NIS2 vs ISO 27001 : votre SMSI suffit-il ?
ISO/IEC 27001:2022 · NIS2 Implementing Regulation (EU) 2024/2690 · données du 2026-10-27
Par Paul Gillet · Mis à jour le 2026-10-17
NIS2 (directive (UE) 2022/2555) exige que les entités essentielles et importantes de l'UE prennent des mesures de gestion des risques de cybersécurité et signalent les incidents significatifs. Le règlement d'exécution de la Commission (UE) 2024/2690 détaille ces mesures pour les fournisseurs d'infrastructures numériques et de services TIC (DNS, cloud, centres de données, fournisseurs de services gérés et de services de sécurité gérés, plateformes en ligne et autres). Les recommandations techniques de mise en œuvre de l'ENISA font correspondre chacune de ses exigences à la norme ISO/IEC 27001:2022.
Cette correspondance explique pourquoi chaque point de NIS2 ci-dessous apparaît comme couvert lorsque vous disposez déjà d'ISO 27001 : l'ENISA relie chaque point à des clauses ISO ou à des contrôles de l'Annexe A précis. Un SMSI ISO 27001 constitue la voie la plus directe vers la préparation technique à NIS2, et de nombreux États membres le considèrent comme une preuve solide.
Mais l'ENISA précise explicitement que la mise en œuvre des normes mises en correspondance « ne présume pas la conformité ». NIS2 impose aussi des obligations qu'ISO n'impose pas : la responsabilité et la formation de l'organe de direction (article 20), la notification des incidents à votre CSIRT ou à l'autorité dans des délais fixes (article 23 : alerte précoce sous 24 heures, notification sous 72 heures, rapport final dans un délai d'un mois), l'enregistrement auprès de votre autorité nationale, ainsi que des modalités de transposition nationales qui varient d'un pays à l'autre.
Pour passer de NIS2 à ISO, le travail restant porte sur le système de management certifiable : périmètre, leadership, informations documentées, audit interne et revue de direction.
En bref
| ISO 27001 | NIS2 | |
|---|---|---|
| Ce que c'est | Une norme volontaire et certifiable | Droit de l'UE, appliqué par la législation nationale |
| À qui elle s'applique | À toute organisation qui la choisit | Entités essentielles et importantes dans 18 secteurs |
| Notification des incidents | Non exigée par la norme | Alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois |
| Responsabilité de la direction | Engagement de la direction (clause 5) | La direction doit approuver, superviser et suivre une formation, et peut voir sa responsabilité engagée |
| Évaluation | Audits par l'organisme de certification | Contrôle, audits et sanctions par l'autorité nationale |
| Correspondance officielle | — | L'ENISA met en correspondance chaque point du règlement d'exécution avec ISO 27001 |
Ce qu'ISO 27001 ne vous apporte pas
- Délais de notification : une procédure testée permettant de déterminer si un incident est significatif et de notifier sous 24 et 72 heures, y compris en dehors des heures ouvrées.
- Formation et responsabilité de la direction : l'article 20 exige que l'organe de direction suive une formation et approuve les mesures.
- Enregistrement auprès de votre autorité nationale.
- Exigences techniques spécifiques : certains points du règlement d'exécution (par exemple sur la cryptographie, la gestion des vulnérabilités et la sécurité de la chaîne d'approvisionnement) sont plus prescriptifs que le contrôle correspondant de l'Annexe A.
- Périmètre : un certificat ISO peut ne couvrir qu'une partie de l'organisation, alors que NIS2 s'applique à l'entité.
Utiliser ISO 27001 comme socle
Si vous êtes certifié, réalisez une analyse d'écarts à partir de votre Déclaration d'applicabilité par rapport à l'annexe du règlement d'exécution (ou à l'article 21 selon votre droit national), étendez si nécessaire le périmètre du SMSI à l'ensemble de l'entité, et ajoutez la procédure de notification et la formation de la direction au SMSI afin qu'elles soient auditées avec le reste. Ce sont les autorités, et non les organismes de certification, qui décident de la conformité ; mais un SMSI opérationnel constitue une preuve solide de l'efficacité des mesures.
Qui est concerné par quoi
NIS2 est obligatoire pour les entités essentielles et importantes des secteurs qu'elle énumère, généralement les organisations de taille moyenne et plus grandes opérant dans l'UE, ainsi que certains petits fournisseurs, comme les fournisseurs DNS et les prestataires de services de confiance. ISO 27001 est volontaire mais souvent exigée par les clients. Les organisations soumises à NIS2 qui vendent aussi à de grandes entreprises ou répondent à des marchés publics finissent généralement par disposer des deux : NIS2 parce que la loi l'exige, ISO 27001 parce que les clients demandent un certificat.
