NIS 2 et ISO 27001 : ce qui change pour votre conformité

Votre entreprise est-elle concernée par NIS 2 ?

Environ 15 000 entités françaises seraient potentiellement concernées par NIS 2 (ANSSI, estimation du périmètre français). Cette estimation décrit un périmètre potentiel: elle ne constitue ni un décompte définitif des entités juridiquement assujetties, ni une preuve que votre entreprise entre dans le champ.

Quels critères déterminent votre assujettissement ?

La qualification croise votre activité réelle, la taille de l’entreprise, les règles d’établissement ou de compétence territoriale et les exceptions prévues par les textes. Certaines catégories peuvent être concernées indépendamment de leur taille. Examinez également les règles de calcul tenant compte des entreprises partenaires ou liées: l’effectif de votre seul établissement ne suffit pas nécessairement.

Situation	Qualification à examiner	Conséquence pratique
Entité essentielle	Catégorie déterminée notamment par le secteur, la taille ou une désignation spécifique	Supervision pouvant intervenir en amont d’un incident
Entité importante	Autre catégorie assujettie selon les critères du texte	Obligations de cybersécurité, avec une supervision principalement a posteriori
Fournisseur hors champ direct	Prestataire sollicité au titre de la sécurité de la chaîne d’approvisionnement	Exigences contractuelles possibles, sans assujettissement automatique

Vous dirigez un prestataire de maintenance industrielle et un client vous adresse un questionnaire NIS 2 avant le renouvellement du contrat. Votre DSI distingue alors la qualification juridique de votre société des garanties exigées commercialement. Vous pouvez ainsi négocier des engagements documentés sans déclarer prématurément votre entreprise assujettie.

Quel texte faut-il retenir pour décider ?

Distinguez la directive européenne, sa transposition française et les dispositions effectivement applicables, y compris leurs éventuelles mesures transitoires. Pour arrêter votre qualification, contrôlez les textes consolidés sur Légifrance et EUR-Lex, ainsi que les indications officielles de l’ANSSI au jour de votre décision. Notre point sur le retard de transposition de NIS 2 apporte un contexte daté, pas une preuve du droit actuellement applicable.

Comment articuler NIS 2 avec DORA dans la finance ?

DORA est applicable depuis le 17 janvier 2025 (règlement DORA, EUR-Lex). Pour un acteur financier, examinez les règles sectorielles et l’articulation prévue avec NIS 2, notamment pour la gestion des risques et la notification des incidents. Ne cumulez pas mécaniquement les obligations: identifiez le régime applicable à chaque entité et à chaque obligation.

La certification ISO 27001 suffit-elle pour être conforme à NIS 2 ?

Non. La certification du système de management de la sécurité de l’information (SMSI) ne constitue pas une reconnaissance automatique de conformité réglementaire. Elle atteste qu’un système de management répond aux exigences de la norme sur un périmètre défini. L’entité assujettie reste responsable de ses obligations NIS 2, notamment en matière de gouvernance, de gestion des risques et de notification des incidents.

Que prouvent les différentes certifications ?

Objet	Portée	Limite pour NIS 2
Certification ISO 27001 d’une organisation	Conformité du SMSI dans le périmètre audité	Ne vaut pas validation globale des obligations réglementaires
Certification individuelle PECB	Compétences d’une personne selon le titre obtenu	Ne certifie ni l’organisation ni sa conformité
Obligations de l’entité assujettie	Exigences réglementaires applicables à ses activités	Restent à satisfaire et à documenter par l’entité

Pour votre direction, la bonne démarche consiste donc à rapprocher chaque obligation applicable des dispositifs existants, puis à identifier les écarts et leur responsable.

En quoi le SMSI facilite-t-il la conformité ?

Le SMSI structure l’analyse des risques, attribue les responsabilités, organise leur traitement et conserve les preuves des décisions comme des contrôles. Les audits et revues de direction alimentent ensuite l’amélioration continue: vous disposez d’un dispositif de pilotage, pas seulement d’un dossier documentaire.

