NIS2 et ISO 27001 : la certification qui prouve votre conformité

La directive (UE) 2022/2555, dite NIS2, remplace la directive NIS de 2016. Elle élargit considérablement le nombre d’organisations soumises à des obligations de cybersécurité et durcit les conséquences en cas de manquement.

Deux catégories coexistent. Les entités essentielles regroupent les grandes organisations des secteurs jugés hautement critiques : énergie, transports, banque, infrastructures de marché financier, santé, eau potable, eaux usées, infrastructures numériques, administration publique, espace, et la gestion des services TIC. Les entités importantes couvrent les organisations de taille moyenne de ces mêmes secteurs, ainsi que d’autres domaines : services postaux, gestion des déchets, produits chimiques, agroalimentaire, fabrication, fournisseurs numériques, recherche.

Le périmètre est bien plus large que celui de NIS 1, qui ne visait qu’un nombre restreint d’opérateurs désignés individuellement par chaque État. NIS2 renverse la logique : toute organisation répondant aux critères est concernée, sans désignation préalable. C’est à elle de s’identifier comme telle et de s’enregistrer.

Le critère de taille s’applique ensuite. Une entreprise d’au moins 250 salariés, ou réalisant plus de 50 millions d’euros de chiffre d’affaires avec un bilan supérieur à 43 millions, relève généralement des entités essentielles dans les secteurs hautement critiques. En deçà, à partir de 50 salariés ou 10 millions d’euros, elle entre dans les entités importantes.

La distinction compte : les entités essentielles sont soumises à une supervision active, les entités importantes à un contrôle a posteriori, déclenché en cas d’incident ou de signalement.

NIS2 énumère des mesures de gestion des risques, sans prescrire de méthode ni imposer de référentiel. ISO/IEC 27001 fournit précisément ce cadre méthodologique. La correspondance est large.

Une organisation certifiée ISO 27001 a donc déjà construit l’essentiel de ce que NIS2 attend sur le plan organisationnel.

La correspondance n’est pas totale, et présenter ISO 27001 comme une réponse complète serait inexact.

Trois obligations relèvent du texte et non de la norme. La notification des incidents d’abord : NIS2 impose une alerte précoce auprès de l’autorité compétente dans les 24 heures, puis une notification plus complète sous 72 heures. Aucun délai de ce type ne figure dans ISO 27001, qui exige un processus de gestion des incidents sans en fixer le calendrier réglementaire.

La responsabilité des organes de direction ensuite. NIS2 engage personnellement les dirigeants, qui doivent approuver les mesures et suivre une formation. ISO 27001 demande l’implication de la direction, mais n’emporte aucune conséquence juridique individuelle.

L’enregistrement auprès de l’autorité nationale enfin, qui est une démarche administrative sans équivalent normatif.

Un système de management certifié facilite ces trois points sans les remplacer.

NIS2 n’impose aucune certification. Une organisation peut démontrer sa conformité par ses propres moyens, documents à l’appui.

La différence se joue sur la valeur de la preuve. Une auto-déclaration engage celui qui la produit. Un certificat ISO 27001 délivré par un organisme accrédité repose sur une évaluation indépendante, conduite selon ISO/IEC 17021-1, avec des règles strictes d’impartialité et de compétence des auditeurs. Il est opposable aux clients, aux donneurs d’ordre et aux autorités.

Cette distinction prend tout son sens dans la chaîne d’approvisionnement. NIS2 rend les entités responsables de la sécurité de leurs fournisseurs. Un prestataire certifié apporte à ses clients une preuve immédiatement recevable, là où une attestation sur l’honneur demande une vérification au cas par cas.

La directive est entrée en vigueur le 16 janvier 2023, avec une transposition attendue des États membres avant le 17 octobre 2024. En France, l’autorité compétente est l’ANSSI, et les modalités d’application relèvent du texte de transposition nationale.

Le régime de sanctions marque une rupture avec NIS 1. Le texte européen prévoit des amendes administratives pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, 7 millions ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu.