Coût et effort
Pour une organisation qui détient déjà ISO 27001, l'essentiel du coût de NIS2 concerne la gouvernance et les processus plutôt que la technologie : formation et approbation par la direction, procédure testée de notification des incidents significatifs, exigences de sécurité des fournisseurs intégrées aux contrats, enregistrement et preuves que les mesures fonctionnent. Les écarts techniques existent mais sont généralement plus restreints : divulgation des vulnérabilités, règles de cryptographie et mesures spécifiques de sécurité de la chaîne d'approvisionnement. Pour une organisation partant de zéro, bâtir un SMSI de type ISO est souvent le moyen le plus efficace de satisfaire aux mesures de l'article 21 de NIS2, qu'elle se fasse ensuite certifier ou non.
Calendrier
Une organisation certifiée ISO peut généralement combler les écarts spécifiques à NIS2 en trois à six mois : enregistrement et formation de la direction en premier, procédure de notification dans le premier trimestre, puis sécurité des fournisseurs et mesures techniques plus spécifiques. Notre plan ISO 27001 vers NIS2 détaille l'ordre des étapes. Sans ISO, prévoyez les six à douze mois que prend généralement un premier SMSI, avec une priorité donnée à la notification et à la gouvernance, que les autorités de contrôle vérifient en premier.
Exemple pratique : un prestataire de services gérés
Un prestataire de services gérés de 200 personnes dans l'UE détient ISO 27001 pour ses services d'hébergement et de support. En tant que prestataire de services gérés, il relève de NIS2, et les mesures détaillées du règlement d'exécution s'appliquent directement à lui.
La correspondance de l'ENISA relie chaque point du règlement d'exécution à un contrôle ISO qu'il applique déjà. Son travail d'écarts porte donc sur : l'extension du périmètre du SMSI de deux lignes de services à l'ensemble de l'entité ; la formation du conseil de direction et l'enregistrement de son approbation des mesures ; la mise en place d'une procédure de notification des incidents significatifs sous 24 heures, avec une astreinte en dehors des heures ouvrées ; l'ajout d'exigences de sécurité et de clauses de notification d'incidents dans ses propres contrats fournisseurs ; et la publication d'une politique coordonnée de divulgation des vulnérabilités. Sous six mois, il peut présenter à son autorité nationale un ensemble de mesures opérationnel et audité, le SMSI fournissant la preuve de l'efficacité qu'exige l'article 21, paragraphe 2, point f).
Erreurs courantes
- Penser que le certificat règle la question. Les autorités de contrôle évaluent la conformité à NIS2 ; les organismes de certification, non.
- Limiter le périmètre. Un périmètre ISO ne couvrant qu'une seule ligne de services ne couvre pas une obligation légale applicable à l'ensemble de l'entité.
- Rédiger une procédure de notification que personne n'a testée, en particulier en dehors des heures ouvrées, alors que le délai de 24 heures est le plus difficile à respecter.
- Ignorer le droit national. L'enregistrement, la supervision et certains détails diffèrent selon les États membres.
- Former la direction une seule fois et oublier. L'article 20 attend une formation entretenue, et non une session unique.
Points clés à retenir
- ISO 27001 → NIS2 : les mesures techniques sont en grande partie couvertes ; ajoutez les procédures de notification de l'article 23, la formation de la direction et l'enregistrement national.
- Vérifiez la transposition de votre pays : les exigences et les pratiques de contrôle diffèrent selon l'État membre.
- Assurez-vous que la sécurité de la chaîne d'approvisionnement (section 5 du règlement d'exécution) est démontrée, et pas seulement inscrite dans une politique.
Télécharger cette comparaison (CSV) Ouvrir dans l'analyse des écarts →
Avoir ISO 27001 → viser NIS2
49 exig. 49 mis en correspondance · · 0 sans correspondance Ouvrir dans la vue des écarts →Sur 49 exigences NIS2 Implementing Regulation (EU) 2024/2690, 49 correspondent à un élément de ISO 27001, 0 sont seulement faiblement liées et 0 n'ont aucune correspondance dans nos données.
Ici, NIS2 désigne les mesures techniques du règlement d'exécution (UE) 2024/2690, qui s'applique directement aux fournisseurs d'infrastructures numériques et de services TIC ; les autres entités NIS2 suivent la transposition nationale de leur pays de l'article 21. Les délais de notification des incidents (article 23) ne sont pas couverts. La correspondance de l'ENISA n'est pas contraignante.
