NIS 2 vs ISO 27001 : différences et complémentarités

Depuis que la directive NIS 2 est entrée en application, une question revient dans presque tous les comités de direction : « nous sommes certifiés ISO/IEC 27001, sommes-nous conformes à NIS 2 ? » La réponse honnête est non — mais elle mérite d'être nuancée, car elle n'est pas non plus « il faut tout recommencer ». Un système de management de la sécurité de l'information (SMSI) certifié constitue le meilleur socle possible pour absorber les exigences de la directive, à condition de comprendre précisément ce qu'il couvre, ce qu'il couvre partiellement, et ce qu'il ne couvrira jamais. Confondre les deux référentiels expose à deux erreurs symétriques et également coûteuses : croire qu'un certificat suffit à satisfaire l'autorité de contrôle, ou reconstruire de zéro un dispositif de conformité alors que 60 à 80 % des livrables existent déjà. Cet article détaille les différences de nature juridique, de périmètre et de gouvernance, propose une cartographie point par point de l'article 21(2) vers les clauses et contrôles de la norme, et propose une trajectoire combinée exploitable sur dix-huit mois.

NIS 2 et ISO 27001 : deux objets de nature radicalement différente

La première confusion à lever est juridique. La directive (UE) 2022/2555, dite NIS 2, est un acte législatif européen contraignant. Elle ne s'applique pas directement : elle impose aux États membres de transposer ses exigences dans leur droit national, et c'est ce droit national qui crée l'obligation opposable à l'entreprise. En France, la transposition est portée par la loi relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité, complétée par des décrets d'application qui précisent les seuils, les modalités d'enregistrement et le régime de supervision. L'ANSSI est désignée autorité nationale compétente et centre de réponse aux incidents (CSIRT national).

ISO/IEC 27001:2022 est d'une autre nature : une norme internationale, publiée par l'ISO et la CEI, d'adoption volontaire. Personne n'est légalement tenu de la respecter. Sa force vient d'ailleurs : d'un mécanisme de certification par tierce partie accréditée (COFRAC en France), qui produit une preuve reconnue par le marché. Une entreprise peut être parfaitement conforme à ISO 27001 sans jamais se faire certifier ; elle peut aussi être certifiée sur un périmètre si étroit que le certificat n'apporte quasiment aucune garantie sur son exposition réelle.

Conséquence pratique : les mécanismes de sanction n'ont rien de comparable. Le non-respect de NIS 2 expose une entité essentielle à une amende administrative pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, et une entité importante à 7 millions d'euros ou 1,4 %. L'autorité peut également suspendre temporairement une certification ou une autorisation d'exercer, voire interdire à une personne physique d'exercer des fonctions dirigeantes. Le « non-respect » d'ISO 27001, lui, se traduit par une non-conformité en audit, puis par une suspension ou un retrait de certificat. Un risque commercial, pas un risque pénal ou administratif.

Périmètre : l'asymétrie que presque tout le monde sous-estime

C'est le point le plus mal compris, et celui qui produit le plus de faux sentiments de sécurité. Le périmètre d'ISO 27001 est auto-déclaré. L'organisation définit elle-même le domaine d'application de son SMSI (clause 4.3), puis formalise dans sa déclaration d'applicabilité (SoA) quels contrôles de l'Annexe A elle retient, lesquels elle exclut et pourquoi. Un groupe industriel de 4 000 personnes peut détenir un certificat parfaitement valide couvrant un seul centre de données et une seule ligne de service.

NIS 2 ne fonctionne pas ainsi. La directive s'applique à l'entité juridique dans son ensemble, dès lors qu'elle exerce une activité relevant de l'annexe I (secteurs hautement critiques : énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC en B2B, administration publique, espace) ou de l'annexe II (services postaux et d'expédition, gestion des déchets, produits chimiques, denrées alimentaires, fabrication — dont dispositifs médicaux, produits électroniques, équipements électriques, machines, véhicules —, fournisseurs numériques, recherche). La règle de taille — dite « règle du plafond de taille » — classe en entités essentielles les grandes entreprises des secteurs de l'annexe I et en entités importantes les entreprises moyennes ainsi que les entités de l'annexe II, avec des exceptions sectorielles qui font entrer certains acteurs quelle que soit leur taille (fournisseurs de services DNS, registres de noms de domaine de premier niveau, prestataires de services de confiance, opérateurs de réseaux publics de communications électroniques).

