Un certificat ISO 27001 aide de manière démontrable à satisfaire l'obligation de diligence raisonnable de la directive NIS2, mais ne la couvre pas entièrement. La norme décrit comment une organisation aborde systématiquement la sécurité de l'information par le biais d'un système de gestion ; la directive NIS2 (notamment l'article 21) décrit les mesures concrètes qu'une entité essentielle ou importante doit prendre, et l'article 23 impose la notification des incidents à une autorité compétente. Ce dernier point n'est réglementé par aucune norme ISO, aussi bon que soit le certificat par ailleurs.
La différence ne réside donc pas dans la qualité mais dans l'objectif. ISO 27001 est une norme volontaire qu'une organisation peut faire certifier pour démontrer qu'elle maîtrise la sécurité de l'information. La NIS2 est une législation assortie d'une obligation de diligence raisonnable, d'une obligation d'enregistrement et d'une obligation de notification, transposées dans chaque pays — aux Pays-Bas par la Loi sur la cybersécurité. Une entreprise peut donc être certifiée ISO 27001 et devoir encore franchir des étapes pour se conformer aux obligations légales, et inversement, une entreprise peut satisfaire à l'obligation de diligence raisonnable sans jamais souhaiter obtenir un certificat.
Où réside le chevauchement
ISO 27001 fonctionne avec une évaluation des risques et une liste de mesures de maîtrise (l'Annexe A) qui ressemblent fortement aux dix mesures citées par l'obligation de diligence raisonnable de la NIS2 : maîtrise d'accès, chiffrement, sauvegardes, évaluation des fournisseurs, gestion des incidents et bien d'autres se retrouvent dans les deux. Une organisation qui maintient sérieusement son système ISO dispose déjà, pour bon nombre de ces mesures, d'une preuve et d'un responsable documentés. Cela réduit considérablement le travail de constitution d'un dossier pour l'obligation de diligence raisonnable, et c'est précisément pourquoi les acheteurs qui envoient un questionnaire de sécurité considèrent souvent un certificat ISO 27001 comme un signal fort.
Le champ d'application est toutefois légèrement différent. ISO 27001 permet à une organisation de déterminer elle-même la portée du système de gestion — par exemple uniquement le département informatique ou un seul site. L'obligation de diligence raisonnable de la NIS2 s'applique à l'ensemble de l'entité relevant de la loi, selon la définition donnée par le législateur et le secteur. Un certificat dont la portée est limitée ne dit donc pas automatiquement quelque chose sur le reste de l'organisation. Pour examiner comment cette délimitation s'applique à son propre secteur, il est plus judicieux de consulter les sujets par situation que la norme elle-même.
Où ISO 27001 ne s'applique pas
Deux obligations découlant de la loi n'ont pas d'équivalent dans la norme. La première est l'obligation d'enregistrement : les entités essentielles et importantes doivent s'enregistrer auprès de l'autorité compétente nationale, en fournissant des données sur l'organisation et ses contacts. ISO 27001 ne demande rien à ce sujet — c'est une norme de certification, non un portail légal.
La deuxième est l'obligation de notification en cas d'incident. L'article 23 de la directive décrit un processus échelonné de notification à l'autorité compétente, avec un premier signalement peu après la découverte et des étapes ultérieures. ISO 27001 demande certes un processus de gestion des incidents, mais ce processus est orienté vers l'interne : il décrit comment une organisation gère elle-même un incident, non à qui et à quel moment elle doit le signaler à l'extérieur. Pour bien comprendre cette distinction, on peut consulter la présentation de ces délais dans l'article antérieur sur l'obligation de notification sur ce site.
La manière dont les fournisseurs sont évalués diffère également en importance. ISO 27001 accorde de l'attention aux relations fournisseur dans le cadre d'une évaluation plus large des risques. L'obligation de diligence raisonnable de la NIS2 fait de l'évaluation de la chaîne d'approvisionnement une partie explicite de l'article 21, ce qui explique pourquoi les organisations assujetties soulignent cet aspect si fortement auprès de leurs fournisseurs PME par le biais de questionnaires et de clauses contractuelles.
Ce que cela signifie dans la pratique
Pour une organisation déjà certifiée ISO 27001, cela signifie généralement qu'une grande partie des preuves existent déjà, mais qu'elles doivent simplement être réorganisées différemment : par mesure de conformité obligatoire, un statut, une pièce justificative et un propriétaire, ainsi que les textes pour l'enregistrement et la notification que la norme ne prescrit pas. Pour une organisation sans certificat, cela signifie qu'elle n'a pas nécessairement besoin de lancer un processus ISO pour se conformer à l'obligation légale — la loi exige les mesures, non le certificat en tant que tel.
Le fait que cela s'applique et comment cela s'applique précisément à une organisation spécifique dépend du secteur, de la taille et du rôle dans la chaîne d'approvisionnement, et c'est finalement l'autorité de surveillance compétente ou un juriste qui en décide, non pas cet article. Vous obtenez une première indication en répondant à quelques questions pour voir où vous en êtes, et celui qui souhaite savoir comment les informations de ce site sont structurées et d'où proviennent les sources les consultera sur la page expliquant comment secria.eu compile les informations.
Si, après avoir lu ceci, vous avez encore une question concrète sur votre propre situation, par exemple sur ce qu'un certificat prouve ou ne prouve pas vis-à-vis d'un client ? Consultez les réponses aux questions fréquemment posées, ou lancez la vérification gratuite pour voir quelle étape suivante convient à votre organisation.