Audit NIS2 : pourquoi il n'existe pas d'audit officiel, et ce que démontre une certification ISO 27001
Ni audit ni certification NIS2 officiels
La directive (UE) 2022/2555, dite NIS2, fixe des obligations de cybersécurité aux entités essentielles et importantes. Elle ne crée aucun schéma de certification de ces entités. Aucun texte européen ne définit d’« audit NIS2 » qui déboucherait sur une attestation officielle de conformité.
Deux articles abordent la certification et les normes, sans aller plus loin. L’article 24 autorise les États membres à imposer l’usage de produits, services ou processus TIC certifiés selon des schémas européens de certification de cybersécurité, adoptés en application du règlement (UE) 2019/881. Ce sont des produits que l’on certifie, pas la conformité d’une organisation. L’article 25 encourage le recours aux normes européennes et internationales, sans en rendre aucune obligatoire.
Les prestations vendues sous le nom d’« audit NIS2 » sont donc des évaluations privées, dont le contenu varie d’un prestataire à l’autre. Aucune ne lie l’autorité nationale, et aucune ne vaut reconnaissance de conformité.
Les contrôles que prévoit la directive
NIS2 organise la supervision des entités par l’autorité compétente, avec un régime différent selon la catégorie.
| Mesure de supervision | Entités essentielles (article 32) | Entités importantes (article 33) |
|---|---|---|
| Déclenchement | Supervision a priori et a posteriori | A posteriori, sur des éléments de preuve ou des indications de manquement |
| Inspections sur place et contrôles à distance | Oui, y compris des contrôles aléatoires | Oui, a posteriori |
| Audits de sécurité | Réguliers et ciblés, par un organisme indépendant ou par l’autorité | Ciblés, par un organisme indépendant ou par l’autorité |
| Audits ad hoc | Oui, notamment après un incident important ou une violation de la directive | Non prévus à ce titre |
| Scans de sécurité | Oui | Oui |
| Demandes d’informations et de preuves | Oui, dont les résultats d’audits réalisés par un auditeur qualifié | Oui, dont les résultats d’audits réalisés par un auditeur qualifié |
Les audits ciblés reposent sur des évaluations des risques réalisées par l’autorité ou par l’entité contrôlée. Leurs résultats sont mis à la disposition de l’autorité compétente. Le coût d’un audit ciblé confié à un organisme indépendant est à la charge de l’entité contrôlée, sauf cas dûment justifiés où l’autorité en décide autrement.
En France, ces pouvoirs reviendront à l’ANSSI selon le projet de loi de transposition, qui n’est pas adopté à la date de rédaction : voir NIS2 en France : ce que change la transposition. Pour savoir si une organisation est essentielle, importante ou hors du champ, voir NIS2 : entités concernées.
Ce qu'un certificat ISO 27001 démontre
Un certificat ISO/IEC 27001:2022 atteste qu’un organisme de certification a audité le système de management de la sécurité de l’information (SMSI) et l’a jugé conforme à la norme, sur un périmètre défini. Quand l’organisme est accrédité, l’audit suit ISO/IEC 17021-1 et ISO/IEC 27006-1 : auditeurs dont la compétence est évaluée, durée d’audit encadrée, décision de certification prise par une personne qui n’a pas réalisé l’audit, surveillance chaque année.
Sur le fond, les mesures de gestion des risques de l’article 21 de NIS2 recoupent une large part des exigences de la norme et des 93 mesures de son annexe A : appréciation des risques, gestion des incidents, continuité d’activité, sécurité des fournisseurs, contrôle d’accès, cryptographie, sensibilisation. La correspondance détaillée figure dans notre guide NIS2 et ISO 27001.
Face à NIS2, le certificat sert de deux façons. L’entité certifiée peut présenter ses rapports d’audit et son certificat parmi les preuves que l’autorité lui demande sur ses politiques de cybersécurité. Ses propres clients y trouvent une réponse partielle à leur obligation de sécurité de la chaîne d’approvisionnement (article 21, paragraphe 2, point d).