Autrement dit : le périmètre NIS 2 n'est pas négociable, et il englobe des systèmes qu'un SMSI a très souvent laissés hors champ — l'informatique industrielle (OT), les filiales étrangères, les outils métier hérités, les environnements de laboratoire. C'est là que se loge l'essentiel de l'écart de conformité, et c'est le premier chantier à ouvrir dans toute démarche d'accompagnement NIS 2.

Gouvernance : là où NIS 2 va plus loin que la norme

ISO 27001 est exigeante sur le leadership. La clause 5 impose à la direction de démontrer son engagement, d'établir une politique de sécurité, d'attribuer rôles et responsabilités ; la clause 9.3 impose une revue de direction périodique alimentée par des données factuelles. C'est un dispositif solide, mais il reste interne à l'organisation : le seul juge de son effectivité est l'auditeur de certification.

L'article 20 de NIS 2 déplace le curseur. Il exige que les organes de direction approuvent les mesures de gestion des risques, qu'ils en supervisent la mise en œuvre, et — c'est la disposition la plus commentée — il engage leur responsabilité personnelle en cas de manquement. Il impose en outre aux membres de ces organes de suivre une formation leur permettant d'acquérir des connaissances suffisantes pour identifier les risques et évaluer les pratiques de gestion, et encourage la même offre de formation pour l'ensemble des salariés.

Aucune de ces trois obligations n'a d'équivalent contraignant dans la norme. ISO 27001 demande que les compétences soient assurées (clause 7.2) et que le personnel soit sensibilisé (clause 7.3), mais ne cible pas nominativement le conseil d'administration ni le comité exécutif, et n'assortit le manquement d'aucune conséquence individuelle. Concrètement, une organisation certifiée doit ajouter trois livrables : une délibération formalisée d'approbation des mesures par l'organe de direction, un dispositif documenté de supervision (tableau de bord, fréquence, points de décision), et un plan de formation dirigeants dont la réalisation est traçable. Ce sont des livrables légers à produire, mais ils sont systématiquement absents des SMSI existants — et ils figurent en tête des points contrôlés en supervision.

Gestion des risques : article 21 face à l'Annexe A

L'article 21(1) pose le principe : les entités prennent des mesures techniques, opérationnelles et organisationnelles « appropriées et proportionnées » pour gérer les risques, selon une approche « tous risques » (all-hazards) qui inclut explicitement la sécurité physique et environnementale. Le niveau exigé est modulé par l'exposition, la taille, la probabilité de survenance des incidents et leur gravité, y compris leur impact sociétal et économique.

Cette formulation est proche de l'esprit d'ISO 27001, mais l'architecture diffère. La norme ne prescrit pas de mesures : elle impose un processus — apprécier les risques selon des critères définis (6.1.2), les traiter et justifier les choix dans la SoA (6.1.3), mesurer, auditer, corriger (9 et 10) — et propose 93 contrôles en Annexe A répartis en quatre thèmes : organisationnels (37), liés aux personnes (8), physiques (14) et technologiques (34). L'article 21(2), lui, énumère dix domaines de mesures qui constituent un socle minimal non négociable : aucune n'est écartable au motif que le risque a été jugé acceptable.

C'est la différence de logique la plus structurante. Sous ISO 27001, l'exclusion d'un contrôle est légitime si elle est justifiée. Sous NIS 2, les dix points de l'article 21(2) doivent tous être couverts ; seule l'intensité de la mise en œuvre est proportionnée. Une SoA qui exclut, par exemple, la cryptographie ou la sécurité des fournisseurs devient un signal d'écart immédiat. Pour les entités de l'infrastructure numérique et les fournisseurs de services numériques, le règlement d'exécution (UE) 2024/2690 précise d'ailleurs ces exigences à un niveau de détail technique très proche d'un référentiel de contrôles — et supprime toute marge d'interprétation.

Tableau comparatif : l'article 21(2) point par point

Deux enseignements se dégagent de cette cartographie. Premièrement, plusieurs exigences de l'article 21 renvoient aux clauses du système de management (6, 7, 9, 10) et non à l'Annexe A : c'est précisément ce que la norme fait de mieux et ce qu'un dispositif de conformité bâti à la hâte ne sait pas produire. Deuxièmement, les écarts se concentrent sur des points (c), (d), (e) et (j) où NIS 2 est plus prescriptif que la norme, et non sur des domaines absents de celle-ci.

