NIS 2, ISO 27001 et AirCyber : quelle démarche PME 2026

Pour une PME industrielle ou de services, l'année 2026 marque la fin d'une longue période de tolérance en matière de cybersécurité. Ce qui relevait hier des bonnes pratiques facultatives devient simultanément une obligation légale, une condition contractuelle d'accès aux marchés et un critère d'assurabilité. Trois référentiels concentrent aujourd'hui l'essentiel des demandes reçues par les dirigeants : la directive NIS 2, qui impose un socle réglementaire à des milliers d'entreprises jusqu'ici hors radar ; la norme ISO/IEC 27001, certification internationale reconnue qui rassure clients et investisseurs ; et le label AirCyber, porté par la filière aéronautique française pour sécuriser sa chaîne d'approvisionnement. Ces trois démarches se recoupent largement mais ne poursuivent pas les mêmes objectifs, n'engagent pas les mêmes budgets et n'exposent pas aux mêmes risques en cas de défaut. Cet article compare leur portée, leurs obligations, leurs sanctions, leurs délais et leurs coûts, détaille les mesures mutualisables entre elles, et propose une recommandation opérationnelle selon le profil réel de votre entreprise.

Le contexte 2026 : trois pressions simultanées sur les PME

La convergence actuelle n'a rien de fortuit. Elle résulte de trois dynamiques qui se sont alignées en quelques années et qui, prises ensemble, expliquent pourquoi un dirigeant de PME reçoit désormais des questionnaires de sécurité de la part de son assureur, de son donneur d'ordre et bientôt de son autorité de contrôle.

La première pression est réglementaire. La directive européenne NIS 2 élargit massivement le périmètre des entités soumises à des obligations de cybersécurité. Là où la première directive NIS visait quelques centaines d'opérateurs en France, NIS 2 concerne plusieurs milliers d'entités réparties dans dix-huit secteurs, dont une majorité d'entreprises de taille intermédiaire et de PME. Ces organisations n'ont, pour la plupart, jamais eu affaire à un régulateur cyber.

La deuxième pression est contractuelle. Les grands donneurs d'ordre, soumis eux-mêmes à NIS 2 au titre de la sécurité de leur chaîne d'approvisionnement, répercutent leurs exigences sur leurs fournisseurs. Un article de la directive impose explicitement de prendre en compte la sécurité des relations avec les fournisseurs directs. Concrètement, cela se traduit par des clauses cyber dans les contrats-cadres, des questionnaires d'évaluation annuels, et parfois un droit d'audit. Une PME peut donc être « hors périmètre » NIS 2 juridiquement, tout en subissant l'intégralité des exigences par ricochet contractuel.

La troisième pression est assurantielle et financière. Les assureurs cyber ont durci leurs conditions de souscription : sauvegardes testées, authentification multifacteur, plan de continuité, gestion des correctifs. Sans preuve documentée, la prime devient prohibitive ou la couverture est refusée. Les banques et les fonds intègrent progressivement le même type de diligence.

NIS 2 : une obligation réglementaire, pas une option

La directive (UE) 2022/2555, dite NIS 2, remplace la directive NIS de 2016. Elle a été transposée en droit français par une loi adoptée en 2025 et ses textes d'application, qui confient à l'ANSSI le rôle d'autorité nationale de contrôle. Le point essentiel à comprendre pour un dirigeant : NIS 2 n'est pas un label que l'on choisit d'obtenir, c'est une réglementation à laquelle on est assujetti ou non, selon des critères objectifs de secteur et de taille.

Qui est concerné et selon quels seuils

Le mécanisme d'assujettissement croise deux dimensions. Il faut d'abord appartenir à l'un des secteurs listés par la directive : énergie, transports, santé, eau potable et eaux usées, infrastructures numériques, administrations publiques, espace, mais aussi fabrication, production et distribution de produits chimiques, denrées alimentaires, fabrication de dispositifs médicaux, de produits informatiques et électroniques, d'équipements électriques, de machines, de véhicules et d'autres matériels de transport, services postaux, gestion des déchets, recherche, fournisseurs numériques.

