Guide NIS2 · 7 min
ISO 27001 et NIS2 : ce que votre SMSI couvre déjà — et les écarts qui restent
Si vous détenez déjà l'ISO/IEC 27001, vous ne partez pas de zéro pour NIS2 — loin de là. Un SMSI opérationnel couvre l'essentiel du socle de l'article 21. Mais la certification n'est pas la conformité : NIS2 ajoute des obligations légales qu'un SMSI, à lui seul, ne satisfait pas. Ce guide cartographie ce qui se reporte, où sont les véritables écarts, et comment les combler sans reconstruire l'existant.
Points clés
- L'ISO 27001 couvre la plupart des mesures de l'art. 21 de NIS2 — gestion des risques, contrôle d'accès, cryptographie, continuité, contrôles fournisseurs — c'est donc une bonne longueur d'avance.
- Mais la certification n'est pas la conformité : NIS2 ajoute les délais légaux de notification, la responsabilité de la direction, l'enregistrement et l'assurance continue de la chaîne d'approvisionnement.
- Les plus grands écarts sont généralement le devoir de notification à 24/72 heures et la surveillance continue des tiers, pas les contrôles de base.
- Comblez les écarts par-dessus le SMSI — ne reconstruisez pas ; cartographiez vos contrôles de l'Annexe A vers la liste de l'art. 21 et ajoutez ce qui manque.
Ce que votre SMSI couvre déjà
Le socle de l'article 21 de NIS2 et l'ISO/IEC 27001 (avec ses contrôles de l'Annexe A) se recoupent largement. Si votre SMSI fonctionne vraiment — pas seulement certifié — une grande partie de la substance technique et organisationnelle de la directive est déjà en place :
- Gestion des risques — votre processus d'appréciation et de traitement des risques du SMSI correspond directement à l'art. 21(2)(a).
- Contrôle d'accès et cryptographie — les contrôles d'accès et de cryptographie de l'Annexe A s'alignent sur l'art. 21(2)(i) et (h).
- Gestion des incidents — votre processus d'incident couvre le volet traitement de l'art. 21(2)(b) (c'est sur le volet notification que NIS2 ajoute davantage).
- Continuité d'activité — les contrôles de sauvegarde, de reprise et de continuité correspondent à l'art. 21(2)(c).
- Relations fournisseurs — les contrôles fournisseurs de l'Annexe A sont la base sur laquelle s'appuie l'art. 21(2)(d).
Là où NIS2 va au-delà de votre SMSI
La certification prouve qu'un système géré existe pour un périmètre défini. NIS2 est une obligation légale pour toute l'entité concernée, et elle ajoute des devoirs qu'un certificat ISO, seul, ne remplit pas :
Notification d'incident légale — l'ISO 27001 exige de gérer les incidents ; NIS2 exige de notifier les incidents importants à une autorité nationale selon une horloge de 24 h / 72 h / un mois (art. 23). Aucun délai du SMSI n'égale cela.
Responsabilité et formation de la direction — NIS2 oblige l'organe de direction à approuver et superviser les mesures, à se former et à être personnellement responsable (art. 20). L'ISO demande l'engagement de la direction, pas la responsabilité juridique.
Assurance continue de la chaîne d'approvisionnement — les contrôles fournisseurs de l'Annexe A sont largement ponctuels. L'art. 21(2)(d) de NIS2, lu avec le critère des « mesures appropriées », pousse vers une surveillance continue du risque fournisseur.
Enregistrement et périmètre — de nombreuses entités doivent s'enregistrer auprès de leur autorité nationale, et NIS2 s'applique à toute l'organisation concernée, quel que soit le périmètre SMSI choisi.
Réalité de l'application — une non-conformité ISO se règle entre vous et votre certificateur ; un manquement à NIS2 peut signifier des instructions contraignantes et des amendes jusqu'à 10 M€ ou 2 % du chiffre d'affaires (art. 34).
Combler l'écart sans reconstruire
La voie efficace traite NIS2 comme un complément au-dessus d'un SMSI opérationnel, pas comme un programme parallèle :
- Cartographiez vos contrôles de l'Annexe A vers la liste art. 21(2)(a)–(j) — la plupart des cases seront déjà remplies.
- Mettez en place le flux de notification : qui décide de l'« importance », qui contacte le CSIRT, et le playbook 24/72 heures.
- Portez la gouvernance NIS2 au conseil : approbation des mesures, reporting de supervision et formation de la direction (art. 20).
- Faites passer l'assurance fournisseurs d'un questionnaire annuel à une surveillance continue pour les fournisseurs critiques.
- Confirmez l'enregistrement auprès de votre autorité nationale, et que votre périmètre SMSI couvre les services concernés.
Source : Directive (UE) 2022/2555 (NIS2), articles 20, 21 et 23 — la cartographie ISO/IEC 27001 est indicative ; confirmez les exigences contraignantes dans votre loi de transposition nationale.
Comment norppa.io aide
Les deux écarts qu'un SMSI laisse les plus béants sont précisément ceux pour lesquels norppa.io est conçu : l'assurance fournisseurs continue et la preuve prête pour la notification. Chaque fournisseur surveillé est vérifié sur plus de 100 points de contrôle chaque jour, avec des constats cartographiés vers les mêmes sous-clauses de l'art. 21 que votre SMSI parle déjà — le contrôle de la chaîne d'approvisionnement devient continu, pas annuel.
Et comme tout est horodaté et exportable, la preuve qui soutient une notification au titre de l'art. 23 ou un contrôle se trouve aux côtés de votre documentation SMSI plutôt que dans un silo séparé. norppa.io complète l'ISO 27001 ; il ne le duplique pas.