Non, un certificat NIS2 n'existe pas. Il n'y a aucun organisme — aucun organisme de certification, aucune autorité de surveillance, aucune organisation professionnelle — qui délivre un label ou un certificat permettant à une entreprise de démontrer qu'elle est « certifiée NIS2 ». Quiconque propose ou vend un tel certificat vend quelque chose qui n'existe pas réellement dans le cadre de la directive.
Ce n'est pas une simple nuance. NIS2 est une directive que les États membres transposent en droit national, contenant une obligation de diligence : prendre des mesures techniques et organisationnelles appropriées pour gérer les risques pesant sur les réseaux et les systèmes d'information. Les autorités de surveillance vérifient si une organisation satisfait à cette obligation de diligence, et non si un certificat est affiché au mur. Il n'y a donc pas d'examen, pas de label et pas de tampon que la loi elle-même prescrit ou reconnaît.
Pourquoi la question revient constamment
La confusion est compréhensible. Avec d'autres réglementations, pensez à certaines normes de qualité dans la construction ou la sécurité alimentaire, il existe bien un processus de certification avec un inspecteur indépendant et un certificat valide. Les prestataires qui veulent tirer profit commercialement de l'incertitude autour de NIS2 jouent sur cette attente : ils suggèrent qu'un processus comparable existe, avec un audit, un rapport et un joli document à la fin. Cela semble rassurant, surtout pour un directeur ou un gestionnaire de bureau qui vient d'apprendre qu'« quelque chose s'en vient » et qui cherche rapidement une liste de contrôle.
Le problème est qu'un tel certificat, aussi convaincant qu'il paraisse, n'a aucun statut juridique en vertu de la directive ou de sa transposition nationale. Une autorité de surveillance ne demande pas de certificat ; elle examine les mesures elles-mêmes, comment elles sont documentées et qui en est responsable.
Ce qui existe réellement : des normes reconnues, pas un tampon NIS2
Il existe des normes internationales reconnues pour la sécurité de l'information, avec un processus de certification par un organisme accrédité. Un tel certificat montre qu'un système de gestion de la sécurité de l'information a été mis en place et est périodiquement examiné. C'est précieux et peut faciliter la discussion avec une autorité de surveillance ou un client, car cela fournit de la structure et des preuves. Mais c'est un système différent, avec son propre champ d'application et son propre auditeur, et il ne couvre pas automatiquement chaque mesure que l'obligation de diligence attend. Pour qui veut vraiment comprendre cette distinction, la comparaison se trouve dans l'aperçu des sujets selon votre situation.
Ce qu'une autorité de surveillance ou un client attend réellement
Au lieu d'un certificat, l'obligation de diligence exige de la vérifiabilité : l'organisation peut-elle montrer quelles mesures ont été prises, qui en est responsable et quelle preuve l'accompagne. C'est moins un label et plus un registre vivant — un dossier qui évolue avec l'organisation, avec pour chaque mesure un statut et un responsable. Pour qui ne sait pas encore si cela s'applique à sa propre organisation, la première étape est généralement simple : examiner le secteur, la taille et le rôle dans la chaîne d'approvisionnement. Cela peut se faire gratuitement et sans compte via quelques questions qui donnent immédiatement une indication.
Vers les clients qui envoient un questionnaire de sécurité, un certificat n'est pas non plus le chemin le plus court. Les clients veulent généralement voir des réponses concrètes : quelles mesures existent, comment sont-elles organisées, que se passe-t-il en cas d'incident. Un certificat peut y contribuer, mais ne remplace pas la preuve sous-jacente.
Si un fournisseur propose quand même un « certificat NIS2 »
Si un parcours de certification est spécifiquement offert sous le nom NIS2, il est judicieux de regarder de manière critique qui l'émet et sur la base de quelle norme. Demandez l'accréditation, la portée précise et ce que le certificat couvre et ne couvre pas. Un audit, un test de pénétration ou une certification par rapport à une norme reconnue est un travail d'experts de parties spécialisées — c'est expressément différent de la préparation de politiques, de dossiers et de questionnaires. Comment se présente une telle préparation et d'où proviennent les sources utilisées est expliqué sur la page sur la façon dont l'information est structurée.
Pour votre situation particulière, et pour la question de savoir si un certificat proposé correspond à ce que la loi dans votre pays demande précisément, un juriste ou l'autorité de contrôle compétente reste le bon point de contact. Si vous doutez qu'un certificat, une norme ou un questionnaire soit pertinent pour votre organisation, alors l'aperçu des questions fréquemment posées fournit souvent déjà une première réponse.
Voulez-vous savoir où se situe précisément votre organisation, sans discours de vente sur des certificats qui n'existent pas? Effectuez le contrôle NIS2 gratuit ou parcourez la base de connaissances — les deux sont accessibles sans compte.