ISO 27001 ou NIS2 : points communs et différences

Définition

L'ISO/IEC 27001:2022 spécifie les exigences relatives à l'établissement, au fonctionnement et à l'amélioration d'un système de management de la sécurité de l'information (SMSI) : contexte et périmètre, leadership, appréciation et traitement des risques, support, fonctionnement, évaluation des performances et amélioration. Son annexe A énumère 93 mesures de référence regroupées en thèmes organisationnels, humains, physiques et technologiques, sélectionnées en fonction de votre appréciation des risques. Les organisations peuvent choisir de faire auditer leur SMSI par un organisme de certification accrédité. NIS2, quant à elle, impose aux entités couvertes de mettre en œuvre des mesures de gestion des risques dans des domaines définis, rend les organes de direction responsables et ajoute une notification stricte des incidents aux autorités, une supervision et des sanctions. Le recoupement est important : l'appréciation des risques, les politiques, le contrôle d'accès, la cryptographie, la sécurité des fournisseurs, la gestion des incidents, la continuité et la formation figurent dans les deux. Les différences comptent aussi. NIS2 fixe des délais légaux de notification, une responsabilité et une formation explicites de la direction ainsi qu'une supervision nationale ; l'ISO 27001 vous laisse définir le périmètre, qui peut ne pas correspondre aux services visés par NIS2.

Public concerné

Cette comparaison est utile pour :

• Les organisations disposant d'un programme ISO 27001 qui évaluent leurs écarts par rapport à NIS2
• Les organisations relevant de NIS2 qui se demandent s'il faut bâtir un SMSI comme cadre de référence
• Les fournisseurs à qui des clients demandent soit un alignement sur l'ISO 27001, soit des assurances liées à NIS2
• Les équipes de direction qui répartissent le budget entre les référentiels

Ce qu'il aide à clarifier

Les comparer côte à côte permet de clarifier :

• Quels contrôles et registres existants peuvent être réutilisés comme preuves pour NIS2
• Si le périmètre de votre SMSI couvre les services et systèmes pertinents au titre de NIS2
• Quelles obligations NIS2, comme les délais de notification, nécessitent des procédures supplémentaires
• Si une certification ISO formelle est une exigence commerciale ou simplement un cadre utile

Ce qui est inclus

• Comparer le périmètre de votre SMSI avec les services et systèmes qui seraient pertinents au titre de NIS2
• Mettre en correspondance les mesures de l'annexe A que vous avez mises en œuvre avec les domaines de mesures de l'article 21 de NIS2
• Ajouter une procédure d'incident pour les étapes de notification à 24 heures, 72 heures et un mois
• Documenter explicitement l'approbation, la supervision et la formation de l'organe de direction
• Étendre l'évaluation des fournisseurs aux fournisseurs TIC qui sous-tendent les services critiques
• Vérifier la transposition nationale pour d'éventuelles exigences supplémentaires ou des schémas de référence
• Utiliser les audits internes et les revues de direction pour montrer l'efficacité des mesures dans la durée
• Conserver des preuves des contrôles techniques, et pas seulement des politiques

Ce qui n'est pas inclus

• Une certification ISO 27001 ou un audit par un organisme de certification
• Une déclaration selon laquelle la certification ISO 27001 satisfait aux obligations de NIS2
• Une interprétation juridique du droit national relatif à NIS2
• Des titres officiels ou des accréditations

Quand le choisir

Utilisez cette comparaison lorsque vous planifiez votre programme de sécurité pour les une à deux années à venir. Si des clients exigent un certificat ISO 27001, prévoyez un audit de certification accrédité comme étape distincte. Si vous relevez de NIS2, utilisez la structure du SMSI pour organiser les mesures, mais ajoutez les éléments propres à la directive. Si vous n'avez ni l'un ni l'autre, commencer par une revue structurée des écarts au regard d'un référentiel convenu est souvent plus utile que de rédiger d'abord des politiques. Cet article constitue une information générale et non un conseil juridique.

Notre approche

Considérez l'ISO 27001 comme la structure de management et NIS2 comme un ensemble d'exigences légales auxquelles cette structure doit répondre. Commencez par un ensemble unique de contrôles mis en correspondance avec les deux, afin que chaque contrôle ait un seul responsable et un seul jeu de preuves. Soyez particulièrement attentif au périmètre : un SMSI qui ne couvre qu'une fonction du siège ne démontrera pas grand-chose sur les systèmes qui sous-tendent un service critique. Notre service Security Baseline Review peut vous aider sur le volet technique : une vue écrite, classée par gravité, des actifs convenus et des observations d'écarts de préparation au regard d'un référentiel convenu, lorsque cela est inclus dans le périmètre confirmé. Il s'agit d'un appui à la préparation et à la décision qui vous prépare au travail avec les organismes de certification accrédités, les auditeurs et les conseillers juridiques. Si la certification est votre objectif, choisissez un organisme de certification accrédité pour l'audit et maintenez les travaux de préparation distincts de celui-ci.

Security Baseline Review

Foire aux questions

Articles connexes