Mis en correspondance (49)
| NIS2 | Exigence | Correspondance | ISO 27001 | Preuves |
|---|---|---|---|---|
| 1. Policy on the security of network and information systems · 2 | ||||
| 1.1 | Policy on the security of network and information systems | Correspondance | A.5.1A.5.37Clause 5.2+3 | Même sujet : Politique de gouvernance |
| 1.2 | Roles, responsibilities and authorities | Correspondance | A.5.2A.5.4A.5.3+1 | Même sujet : Rôles et responsabilités |
| 2. Risk management policy · 3 | ||||
| 2.1 | Risk management framework | Correspondance | Clause 6.1.1Clause 6.1.2Clause 6.1.3+8 | Même sujet : Gestion des risques, Évaluation des risques |
| 2.2 | Compliance monitoring | Correspondance | A.5.31Clause 9.1A.5.36+2 | Même sujet : Conformité |
| 2.3 | Independent review of information and network security | Correspondance | A.5.31A.5.36Clause 9.1+4 | Même sujet : Conformité (choix de la rédaction) |
| 3. Incident handling · 6 | ||||
| 3.1 | Incident handling policy | Correspondance | A.5.24A.5.25A.5.26 | Même sujet : Réponse aux incidents |
| 3.2 | Monitoring and logging | Correspondance | A.5.25A.8.15A.8.16+2 | Même sujet : SIEM / SOC, Journalisation et audit, Surveillance continue, Détection d'intrusion |
| 3.3 | Event reporting | Correspondance | A.5.5A.6.8 | Même sujet : Notification |
| 3.4 | Event assessment and classification | Correspondance | A.5.25A.8.16 | Même sujet : SIEM / SOC, Détection d'anomalies |
| 3.5 | Incident response | Correspondance | A.5.24A.5.25A.5.26+1 | Même sujet : Réponse aux incidents, Atténuation |
| 3.6 | Post-incident reviews | Correspondance | A.5.27Clause 10.1 | Même sujet : Enseignements tirés |
| 4. Business continuity and crisis management · 3 | ||||
| 4.1 | Business continuity and disaster recovery plan | Correspondance | A.5.29A.5.30A.8.14 | Même sujet : Planification de la reprise, Continuité des activités, Reprise après sinistre |
| 4.2 | Backup management | Correspondance | A.5.30A.8.13A.8.14 | Même sujet : Reprise après sinistre, Sauvegarde et restauration |
| 4.3 | Crisis management | Correspondance | A.5.26A.5.29A.5.30+3 | Même sujet : Communication et rétablissement, Continuité des activités |
| 5. Supply chain security · 2 | ||||
| 5.1 | Supply chain security policy | Correspondance | A.5.19A.5.20A.5.21+2 | Même sujet : Risque lié à la chaîne d'approvisionnement, Gestion des risques fournisseurs |
| 5.2 | Directory of suppliers and service providers | Correspondance | A.5.19A.5.20A.5.22 | Même sujet : Gestion des risques fournisseurs |
| 6. Security in acquisition, development and maintenance · 10 | ||||
| 6.1 | Security in acquisition of ICT services, ICT systems or ICT products | Correspondance | A.5.19A.5.20A.5.21+2 | Même sujet : Risque lié à la chaîne d'approvisionnement, Gestion des risques fournisseurs |
| 6.2 | Secure development life cycle | Correspondance | A.8.25A.8.26A.8.28+2 | Même sujet : Développement sécurisé |
| 6.3 | Configuration management | Correspondance | A.8.9 | Même sujet : Configuration sécurisée |
| 6.4 | Change management, repairs and maintenance | Correspondance | A.7.13A.8.32Clause 6.3+1 | ENISA NIS2 → ISO 27001 mapping |
| 6.5 | Security testing | Correspondance | A.8.8A.8.29A.8.33+1 | Même sujet : Gestion des vulnérabilités |
| 6.6 | Security patch management | Correspondance | A.8.8A.8.31A.8.32 | Même sujet : Gestion des correctifs |
| 6.7 | Network security | Correspondance | A.8.20A.8.21A.8.22+1 | Même sujet : Pare-feu / Segmentation réseau |
| 6.8 | Network segmentation | Correspondance | A.5.15A.8.5A.8.20+2 | Même sujet : Zero Trust, Pare-feu / Segmentation réseau |