Continuité d'activité et gestion de crise

Le point (c) est celui où l'écart de maturité est le plus fréquent. ISO 27001:2022 traite la continuité par deux contrôles : A.5.29, qui exige le maintien de la sécurité de l'information pendant une perturbation, et A.5.30, introduit en 2022, qui impose que les TIC soient préparées pour la continuité d'activité sur la base d'objectifs de continuité définis. Ces contrôles supposent l'existence d'un cadre de continuité — analyse d'impact sur l'activité, RTO/RPO, stratégies de reprise — mais ne l'imposent pas et ne le décrivent pas. La norme dédiée est ISO 22301, distincte et non requise pour la certification 27001.

NIS 2 cite explicitement quatre objets : la continuité des activités, la gestion des sauvegardes, la reprise après sinistre et la gestion des crises. La « gestion des crises » est l'élément généralement le plus faible : elle suppose une organisation de crise nommée, des critères de déclenchement, un schéma d'alerte, des moyens de communication de repli utilisables lorsque l'annuaire d'entreprise et la messagerie sont indisponibles, et un rythme d'exercices documenté. Le lien avec le point (j) est direct : les « systèmes de communication d'urgence sécurisés » ne sont pas un raffinement, ils conditionnent la capacité à tenir les délais de notification en pleine compromission.

La règle opérationnelle que nous appliquons : une sauvegarde n'est réputée exister que si une restauration complète a été testée sur l'exercice en cours, hors production, avec un procès-verbal daté et signé. Beaucoup d'organisations certifiées échouent sur ce seul point, non par absence de sauvegardes, mais par absence de preuve de restaurabilité. C'est aussi l'un des premiers éléments demandés lors d'un contrôle après incident.

Chaîne d'approvisionnement : deux philosophies distinctes

ISO 27001 aborde les fournisseurs sous l'angle contractuel et bilatéral : identifier les risques liés à chaque fournisseur (A.5.19), les traduire en clauses d'accord (A.5.20), gérer spécifiquement la chaîne TIC (A.5.21), surveiller et réviser les services rendus (A.5.22), encadrer le cloud (A.5.23) et le développement externalisé (A.8.30). L'approche est mature mais reste centrée sur le rang 1.

NIS 2 introduit une dimension systémique. Le point (d) vise « les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs », mais l'article 21(3) précise que les entités doivent prendre en compte les vulnérabilités propres à chaque fournisseur ainsi que la qualité globale des produits et des pratiques de cybersécurité de leurs fournisseurs, y compris leurs procédures de développement sécurisé. À cela s'ajoutent, au niveau européen, les évaluations coordonnées des risques portant sur les chaînes d'approvisionnement critiques, dont les conclusions redescendent vers les entités.

Traduction concrète : la liste des fournisseurs ne suffit plus. Il faut une segmentation par criticité assumée, un niveau d'exigence différencié par segment, des clauses de sécurité opposables (droit d'audit, engagement de notification d'incident vers le donneur d'ordre, exigences sur les accès distants et la maintenance), et une capacité à démontrer que les fournisseurs les plus critiques ont été réellement évalués. Sur les chaînes industrielles et aéronautiques, une démarche AirCyber constitue une réponse structurée à cette exigence de maîtrise des rangs successifs, et se combine sans redondance avec un SMSI existant.

Notification d'incidents : l'obligation sans équivalent normatif

C'est la rupture la plus nette. ISO 27001 organise la gestion interne des incidents et, via A.5.5, les relations avec les autorités — mais elle n'impose ni délai, ni destinataire, ni format. NIS 2 impose une séquence stricte à l'article 23, déclenchée dès qu'un incident est qualifié d'« important » : soit qu'il cause ou soit susceptible de causer une perturbation opérationnelle grave ou des pertes financières pour l'entité, soit qu'il affecte ou soit susceptible d'affecter d'autres personnes physiques ou morales en causant un préjudice considérable, matériel ou immatériel.

Ces délais courent à compter de la connaissance de l'incident, pas de sa résolution. Ils supposent donc une chaîne préétablie : qui qualifie, sur quels critères, qui décide, qui rédige, qui transmet, et par quel canal si le système d'information est hors service. S'y ajoute l'obligation, lorsque c'est pertinent, d'informer sans délai les destinataires des services potentiellement affectés et, le cas échéant, de communiquer publiquement. Ce dispositif se construit en quelques semaines, mais il ne s'improvise pas le jour J — et son absence est l'un des manquements les plus visibles pour une autorité de contrôle. L'ENISA publie des orientations techniques utiles pour calibrer les seuils de qualification par secteur.