L’annexe A comprend 93 mesures (ISO, ISO/IEC 27001:2022, annexe A). Leur applicabilité doit être examinée; leur sélection et les exclusions sont justifiées selon les risques et les exigences applicables dans la déclaration d’applicabilité. Notre lecture des mesures de l’annexe A par thème aide à préparer cet examen.

Quel périmètre devez-vous vérifier sur votre certificat ?

Contrôlez la version, les sites, les activités couvertes et les exclusions. L’échéance de migration des certificats de l’ancienne version était fixée au 31 octobre 2025 (Référentiel PECB, transition vers ISO/IEC 27001:2022).

Votre entreprise exploite une plateforme logistique, mais son certificat couvre uniquement le siège et les fonctions support. Avant de présenter ce certificat au conseil d’administration comme preuve de conformité, vous faites cartographier les entrepôts et leurs systèmes industriels. Cet arbitrage révèle des activités à intégrer au travail de conformité NIS 2, sans remettre en cause la validité du certificat sur son périmètre restreint.

Quelles obligations NIS 2 devez-vous traiter au-delà de votre SMSI ?

Votre système de management de la sécurité de l’information (SMSI) fournit une base structurée, pas une présomption de conformité à NIS 2. L’enjeu consiste à rapprocher les exigences applicables de vos pratiques, puis à documenter les écarts et leur traitement.

Que doit prendre en charge la direction ?

Les organes de direction doivent approuver les mesures de gestion des risques de cybersécurité et superviser leur mise en œuvre. Leur formation doit leur permettre de comprendre les risques et d’évaluer les pratiques retenues. Cela suppose des décisions traçables, un suivi des risques et des arbitrages budgétaires explicites: ces responsabilités ne se délèguent pas simplement à la DSI. Celle-ci prépare les éléments techniques; la direction exerce son rôle de gouvernance.

Comment transformer les exigences en actions vérifiables ?

Construisez une matrice opérationnelle, sans présenter cette correspondance comme une équivalence juridique. Pour les délais, destinataires, seuils et modalités de notification, référez-vous au texte national applicable et aux instructions de l’autorité compétente.

Exigence NIS 2	Dispositif ISO existant	Écart à vérifier	Preuve attendue	Responsable
Incidents et notifications	Procédure de réponse	Circuit réglementaire opérationnel	Simulation et décisions horodatées	Responsable des incidents et juridique
Continuité	Plans de reprise	Dépendances critiques couvertes	Compte rendu d’exercice	Direction des opérations
Sécurité des fournisseurs	Évaluation des tiers	Engagements contractuels adaptés	Contrats et revues documentées	Achats et RSSI
Contrôle des accès	Gestion des habilitations	Comptes sensibles maîtrisés	Revues et traces de révocation	DSI
Évaluation de l’efficacité	Audits et indicateurs	Mesures réellement testées	Résultats et actions correctives	RSSI

Un vendredi, votre prestataire d’hébergement signale une compromission possible. La DSI privilégie la restauration, mais personne n’a mandat pour qualifier la notification réglementaire. Vous désignez un décideur et son suppléant: l’arbitrage devient traçable sans attendre le prochain comité.

Sur la continuité, ISO 22301 et l’audit de continuité d’activité permettent d’approfondir l’examen des dispositifs.

Pourquoi votre ancien inventaire ne suffit-il pas ?

Les 4 thèmes de l’annexe A, organisationnel, humain, physique et technologique, facilitent l’analyse des écarts (ISO, ISO/IEC 27001:2022, annexe A). Les 114 mesures de l’ancienne annexe ne constituent toutefois pas une preuve de conformité actuelle (Référentiel PECB, comparaison des versions d’ISO/IEC 27001). Vérifiez la pertinence des mesures, leur fonctionnement effectif et leur adéquation aux obligations applicables.

Comment construire une feuille de route et des preuves exploitables ?