| 6.9 | Protection against malicious and unauthorised software | Correspondance | A.5.14A.8.19A.8.1+2 | Même sujet : Sécurité de la messagerie, Protection des terminaux |
| 6.10 | Vulnerability handling and disclosure | Correspondance | A.8.8 | Même sujet : Gestion des vulnérabilités |
| 7. Assessing the effectiveness of cybersecurity risk-management measures · 1 | ||||
| 7.1 | Policies and procedures to assess the effectiveness of cybersecurity risk-management measures | Correspondance | Clause 6.1.1Clause 6.1.3Clause 6.2+2 | Même sujet : Gestion des risques |
| 8. Basic cyber hygiene practices and security training · 2 | ||||
| 8.1 | Awareness raising and basic cyber hygiene practices | Correspondance | A.6.3Clause 7.3A.8.7 | Même sujet : Sensibilisation et formation |
| 8.2 | Security training | Correspondance | A.6.3Clause 7.3Clause 7.2 | Même sujet : Sensibilisation et formation |
| 9. Cryptography · 1 | ||||
| 9.1 | Cryptography | Correspondance | A.8.24A.5.31 | Même sujet : Chiffrement |
| 10. Human resources security · 4 | ||||
| 10.1 | Human resources security | Correspondance | A.6.2A.6.3Clause 7.1+1 | ENISA NIS2 → ISO 27001 mapping |
| 10.2 | Verification of Background | Correspondance | A.6.1A.6.4A.8.16 | Même sujet : Menace interne |
| 10.3 | Termination or change of employment procedures | Correspondance | A.6.5 | ENISA NIS2 → ISO 27001 mapping |
| 10.4 | Disciplinary process | Correspondance | A.6.1A.6.4A.8.16+1 | Même sujet : Menace interne |
| 11. Access control · 7 | ||||
| 11.1 | Access control policy | Correspondance | A.5.15A.5.16A.5.18+5 | Même sujet : Contrôle d'accès, Zero Trust |
| 11.2 | Management of access rights | Correspondance | A.5.15A.5.16A.5.18+2 | Même sujet : Contrôle d'accès |
| 11.3 | Privileged accounts and system administration accounts | Correspondance | A.8.2A.8.18 | Même sujet : Accès privilégiés |
| 11.4 | Administration systems | Correspondance | A.8.2A.8.18 | Même sujet : Accès privilégiés |
| 11.5 | Identification | Correspondance | A.5.15A.5.16A.5.18+1 | Même sujet : Contrôle d'accès |
| 11.6 | Authentication | Correspondance | A.5.15A.8.5A.8.22+1 | Même sujet : Zero Trust, Authentification multifacteur |
| 11.7 | Multi-factor authentication | Correspondance | A.8.5 | Même sujet : Authentification multifacteur |
| 12. Asset management · 5 | ||||
| 12.1 | Asset classification | Correspondance | A.5.12A.5.13A.5.9 | Même sujet : Classification des données |
| 12.2 | Handling of assets | Correspondance | A.5.14A.8.10A.8.11+3 | Même sujet : Protection des données |
| 12.3 | Removable media policy | Correspondance | A.5.14A.8.10A.8.11+3 | Même sujet : Protection des données |
| 12.4 | Asset inventory | Correspondance | A.5.9A.5.11A.7.14 | Même sujet : Gestion des actifs |
| 12.5 | Deposit, return or deletion of assets upon termination of employment | Correspondance | A.5.11A.5.18A.8.24 | ENISA NIS2 → ISO 27001 mapping |
| 13. Environmental and physical security · 3 | ||||
| 13.1 | Supporting utilities | Correspondance | A.7.1A.7.2A.7.3+6 | Même sujet : Sécurité physique |
| 13.2 | Protection against physical and environmental threats | Correspondance | A.7.1A.7.2A.7.3+6 | Même sujet : Sécurité physique |
| 13.3 | Perimeter and physical access control | Correspondance | A.7.1A.7.2A.7.3+6 | Même sujet : Sécurité physique |
Avoir NIS2 → viser ISO 27001
123 exig. 104 mis en correspondance · · 6 sans correspondance Ouvrir dans la vue des écarts →Sur 123 exigences ISO/IEC 27001:2022, 104 correspondent à un élément de NIS2, 13 sont seulement faiblement liées et 6 n'ont aucune correspondance dans nos données.
