"On est certifiés ISO 27001, donc on est conformes NIS2." Cette affirmation revient souvent dans les comités de direction — et elle est inexacte. Mais la relation entre NIS2 et ISO 27001 est plus subtile qu'un simple "suffisant" ou "insuffisant". Voici ce que couvre réellement la norme, là où elle ne va pas assez loin, et comment l'utiliser comme un vrai accélérateur de conformité.
À retenir — Les 3 niveaux à distinguer
La certification ISO 27001 appartient à la troisième catégorie. C'est un outil puissant, pas une obligation.
La première chose à retenir est simple : NIS2 est délibérément non prescriptive sur les moyens.
"Les entités essentielles et importantes prennent des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d'information."
— Directive (UE) 2022/2555, article 21
La directive définit des résultats attendus et des capacités à démontrer. Elle laisse aux organisations le choix des moyens. Aucune norme, aucun outil, aucune certification n'est imposé. Ce qui compte : pouvoir expliquer et justifier ce que vous faites, de manière cohérente avec les risques identifiés.
Partant de là, ISO 27001 n'est ni obligatoire, ni la seule voie — mais c'est un levier particulièrement efficace, à condition de savoir l'utiliser.
L'article 21 ne se limite pas à demander "une analyse de risques". Il liste des catégories de mesures minimales, toutes à couvrir de manière appropriée et proportionnée :
La conséquence directe : une organisation ne peut pas se contenter d'une bonne analyse de risques. L'analyse de risques est le point de départ pour calibrer les mesures. Les 8 domaines ci-dessus constituent le périmètre à couvrir.
ISO 27001 est une norme internationale de système de management de la sécurité de l'information (SMSI). Elle apporte précisément ce que NIS2 ne détaille pas : le "comment".
NIS2 impose une responsabilité claire de la direction (article 20). ISO 27001 fournit un cadre formalisé pour définir une politique de sécurité approuvée par la direction, formaliser les rôles et responsabilités, organiser le pilotage et le reporting. C'est un point de forte convergence — à condition que l'implication de la direction soit réelle et traçable, pas seulement déclarative.
La gestion des risques est au cœur de l'article 21. ISO 27001 apporte une méthodologie complète : analyse, traitement, priorisation, traçabilité des décisions. C'est le point de meilleure convergence entre les deux référentiels.
La vigilance porte sur un point : l'analyse de risques doit couvrir les services critiques, les dépendances externes et les scénarios cyber crédibles — pas uniquement l'ensemble du SI dans une logique théorique.
L'Annexe A d'ISO 27001 propose un catalogue structuré de contrôles organisationnels, humains et techniques — un point de départ solide pour sélectionner et justifier ses mesures face aux 8 domaines de l'article 21. Les contrôles couvrent notamment la cryptographie, la gestion des accès et les aspects RH, en convergence directe avec les exigences NIS2.
NIS2 n'est pas une conformité figée. ISO 27001 intègre nativement des revues régulières, des audits internes et un cycle PDCA — ce qui permet de démontrer que la cybersécurité est pilotée dans la durée, un élément clé en cas de contrôle.
ISO 27001 intègre la gestion des incidents, mais pas les délais réglementaires NIS2 ni le processus de notification en 3 temps imposé par l'article 23 :
ISO 27001 structure le processus interne de gestion des incidents. La dimension réglementaire (qui notifier, quand, sous quelle forme) nécessite un complément spécifique NIS2.
C'est un point critique souvent sous-estimé dans les SMSI ISO 27001. NIS2 en fait une obligation explicite (article 21) avec des attentes précises :
ISO 27001 couvre la sécurité des relations fournisseurs (contrôles de l'Annexe A), mais l'application opérationnelle reste souvent insuffisante face aux attentes NIS2. C'est fréquemment le premier écart identifié lors d'une analyse de conformité.
Pour les MSP, MSSP, fournisseurs cloud et opérateurs de centres de données, NIS2 est complétée par un règlement d'exécution européen directement applicable, sans attendre la transposition nationale. Ce texte décrit des attentes opérationnelles très précises adaptées aux environnements multi-clients et mutualisés : gestion des incidents à impact systémique, continuité de services partagés, maîtrise de la sous-traitance en chaîne.
ISO 27001 seule est insuffisante pour ces acteurs, sans lecture et intégration de cet acte d'exécution.
Les pouvoirs des autorités compétentes, les processus de contrôle et les mécanismes de sanction relèvent du droit public, hors périmètre de toute norme de management. ISO 27001 ne vous prépare pas à un contrôle réglementaire : elle vous aide à avoir quelque chose à montrer lors de ce contrôle.
Le cadre réglementaire évolue. La Commission européenne développe un cadre européen de certification en cybersécurité (ECCF), piloté par l'ENISA, qui a vocation à produire des preuves standardisées utilisables par les autorités de supervision NIS2. Ce cadre est en cours de structuration au niveau européen, il n'est pas encore opérationnel à ce stade.
Dans cette perspective, disposer d'une certification ISO 27001 constitue un avantage stratégique concret : un SMSI structuré, des processus documentés, une gouvernance éprouvée et des preuves auditables directement réutilisables lorsque les premiers schémas de certification européens seront disponibles. ISO 27001 n'est pas redondante, c'est un accélérateur vers la maturité NIS2, à condition de ne pas la traiter comme une fin en soi.
À faire :
À éviter :
Que vous soyez certifié ISO 27001 ou non, la conformité NIS2 se joue moins dans la quantité de contrôles que dans la cohérence globale du dispositif : politique cohérente avec les risques identifiés, mesures justifiées, preuves utilisables.
Mini-diagnostic : Si vous êtes certifié ISO 27001 avec un SMSI réellement opérationnel, vous avez probablement couvert 60 à 80% des attendus NIS2 — principalement sur la gouvernance, l'analyse de risques et les mesures techniques. Les 20 à 40% restants portent surtout sur la notification réglementaire, la supply chain et les éventuels actes d'exécution sectoriels. C'est là que se joue votre trajectoire de conformité.
Un contrôleur NIS2 n'évalue pas la sophistication de vos outils. Il évalue votre capacité à expliquer vos choix, démontrer vos pratiques et corriger vos écarts, exactement ce qu'un SMSI ISO 27001 bien tenu vous permet de faire.
👉 Faites notre autodiagnostic NIS 2 en moins de 5 minutes et identifiez précisément vos écarts NIS2, que vous soyez certifié ISO 27001 ou non.