La directive ne confère au certificat aucune présomption de conformité. L’autorité apprécie librement les éléments qu’on lui présente.
Ce que la certification ne couvre pas
Plusieurs obligations de NIS2 n’ont pas d’équivalent dans la norme :
- la notification des incidents importants (article 23), avec une alerte précoce dans les 24 heures, une notification dans les 72 heures et un rapport final au plus tard un mois après la notification, alors qu’ISO 27001 demande un processus de gestion des incidents sans délai réglementaire ;
- l’enregistrement et la transmission d’informations à l’autorité (articles 3 et 27) ;
- les obligations des organes de direction (article 20), qui approuvent les mesures, supervisent leur mise en œuvre, suivent une formation et peuvent être tenus responsables des manquements ;
- l’étendue du champ, car un certificat couvre le périmètre choisi par l’organisation, qui peut être plus étroit que l’entité visée par NIS2.
Ces points n’échappent pas pour autant à l’audit. Lorsque NIS2 s’applique à l’organisation, la mesure A.5.31 d’ISO 27001 (exigences légales, statutaires, réglementaires et contractuelles) conduit l’auditeur à vérifier que ces obligations sont identifiées et prises en compte. L’auditeur ne rend pas d’avis de conformité à la directive.
Ce que vérifie l'auditeur de certification
Lors de l’audit ISO 27001 d’une organisation soumise à NIS2, l’auditeur évalue les exigences de la norme à la lumière des obligations que l’organisation a identifiées.
Il vérifie que l’analyse du contexte (chapitre 4) recense les exigences des parties intéressées, parmi lesquelles l’autorité compétente et les clients soumis à NIS2. Il examine l’appréciation et le traitement des risques (chapitre 6), puis la déclaration d’applicabilité, qui justifie l’inclusion et l’exclusion de chacune des mesures de l’annexe A.
Dans l’annexe A, il contrôle notamment l’identification et la mise à jour des exigences légales et réglementaires (A.5.31), les contacts avec les autorités (A.5.5), la préparation et la réponse aux incidents (A.5.24 à A.5.28), la sécurité des relations avec les fournisseurs et de la chaîne d’approvisionnement TIC (A.5.19 à A.5.22), et la préparation des TIC à la continuité d’activité (A.5.30).
Ses constats reposent sur des preuves : enregistrements, entretiens, observations. Ils portent sur la conformité du SMSI à ISO 27001. Le certificat mentionne la norme et le périmètre audité, il n’atteste pas d’une conformité à NIS2.
Certi-Trust réalise la certification ISO 27001 sous accréditation COFRAC n° 4-0612 (portée sur notre page accréditations et agréments) et n’intervient qu’en évaluation, sans conseil préalable, conformément à ISO/IEC 17021-1. Pour préciser le périmètre d’un futur audit, vous pouvez échanger avec un auditeur.
Questions fréquentes
Existe-t-il une certification NIS2 ?
Non. La directive (UE) 2022/2555 ne prévoit aucun schéma de certification des entités elles-mêmes. ISO 27001 est une norme volontaire distincte, qui couvre une large part des mesures de l’article 21 sans couvrir la notification des incidents, l’enregistrement ni les obligations des dirigeants.
Un organisme de certification peut-il délivrer une attestation de conformité NIS2 ?
Aucun texte ne lui donne ce rôle. Le contrôle du respect de NIS2 relève de l’autorité nationale compétente. Un organisme accrédité certifie un système de management selon une norme, par exemple ISO 27001.
L’autorité peut-elle imposer un audit ?
Oui. La directive l’autorise à ordonner des audits de sécurité ciblés, réalisés par un organisme indépendant ou par l’autorité elle-même, pour les entités essentielles comme pour les entités importantes. Les entités essentielles peuvent aussi faire l’objet d’audits réguliers et d’audits ad hoc.
Un certificat ISO 27001 dispense-t-il des contrôles de l’autorité ?
Non. Le certificat est un élément de preuve parmi d’autres, que l’autorité apprécie librement. Il ne remplace ni l’enregistrement, ni la notification des incidents, ni les obligations des organes de direction.