Travaux probablement nouveaux : exigences ISO 27001 sans correspondance avec NIS2 (6)
| ISO 27001 | Exigence | Correspondance | NIS2 | Preuves |
|---|---|---|---|---|
| ISMS clauses 4–10 · 6 | ||||
| Clause 4.3 | Determining the scope of the ISMS | Aucune correspondance dans nos données | — | Aucune correspondance avec NIS2 dans nos données. |
| Clause 5.1 | Leadership and commitment | Aucune correspondance dans nos données | — | Aucune correspondance avec NIS2 dans nos données. |
| Clause 7.5.1 | General | Aucune correspondance dans nos données | — | Aucune correspondance avec NIS2 dans nos données. |
| Clause 7.5.2 | Creating and updating | Aucune correspondance dans nos données | — | Aucune correspondance avec NIS2 dans nos données. |
| Clause 7.5.3 | Control of documented information | Aucune correspondance dans nos données | — | Aucune correspondance avec NIS2 dans nos données. |
| Clause 10.2 | Nonconformity and corrective action | Aucune correspondance dans nos données | — | Aucune correspondance avec NIS2 dans nos données. |
À vérifier : liens seulement indirects (un résultat CSF commun, pas une correspondance) (13)
| ISO 27001 | Exigence | Correspondance | NIS2 | Preuves |
|---|---|---|---|---|
| A.5 Organizational controls · 3 | ||||
| A.5.8 | Information security in project management | 5.15.26.2+2 | Partage seulement les fonctions CSF GV.OC-05, ID.AM-08 : lien indicatif, pas une correspondance | |
| A.5.33 | Protection of records | 9.112.3 | Partage seulement les fonctions CSF PR.DS-01 : lien indicatif, pas une correspondance | |
| A.5.34 | Privacy and protection of PII | 1.16.1 | Partage seulement les fonctions CSF GV.PO-02 : lien indicatif, pas une correspondance | |
| A.6 People controls · 2 | ||||
| A.6.6 | Confidentiality or non-disclosure agreements | 2.110.110.2+1 | Partage seulement les fonctions CSF GV.RR-03, GV.RR-04 : lien indicatif, pas une correspondance | |
| A.6.7 | Remote working | 1.110.110.2+5 | Partage seulement les fonctions CSF GV.PO-01, GV.RR-04 : lien indicatif, pas une correspondance | |
| A.7 Physical controls · 1 | ||||
| A.7.9 | Security of assets off-premises | 9.112.3 | Partage seulement les fonctions CSF PR.DS-01 : lien indicatif, pas une correspondance | |
| A.8 Technological controls · 4 | ||||
| A.8.4 | Access to source code | 9.111.111.2+4 | Partage seulement les fonctions CSF PR.DS-01, PR.DS-02, PR.AA-05 : lien indicatif, pas une correspondance | |
| A.8.6 | Capacity management | 6.66.9 | Partage seulement les fonctions CSF DE.CM-09 : lien indicatif, pas une correspondance | |
| A.8.23 | Web filtering | 6.76.8 | Partage seulement les fonctions CSF PR.IR-01 : lien indicatif, pas une correspondance | |
| A.8.27 | Secure system architecture and engineering principles | 4.3 | Partage seulement les fonctions CSF PR.IR-03 : lien indicatif, pas une correspondance | |
| ISMS clauses 4–10 · 3 | ||||
| Clause 4.1 | Understanding the organization and its context | 1.1 | Partage seulement les fonctions CSF GV.OC-02 : lien indicatif, pas une correspondance | |
| Clause 4.2 | Understanding the needs and expectations of interested parties | 5.11.19.1+5 | Partage seulement les fonctions CSF GV.OC-03, GV.SC-05, GV.SC-06, GV.OC-02… : lien indicatif, pas une correspondance | |
| Clause 4.4 | Information security management system | 1.1 | Partage seulement les fonctions CSF GV.OC-02 : lien indicatif, pas une correspondance | |
Mis en correspondance (104)
| ISO 27001 | Exigence | Correspondance | NIS2 | Preuves |
|---|---|---|---|---|
| A.5 Organizational controls · 34 | ||||
| A.5.1 | Policies for information security | Correspondance | 1.1 | Même sujet : Politique de gouvernance |
| A.5.2 | Information security roles and responsibilities | Correspondance | 1.2 | Même sujet : Rôles et responsabilités |
| A.5.3 | Segregation of duties | Correspondance | 1.211.2 | ENISA NIS2 → ISO 27001 mapping |
| A.5.4 | Management responsibilities | Correspondance | 1.21.1 | Même sujet : Rôles et responsabilités |
| A.5.5 | Contact with authorities | Correspondance | 3.3 | Même sujet : Notification |
| A.5.6 | Contact with special interest groups | Éditorial | 4.3 | Même sujet : Communication (choix de la rédaction) |
| A.5.7 | Threat intelligence | Correspondance | 2.1 | ENISA NIS2 → ISO 27001 mapping |
| A.5.9 | Inventory of information and other associated assets | Correspondance | 12.412.112.2 | Même sujet : Gestion des actifs |
