De ISO 27001 à NIS2 : un plan pratique pour combler les écarts

Pour une organisation qui détient déjà la certification ISO 27001, NIS2 constitue surtout une extension. La correspondance établie par l'ENISA relie chaque mesure technique du règlement d'exécution NIS2 à la norme ISO 27001, et notre analyse point par point détaille cette démarche. Mais « correspondre » ne signifie pas « être conforme », et les volets que la norme ISO ne couvre pas sont précisément ceux que les régulateurs contrôlent en premier. Voici l'ordre de travail que nous suivrions.

Sur les 49 points d'exigence NIS2, 49 (100%) correspondent à un élément de ISO 27001, 0 sont seulement faiblement liés et 0 n'ont aucune correspondance dans nos données. Ouvrir le rapport d'écarts →

Phase 1 : confirmer et enregistrer (semaines 1 à 4)

1. Confirmer le périmètre et la classification au regard du droit national de chaque pays de l'UE où vous fournissez des services : secteur, taille, entité essentielle ou importante.
2. Enregistrer l'organisation auprès de l'autorité compétente lorsque c'est requis. Les délais et les formats varient selon les pays.
3. Comparer les périmètres : votre certificat ISO peut ne couvrir qu'une partie de l'organisation, alors que NIS2 s'applique à l'entité. Prévoyez d'étendre le périmètre du SMSI.

Phase 2 : gouvernance (mois 1 à 2)

1. Informer l'organe de direction de ses obligations au titre de l'article 20 : approuver les mesures, en assurer le suivi et suivre la formation. Consignez l'approbation et la formation.
2. Intégrer NIS2 au SMSI : répertoriez-le parmi les exigences légales (A.5.31), intégrez-le à l'appréciation des risques et ajoutez les références NIS2 à la Déclaration d'applicabilité.

Phase 3 : notification (mois 1 à 3)

1. Élaborer la procédure de notification des incidents significatifs : qui décide de la significativité, qui notifie le CSIRT ou l'autorité, et comment respecter l'alerte précoce sous 24 heures, la notification sous 72 heures et le rapport final d'un mois. Notre article sur la mise en place de cette procédure la détaille étape par étape.
2. La tester, y compris en dehors des heures ouvrées.

Phase 4 : approfondir les mesures techniques (mois 2 à 6)

1. Réaliser la comparaison exigence par exigence avec le rapport d'écarts ISO 27001 → NIS2 et marquer chaque point comme respecté, partiellement respecté ou non respecté.
2. Hiérarchiser les écarts habituels : sécurité de la chaîne d'approvisionnement (critères fournisseurs et clauses contractuelles), gestion des vulnérabilités et divulgation coordonnée, politique de cryptographie, et évaluation de l'efficacité (article 21, paragraphe 2, point f).
3. Intégrer le détail NIS2 dans les mesures ISO existantes plutôt que de créer des mesures parallèles.

Phase 5 : démontrer l'efficacité (en continu)

1. Inclure NIS2 dans l'audit interne et dans la revue de direction.
2. Conserver des preuves d'efficacité : indicateurs, résultats de tests et constats d'audit, car les autorités de contrôle demandent la preuve que les mesures fonctionnent, et pas seulement qu'elles existent.
3. Suivre les orientations nationales : les autorités publient encore leurs attentes et leurs modèles.

Qui fait quoi

Un plan de ce type exige plus que le seul responsable du SMSI :

• L'organe de direction : approuve les mesures, suit la formation et reçoit des rapports réguliers.
• Juridique ou conformité : confirme le périmètre au regard du droit national, gère l'enregistrement et suit les orientations nationales.
• Opérations de sécurité : pilote la procédure de notification, la décision de significativité et les exercices.
• Achats : intègrent les critères de sélection des fournisseurs et les clauses de sécurité dans les contrats.
• Ingénierie et IT : comblent les écarts techniques, tels que la divulgation des vulnérabilités, la cryptographie et les indicateurs d'efficacité.
• Le responsable du SMSI : coordonne le dispositif, tient à jour la correspondance et les preuves, et pilote l'audit interne.

Nommer ces rôles dès le départ évite l'écueil le plus courant : un programme NIS2 piloté entièrement par l'équipe sécurité, qui ne peut ni approuver ses propres mesures ni réécrire les contrats d'achats.

Points clés

• Pour les organisations certifiées ISO, NIS2 constitue une extension, et non un nouveau programme.
• Commencez par le périmètre, l'enregistrement, les obligations de la direction et la notification.
• Approfondissez ensuite la chaîne d'approvisionnement, la gestion des vulnérabilités et la cryptographie.

Le piège à éviter

Traiter NIS2 comme un exercice documentaire. Les organisations certifiées ISO disposent souvent déjà des politiques ; les autorités de contrôle demanderont si la procédure de notification fonctionne à 2 heures du matin, si la direction a effectivement été formée et si les exigences fournisseurs figurent dans de véritables contrats. Concentrez d'abord vos efforts sur ces points.

Consultez le guide NIS2 et la comparaison ISO 27001 vs NIS2 pour une vue d'ensemble.

Questions

Combien de temps faut-il pour passer de ISO 27001 à NIS2 ?

Cela dépend du périmètre et des écarts relevés, mais comme la plupart des mesures techniques se correspondent, le travail porte essentiellement sur la gouvernance, la notification, la sécurité des fournisseurs et l'approfondissement de contrôles spécifiques, ce qui représente souvent quelques mois plutôt qu'un nouveau programme pluriannuel.

Faut-il renouveler la certification ISO 27001 pour NIS2 ?

Non. La conformité à NIS2 est évaluée par votre autorité nationale, et non par un organisme de certification. En intégrant les exigences NIS2 au SMSI, vos audits existants les vérifient également.

La correspondance établie par l'ENISA est-elle contraignante ?

Non. La correspondance établie par l'ENISA entre le règlement d'exécution et la norme ISO 27001 ainsi que le NIST CSF 2.0 constitue une orientation. Ce sont les autorités nationales qui décident de la conformité au regard du droit national.