Sur les dix mesures de l’article 21(2), cinq sont entièrement couvertes et cinq en partie. Aucune ne constitue un manque complet. Le reste consiste à approfondir les cinq mesures partielles et à remplir cinq obligations NIS2 qu’aucun SMSI ne contient. Menez un seul programme, pas deux.
Ce guide présente la correspondance, les points où « partielle » pèse vraiment, ce que NIS2 ajoute, l’ordre dans lequel travailler, le coût, et l’endroit où les deux référentiels s’arrêtent.
| Mesure de l’article 21(2) de NIS2 | Couverture par ISO 27001 | Là où NIS2 demande davantage |
|---|---|---|
| (a) Analyse des risques et politique de sécurité de l’information | Complète | — |
| (b) Gestion des incidents | Partielle | Informer l’extérieur, avec un compte à rebours |
| (c) Continuité des activités et gestion de crise | Partielle | La résilience opérationnelle du service, y compris la gestion de crise et les sauvegardes |
| (d) Sécurité de la chaîne d’approvisionnement | Partielle | Les dépendances qui se trouvent derrière vos fournisseurs directs |
| (e) Sécurité de l’acquisition, du développement et de la maintenance | Complète | — |
| (f) Évaluation de l’efficacité des mesures | Complète | — |
| (g) Cyberhygiène et formation | Partielle | La formation comme obligation de l’organe de direction |
| (h) Cryptographie et chiffrement | Complète | — |
| (i) Sécurité des ressources humaines, contrôle d’accès, gestion des actifs | Complète | — |
| (j) MFA, communications sécurisées et communications d’urgence | Partielle | MFA et communications d’urgence sécurisées effectivement utilisées, pas seulement sélectionnées |
Lisez le tableau ainsi : construisez correctement un SMSI, et vous aurez parcouru l’essentiel de l’article 21 sans avoir ouvert de projet NIS2. Le détail de chaque mesure figure dans les mesures de l’article 21 de NIS2.
Sur quels points ISO 27001 ne couvre-t-elle NIS2 qu’en partie ?
Le mot « partielle » recouvre beaucoup de choses dans ce tableau. Voici les cinq mesures concernées.
Gestion des incidents. ISO 27001 vous demande de détecter, de réagir, d’en tirer les leçons et de vous améliorer. Elle ne dit rien sur le fait d’informer qui que ce soit à l’extérieur. NIS2, si, et avec un compte à rebours (voir plus bas).
Continuité des activités. ISO 27001 demande la continuité de la sécurité de l’information. NIS2 demande la résilience opérationnelle du service, y compris la gestion de crise et des dispositifs de sauvegarde, à un niveau qu’un SMSI n’atteint pas forcément.
Chaîne d’approvisionnement. Les mesures 5.19 à 5.22 de l’annexe A d’ISO 27001 couvrent vos fournisseurs directs. NIS2 attend de vous que vous preniez en compte les dépendances qui se trouvent derrière eux, et que vous répercutiez les exigences. Si vos clients vous envoient déjà des questionnaires fournisseurs, c’est le même mécanisme, tourné vers vous. Il est décrit dans la sécurité de la chaîne d’approvisionnement selon NIS2.
Cyberhygiène et formation. ISO 27001 exige la sensibilisation et la compétence. NIS2 les exige spécifiquement de l’organe de direction, et en fait son obligation plutôt qu’une ligne dans un registre de formation. Voir les exigences de formation pour les dirigeants et les salariés.
MFA et communications sécurisées. ISO 27001 cite l’authentification comme une mesure à sélectionner. NIS2 cite l’authentification multifacteur et les communications d’urgence sécurisées comme des moyens que vous utilisez. Une mesure déclarée applicable et déployée en partie satisfait l’une et pas l’autre.
Qu’exige NIS2 qu’ISO 27001 n’exige pas ?
Cinq obligations. C’est la partie qui surprend ceux qui pensaient qu’un certificat réglerait la question.
