ESN et infogérance : ISO 27001 face aux exigences NIS2 et DORA de vos clients

La directive NIS2 a fait entrer les entreprises de services du numérique dans son champ. Son annexe I, consacrée aux secteurs hautement critiques, comprend un secteur « gestion des services TIC (interentreprises) » qui vise deux types d’entités.

Le fournisseur de services gérés est défini à l’article 6 comme une entité qui installe, gère, exploite ou entretient des produits, réseaux, infrastructures ou applications TIC, « par l’intermédiaire d’une assistance ou d’une administration active, soit dans les locaux des clients, soit à distance ». Le fournisseur de services de sécurité gérés est un fournisseur de services gérés qui réalise ou assiste des activités de gestion des risques de cybersécurité : supervision de sécurité, détection, réponse aux incidents.

Une ESN qui exploite le système d’information de ses clients, un infogéreur ou un MSP relève donc en principe de ce secteur, s’il sert des entreprises. Les hébergeurs et fournisseurs de services d’informatique en nuage relèvent, eux, du secteur « infrastructure numérique » de la même annexe.

La taille détermine la catégorie : une grande entreprise de ce secteur est une entité essentielle, une entreprise de taille moyenne une entité importante. Pour ces fournisseurs, le règlement d’exécution (UE) 2024/2690 précise les exigences techniques et méthodologiques des mesures de l’article 21 et les cas dans lesquels un incident est considéré comme important. Les modalités françaises relèvent de la loi de transposition, dont l’avancement est suivi sur notre page NIS2 en France.

Un infogéreur est aussi le fournisseur direct d’autres entités NIS2. L’article 21, paragraphe 2, point d, inclut la sécurité de la chaîne d’approvisionnement dans les mesures de ces entités, y compris leurs relations avec leurs prestataires de services directs. Le paragraphe 3 leur demande de tenir compte des vulnérabilités propres à chaque prestataire et de la qualité de ses pratiques de cybersécurité.

L’exposition d’un prestataire de services gérés est particulière : il dispose d’accès administrateurs, souvent à distance, sur les systèmes de plusieurs clients à la fois. Les clients interrogent donc en priorité la gestion des accès à privilèges, la traçabilité des actions d’administration, la séparation des environnements clients, la gestion des incidents et la continuité. Ces demandes prennent la forme de clauses contractuelles, d’audits et de questionnaires de sécurité.

Pour une banque, une assurance ou une société de gestion, l’ESN est un prestataire de services TIC au sens du règlement DORA. L’entité financière l’évalue avant de contracter, inscrit le contrat dans son registre d’informations et ne contracte qu’avec des prestataires qui respectent « des normes adéquates en matière de sécurité de l’information » (article 28).

L’article 30 fixe le contenu minimal du contrat : description des services et des conditions de sous-traitance, lieux de traitement des données, dispositions sur la disponibilité, l’authenticité, l’intégrité et la confidentialité des données, niveaux de service, assistance en cas d’incident lié aux TIC, coopération avec les autorités, droits de résiliation.

Lorsque le service soutient une fonction critique ou importante, le contrat ajoute des objectifs de performance précis, des plans d’urgence mis en œuvre et testés, la participation aux tests d’intrusion fondés sur la menace de l’entité financière, des droits d’accès, d’inspection et d’audit, et une stratégie de sortie avec une période de transition. Le détail figure dans les règlements délégués (RTS) et d’exécution (ITS) adoptés par la Commission européenne. La page DORA et ISO 27001 présente le règlement dans son ensemble.

La certification ISO 27001 évalue un système de management de la sécurité de l’information sur un périmètre déclaré. Pour une ESN, ce périmètre précise les services couverts (infogérance, supervision, centre de services, centre opérationnel de sécurité, hébergement) et les sites, y compris ceux d’où s’exerce l’administration à distance.

Plusieurs mesures de l’annexe A d’ISO/IEC 27001:2022 recoupent directement les demandes des clients : gestion des droits d’accès à privilèges (A.8.2), journalisation et activités de surveillance (A.8.15, A.8.16), gestion des changements (A.8.32), gestion des incidents (A.5.24 à A.5.28), continuité (A.5.29, A.5.30), relations avec les fournisseurs et chaîne d’approvisionnement TIC (A.5.19 à A.5.23). La mesure A.5.31 conduit l’auditeur à vérifier que les exigences légales, réglementaires et contractuelles applicables, dont NIS2 et les clauses DORA des contrats, sont identifiées et prises en compte.

Un certificat ne vaut ni conformité NIS2 ni conformité DORA. Il apporte une preuve tierce, revue chaque année lors des audits de surveillance. Les RTS DORA autorisent une entité financière à s’appuyer sur une certification si son périmètre couvre les systèmes et contrôles clés du service, sans s’en remettre à ce seul document dans la durée.

Selon les services et les clients, d’autres évaluations s’ajoutent à ISO 27001 :

• la certification HDS, sous accréditation COFRAC, pour l’hébergement et l’infogérance de données de santé (activités d’hébergeur infogéreur) ;
• ISO 27017 et ISO 27018, extensions d’ISO 27001 pour les services en nuage et la protection des données personnelles dans le cloud public ;
• ISO 22301 pour la continuité d’activité ;
• les qualifications de l’ANSSI : PAMS pour l’administration et la maintenance sécurisées, PDIS pour la détection des incidents, PRIS pour la réponse aux incidents, SecNumCloud pour l’informatique en nuage.

Certi-Trust certifie ISO 27017, ISO 27018 et ISO 22301. Il est agréé par l’ANSSI pour conduire les évaluations PAMS, PDIS, PRIS et SecNumCloud ; la qualification est ensuite prononcée par l’ANSSI. Les hébergeurs et fournisseurs cloud disposent d’une page dédiée.

Plusieurs obligations relèvent des textes eux-mêmes. Pour une ESN entité NIS2 : l’enregistrement auprès de l’autorité, la notification des incidents importants dans les délais de l’article 23, la responsabilité des organes de direction (article 20). Pour ses clients financiers : la négociation des clauses de l’article 30 et l’alimentation de leur registre d’informations.

L’audit de certification vérifie la conformité à la norme ISO 27001 sur le périmètre certifié. Il ne se substitue ni au contrôle de l’autorité compétente, ni aux audits que les clients conservent le droit de mener.

Certi-Trust est un organisme d’évaluation. Il certifie ISO 27001 et HDS sous accréditation COFRAC n° 4-0612, ne conseille pas les organisations qu’il certifie et ne propose pas d’accompagnement à la mise en conformité. Pour échanger avec un auditeur sur votre périmètre : nous contacter.

Une ESN est-elle soumise à NIS2 ?
Une ESN qui installe, gère, exploite ou entretient les systèmes d’information d’autres entreprises répond en principe à la définition du fournisseur de services gérés. Elle relève alors de NIS2 si elle est au moins de taille moyenne. La qualification exacte dépend des services rendus et de la loi nationale.

Un infogéreur est-il soumis à DORA ?
Pas directement, sauf s’il est désigné prestataire tiers critique par les autorités européennes de supervision. Il est concerné par les contrats que ses clients financiers doivent conclure conformément au règlement.

La certification ISO 27001 est-elle obligatoire pour une ESN ?
Ni NIS2 ni DORA n’imposent de certification. Le certificat est souvent demandé par les clients, dans les contrats ou les appels d’offres, comme preuve tierce de la sécurité du prestataire.

Le centre de services à l’étranger peut-il entrer dans le périmètre ?
Oui, si le système de management le couvre. Les sites figurent sur le certificat, et l’organisme de certification les intègre à son programme d’audit.