Par où commencer pour rendre les actions pilotables ?

Qualifiez d’abord le périmètre réglementaire et opérationnel: entités, services critiques, systèmes concernés et interfaces avec les prestataires. Inventoriez ensuite les actifs et leurs dépendances, puis analysez les risques avant d’identifier les écarts. Chaque action doit avoir un responsable, une échéance, une priorité justifiée et un critère de clôture vérifiable. Le dirigeant arbitre les ressources et les risques résiduels; la DSI coordonne l’exécution sans porter seule toutes les responsabilités.

Votre hébergeur annonce une maintenance alors que la restauration du service de facturation n’a jamais été testée. Vous arbitrez en faveur d’un test préalable plutôt que d’une simple validation documentaire. Son résultat conditionne l’autorisation de l’intervention et révèle les corrections nécessaires.

Pour structurer cette démarche, le guide mettre en place un SMSI ISO 27001 détaille l’organisation d’un système de management de la sécurité de l’information.

Quels livrables permettent de décider et de démontrer l’efficacité ?

• Registre des risques et décisions de traitement: scénarios, impacts, responsables, mesures retenues et acceptation des risques résiduels.
• Déclaration d’applicabilité: mesures nécessaires, justification des inclusions ou exclusions et état de mise en œuvre.
• Procédure d’incident et tests de continuité: chaîne d’alerte, critères d’escalade, résultats des exercices et corrections.
• Évaluations fournisseurs et revues de direction: dépendances critiques, engagements contrôlés, arbitrages et suivi des actions.

Une procédure approuvée prouve sa formalisation, pas son efficacité. Testez-la, conservez les résultats, corrigez les écarts puis vérifiez la correction. Organisez une vérification indépendante des responsables opérationnels; le parcours de l’auditeur ISO 27001 éclaire les compétences mobilisées pour examiner ces preuves.

Quelles compétences développer pour conduire la mise en œuvre ?

Formation	Finalité	Durée
ISO 27001 Foundation	Comprendre le cadre et dialoguer avec les responsables du SMSI.	14 h (fiche formation Elitek)
ISO 27001 Lead Implementer	Structurer le déploiement, les responsabilités et le suivi du SMSI.	35 h (fiche formation Elitek)

La formation ISO 27001 Lead Implementer accompagne la structuration de cette démarche. Une formation ne remplace toutefois ni le déploiement effectif du SMSI ni l’analyse juridique des obligations NIS 2 applicables à votre organisation.

Quel budget prévoir pour former votre référent ISO 27001 ?

Pour votre budget, distinguez la formation du référent, la mise en œuvre du système de management de la sécurité de l’information (SMSI) et la certification de l’entreprise. Ces dépenses répondent à des objectifs distincts: développer une compétence individuelle ne revient pas à faire certifier votre organisation.

Combien coûte la formation Lead Implementer ?

Elitek, organisme partenaire PECB, propose le parcours ISO 27001 Lead Implementer selon les modalités suivantes. L’examen individuel est inclus dans chaque tarif; il ne s’agit pas de l’audit de certification du SMSI.

Modalité	Prix particulier	Prix entreprise	Examen individuel
Distanciel avec formateur certifié	3 690 € TTC	3 690 € HT	Inclus (fiche formation Elitek)
E-learning	2 390 € TTC	2 390 € HT	Inclus (fiche formation Elitek)

Le choix dépend de l’autonomie du stagiaire et de sa capacité à dégager du temps. Le détail du budget de certification ISO 27001 Lead Implementer vous aide à cadrer cette dépense individuelle.

Que faut-il financer en dehors de la formation ?

Prévoyez séparément le temps consacré à l’analyse des risques, à la documentation, au déploiement des mesures de sécurité et aux audits internes. La certification du SMSI relève d’un organisme certificateur: son devis dépend notamment du périmètre retenu et de la complexité de votre organisation.