Ce qu'une certification ISO 27001 ne couvrira jamais

Résumons l'analyse d'écart telle que nous la restituons en comité de direction, en trois catégories, sans pourcentage fantaisiste.

Il faut être explicite sur un point souvent mal interprété : la certification ISO 27001 n'emporte aucune présomption de conformité à NIS 2. L'article 25 de la directive encourage le recours aux normes européennes et internationales, et l'article 24 permet d'exiger l'usage de produits, services et processus TIC certifiés au titre du règlement (UE) 2019/881 — mais aucun de ces mécanismes ne transforme un certificat en quitus réglementaire. Le certificat est une preuve recevable et utile devant une autorité ; il n'est pas une exemption.

Ce que NIS 2 apporte en retour à un SMSI existant

La synergie n'est pas à sens unique. Les organisations qui ont conduit une mise en conformité NIS 2 sérieuse constatent que leur SMSI en sort renforcé sur quatre axes.

• Le périmètre. L'obligation de couvrir l'entité entière force à réintégrer l'OT, les filiales et les systèmes hérités dans le SMSI. Beaucoup en profitent pour élargir le domaine d'application de leur certificat à l'occasion du cycle de renouvellement — ce qui restaure la crédibilité commerciale du certificat.
• L'engagement de la direction. La responsabilité personnelle introduite par l'article 20 obtient en quelques semaines ce que des années de sensibilisation n'avaient pas produit : une revue de direction réellement décisionnelle, avec arbitrages budgétaires à la clé.
• La chaîne d'approvisionnement. L'exigence de considérer les pratiques de développement des fournisseurs pousse à sortir du questionnaire déclaratif pour aller vers des preuves et des vérifications, ce qui améliore mécaniquement A.5.19 à A.5.23.
• L'entraînement. La contrainte des 24 heures impose des exercices de crise réguliers, qui alimentent directement A.5.24, A.5.27 et la clause 10.

Inversement, l'apport le plus décisif de la norme à la conformité NIS 2 est méthodologique : le cycle mesurer-auditer-corriger des clauses 9 et 10 est exactement ce que réclame le point (f) de l'article 21(2), et c'est ce que les dispositifs de conformité montés en urgence ne savent jamais démontrer. Une entité disposant d'un SMSI certifié possède déjà, sans effort supplémentaire, la preuve la plus difficile à produire devant un régulateur : celle que son dispositif est piloté et non figé.

Roadmap combinée sur dix-huit mois

La trajectoire ci-dessous suppose une organisation ne disposant d'aucun des deux dispositifs. Une entité déjà certifiée peut réduire l'ensemble à huit ou dix mois en démarrant directement en phase 2.

Deux règles de séquencement méritent d'être respectées. D'abord, l'enregistrement auprès de l'autorité (phase 1) ne doit pas attendre la fin des travaux techniques : c'est une obligation autonome, dont l'omission est un manquement en soi. Ensuite, la procédure de notification (phase 4) doit être opérationnelle bien avant la certification, car un incident important peut survenir à tout moment du programme.

Erreurs fréquentes observées sur le terrain

Coûts, charge interne et arbitrages

Les ordres de grandeur constatés sur des entités de 200 à 2 000 salariés, à titre indicatif : une analyse d'écart croisée sérieuse représente quinze à trente jours d'expertise ; la construction du socle de management, quarante à quatre-vingts jours répartis sur six à huit mois ; les chantiers techniques spécifiques (MFA, journalisation, segmentation, sauvegardes testées) dépendent entièrement de la dette existante et constituent la variable la plus dispersée. Côté certification, l'audit initial et le cycle de trois ans se chiffrent en dizaines de milliers d'euros selon le nombre de sites et l'effectif.

La charge interne est systématiquement sous-estimée. Une conformité NIS 2 conduite conjointement avec une certification mobilise l'équivalent d'un mi-temps à un plein temps dédié sur toute la durée du programme, sans compter les contributions métiers. Pour une organisation qui ne dispose pas de cette ressource en interne, l'appui d'un RSSI externalisé est l'option la plus économique : il apporte à la fois la capacité de pilotage et l'antériorité méthodologique, et il évite le scénario le plus coûteux de tous — un programme de conformité mené deux fois parce que le périmètre initial était faux.