Au-delà des amendes, les autorités peuvent suspendre temporairement une certification ou une autorisation d’exercer, et interdire à une personne physique d’exercer des fonctions de direction au sein de l’entité concernée.

Les dirigeants doivent approuver les mesures de gestion des risques, superviser leur mise en œuvre et suivre une formation. Leur responsabilité peut être recherchée en cas de manquement.

NIS2 rend les entités responsables de la sécurité de leurs fournisseurs et prestataires. Cette seule disposition a plus d’effet sur le marché que l’obligation directe.

Une entreprise soumise à NIS2 doit évaluer les risques liés à ses fournisseurs de services numériques, à ses sous-traitants, à ses prestataires d’infogérance. Concrètement, elle le fait par questionnaires, par clauses contractuelles et par audits fournisseurs, des démarches coûteuses des deux côtés.

Un certificat ISO 27001 court-circuite ce processus. Il atteste d’une évaluation déjà conduite par un organisme accrédité indépendant, sur un périmètre défini et vérifiable. Pour le fournisseur, c’est un argument commercial direct ; pour le client, une économie de temps et une preuve recevable.

C’est aujourd’hui l’une des premières raisons d’engager une certification : non pas l’obligation propre, mais l’exigence d’un client lui-même soumis à NIS2. Les éditeurs de logiciels, les hébergeurs, les prestataires cloud et les sociétés de services numériques sont les premiers concernés par cet effet de cascade, même lorsqu’ils restent sous les seuils du texte.

Les obligations sont identiques, mais leur articulation avec les référentiels existants varie.

Dans la santé, NIS2 se superpose à la certification HDS, obligatoire pour l’hébergement de données de santé, et au RGPD. Un hébergeur certifié HDS a déjà construit une part importante de ce que NIS2 attend, sans pour autant être conforme : la notification réglementaire et l’enregistrement restent à traiter.

Dans la finance, le règlement DORA s’applique en parallèle et prime sur NIS2 pour les entités qu’il couvre. Les établissements concernés doivent articuler les deux textes plutôt que de les traiter séparément.

Pour les infrastructures numériques et le cloud, NIS2 se combine avec les extensions ISO 27017 et 27018, et avec la qualification SecNumCloud pour les acteurs visant le secteur public.

L’erreur la plus coûteuse consiste à définir un périmètre inadapté, puis à devoir le reprendre.

Le périmètre du système de management détermine ce que couvre le certificat : les sites, les activités, les systèmes d’information concernés. Un périmètre trop étroit produit un certificat qui ne couvre pas ce que le client ou le régulateur attend. Trop large, il allonge l’audit et mobilise des équipes inutilement.

Trois questions permettent de le cadrer. Quelles activités entrent dans le champ de NIS2 pour votre organisation ? Quels services vos clients soumis à NIS2 attendent-ils de voir couverts ? Quelles implantations traitent les informations concernées ?

Le périmètre est arrêté lors de la recevabilité, avant la contractualisation, et figure sur le certificat. Son extension ultérieure se traite lors d’un audit de surveillance ou de renouvellement.

Une précision utile : la certification ne se prépare pas en quelques semaines. Entre la décision d’engager la démarche et l’obtention du certificat, comptez le temps de construire le système de management, variable selon la maturité initiale, puis trois à six mois d’audit et d’instruction.

Un organisme de certification accrédité évalue. Il ne conseille pas, et ne participe ni à la conception ni à la mise en œuvre du système de management qu’il audite. Cette séparation est une exigence d’ISO/IEC 17021-1 : elle garantit que le certificat n’est pas délivré par celui qui a construit le dispositif.

Concrètement, Certi-Trust examine votre périmètre, dimensionne le programme d’audit, conduit l’évaluation documentaire puis l’évaluation sur site, et transmet ses constats à un Certification Manager, seul habilité à prononcer la décision. L’accompagnement en amont, s’il vous est nécessaire, relève d’un tiers.

Certi-Trust est accrédité par le COFRAC sous le numéro 4-0612, portée consultable sur cofrac.fr.

Pour aller plus loin : la certification ISO 27001, les étapes de l’audit, le SMSI et les entités concernées par NIS2.