.png&w=3840&q=75&dpl=dpl_Ba6pf7ueYcNioUvDkWkKkJsULeG7)
L’ISO 27001 couvre-t-elle NIS2 ?
Réponse directe
En partie. Un SMSI ISO 27001 couvre une grande part des mesures de l’article 21 de NIS2 : analyse des risques, gestion des incidents, continuité, contrôle d’accès. Il ne couvre pas les obligations légales : l’enregistrement, les notifications à 24 heures, 72 heures et un mois, le rôle de l’organe de direction et les règles nationales.
En partie. Un SMSI ISO 27001 couvre une grande part des mesures de gestion des risques de l’article 21 de NIS2 : analyse des risques, gestion des incidents, continuité d’activité, contrôle d’accès, cryptographie. Il ne couvre pas les obligations légales qui l’entourent : l’enregistrement auprès de l’autorité, les notifications à 24 heures, 72 heures et un mois, l’approbation et la formation de l’organe de direction, et les règles nationales. Un certificat ne prouve pas la conformité à NIS2.
Ce que l’ISO 27001 vous apporte déjà
L’article 21(2) de NIS2 énumère dix groupes de mesures. La plupart ont un équivalent dans l’ISO/IEC 27001:2022 et les mesures de son annexe A :
- Analyse des risques et politiques de sécurité : clauses 5.2 et 6.1.
- Gestion des incidents : annexe A 5.24 à 5.28.
- Continuité d’activité et sauvegardes : annexe A 5.29, 5.30 et 8.13.
- Sécurité de la chaîne d’approvisionnement : annexe A 5.19 à 5.22.
- Sécurité de l’acquisition, du développement et de la maintenance : annexe A 8.25 à 8.29 et 8.8.
- Évaluation de l’efficacité : clauses 9.1 à 9.3.
- Cyberhygiène et formation : annexe A 6.3.
- Cryptographie : annexe A 8.24.
- Sécurité des ressources humaines et contrôle d’accès : annexe A 6.1 à 6.6 et 5.15 à 5.18.
- Authentification multifacteur : annexe A 8.5.
NIS2 invite elle-même les entités à tenir compte des normes européennes et internationales (articles 21(1) et 25).
Ce que l’ISO 27001 ne couvre pas
- La notification à l’autorité. L’article 23 prévoit une alerte précoce dans les 24 heures, une notification dans les 72 heures et un rapport final dans un délai d’un mois. L’ISO 27001 demande de gérer les incidents, pas de les notifier selon ces délais.
- Les obligations de l’organe de direction. L’article 20 lui impose d’approuver les mesures, d’en superviser la mise en œuvre et de suivre une formation, et sa responsabilité peut être engagée.
- L’enregistrement. Les entités s’enregistrent auprès de leur autorité nationale selon la loi nationale.
- Le périmètre. NIS2 s’applique à toute l’entité, alors qu’un périmètre ISO 27001 peut être plus étroit.
- Des exigences plus précises pour certains secteurs. Le règlement d’exécution (UE) 2024/2690 fixe des exigences techniques détaillées pour le cloud, les centres de données, les services gérés et d’autres fournisseurs numériques.
- Le droit national. Chaque État membre ajoute ses propres règles.
Combler les manques dans Acuna GRC
Dans Acuna GRC, vous adoptez NIS2 à côté de l’ISO 27001 dans Comply. Les mesures communes sont reliées entre les deux : une mesure ISO 27001 compte pour les exigences NIS2 qu’elle couvre, et les correspondances listent les exigences NIS2 sans mesure liée, en général la notification, l’enregistrement et les obligations de la direction. Les incidents sont enregistrés comme des constats avec une chronologie datée. Voir la cartographie des contrôles inter-référentiels.
Comment Acuna GRC s’en charge
Dans Acuna GRC, NIS2 se place à côté de l’ISO 27001 et les correspondances montrent ce qui reste à couvrir.
- Solution
NIS2
Mettez en place les mesures NIS2 avec des responsables, réutilisez vos contrôles ISO 27001, évaluez vos fournisseurs et suivez incidents et vulnérabilités.
- Solution
ISO 27001
Adoptez l’ISO 27001, donnez un responsable à chaque contrôle, pilotez risques et politiques, et gardez les preuves que demande l’auditeur, mesure par mesure.
- Espace de travail
Comply
Les référentiels que vous choisissez, les périmètres et étiquettes qui segmentent votre organisation, la bibliothèque de mesures communes et leur correspondance entre référentiels.
Sources
- Directive (UE) 2022/2555 (NIS2), articles 20, 21, 23 et 25
- Règlement d’exécution (UE) 2024/2690 de la Commission
- ISO/IEC 27001:2022
Cette page explique les règles en termes généraux et ne constitue pas un conseil juridique.
Questions fréquentes
Un certificat ISO 27001 prouve-t-il la conformité à NIS2 ?
Non. Les autorités peuvent l’accepter comme preuve pour certaines mesures, mais NIS2 ne prévoit aucune présomption de conformité pour l’ISO 27001, et les obligations de notification et de gouvernance restent en dehors.
Faut-il se certifier ISO 27001 pour NIS2 ?
Ce n’est pas obligatoire, mais un SMSI donne la structure qu’attend NIS2 et des preuves que les clients reconnaissent. Partez de votre périmètre NIS2, qui peut être plus large que votre périmètre ISO 27001 actuel.
Découvrez comment Acuna GRC le pilote.
Dites-nous vos référentiels et votre équipe. Nous vous montrons comment Acuna GRC pilote le programme.
Hébergé en Suisse, dans l'UE ou aux États-Unis