Il faut ensuite dépasser des seuils de taille. Une entité est qualifiée d'essentielle lorsqu'elle emploie au moins 250 salariés ou réalise un chiffre d'affaires annuel supérieur à 50 millions d'euros, ou un total de bilan supérieur à 43 millions d'euros, dans un secteur hautement critique. Elle est qualifiée d'importante à partir de 50 salariés ou de 10 millions d'euros de chiffre d'affaires ou de bilan. Certaines entités sont désignées quel que soit leur effectif, notamment lorsqu'elles fournissent un service unique ou critique.

La distinction entre entité essentielle et entité importante ne change pas les obligations de fond : elle change le régime de supervision. Les entités essentielles font l'objet d'un contrôle ex ante (audits, inspections sur site à l'initiative de l'autorité), les entités importantes d'un contrôle ex post, déclenché après un incident ou un signalement.

Les obligations concrètes

L'article 21 de la directive énumère dix catégories de mesures techniques, opérationnelles et organisationnelles à mettre en œuvre selon une approche « tous risques » et proportionnée : analyse des risques et politique de sécurité des systèmes d'information ; gestion des incidents ; continuité d'activité, gestion des sauvegardes et reprise après sinistre ; sécurité de la chaîne d'approvisionnement ; sécurité dans l'acquisition, le développement et la maintenance des systèmes ; procédures d'évaluation de l'efficacité des mesures ; hygiène informatique de base et formation à la cybersécurité ; politiques relatives à la cryptographie et au chiffrement ; sécurité des ressources humaines, contrôle d'accès et gestion des actifs ; recours à l'authentification multifacteur ou continue, aux communications sécurisées et aux communications d'urgence sécurisées.

S'y ajoutent deux obligations souvent sous-estimées. L'article 20 engage la responsabilité des organes de direction : les dirigeants doivent approuver les mesures, superviser leur mise en œuvre, et suivre eux-mêmes une formation à la cybersécurité. Et le régime de notification d'incident impose une cadence stricte : alerte précoce dans les 24 heures suivant la connaissance de l'incident significatif, notification circonstanciée dans les 72 heures, rapport final sous un mois.

Les sanctions

Le régime de sanction est aligné sur celui du RGPD dans sa logique. Une entité essentielle encourt jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Une entité importante encourt jusqu'à 7 millions d'euros ou 1,4 % du chiffre d'affaires. Au-delà des amendes, les autorités disposent de pouvoirs d'injonction, de publication des manquements, et peuvent, pour les entités essentielles, suspendre temporairement une certification ou interdire à un dirigeant d'exercer ses fonctions de direction.

ISO/IEC 27001 : la certification qui ouvre les portes commerciales

ISO/IEC 27001 est une norme internationale volontaire qui définit les exigences d'un système de management de la sécurité de l'information, ou SMSI. Sa logique est différente de celle de NIS 2 : elle ne prescrit pas une liste de mesures obligatoires, elle exige un système de gouvernance capable de déterminer, de mettre en œuvre et d'améliorer les mesures pertinentes au regard des risques de l'organisation.

La version 2022 de la norme structure son Annexe A autour de 93 mesures réparties en quatre thèmes : 37 mesures organisationnelles, 8 mesures liées aux personnes, 14 mesures physiques et 34 mesures technologiques. Chaque mesure est soit appliquée, soit exclue avec justification, le tout consigné dans une déclaration d'applicabilité qui constitue la pièce maîtresse du dossier de certification.

Le processus de certification suit un schéma stable. L'organisation définit d'abord le périmètre du SMSI — un point stratégique, car il conditionne la charge et le coût. Elle conduit une appréciation des risques, établit un plan de traitement, déploie les mesures, puis fait tourner le système pendant plusieurs mois afin de produire des preuves : revues de direction, audits internes, indicateurs, traitement des non-conformités. Un organisme certificateur accrédité réalise ensuite un audit en deux étapes, la première portant sur la documentation, la seconde sur l'efficacité opérationnelle. Le certificat est délivré pour trois ans, avec des audits de surveillance annuels et un audit de renouvellement complet au terme du cycle.

Pour une PME, la valeur d'ISO 27001 est avant tout commerciale. Le certificat est reconnu internationalement, il répond en une ligne à la majorité des questionnaires fournisseurs, et il constitue souvent un critère d'éligibilité dans les appels d'offres des grands comptes et du secteur public. C'est le référentiel de choix pour un éditeur logiciel, un hébergeur, un cabinet de conseil ou tout acteur dont le produit est la confiance. Notre accompagnement à la certification ISO 27001 couvre la définition du périmètre, l'analyse de risques et la préparation à l'audit de certification.