Enfin, l'arbitrage le plus fréquent : faut-il se certifier alors que NIS 2 ne l'exige pas ? Notre réponse est oui dans deux cas — lorsque l'entreprise vend à des donneurs d'ordre qui exigent déjà la preuve, et lorsque la culture interne a besoin d'une échéance externe pour tenir le rythme. Dans les autres cas, viser la conformité à la norme sans certificat reste un choix défendable, à condition d'accepter de produire soi-même la preuve d'effectivité que l'audit aurait apportée.

Questions fréquentes

Une certification ISO 27001 me dispense-t-elle des obligations NIS 2 ?

Non. Aucune disposition de la directive n'accorde de présomption de conformité à une entité certifiée. Le certificat est une preuve recevable, appréciée par l'autorité, qui démontre la maturité du dispositif de management ; il ne couvre ni l'enregistrement, ni la notification d'incident, ni les obligations de gouvernance de l'article 20, et il ne dit rien des périmètres exclus de votre déclaration d'applicabilité.

Par quoi commencer si je ne suis ni conforme ni certifié ?

Par la qualification juridique de votre statut et par l'enregistrement auprès de l'autorité nationale. Ce sont des obligations autonomes, indépendantes de l'état d'avancement technique, et leur omission constitue un manquement immédiatement constatable. Ensuite seulement, lancez l'analyse d'écart croisée sur le périmètre réglementaire complet.

Mon entreprise est-elle concernée si elle compte moins de cinquante salariés ?

En principe non, la règle de taille écartant les micro et petites entreprises. Mais des exceptions sectorielles font entrer certaines entités quelle que soit leur taille : fournisseurs de services DNS, registres de noms de domaine de premier niveau, prestataires de services de confiance, opérateurs de réseaux publics de communications électroniques, ainsi que les entités désignées comme critiques par l'État. Une qualification au cas par cas est indispensable.

Faut-il viser ISO 22301 en plus d'ISO 27001 pour couvrir la continuité ?

Ce n'est pas obligatoire. Les contrôles A.5.29 et A.5.30 de la version 2022, correctement mis en œuvre avec une analyse d'impact sur l'activité et des objectifs de reprise formalisés, suffisent à répondre au point (c) de l'article 21(2). ISO 22301 apporte un cadre plus complet et se justifie surtout pour les entités dont l'indisponibilité a un impact sociétal fort.

Comment gérer les fournisseurs qui refusent les clauses de sécurité ?

Segmentez d'abord par criticité : l'exigence n'a pas à être identique pour tous. Pour les fournisseurs critiques qui refusent, documentez le refus, évaluez le risque résiduel, faites-le arbitrer formellement par la direction et inscrivez-le au registre des risques acceptés. Une exposition assumée et tracée est défendable ; une exposition non identifiée ne l'est pas.

Que se passe-t-il en cas de contrôle de l'autorité nationale ?

Le régime de supervision est différencié : les entités essentielles font l'objet d'une supervision ex ante (inspections sur place, audits de sécurité, demandes d'informations, scans de sécurité), tandis que les entités importantes relèvent d'une supervision ex post, déclenchée par un indice de manquement ou un incident. Dans les deux cas, les premiers éléments demandés sont l'enregistrement, la preuve d'approbation des mesures par l'organe de direction et l'historique des notifications.

La transposition française ajoute-t-elle des exigences par rapport à la directive ?

Les États membres peuvent adopter des dispositions plus strictes. En France, les modalités précises d'enregistrement, les seuils sectoriels et le calendrier de mise en conformité sont fixés par le droit national et ses textes d'application. Il faut donc raisonner à partir des textes nationaux en vigueur et des référentiels publiés par l'ANSSI, la directive fixant le socle minimal harmonisé.

Peut-on mener les deux démarches simultanément sans les alourdir ?

Oui, et c'est même l'approche la plus économique. Un référentiel de contrôles unique, une base documentaire unique et un programme d'audit unique servent les deux objectifs. La condition est de cadrer dès le départ le périmètre sur l'obligation réglementaire, puis de traiter les exigences propres à la directive — notification, gouvernance, communications d'urgence — comme des chantiers additionnels identifiés, et non comme des variantes du SMSI.

Pour aller plus loin

• Directive NIS 2 : texte complet et obligations sectorielles
• ISO 27001:2022 : certification, coûts et mise en œuvre
• SMSI ISO 27001 : implémentation pas à pas en 2026
• NIS2, DORA et RGPD : exigences croisées et synergies
• NIS 2 phase opérationnelle : calendrier et étapes 2026