Comparatif
NIS 2 ou ISO 27001 : quelle démarche pour quelle situation ?
En résumé
NIS 2 est une directive européenne qui s’impose, par la loi nationale, aux entités des secteurs concernés. ISO 27001 est une norme volontaire de management de la sécurité, qui peut être certifiée par un organisme tiers. Une certification ISO 27001 ne vaut pas conformité à NIS 2, mais les deux se recoupent largement : une démarche ISO 27001 couvre une grande part des mesures attendues. Une analyse d’écarts démarre à 1 900 € pour l’un ou l’autre référentiel.
Sommaire : 5 sections
Ce que chaque option fait, et ce qu’elle ne fait pas
Une obligation légale pour les entités concernées.
NIS 2
Directive européenne, transposée en droit national, qui impose des mesures de gestion des risques, la responsabilité de la direction et la notification des incidents importants. Elle s’applique ou non selon votre secteur et votre taille.
- Prix
- À partir de 1 900 € pour une analyse d’écarts, puis un plan de mise en conformité sur devis. Le coût monte avec le nombre d’entités et de sites.
- Durée
- Quelques jours pour l’analyse d’écarts, plusieurs mois pour la mise en œuvre
Ce que cela apporte
- S’impose : c’est une obligation, avec supervision et sanctions fixées par le droit national.
- Met la direction face à ses responsabilités et rend la sécurité visible au plus haut niveau.
- Fixe des délais de notification d’incident précis, ce qui oblige à construire la détection.
- Étend le sujet à la chaîne de fournisseurs, souvent négligée.
Ce que cela ne fait pas
- Ne se certifie pas : il n’existe pas de certificat NIS 2 universel à présenter à un client.
- Décrit des objectifs, pas une méthode : elle laisse à l’organisation le soin de choisir les mesures.
- Dépend d’une transposition nationale dont le statut et la version applicable sont à vérifier sur legifrance.gouv.fr et cyber.gouv.fr.
Une norme de management, certifiable.
ISO 27001
Norme internationale qui exige un système de management de la sécurité de l’information : analyse des risques, mesures choisies et documentées, revue de direction, amélioration continue. Un organisme accrédité peut certifier l’organisation.
- Prix
- À partir de 1 900 € pour une analyse d’écarts, puis une démarche de mise en place sur devis. Le coût de certification, versé à l’organisme, vient en plus.
- Durée
- Plusieurs mois avant l’audit de certification
Ce que cela apporte
- Certifiable par un tiers : fournit une preuve reconnue par les clients et les appels d’offres.
- Donne une méthode complète et durable de pilotage de la sécurité.
- S’applique à toute organisation, quel que soit son secteur.
- Couvre une grande partie des mesures attendues par NIS 2 sur la gestion des risques.
Ce que cela ne fait pas
- Ne répond pas, seule, aux obligations spécifiques de NIS 2, notamment les délais de notification.
- Le certificat porte sur un périmètre précis, pas sur toute l’entreprise.
- Charge documentaire et d’audit récurrente, sur la durée.
Un verdict par ligne
La colonne de droite tranche. Quand les deux options se valent, elle le dit : c’est un résultat à part entière.
| Critère | NIS 2 | ISO 27001 | Avantage |
|---|---|---|---|
| Nature | Obligation légale pour les entités concernées. | Norme volontaire, certifiable. | égal |
| Preuve présentable à un client | Pas de certificat universel ; une attestation de conformité n’est pas standardisée. | Certificat d’un organisme accrédité, reconnu. | ISO 27001 |
| Notification d’incident | Délais précis : alerte précoce sous 24 heures, notification sous 72 heures. | Exige un processus de gestion des incidents, sans délai réglementaire. | NIS 2 |
| Responsabilité de la direction | Explicite : approbation et supervision des mesures, formation. | Exigée par la revue de direction, de façon moins contraignante. | NIS 2 |
| Chaîne de fournisseurs | Exigence explicite de sécurité de la chaîne d’approvisionnement. | Traitée via les relations avec les fournisseurs, selon les mesures retenues. | NIS 2 |
| Méthode de pilotage et d’amélioration continue | Peu détaillée : objectifs et mesures minimales. | Complète : risques, déclaration d’applicabilité, revues, audits internes. | ISO 27001 |
| Applicabilité | Selon le secteur et la taille ; à vérifier dans la loi nationale. | Toute organisation peut l’adopter. | ISO 27001 |
Lequel dans votre situation
Prenez nis 2 si…
- Votre secteur et votre taille vous placent dans le champ de la directive.
- Un client assujetti vous transmet ses exigences de chaîne de fournisseurs.
- Vous devez surtout construire la détection et la notification d’incident.
- Votre direction doit être formée et engagée par écrit.
Prenez iso 27001 si…
- Un client ou un appel d’offres exige un certificat reconnu.
- Vous voulez un cadre durable de pilotage de la sécurité, même sans obligation légale.
- Vous souhaitez une preuve tierce plutôt qu’une déclaration de conformité.
- Vous voulez couvrir NIS 2 et d’autres exigences avec un seul dispositif.
Et si la réponse était « les deux » ?
NIS 2 et ISO 27001 se recoupent largement. Si vous êtes assujetti à NIS 2, une démarche ISO 27001 vous apporte une méthode et un certificat, tandis que NIS 2 ajoute des exigences propres, comme les délais de notification et la responsabilité de la direction, à intégrer dans le système de management. Commencez par une analyse d’écarts unique qui confronte votre situation aux deux référentiels, pour éviter de maintenir deux chantiers séparés.
Ce qu’on nous demande ensuite
La certification ISO 27001 rend-elle conforme à NIS 2 ?
Non, pas automatiquement. ISO 27001 couvre une grande part des mesures de gestion des risques attendues, mais NIS 2 impose aussi des délais de notification d’incident, une responsabilité de la direction et des exigences de chaîne d’approvisionnement qui doivent être vérifiées séparément. De plus, le périmètre du certificat peut exclure des systèmes visés par la directive.
Existe-t-il une certification NIS 2 ?
Non, il n’existe pas de certificat NIS 2 universel comparable à un certificat ISO 27001. La conformité relève de la transposition nationale et de la supervision d’une autorité. Vous pouvez documenter votre conformité par une analyse d’écarts et des preuves, mais vérifiez auprès de l’autorité ou de votre juriste les modalités applicables dans votre pays.
Faut-il faire ISO 27001 si je suis déjà concerné par NIS 2 ?
Pas obligatoirement. Si aucun client ni aucun appel d’offres n’exige un certificat, la conformité à NIS 2 peut se démontrer sans certification. ISO 27001 reste intéressante comme méthode de pilotage et comme preuve tierce, surtout si vos clients la demandent. Une analyse d’écarts commune aux deux référentiels aide à décider sans engager de certification.
Prestations concernées
- PrestationConformité NIS 2Faire d’une obligation réglementaire une sécurité que vous pouvez démontrer.
- PrestationSupervision & SOCUne attaque que personne ne voit dure plus longtemps et coûte plus cher.
- PrestationSensibilisationDes équipes qui savent quoi faire devant un message douteux.
Autres arbitrages
- ComparatifConformité ou sécurité ?On peut être conforme et vulnérable, solide et non conforme. Ce que couvre une démarche de conformité (ISO 27001, NIS 2), ce que mesure une démarche technique, et dans quel ordre les mener.
- ComparatifAudit de sécurité ou pentestUn audit de sécurité examine configuration, architecture ou code pour trouver des défauts ; un test d’intrusion démontre ce qu’un attaquant obtient. Différences, prix d’entrée et situations types.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début