AirCyber : le référentiel de la supply chain aéronautique

AirCyber est un programme sectoriel né du constat que la filière aéronautique et spatiale, avec ses chaînes de sous-traitance à plusieurs rangs, ne pouvait pas sécuriser ses grands programmes sans élever le niveau de ses fournisseurs. Porté par le GIFAS et opéré via une plateforme mutualisée de la filière, il est soutenu par les principaux donneurs d'ordre français et européens.

Son mécanisme est celui d'un dispositif de maturité progressive, non d'une norme binaire. Le fournisseur s'inscrit sur la plateforme, complète une auto-évaluation détaillée couvrant la gouvernance, la protection des données, la sécurité des postes et des serveurs, la gestion des accès, la sécurité réseau, la détection, la réponse à incident et la continuité. Cette auto-évaluation produit un score de maturité, restitué sous forme de paliers successifs — les dénominations exactes dépendant de la version du référentiel en vigueur. Un plan de remédiation priorisé en découle, avec un accompagnement mutualisé et, selon le niveau visé, une vérification par un tiers qui transforme la déclaration en niveau reconnu par la filière.

Le référentiel s'appuie sur des sources reconnues — pratiques ISO 27001, guides d'hygiène informatique, normes de sécurité industrielle — mais les reformule dans le vocabulaire et les cas d'usage de l'aéronautique : protection des plans et données techniques, sécurité des ateliers et des machines-outils numériques, gestion des échanges de fichiers avec les clients, maîtrise des accès distants des mainteneurs.

La singularité d'AirCyber est son caractère quasi obligatoire de fait. Un fournisseur de rang 2 ou 3 qui ne s'inscrit pas dans la démarche voit ses chances de renouvellement de contrat diminuer, indépendamment de toute contrainte légale. C'est un référentiel d'accès au marché. Nous intervenons sur ce périmètre via notre accompagnement AirCyber pour la filière aéronautique.

Tableau comparatif des trois référentiels

Ce tableau appelle une lecture nuancée. Les durées et les coûts dépendent avant tout de trois variables : la taille et la complexité du système d'information, l'étendue du périmètre retenu, et la maturité initiale. Une PME de 80 personnes disposant déjà d'une politique de sauvegarde testée, d'une authentification multifacteur généralisée et d'un inventaire d'actifs à jour parcourra le chemin bien plus vite qu'une entreprise de même taille partant d'une base non documentée. Les ordres de grandeur budgétaires que nous constatons vont de quelques dizaines de milliers d'euros pour un socle NIS 2 sur un système d'information simple, à des montants nettement supérieurs pour une certification ISO 27001 multi-sites incluant les frais récurrents d'organisme certificateur.

Les synergies : ce qui se mutualise réellement

La bonne nouvelle est que ces trois référentiels partagent un noyau commun considérable. Traiter ce noyau une fois, correctement documenté, alimente les trois démarches. C'est le principal levier d'économie pour une PME.

En pratique, une organisation qui construit un SMSI ISO 27001 sérieux couvre l'essentiel des exigences de fond de NIS 2. L'inverse n'est pas vrai : un socle NIS 2 bien mené produit les mesures techniques mais pas nécessairement l'appareil de management — revue de direction, audit interne, traitement documenté des non-conformités, indicateurs — qui fait la différence en audit de certification. C'est pourquoi l'ordre de mise en œuvre compte autant que le contenu.

Les écarts résiduels sont peu nombreux mais structurants. NIS 2 ajoute une contrainte que la norme ne porte pas : le délai de notification à l'autorité, avec ses 24 heures d'alerte précoce, qui suppose une astreinte et une chaîne de décision préétablie. AirCyber ajoute des exigences propres à l'environnement industriel et aux échanges de données techniques avec les donneurs d'ordre. ISO 27001 ajoute la rigueur formelle du système de management et la charge documentaire associée.

Cas d'usage 1 : le fournisseur aéronautique de rang 2

Profil type : 120 salariés, usinage de pièces structurales, deux sites, clients Airbus et Safran en direct ou via un rang 1, chiffre d'affaires de 25 millions d'euros, un responsable informatique généraliste sans spécialisation sécurité.