1. Délais de notification des incidents
Alerte précoce dans les 24 heures, notification dans les 72 heures, rapport final dans un délai d’un mois, auprès de votre CSIRT ou de votre autorité compétente. ISO 27001 ne prévoit aucune obligation équivalente ni aucun compte à rebours. Une erreur sur ce point est un manquement à l’obligation de notification, pas un manquement de sécurité, et elle se mesure en heures. Le fonctionnement est détaillé dans le calendrier de notification des incidents NIS2.
2. Responsabilité de l’organe de direction
L’article 20 confie l’approbation et la supervision des mesures à l’organe de direction, et le rend responsable. ISO 27001 demande un engagement de la direction, ce qui n’est pas la même chose sur le plan juridique. Voir la responsabilité des dirigeants selon NIS2.
3. Enregistrement
Les entités concernées doivent s’enregistrer auprès de l’autorité nationale. C’est purement administratif, sans équivalent dans ISO 27001, et facile à oublier complètement.
4. Divulgation coordonnée des vulnérabilités
NIS2 attend une participation au mécanisme européen. ISO 27001 couvre la gestion interne des vulnérabilités, pas la coordination externe.
5. Compétence territoriale
Savoir quel État membre vous supervise est une question NIS2 qui a une vraie réponse, et elle compte si vous êtes actif dans plusieurs États membres. ISO 27001 ne se préoccupe pas de l’endroit où vous vous trouvez. Voir quel État membre est compétent.
Notez ce que ces cinq obligations ont en commun. Aucune n’est une mesure de sécurité. Toutes sont des obligations de l’organisation, et quatre sur cinq ne peuvent pas être démontrées par un certificat.
Faut-il commencer par ISO 27001 ou par NIS2 ?
Délimitez d’abord le périmètre NIS2, tracez le SMSI autour, et construisez un seul ensemble de mesures pour les deux. Ces étapes coûtent peu si vous décidez tôt.
- Déterminez d’abord si vous êtes concerné. Faites-le avant tout le reste. Le vérificateur de périmètre NIS2 prend quelques minutes, et les catégories sont expliquées dans entités essentielles et importantes comparées.
- Tracez la frontière NIS2 avant le périmètre du SMSI. Le périmètre ISO 27001 est votre décision. Le périmètre NIS2 relève de la loi, et il ne se négocie pas. Déterminez d’abord la frontière du service réglementé, puis tracez le périmètre de votre SMSI pour qu’il la contienne. Si vous tracez d’abord le périmètre ISO le plus étroit possible et découvrez ensuite que le service réglementé en sort à moitié, vous devez refaire l’appréciation des risques et la déclaration d’applicabilité (DdA, en anglais « Statement of Applicability »). C’est le piège décrit dans le périmètre et la déclaration d’applicabilité, avec des conséquences juridiques en plus.
- Construisez un seul ensemble de mesures, pas deux. Mettez en œuvre une mesure une fois, faites-la correspondre aux deux référentiels, et apportez-en la preuve une fois. Deux registres, deux corpus de politiques et deux dossiers de preuves pour les mêmes mesures : c’est l’erreur la plus fréquente et la plus coûteuse dans ce domaine. Elle s’aggrave avec le temps, car chaque futur référentiel reçoit aussi son propre dossier.
Mener ISO 27001 et NIS2 ensemble coûte-t-il moins cher ?
Oui. Si un client vous pousse vers ISO 27001 et un régulateur vers NIS2, ne les menez pas comme deux projets. Si vous les menez séparément, vous payez deux fois l’analyse d’écarts, la rédaction des politiques, la collecte des preuves et l’effort interne. L’effort interne reste le poste le plus important dans les deux cas, comme expliqué dans ce que coûte réellement ISO 27001 pour une PME.
Si vous les menez ensemble, vous payez une seule fois les 70 à 80 %. Le supplément NIS2 correspond aux cinq obligations ci-dessus, plus l’approfondissement des cinq mesures partielles. Dans une entreprise de 20 à 250 personnes, cela représente des semaines, pas des mois, et c’est surtout un travail de procédures plutôt qu’un travail technique.
La certification ISO 27001 rend-elle conforme à NIS2 ?
Non. La seule chose que vous ne pouvez pas fusionner, c’est le certificat. ISO 27001 est auditée par un organisme de certification. NIS2 relève de la supervision d’une autorité, et pour les entités importantes, cette supervision est généralement réactive plutôt qu’un audit programmé.
