ISO 27001 et NIS2 : ce que couvre ISO, point par point

La correspondance publiée par l'ENISA relie chaque mesure technique du règlement d'exécution NIS2 à ISO 27001. Pourquoi un certificat ISO ne suffit-il pas ? La réponse tient à ce que cette correspondance ne couvre pas.

Si vous détenez un certificat ISO 27001 et que NIS2 vous est applicable, la première question est de savoir quelle part du travail est déjà faite. La bonne nouvelle, c'est que l'ENISA, l'agence de cybersécurité de l'UE, a déjà répondu à une grande partie de cette question : ses recommandations de mise en œuvre associent chaque point du règlement d'exécution NIS2 à des clauses d'ISO 27001 ou à des mesures de l'Annexe A.

Voici à quoi ressemble cette correspondance, exigence par exigence, ainsi que les parties de NIS2 qu'elle ne touche pas.

Le chiffre clé

Sur les 49 points d'exigence NIS2, 49 (100%) correspondent à un élément de ISO 27001, 0 sont seulement faiblement liés et 0 n'ont aucune correspondance dans nos données. Ouvrir le rapport d'écarts →

Chacun des points d'exigence de l'annexe du règlement d'exécution (UE) 2024/2690 correspond à un élément d'ISO 27001. Ces liens proviennent du tableau de correspondance publié par l'ENISA, et non de notre appréciation : c'est pourquoi ils sont étiquetés « Correspondance ».

Chaque point NIS2 et son équivalent ISO

NIS2	Exigence	Correspondance	ISO 27001
1.1	Policy on the security of network and information systems	Correspondance	A.5.1 A.5.37 Clause 5.2 A.5.4
1.2	Roles, responsibilities and authorities	Correspondance	A.5.2 A.5.4 A.5.3 Clause 5.3
2.1	Risk management framework	Correspondance	Clause 6.1.1 Clause 6.1.2 Clause 6.1.3 A.5.7
2.2	Compliance monitoring	Correspondance	A.5.31 Clause 9.1 A.5.36 A.5.35
2.3	Independent review of information and network security	Correspondance	A.5.31 A.5.36 Clause 9.1 A.5.35
3.1	Incident handling policy	Correspondance	A.5.24 A.5.25 A.5.26
3.2	Monitoring and logging	Correspondance	A.5.25 A.8.15 A.8.16 A.8.17
3.3	Event reporting	Correspondance	A.5.5 A.6.8
3.4	Event assessment and classification	Correspondance	A.5.25 A.8.16
3.5	Incident response	Correspondance	A.5.24 A.5.25 A.5.26 A.5.28
3.6	Post-incident reviews	Correspondance	A.5.27 Clause 10.1
4.1	Business continuity and disaster recovery plan	Correspondance	A.5.29 A.5.30 A.8.14
4.2	Backup management	Correspondance	A.5.30 A.8.13 A.8.14
4.3	Crisis management	Correspondance	A.5.26 A.5.29 A.5.30 A.8.14
5.1	Supply chain security policy	Correspondance	A.5.19 A.5.20 A.5.21 A.5.22
5.2	Directory of suppliers and service providers	Correspondance	A.5.19 A.5.20 A.5.22
6.1	Security in acquisition of ICT services, ICT systems or ICT products	Correspondance	A.5.19 A.5.20 A.5.21 A.5.22
6.2	Secure development life cycle	Correspondance	A.8.25 A.8.26 A.8.28 A.8.29
6.3	Configuration management	Correspondance	A.8.9
6.4	Change management, repairs and maintenance	Correspondance	A.7.13 A.8.32 Clause 6.3 Clause 8.1
6.5	Security testing	Correspondance	A.8.8 A.8.29 A.8.33 A.8.34
6.6	Security patch management	Correspondance	A.8.8 A.8.31 A.8.32
6.7	Network security	Correspondance	A.8.20 A.8.21 A.8.22 A.8.16
6.8	Network segmentation	Correspondance	A.5.15 A.8.5 A.8.20 A.8.21
6.9	Protection against malicious and unauthorised software	Correspondance	A.5.14 A.8.19 A.8.1 A.8.7
6.10	Vulnerability handling and disclosure	Correspondance	A.8.8
7.1	Policies and procedures to assess the effectiveness of cybersecurity risk-management measures	Correspondance	Clause 6.1.1 Clause 6.1.3 Clause 6.2 Clause 9.1
8.1	Awareness raising and basic cyber hygiene practices	Correspondance	A.6.3 Clause 7.3 A.8.7
8.2	Security training	Correspondance	A.6.3 Clause 7.3 Clause 7.2
9.1	Cryptography	Correspondance	A.8.24 A.5.31
10.1	Human resources security	Correspondance	A.6.2 A.6.3 Clause 7.1 Clause 7.2
10.2	Verification of Background	Correspondance	A.6.1 A.6.4 A.8.16
10.3	Termination or change of employment procedures	Correspondance	A.6.5
10.4	Disciplinary process	Correspondance	A.6.1 A.6.4 A.8.16 A.5.28
11.1	Access control policy	Correspondance	A.5.15 A.5.16 A.5.18 A.8.3
11.2	Management of access rights	Correspondance	A.5.15 A.5.16 A.5.18 A.8.3
11.3	Privileged accounts and system administration accounts	Correspondance	A.8.2 A.8.18
11.4	Administration systems	Correspondance	A.8.2 A.8.18
11.5	Identification	Correspondance	A.5.15 A.5.16 A.5.18 A.8.3
11.6	Authentication	Correspondance	A.5.15 A.8.5 A.8.22 A.5.17
11.7	Multi-factor authentication	Correspondance	A.8.5
12.1	Asset classification	Correspondance	A.5.12 A.5.13 A.5.9
12.2	Handling of assets	Correspondance	A.5.14 A.8.10 A.8.11 A.5.9
12.3	Removable media policy	Correspondance	A.5.14 A.8.10 A.8.11 A.8.12
12.4	Asset inventory	Correspondance	A.5.9 A.5.11 A.7.14
12.5	Deposit, return or deletion of assets upon termination of employment	Correspondance	A.5.11 A.5.18 A.8.24
13.1	Supporting utilities	Correspondance	A.7.1 A.7.2 A.7.3 A.7.4
13.2	Protection against physical and environmental threats	Correspondance	A.7.1 A.7.2 A.7.3 A.7.4
13.3	Perimeter and physical access control	Correspondance	A.7.1 A.7.2 A.7.3 A.7.4