Votre DSI doit préparer le SMSI alors qu’une migration mobilise déjà l’équipe informatique. Vous retenez le distanciel pour sanctuariser la disponibilité du référent et lui permettre d’interroger un formateur certifié sur les difficultés méthodologiques. Vous réservez également du temps après la formation: sans disponibilité pour appliquer les acquis, le projet risque de rester documentaire.

Quel financement et quel parcours retenir ?

Ces formations ne sont pas éligibles au CPF. Examinez le plan de développement des compétences, une prise en charge OPCO sous conditions ou les fonds propres; faites confirmer les conditions de financement avant l’inscription.

Lead Implementer vise la construction et le déploiement du SMSI. Si votre besoin concerne plutôt la préparation et la conduite d’audits, la formation ISO 27001 Lead Auditor répond à cet objectif. Aucun de ces parcours ne suffit, à lui seul, à établir votre conformité à NIS 2.

FAQ

NIS 2 impose-t-elle de faire certifier son entreprise ISO 27001 ?

La directive NIS 2 n’impose pas, à elle seule, une certification générale ISO 27001 à toutes les entités concernées. Elle prévoit des obligations de gouvernance, de gestion des risques et de notification auxquelles l’organisation doit répondre. ISO 27001 fournit un cadre utile pour organiser ces travaux et leurs preuves. Il faut néanmoins vérifier la transposition nationale applicable, les règles sectorielles et les exigences contractuelles, qui peuvent ajouter des conditions spécifiques.

Une PME non assujettie peut-elle recevoir des demandes liées à NIS 2 ?

Oui. Une PME qui n’entre pas directement dans le périmètre peut être sollicitée par un client assujetti au titre de la sécurité de sa chaîne d’approvisionnement. Celui-ci peut demander des engagements contractuels, des preuves de maîtrise des accès, un dispositif de gestion des incidents ou des informations sur la continuité. Cela ne rend pas automatiquement la PME assujettie à toutes les obligations de la directive. Chaque demande doit être examinée selon le contrat et les risques concernés.

Peut-on utiliser un audit ISO 27001 pour préparer un contrôle réglementaire ?

Un audit ISO 27001 peut fournir des éléments utiles: constats, preuves de fonctionnement, suivi des écarts et vérification des responsabilités. Il ne remplace pas l’examen des obligations NIS 2 applicables à votre organisation. Il convient de comparer le périmètre de l’audit avec celui des activités assujetties, puis de compléter les vérifications sur les notifications, la gouvernance et les exigences nationales. Une matrice de correspondance facilite cette préparation sans constituer une attestation automatique de conformité.

Faut-il attendre la stabilisation du cadre français pour commencer ?

Vous pouvez engager les travaux utiles sans anticiper des dispositions françaises non vérifiées: cartographie des activités, analyse des risques, inventaire des fournisseurs critiques, clarification des responsabilités et préparation de la gestion des incidents. Ces actions renforcent votre maîtrise de la cybersécurité et facilitent les ajustements ultérieurs. En parallèle, organisez une veille sur les publications de l’ANSSI et les textes officiels. Le calendrier et les modalités juridiquement applicables doivent être confirmés au moment de chaque décision.

Réussir l’examen PECB certifie-t-il le SMSI de l’entreprise ?

Non. Une certification individuelle PECB porte sur les compétences d’une personne, tandis que la certification ISO 27001 d’une organisation porte sur son SMSI et son périmètre déclaré. La réussite de l’examen ne certifie donc pas l’entreprise et ne démontre pas sa conformité à NIS 2. Selon le titre individuel visé, PECB demande également une expérience professionnelle documentée. Il faut distinguer formation suivie, examen réussi, titre personnel obtenu et certification du système de management.

Se former avec Elitek

Elitek, organisme certifié Qualiopi, propose une formation dédiée à ce sujet, finançable par votre entreprise ou votre OPCO, disponible en distanciel comme en présentiel. Découvrez la formation Elitek correspondante et son accompagnement vers la certification.