Cette entreprise relève du secteur de la fabrication d'autres matériels de transport et dépasse les seuils de l'entité importante. Elle est donc assujettie à NIS 2. Parallèlement, ses donneurs d'ordre exigent une progression AirCyber documentée, avec un palier à atteindre à date contractuelle. Elle subit donc deux contraintes simultanées, l'une légale, l'autre commerciale, avec une échéance commerciale généralement plus proche.

La démarche recommandée consiste à mener les deux de front en séquençant par la contrainte la plus urgente. On démarre par l'auto-évaluation AirCyber, qui fournit gratuitement une photographie de maturité et un plan de remédiation priorisé. Ce plan constitue immédiatement le socle technique NIS 2 : durcissement des postes et serveurs, authentification multifacteur, segmentation du réseau bureautique et du réseau atelier, sauvegardes hors ligne testées, journalisation centralisée. On complète ensuite par les briques spécifiquement réglementaires : note d'assujettissement, désignation d'un référent, procédure de notification calée sur les délais de 24 et 72 heures, formation attestée des dirigeants, clauses cyber dans les contrats fournisseurs.

ISO 27001 n'est pas une priorité pour ce profil, sauf ambition d'export ou de diversification hors filière. Le niveau AirCyber tient déjà le rôle de preuve auprès des clients, et le budget est mieux investi dans la remédiation technique que dans un cycle de certification. La combinaison AirCyber plus mise en conformité NIS 2 est ici le meilleur rapport effort-résultat.

Cas d'usage 2 : la PME industrielle généraliste

Profil type : 90 salariés, agroalimentaire ou traitement des déchets, un site de production, clients de la grande distribution, 18 millions d'euros de chiffre d'affaires, informatique externalisée chez un prestataire local.

Ce profil est typiquement assujetti à NIS 2 en tant qu'entité importante, sans exigence sectorielle concurrente. La bonne réponse est un socle NIS 2 pur, sans surcouche normative. L'objectif est d'être défendable : pouvoir démontrer, en cas de contrôle ou d'incident, que des mesures proportionnées ont été identifiées, décidées par la direction, mises en œuvre et suivies.

Le chemin le plus efficace tient en cinq livrables. Une note d'assujettissement qui qualifie l'entité et documente le raisonnement. Une analyse de risques simple mais réelle, portant sur les scénarios qui arrêtent la production : rançongiciel sur l'ERP, compromission de la messagerie, panne du système de supervision industrielle. Une politique de sécurité approuvée en comité de direction, avec preuve de la formation des dirigeants. Un plan de traitement des risques budgété et échelonné sur dix-huit mois. Enfin, une procédure de gestion d'incident testée par un exercice de crise, car c'est le seul moyen de vérifier que la chaîne de notification tient sous pression.

Le point de vigilance spécifique à ce profil est l'externalisation informatique. Le prestataire local est souvent le maillon faible : accès administrateur permanent, absence d'engagement contractuel sur la sécurité, sauvegardes non testées. La renégociation du contrat de prestation, avec ajout d'exigences vérifiables, fait partie intégrante de la mise en conformité au titre de la sécurité de la chaîne d'approvisionnement. Beaucoup d'entreprises de cette taille choisissent d'adosser la démarche à un RSSI externalisé à temps partagé plutôt que de recruter.

Cas d'usage 3 : l'entreprise qui doit rassurer ses clients

Profil type : 45 salariés, éditeur de logiciel en mode SaaS ou société de services numériques, clients grands comptes en France et à l'international, croissance rapide, appels d'offres avec questionnaires sécurité systématiques.

Ici, la question n'est pas d'abord réglementaire. Selon son activité et sa taille, l'entreprise peut relever de NIS 2 au titre des fournisseurs numériques, mais le moteur réel de la démarche est commercial : chaque cycle de vente est ralenti par un questionnaire sécurité de plusieurs dizaines de pages, et l'absence de certificat est un point de friction récurrent face à des concurrents certifiés.

La recommandation est claire : viser ISO 27001 en priorité, sur un périmètre resserré. L'erreur classique consiste à vouloir certifier l'ensemble de l'entreprise dès le premier cycle. Un périmètre limité au service délivré au client — la plateforme, son hébergement, son exploitation et son développement — réduit fortement la charge tout en couvrant précisément ce que les clients interrogent. Le périmètre pourra être étendu lors du renouvellement triennal.