| A.5.10 | Acceptable use of information and other associated assets | Correspondance | 12.2 | ENISA NIS2 → ISO 27001 mapping |
| A.5.11 | Return of assets | Correspondance | 12.412.5 | Même sujet : Gestion des actifs |
| A.5.12 | Classification of information | Correspondance | 12.1 | Même sujet : Classification des données |
| A.5.13 | Labelling of information | Correspondance | 12.1 | Même sujet : Classification des données |
| A.5.14 | Information transfer | Correspondance | 6.912.212.3 | Même sujet : Sécurité de la messagerie, Protection des données |
| A.5.15 | Access control | Correspondance | 6.811.111.2+2 | Même sujet : Zero Trust, Contrôle d'accès |
| A.5.16 | Identity management | Correspondance | 11.111.211.5 | Même sujet : Contrôle d'accès |
| A.5.17 | Authentication information | Correspondance | 11.6 | ENISA NIS2 → ISO 27001 mapping |
| A.5.18 | Access rights | Correspondance | 11.111.211.5+1 | Même sujet : Contrôle d'accès |
| A.5.19 | Information security in supplier relationships | Correspondance | 5.15.26.1+1 | Même sujet : Risque lié à la chaîne d'approvisionnement, Gestion des risques fournisseurs |
| A.5.20 | Addressing information security within supplier agreements | Correspondance | 5.15.26.1+1 | Même sujet : Gestion des risques fournisseurs |
| A.5.21 | Managing information security in the ICT supply chain | Correspondance | 5.16.12.1 | Même sujet : Risque lié à la chaîne d'approvisionnement |
| A.5.22 | Monitoring, review and change management of supplier services | Correspondance | 5.15.26.1 | Même sujet : Gestion des risques fournisseurs |
| A.5.23 | Information security for use of cloud services | Correspondance | 6.1 | Même sujet : Sécurité du cloud |
| A.5.24 | Information security incident management planning and preparation | Correspondance | 3.13.5 | Même sujet : Réponse aux incidents |
| A.5.25 | Assessment and decision on information security events | Correspondance | 3.13.23.4+1 | Même sujet : Réponse aux incidents, SIEM / SOC |
| A.5.26 | Response to information security incidents | Correspondance | 3.13.54.3 | Même sujet : Réponse aux incidents, Atténuation, Communication et rétablissement |
| A.5.27 | Learning from information security incidents | Correspondance | 3.6 | Même sujet : Enseignements tirés |
| A.5.28 | Collection of evidence | Correspondance | 3.53.210.4 | Même sujet : Criminalistique numérique |
| A.5.29 | Information security during disruption | Correspondance | 4.14.3 | Même sujet : Planification de la reprise, Continuité des activités |
| A.5.30 | ICT readiness for business continuity | Correspondance | 4.14.24.3 | Même sujet : Planification de la reprise, Continuité des activités, Reprise après sinistre |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Correspondance | 2.22.39.1 | Même sujet : Conformité |
| A.5.32 | Intellectual property rights | Correspondance | 6.9 | ENISA NIS2 → ISO 27001 mapping |
| A.5.35 | Independent review of information security | Correspondance | 2.22.3 | ENISA NIS2 → ISO 27001 mapping |
| A.5.36 | Compliance with policies, rules and standards for information security | Correspondance | 2.22.31.1 | Même sujet : Conformité (choix de la rédaction) |
| A.5.37 | Documented operating procedures | Correspondance | 1.1 | Même sujet : Politique de gouvernance |
| A.6 People controls · 6 | ||||
| A.6.1 | Screening | Correspondance | 10.210.4 | Même sujet : Menace interne |
| A.6.2 | Terms and conditions of employment | Correspondance | 10.1 | ENISA NIS2 → ISO 27001 mapping |
| A.6.3 | Information security awareness, education and training | Correspondance | 8.18.210.1 | Même sujet : Sensibilisation et formation |
| A.6.4 | Disciplinary process | Correspondance | 10.210.4 | Même sujet : Menace interne |
| A.6.5 | Responsibilities after termination or change of employment | Correspondance | 10.3 | ENISA NIS2 → ISO 27001 mapping |
| A.6.8 | Information security event reporting | Correspondance | 3.3 | Même sujet : Notification |
| A.7 Physical controls · 13 | ||||
| A.7.1 | Physical security perimeters | Correspondance | 13.113.213.3 | Même sujet : Sécurité physique |
| A.7.2 | Physical entry | Correspondance | 13.113.213.3+1 | Même sujet : Sécurité physique |
| A.7.3 | Securing offices, rooms and facilities | Correspondance | 13.113.213.3 | Même sujet : Sécurité physique |
| A.7.4 | Physical security monitoring | Correspondance | 13.113.213.3 | Même sujet : Sécurité physique |
