NIS2 ou ISO 27001
NIS2 vs ISO 27001 : une loi face à une norme certifiable. L'une peut être obligatoire pour votre entreprise, l'autre est un moyen d'afficher et de structurer une bonne sécurité.
NIS2 vs ISO 27001 est une comparaison entre une loi et une norme. NIS2 est une directive de l'UE qui oblige les organisations des secteurs couverts à gérer le risque cyber, à signaler les incidents et à répondre aux autorités nationales. ISO/IEC 27001 est une norme internationale pour un système de management de la sécurité de l'information, que les organisations adoptent volontairement et peuvent faire certifier.
Ce ne sont pas des alternatives. Si NIS2 s'applique à vous, la conformité est une obligation légale, et ISO 27001 est un moyen reconnu de bâtir le système de management qui la sous-tend. Détenir un certificat ISO 27001 ne prouve pas en soi la conformité NIS2.
Côte à côte
| Compétence | NIS2 | ISO 27001 |
|---|---|---|
| De quoi s'agit-il | Directive UE (2022/2555), transposée en droit national | Norme internationale pour un système de management de la sécurité de l'information |
| Obligatoire | Oui, si vous êtes une entité concernée | Non, volontaire sauf si un client ou un contrat l'exige |
| À qui cela s'applique | Organisations des secteurs listés au-dessus d'un seuil de taille, plus quelques plus petites | Toute organisation, quelle que soit sa taille ou son secteur |
| Appliqué par | Autorités nationales | Organismes de certification indépendants |
| Certificat | Aucun, vous êtes conforme ou non | Oui, délivrée après un audit, valable trois ans avec des contrôles annuels |
| Déclaration des incidents | Obligatoire, avec des délais stricts d'alerte précoce | Nécessite un processus d'incident, mais ne fixe aucun délai d'autorité |
| Responsabilité de la direction | Explicite, les dirigeants peuvent être tenus responsables | La direction doit soutenir et examiner le système |
| Sanctions | Amendes jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires pour les entités essentielles, jusqu'à 7 millions ou 1,4 % pour les entités importantes | Aucun, le risque est de perdre le certificat |
| Version actuelle | En vigueur, les lois nationales varient | ISO/IEC 27001:2022, la transition depuis l'édition 2013 s'est achevée en octobre 2025 |
Les points forts de chacun
NIS2
- Établit un socle juridique commun dans toute l'UE
- Place la sécurité au niveau de la direction
- Obligations claires de signalement des incidents
- La sécurité de la chaîne d'approvisionnement fait partie des règles
- Les détails dépendent de la loi nationale de chaque pays
- Aucun certificat à montrer aux clients
- Les sanctions sont lourdes en cas de manquement
ISO 27001
- Fournit une structure éprouvée pour gérer la sécurité
- Certificat indépendant que les clients reconnaissent
- Convient à toute organisation et à tout secteur
- Couvre une grande partie de ce que NIS2 attend en gestion des risques
- Demande du temps et des efforts pour construire et auditer
- Le certificat dépend du périmètre défini
- Ne couvre pas toutes les obligations NIS2, comme le signalement à l'autorité
Se pencher sur NIS2 quand
- Votre secteur et votre taille vous placent dans le périmètre selon la loi de votre pays
- Vous fournissez une entreprise couverte et devez répercuter les exigences
- Vous devez mettre en place la notification des incidents aux autorités
- La direction doit comprendre ses obligations personnelles
- Vous voulez d'abord savoir ce que la loi vous oblige à faire
Se concentrer sur ISO 27001 quand
- Des clients ou des appels d'offres demandent un certificat ISO 27001
- Vous avez besoin d'une méthode structurée pour gérer la sécurité au quotidien
- Vous voulez une preuve de sécurité qui va au-delà d'une auto-déclaration
- Vous vous préparez à NIS2 et voulez un cadre sur lequel bâtir
- Vous voulez un seul système qui soutient aussi le travail GDPR
Questions fréquentes
ISO 27001 me rend-il conforme à NIS2 ?
NIS2 vs ISO 27001 : faut-il choisir ?
ISO 27001 est-elle obligatoire avec NIS2 ?
Quelle version d'ISO 27001 dois-je utiliser ?
Vous ne savez pas comment cela s'applique à vous ?
Un ingénieur senior analyse votre site, votre présence en ligne et la façon dont les demandes vous parviennent, puis note les trois points prioritaires à corriger. Vous conservez ce document quoi qu'il arrive.