Le certificat produit trois effets mesurables : il raccourcit les cycles de vente en répondant d'emblée à la majorité des questionnaires, il améliore les conditions d'assurance cyber, et il couvre l'essentiel des exigences de fond de NIS 2 si l'assujettissement se confirme. Il reste alors à ajouter les seules briques réglementaires manquantes, principalement la procédure de notification aux délais imposés et la formalisation de la responsabilité des dirigeants.

Recommandation par profil : la matrice de décision

Trois questions suffisent à orienter la décision dans la grande majorité des cas.

• Suis-je assujetti à NIS 2 ? Si oui, la conformité NIS 2 n'est pas négociable et devient le socle. Elle n'exclut rien mais conditionne le calendrier, car elle seule expose à une sanction administrative.
• Mes clients exigent-ils un référentiel précis ? Si le marché aéronautique et spatial représente une part significative du chiffre d'affaires, AirCyber prime en urgence commerciale. Si les clients sont des grands comptes multisectoriels ou internationaux, ISO 27001 est la réponse universelle.
• Quelle est ma maturité de départ ? En dessous d'un socle d'hygiène informatique fonctionnel — inventaire, sauvegardes testées, MFA, correctifs, journalisation — aucune certification n'est atteignable dans un délai raisonnable. Il faut construire ce socle avant d'engager un cycle d'audit.

Les combinaisons qui fonctionnent le mieux en pratique : NIS 2 seul pour la PME industrielle généraliste assujettie ; NIS 2 et AirCyber pour le fournisseur aéronautique ; ISO 27001 en premier, complété du delta NIS 2, pour l'acteur numérique orienté grands comptes ; et, pour une ETI multi-activités, un SMSI ISO 27001 servant de colonne vertébrale unique dont NIS 2 et AirCyber deviennent des vues sectorielles.

Feuille de route en dix-huit mois

Une trajectoire réaliste pour une PME partant d'une maturité faible s'organise en quatre temps. Les deux premiers mois sont consacrés au cadrage : qualification de l'assujettissement, cartographie du système d'information, inventaire des actifs et des données sensibles, identification des exigences clients. Ce diagnostic conditionne tout le reste et ne doit pas être bâclé.

Du troisième au huitième mois, on traite le socle technique, qui est aussi celui qui réduit le plus le risque réel : authentification multifacteur généralisée, sauvegardes déconnectées et restaurations testées, segmentation réseau, gestion des correctifs, durcissement des postes, journalisation centralisée, revue des comptes à privilèges. Cette phase absorbe la majorité du budget d'investissement.

Du neuvième au douzième mois, on installe la gouvernance : politique de sécurité approuvée, analyse de risques formalisée, plan de traitement suivi, procédures d'incident et de continuité, exercice de crise, sensibilisation des équipes, formation des dirigeants, clauses cyber dans les contrats fournisseurs.

Les six derniers mois servent à la mise sous tension du dispositif et à la preuve : indicateurs, audit interne, revue de direction, correction des écarts, puis audit de certification ou vérification de palier selon le référentiel visé. Cette phase est incompressible pour ISO 27001, car un auditeur exige des preuves d'un système ayant réellement fonctionné.

Les erreurs qui coûtent le plus cher

• Confondre outil et conformité. Acheter un EDR ou un SIEM ne rend conforme à rien. Sans analyse de risques, sans procédures et sans preuves, l'outil est un coût sans effet réglementaire.
• Certifier un périmètre trop large. C'est la première cause de dérive budgétaire et d'échec de projet ISO 27001 en PME. Un périmètre resserré et extensible vaut mieux qu'un périmètre ambitieux et abandonné.
• Négliger la chaîne fournisseurs. Les exigences remontent et redescendent. Une PME conforme dont l'infogéreur ne l'est pas reste exposée, techniquement et juridiquement.
• Traiter les référentiels en silos. Mener AirCyber puis ISO 27001 puis NIS 2 sans mutualisation, c'est payer trois fois la même analyse de risques et produire trois corpus documentaires incohérents.
• Oublier la formation des dirigeants. C'est une obligation explicite de NIS 2, facile à satisfaire, et l'un des premiers points vérifiés lors d'un contrôle.
• Ne jamais tester. Une sauvegarde non restaurée n'est pas une sauvegarde ; une procédure de crise non jouée n'est pas une procédure.

