NIS2, mise en correspondance avec l'ISO 27001

Pour qui

Une entité essentielle ou importante au sens de NIS2, ou un fournisseur que l'une d'elles interroge, qui exploite ou construit déjà un système de management ISO/IEC 27001 et veut savoir quelle part de l'article 21 elle couvre déjà.

Ce qui correspond

Les 10 mesures de l'article 21, paragraphe 2, chacune vers les chapitres ISO/IEC 27001 et les mesures de l'annexe A dont les enregistrements la prouvent : 73 mesures et 14 chapitres au total, la lecture de StandardOS, téléchargeable en CSV ci-dessous.

Ce qui ne correspond pas

6 endroits où le règlement d'exécution demande quelque chose qu'aucun enregistrement ISO 27001 ne produit, listés plus bas ; et les devoirs propres à la directive, l'enregistrement, la formation de l'organe de direction et les délais d'incident, qui se tiennent à côté du SMSI, pas dedans.

Les dix mesures de l'article 21, paragraphe 2, mises en correspondance

Une ligne par point de la directive : la mesure en mots simples, le texte de la directive et les chapitres ISO/IEC 27001 et mesures de l'annexe A dont les enregistrements la prouvent. Entités essentielles et importantes confondues.

La correspondance est la lecture de StandardOS de quels enregistrements prouvent quelle mesure ; NIS2 ne nomme aucune norme et n'accorde aucune présomption de conformité, et les sections du règlement d'exécution ci-dessous ajoutent le détail que la directive laisse ouvert.

Le considérant 3 du règlement est explicite sur l'origine de ses exigences. Elles sont “based on European and international standards, such as ISO/IEC 27001, ISO/IEC 27002 and ETSI EN 319401”. C'est ce qui rend une correspondance possible plutôt qu'approximative.

L'annexe, section par section

Les titres des sections sont cités d'après le texte anglais de l'annexe, l'ISO 27001 étant elle-même travaillée en anglais ; les titres des sous-sections sont ceux du Journal officiel dans cette langue.

Là où un SMSI s'arrête, en 6 endroits

Tout le reste de cette annexe découle d'un système de management ISO 27001 conforme. Ceux-ci non, et aucun degré de conformité ISO ne les produit :

• 1. Policy on the security of network and information systems

  Les planchers. Le point 1.1.2 fait réexaminer la politique par les organes de direction au moins une fois par an, et le point 1.2.3 exige au moins une personne rendant compte directement aux organes de direction de la sécurité des réseaux et des systèmes d'information. L'ISO 27001 prévoit une revue par la direction à intervalles planifiés et ne nomme aucune ligne hiérarchique de ce type.

• 2. Risk management policy

  Le plancher annuel. Le point 2.1.4 exige que les résultats de l'appréciation des risques et le plan de traitement des risques soient réexaminés à intervalles planifiés et au moins une fois par an. L'ISO 27001 fixe les intervalles, sans plancher.

• 3. Incident handling

  L'horloge légale. L'ISO 27001 exige un processus de gestion des incidents ; elle n'exige ni alerte précoce à 24 heures, ni notification à 72 heures, ni double dépôt auprès d'un CSIRT et d'une autorité compétente, ni test d'importance. Les articles 3 à 14 du règlement d'exécution rendent tout cela mécanique et uniforme dans l'UE. L'article 3, paragraphe 1, point a), fixe 500 000 € ou 5 % du chiffre d'affaires, le plus bas des deux, et rien de cela ne découle de lui-même d'un SMSI. Et les journaux : selon le point 3.2.5, les journaux sont conservés et sauvegardés pendant une période prédéfinie, protégés contre l'accès ou la modification non autorisés. A.8.15 demande la journalisation ; il n'exige pas que les journaux eux-mêmes soient sauvegardés pendant une période fixée.

• 8. Basic cyber hygiene practices and security training

  La formation de l'organe de direction. L'article 20, paragraphe 2, de NIS2 exige que les membres de l'organe de direction suivent eux-mêmes une formation, et l'article 20, paragraphe 1, les rend personnellement responsables de l'approbation et de la supervision des mesures. L'ISO 27001 demande l'engagement de la direction et la compétence ; elle n'inscrit pas le conseil au registre des formations et n'attache aucune responsabilité à la signature.

• 10. Human resources security

  Le plancher annuel. Le point 10.1.3 fait réexaminer par l'entité la sécurité des ressources humaines, y compris les ressources qu'elle y consacre, à intervalles planifiés et au moins une fois par an. L'ISO 27001 fixe les intervalles, sans plancher.

• 11. Access control

  Plusieurs facteurs. Le point 11.3.2 exige une identification et une authentification fortes, telles que l'authentification multifacteur, pour les comptes à privilèges et d'administration système, le point 11.7 exige que les utilisateurs soient authentifiés par plusieurs facteurs ou en continu, et le point 11.6.2(e) met fin aux sessions inactives après une période prédéfinie. A.8.5 demande une authentification sécurisée et ne nomme aucun des trois.

Ce que cette page n'est pas

Ce n'est pas un score de couverture. Un pourcentage unique de ce que l'ISO 27001 couvre de NIS2 est cité un peu partout. Chaque version en est un jugement structurel plutôt qu'une mesure, et nous n'allons pas répéter un chiffre dont nous ne pouvons pas montrer le calcul. L'ENISA a publié une correspondance lisible par machine dans son Technical Implementation Guidance (v1.0, juin 2025) ; la correspondance ci-dessus est la nôtre, établie à partir des deux documents, et vous devriez la vérifier contre la leur plutôt que de faire confiance à l'un ou l'autre.

Ce n'est pas un produit NIS2. StandardOS ne vous enregistre pas auprès d'une autorité nationale, ne dépose pas vos notifications d'incident et ne suit pas 27 transpositions nationales. Si vous avez besoin de cela, il vous faut autre chose, et la version honnête de notre position est que le jeu de mesures est la partie qui vaut d'être construite une fois, parce que c'est la seule qui soit la même partout.

Ce n'est pas une détermination du champ d'application. NIS2 lie les entités essentielles et importantes au-dessus des seuils de taille de l'article 2. En dessous d'environ 50 personnes et 10 M€, vous êtes très probablement entièrement en dehors, avec des exceptions sectorielles. Cette détermination est la vôtre à faire et à consigner, et nous ne la ferons pas à votre place sur une page marketing.

Les titres des sections sont cités d'après l'annexe du règlement d'exécution (UE) 2024/2690 tel que publié sur EUR-Lex, lu le 10 août 2026. La correspondance avec l'ISO/IEC 27001 est la nôtre et non celle de l'ENISA. Ceci n'est pas un avis juridique, et le règlement est assez court pour être lu vous-même : Règlement d'exécution (UE) 2024/2690.