| A.7.5 | Protecting against physical and environmental threats | Correspondance | 13.113.213.3 | Même sujet : Sécurité physique |
| A.7.6 | Working in secure areas | Correspondance | 13.113.213.3 | Même sujet : Sécurité physique |
| A.7.7 | Clear desk and clear screen | Correspondance | 12.3 | ENISA NIS2 → ISO 27001 mapping |
| A.7.8 | Equipment siting and protection | Correspondance | 13.113.213.3 | Même sujet : Sécurité physique |
| A.7.10 | Storage media | Correspondance | 12.212.3 | ENISA NIS2 → ISO 27001 mapping |
| A.7.11 | Supporting utilities | Correspondance | 13.113.213.3 | Même sujet : Sécurité physique |
| A.7.12 | Cabling security | Correspondance | 13.113.213.3 | Même sujet : Sécurité physique |
| A.7.13 | Equipment maintenance | Correspondance | 6.4 | ENISA NIS2 → ISO 27001 mapping |
| A.7.14 | Secure disposal or re-use of equipment | Correspondance | 12.4 | Même sujet : Gestion des actifs |
| A.8 Technological controls · 30 | ||||
| A.8.1 | User endpoint devices | Éditorial | 6.9 | Même sujet : Protection des terminaux (choix de la rédaction) |
| A.8.2 | Privileged access rights | Correspondance | 11.311.4 | Même sujet : Accès privilégiés |
| A.8.3 | Information access restriction | Correspondance | 11.111.211.5 | Même sujet : Contrôle d'accès |
| A.8.5 | Secure authentication | Correspondance | 6.811.111.6+1 | Même sujet : Zero Trust, Authentification multifacteur |
| A.8.7 | Protection against malware | Correspondance | 6.98.1 | Même sujet : Protection des terminaux (choix de la rédaction) |
| A.8.8 | Management of technical vulnerabilities | Correspondance | 6.56.66.10 | Même sujet : Gestion des vulnérabilités, Gestion des correctifs |
| A.8.9 | Configuration management | Correspondance | 6.3 | Même sujet : Configuration sécurisée |
| A.8.10 | Information deletion | Correspondance | 12.212.3 | Même sujet : Protection des données |
| A.8.11 | Data masking | Correspondance | 12.212.3 | Même sujet : Protection des données |
| A.8.12 | Data leakage prevention | Correspondance | 12.3 | Même sujet : DLP |
| A.8.13 | Information backup | Correspondance | 4.2 | Même sujet : Sauvegarde et restauration |
| A.8.14 | Redundancy of information processing facilities | Correspondance | 4.14.24.3 | Même sujet : Continuité des activités, Reprise après sinistre |
| A.8.15 | Logging | Correspondance | 3.2 | Même sujet : Journalisation et audit |
| A.8.16 | Monitoring activities | Correspondance | 3.23.410.2+2 | Même sujet : Surveillance continue, Détection d'intrusion, SIEM / SOC, Détection d'anomalies, Menace interne |
| A.8.17 | Clock synchronization | Correspondance | 3.2 | Même sujet : Journalisation et audit |
| A.8.18 | Use of privileged utility programs | Correspondance | 11.311.4 | Même sujet : Accès privilégiés |
| A.8.19 | Installation of software on operational systems | Correspondance | 6.9 | Même sujet : Protection des terminaux |
| A.8.20 | Networks security | Correspondance | 6.76.8 | Même sujet : Pare-feu / Segmentation réseau |
| A.8.21 | Security of network services | Correspondance | 6.76.811.1 | Même sujet : Pare-feu / Segmentation réseau |
| A.8.22 | Segregation of networks | Correspondance | 6.76.811.1+1 | Même sujet : Pare-feu / Segmentation réseau, Zero Trust |
| A.8.24 | Use of cryptography | Correspondance | 9.112.5 | Même sujet : Chiffrement |
| A.8.25 | Secure development life cycle | Correspondance | 6.2 | Même sujet : Développement sécurisé |
| A.8.26 | Application security requirements | Correspondance | 6.2 | Même sujet : Développement sécurisé |
| A.8.28 | Secure coding | Correspondance | 6.2 | Même sujet : Développement sécurisé |
| A.8.29 | Security testing in development and acceptance | Correspondance | 6.26.5 | Même sujet : Développement sécurisé |
| A.8.30 | Outsourced development | Correspondance | 5.1 | ENISA NIS2 → ISO 27001 mapping |
| A.8.31 | Separation of development, test and production environments | Correspondance | 6.26.6 | ENISA NIS2 → ISO 27001 mapping |
| A.8.32 | Change management | Correspondance | 6.46.6 | ENISA NIS2 → ISO 27001 mapping |
| A.8.33 | Test information | Correspondance | 6.5 | ENISA NIS2 → ISO 27001 mapping |
| A.8.34 | Protection of information systems during audit testing | Correspondance | 2.36.5 | ENISA NIS2 → ISO 27001 mapping |
| ISMS clauses 4–10 · 21 | ||||
| Clause 5.2 | Policy | Correspondance | 1.1 | Même sujet : Politique de gouvernance |