Détenir un certificat ne vous libère pas de l’obligation NIS2. La certification ISO 27001 reste le moyen le plus efficace de pouvoir en démontrer l’essentiel, un point traité dans les normes de certification dans le cadre de NIS2.
Où s’arrêtent ISO 27001 et NIS2 ?
Au même endroit. ISO 27001 vous demande de sélectionner et de mettre en œuvre des mesures. NIS2 demande des mesures appropriées au risque. Les deux sont indifférentes à la qualité du résultat.
La mesure A.8.8 et l’article 21(2)(e) vous demandent tous deux de traiter les vulnérabilités techniques. Tous deux sont satisfaits par une procédure documentée avec une analyse mensuelle, que les constats critiques de cette analyse aient été corrigés ou non. Tous deux demandent une journalisation. Aucun ne demande si quelqu’un lit les journaux. L’article 21(2)(b) et la mesure A.5.24 exigent tous deux une gestion des incidents, et une procédure écrite y satisfait alors que rien dans votre parc informatique ne signalerait réellement l’incident.
Faire les deux en une seule fois vous donne donc un seul ensemble de mesures, un seul dossier de preuves et deux obligations remplies pour un peu plus que le prix d’une. Cela ne vous dit pas si une intrusion serait remarquée. Pour cela, il faut une détection et une gestion de l’exposition qui fonctionnent en continu et réinjectent leurs constats dans ce même dossier : la moitié du problème que les référentiels décrivent et qu’aucun des deux n’exécute. Le moyen le plus rapide de voir lesquels de vos écarts relèvent de la documentation et lesquels sont techniques est un audit structuré avant de vous engager.
Liste de contrôle ISO 27001 et NIS2
- Déterminez si NIS2 s’applique à vous, et dans quelle catégorie.
- Tracez la frontière du service réglementé avant le périmètre du SMSI.
- Construisez un seul ensemble de mesures, mis en correspondance avec les deux référentiels, avec un seul dossier de preuves.
- Approfondissez les cinq mesures partielles au niveau exigé par NIS2, pas au niveau exigé par le SMSI.
- Soyez en mesure de respecter les délais de notification de 24 heures, 72 heures et un mois.
- Confiez l’approbation et la supervision des mesures à l’organe de direction.
- Enregistrez-vous auprès de l’autorité nationale, et sachez quel État membre vous supervise.
Questions fréquentes
ISO 27001 couvre-t-elle NIS2 ?
En grande partie. Un SMSI ISO 27001:2022 couvre environ 70 à 80 % des dix mesures de l'article 21(2) de NIS2 : cinq entièrement et cinq en partie, et aucune ne constitue un manque complet. Il ne couvre pas des obligations NIS2 comme les délais de notification des incidents, la responsabilité de l'organe de direction et l'enregistrement.
La certification ISO 27001 rend-elle conforme à NIS2 ?
Non. Détenir un certificat ne vous libère pas de l'obligation NIS2, même si c'est le moyen le plus efficace de pouvoir en démontrer l'essentiel. ISO 27001 est auditée par un organisme de certification, alors que NIS2 relève de la supervision d'une autorité.
Qu'exige NIS2 qu'ISO 27001 n'exige pas ?
Cinq obligations n'ont pas d'équivalent dans ISO 27001 : les délais de notification des incidents, la responsabilité de l'organe de direction au titre de l'article 20, l'enregistrement auprès de l'autorité nationale, la divulgation coordonnée des vulnérabilités, et la question de savoir quel État membre vous supervise.
Quels sont les délais de notification des incidents NIS2 ?
Une alerte précoce dans les 24 heures, une notification dans les 72 heures et un rapport final dans un délai d'un mois, adressés à votre CSIRT ou à votre autorité compétente. ISO 27001 ne prévoit aucune obligation équivalente ni aucun compte à rebours.
Faut-il commencer par ISO 27001 ou par NIS2 ?
Commencez par le périmètre NIS2. Le périmètre NIS2 relève de la loi : déterminez la frontière du service réglementé, tracez le périmètre du SMSI pour qu'il la contienne, et construisez un seul ensemble de mesures mis en correspondance avec les deux référentiels.