Lisez ce tableau comme « où chercher dans votre SMSI », et non comme « déjà fait ». Une correspondance indique que le contrôle ISO traite le même sujet. La question de savoir si votre mise en œuvre satisfait le point NIS2 dépend de la manière dont vous avez implémenté le contrôle et du détail du texte NIS2, souvent plus précis que l'Annexe A.

Ce qu'ISO 27001 ne vous apporte pas

Le règlement d'exécution couvre les mesures de gestion des risques de l'article 21. NIS2 va plus loin, et rien de cela ne figure dans ISO 27001 :

Délais de notification des incidents (article 23) : une alerte précoce au CSIRT ou à l'autorité compétente dans les 24 heures suivant la prise de connaissance d'un incident significatif, une notification dans les 72 heures, et un rapport final dans un délai d'un mois. ISO 27001 exige une gestion des incidents, et non une notification réglementaire soumise à un calendrier.
Responsabilité de la direction (article 20) : l'organe de direction doit approuver les mesures, en superviser la mise en œuvre et suivre une formation, et sa responsabilité peut être engagée. La clause 5 d'ISO demande un engagement de la direction, ce qui est moins contraignant.
Enregistrement auprès de votre autorité nationale, et supervision par cette dernière.
Périmètre : un certificat ISO peut ne couvrir qu'une partie d'une organisation. NIS2 s'applique à l'entité.

Certains points de l'annexe vont également au-delà du contrôle ISO correspondant. La sécurité de la chaîne d'approvisionnement, la gestion des vulnérabilités et leur divulgation, ainsi que la cryptographie en sont des exemples courants : le contrôle ISO existe, mais NIS2 précise davantage.