Ressources officielles à consulter

Trois sources font autorité et méritent d'être consultées directement plutôt qu'à travers des synthèses commerciales. Le portail de l'ANSSI, cyber.gouv.fr, publie les textes de transposition, les guides d'hygiène informatique et les précisions sur le périmètre d'assujettissement. Le site de l'Organisation internationale de normalisation donne accès au texte officiel de la norme ISO/IEC 27001 et de son guide d'application ISO/IEC 27002. Enfin, le GIFAS documente le programme de sécurisation de la chaîne d'approvisionnement de la filière aéronautique et spatiale et ses modalités d'accès.

Questions fréquentes

Une PME de moins de 50 salariés est-elle concernée par NIS 2 ?

En principe non : les seuils d'assujettissement démarrent à 50 salariés ou 10 millions d'euros de chiffre d'affaires ou de total de bilan. Deux réserves importantes toutefois. D'une part, certaines entités sont désignées indépendamment de leur taille, notamment lorsqu'elles fournissent un service unique ou critique, ou qu'un incident chez elles aurait un impact significatif sur la sécurité publique. D'autre part, une PME hors périmètre qui fournit une entité assujettie se verra imposer les mêmes exigences par voie contractuelle. Autrement dit, l'absence d'assujettissement direct ne dispense pas d'un socle de sécurité documenté.

La certification ISO 27001 rend-elle automatiquement conforme à NIS 2 ?

Non, mais elle en couvre l'essentiel. Un SMSI certifié adresse la quasi-totalité des dix catégories de mesures de l'article 21. Restent des obligations proprement réglementaires que la norme ne porte pas : le régime de notification à l'autorité nationale dans les délais de 24 heures, 72 heures et un mois, la formalisation de la responsabilité et de la formation des organes de direction, et la vérification que le périmètre du SMSI recouvre bien l'ensemble des activités assujetties — une certification limitée à un service ne couvre pas les autres. Le complément représente généralement quelques semaines de travail, pas un projet à part entière.

Combien de temps faut-il pour être conforme à NIS 2 ?

Pour une PME partant d'une maturité faible, comptez six à douze mois pour disposer d'un dossier défendable, c'est-à-dire d'un ensemble cohérent de mesures identifiées, décidées, mises en œuvre et documentées. Ce délai n'est pas un délai de perfection : la directive impose des mesures proportionnées, pas un niveau absolu. Ce qui compte face à un contrôle est de démontrer une démarche structurée, tracée et pilotée par la direction, avec un plan d'action daté pour les écarts résiduels. Une entreprise en cours de déploiement documenté est dans une position bien plus solide qu'une entreprise qui n'a rien engagé.

AirCyber est-il obligatoire pour travailler dans l'aéronautique ?

Juridiquement non, contractuellement presque. Aucun texte n'impose ce programme. Mais les donneurs d'ordre de la filière l'ont intégré à leurs processus d'évaluation et de renouvellement fournisseurs, avec des paliers de maturité attendus à échéances contractuelles. Un fournisseur qui refuse d'entrer dans la démarche s'expose à une dégradation progressive de sa notation fournisseur, puis à un non-renouvellement. Pour un sous-traitant dont l'aéronautique représente une part majoritaire du chiffre d'affaires, le programme doit être traité comme une contrainte d'accès au marché, avec le même degré de priorité qu'une qualification qualité.

Peut-on mener les trois démarches en parallèle sans exploser le budget ?

Oui, à condition de construire un référentiel unique dès le départ. La méthode consiste à produire une seule analyse de risques, une seule politique de sécurité, un seul jeu de procédures, puis à établir des matrices de correspondance renvoyant chaque élément vers les exigences de chaque référentiel. Le surcoût du troisième référentiel devient alors marginal, l'essentiel de la charge étant absorbé par le premier. L'erreur inverse — mener trois projets séquentiels avec trois prestataires différents — multiplie le coût par deux à trois et produit des corpus documentaires contradictoires qui se retournent contre l'entreprise lors des audits.

Pour aller plus loin

• Directive NIS 2 : obligations et périmètre d'application
• ISO 27001:2022 : guide complet de certification
• NIS2, DORA et RGPD : cartographie des exigences croisées
• Mettre en place un SMSI ISO 27001 : guide complet
• Budget cybersécurité PME : investissements et ROI