| Clause 5.3 | Organizational roles, responsibilities and authorities | Correspondance | 1.2 | ENISA NIS2 → ISO 27001 mapping |
| Clause 6.1.1 | General | Correspondance | 2.17.1 | Même sujet : Gestion des risques |
| Clause 6.1.2 | Information security risk assessment | Correspondance | 2.1 | Même sujet : Évaluation des risques |
| Clause 6.1.3 | Information security risk treatment | Correspondance | 2.17.1 | Même sujet : Gestion des risques, Évaluation des risques |
| Clause 6.2 | Information security objectives and planning to achieve them | Correspondance | 2.17.1 | ENISA NIS2 → ISO 27001 mapping |
| Clause 6.3 | Planning of changes | Correspondance | 6.4 | ENISA NIS2 → ISO 27001 mapping |
| Clause 7.1 | Resources | Correspondance | 10.1 | ENISA NIS2 → ISO 27001 mapping |
| Clause 7.2 | Competence | Correspondance | 8.210.1 | ENISA NIS2 → ISO 27001 mapping |
| Clause 7.3 | Awareness | Correspondance | 8.18.2 | Même sujet : Sensibilisation et formation |
| Clause 7.4 | Communication | Correspondance | 4.3 | Même sujet : Communication, Communication et rétablissement |
| Clause 8.1 | Operational planning and control | Correspondance | 6.4 | ENISA NIS2 → ISO 27001 mapping |
| Clause 8.2 | Information security risk assessment | Correspondance | 2.1 | ENISA NIS2 → ISO 27001 mapping |
| Clause 8.3 | Information security risk treatment | Correspondance | 2.1 | ENISA NIS2 → ISO 27001 mapping |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Correspondance | 2.22.37.1 | Même sujet : Conformité |
| Clause 9.2.1 | General | Correspondance | 2.22.3 | ENISA NIS2 → ISO 27001 mapping |
| Clause 9.2.2 | Internal audit programme | Correspondance | 2.22.3 | ENISA NIS2 → ISO 27001 mapping |
| Clause 9.3.1 | General | Correspondance | 1.17.1 | ENISA NIS2 → ISO 27001 mapping |
| Clause 9.3.2 | Management review inputs | Correspondance | 1.17.1 | ENISA NIS2 → ISO 27001 mapping |
| Clause 9.3.3 | Management review results | Correspondance | 1.17.1 | ENISA NIS2 → ISO 27001 mapping |
| Clause 10.1 | Continual improvement | Correspondance | 3.62.3 | Même sujet : Enseignements tirés (choix de la rédaction) |
Par thème
Les deux couvrent (43) :
Seulement ISO 27001 (7) :
Questions
La certification ISO 27001 satisfait-elle NIS2 ?
Pas à elle seule. Elle couvre la plupart des mesures techniques et organisationnelles, mais pas les délais de notification, la formation de la direction, l'enregistrement ni chaque exigence technique spécifique.
NIS2 exigera-t-elle la certification ISO 27001 ?
NIS2 permet aux États membres d'exiger des schémas de certification pour certains services, mais elle n'exige pas ISO 27001 de manière générale. Vérifiez votre droit national.
Les régulateurs NIS2 acceptent-ils les certificats ISO 27001 ?
Les autorités peuvent tenir compte de la certification comme preuve, et certaines lois nationales y font référence, mais elles évaluent la conformité au regard de NIS2 elle-même. Un certificat ne couvre pas les obligations de notification, de gouvernance et d'enregistrement.
NIS2 est-elle plus stricte qu'ISO 27001 ?
Sur certains points. NIS2 ajoute des obligations légales qu'ISO n'a pas (délais de notification, responsabilité de la direction, contrôle assorti d'amendes), et le règlement d'exécution est plus prescriptif sur certains points techniques. ISO 27001 impose un système de management complet, ce que NIS2 ne fait pas.
NIS2 s'applique-t-elle aux entreprises situées hors de l'UE ?
Oui, c'est possible. Certains fournisseurs numériques qui proposent des services dans l'UE sans y être établis doivent désigner un représentant dans un État membre et se conformer à la directive.
Quelles sont les sanctions prévues par NIS2 ?
Les États membres doivent prévoir des amendes d'au moins 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles, et de 7 millions d'euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu.
Une entreprise sans ISO 27001 doit-elle se faire certifier pour NIS2 ?
La certification n'est pas obligatoire, mais un SMSI constitue un moyen efficace de mettre en œuvre les mesures de NIS2 et d'en apporter la preuve. Beaucoup d'organisations construisent le SMSI pour NIS2 et décident séparément de la certification.
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Mis en correspondance = regroupés ensemble dans un thème ControlMapping, ou directement liés. Les correspondances ne prouvent pas la conformité. Méthodologie · Télécharger les données · Signaler une erreur.