Le sens inverse : ce que NIS2 laisse de côté dans ISO

Sur les 123 Mesures de l'Annexe A et clauses du SMSI ISO 27001, 104 (85%) correspondent à un élément de NIS2, 13 sont seulement faiblement liés et 6 n'ont aucune correspondance dans nos données. Ouvrir le rapport d'écarts →

Les exigences ISO sans correspondance NIS2 relèvent de la mécanique des systèmes de management :

ISO 27001	Exigence	Correspondance	NIS2
Clause 4.3	Determining the scope of the ISMS	Aucune correspondance dans nos données	—
Clause 5.1	Leadership and commitment	Aucune correspondance dans nos données	—
Clause 7.5.1	General	Aucune correspondance dans nos données	—
Clause 7.5.2	Creating and updating	Aucune correspondance dans nos données	—
Clause 7.5.3	Control of documented information	Aucune correspondance dans nos données	—
Clause 10.2	Nonconformity and corrective action	Aucune correspondance dans nos données	—

NIS2 ne demande pas de faire fonctionner un système de management certifiable. Le périmètre du SMSI, la maîtrise documentaire et les actions correctives formalisées n'ont donc pas d'équivalent direct. Cela joue dans les deux sens : une organisation qui se met en conformité avec NIS2 à partir de zéro n'en a pas besoin, mais un SMSI fournit la preuve la plus solide de l'efficacité de vos mesures, ce que l'article 21, paragraphe 2, point f), exige pourtant.

Photographie d'un écritoire avec une liste de contrôle partiellement cochée, posé sur une pile de documents reliés sur une table de réunion — Une correspondance est une liste de contrôle indiquant où chercher, et non une preuve de conformité.

Que faire si vous détenez ISO 27001

Vérifiez que vous êtes dans le champ d'application de la loi nationale de chaque pays où vous exercez, et enregistrez-vous lorsque c'est requis.
Contrôlez que le périmètre de votre certificat couvre l'ensemble de l'entité, et pas seulement un service ou un site.
Réalisez la comparaison entre votre déclaration d'applicabilité et les points de l'annexe mentionnés ci-dessus ; notre rapport d'écarts ISO 27001 → NIS2 l'exporte sous forme de tableau de suivi.
Intégrez au SMSI ce qu'ISO ne couvre pas : la procédure de notification avec ses délais de 24 et 72 heures, la formation de la direction et l'enregistrement. Les intégrer au SMSI permet à vos audits internes et de surveillance de les contrôler également.
Approfondissez les contrôles là où NIS2 est plus précis, en commençant par la sécurité de la chaîne d'approvisionnement et la gestion des vulnérabilités.

Pour une vue d'ensemble, consultez notre guide NIS2 et la comparaison complète ISO 27001 et NIS2.

Questions

La certification ISO 27001 vous rend-elle conforme à NIS2 ?

Non. Elle couvre la plupart des mesures techniques et organisationnelles, mais NIS2 ajoute des délais de notification des incidents, la formation et la responsabilité de la direction, l'enregistrement auprès de l'autorité nationale, ainsi que certaines exigences plus précises que l'Annexe A. Ce sont les autorités nationales, et non les organismes de certification, qui décident de la conformité.

Qu'est-ce que le règlement d'exécution NIS2 ?

Le règlement d'exécution de la Commission (UE) 2024/2690 précise en détail les mesures de l'article 21 de NIS2 pour les fournisseurs de services DNS, les registres de noms de domaine de premier niveau, les fournisseurs de services cloud et de centres de données, les fournisseurs de services gérés (de sécurité), les places de marché en ligne, les moteurs de recherche, les réseaux sociaux et les prestataires de services de confiance.

Données au 2026-10-27 : les chiffres de cet article sont calculés à partir de la correspondance actuelle et sont mis à jour lorsqu'elle évolue. Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Pas un conseil en conformité.

Ce que couvre ISO 27001 dans NIS2, point par point