ISO 27001 et NIS2 ne répondent pas au même besoin. ISO 27001 décrit les exigences d’un SMSI fondé sur le risque ; NIS2 est un cadre réglementaire européen. Les articuler consiste à relier SMSI, risques cyber, contrôles, preuves et actions, sans affirmer qu’une certification ISO 27001 suffit à couvrir NIS2.
Sommaire
- Distinguer les rôles
- Matrice SMSI, risques, contrôles, preuves
- Méthode d’articulation
- Checklist
- Sources
Distinguer ISO 27001, SMSI et NIS2
ISO/IEC 27001 est une norme de système de management de la sécurité de l’information. Le SMSI est le dispositif mis en place par l’organisation. NIS2 fixe des obligations de cybersécurité et de notification pour les entités concernées, selon la transposition applicable.
| Objet | Rôle dans le SMSI | Lien NIS2 | Preuve utile |
|---|---|---|---|
| Périmètre | Délimite le SMSI. | Clarifie les entités, services et systèmes concernés. | Note de périmètre validée. |
| Risque | Base de l’évaluation et du traitement. | Alimente les mesures de gestion du risque cyber. | Registre des risques, propriétaire, cotation. |
| Contrôle | Mesure choisie et suivie. | Soutient une exigence de sécurité. | Résultat de contrôle daté. |
| Action | Traitement ou amélioration. | Corrige un écart ou une faiblesse. | Plan d’action avec échéance et statut. |
| Preuve | Démontre le fonctionnement. | Prépare contrôle, audit ou supervision. | Document, journal, compte rendu, ticket. |
Méthode d’articulation
- Confirmer le périmètre NIS2 avec les sources officielles et le conseil juridique si nécessaire.
- Identifier le périmètre SMSI réellement couvert par ISO 27001.
- Comparer exigences, risques, contrôles et preuves sans déclarer d’équivalence automatique.
- Créer une bibliothèque de contrôles réutilisables.
- Relier chaque écart à une action et à une preuve de clôture.
- Suivre les sujets spécifiques : incidents, continuité, fournisseurs, accès, gouvernance.
Checklist opérationnelle
- Le périmètre ISO 27001 est explicite.
- Le statut NIS2 est vérifié avec les sources officielles.
- Les risques cyber ont des propriétaires.
- Les contrôles critiques ont une preuve récente.
- Les écarts produisent des actions suivies.
- Les décisions de direction sont datées.
Exemple fictif
Une collectivité suit un risque d’accès non autorisé à une application critique. Le SMSI documente le risque, le contrôle d’habilitation, la revue trimestrielle, l’écart constaté, l’action de suppression de comptes dormants et la preuve de revue. Ce fil peut soutenir ISO 27001 et une démarche NIS2, sans garantir à lui seul la conformité réglementaire.
MAPSI et le pilotage cyber
MAPSI peut aider à relier risques SSI, contrôles, audits, preuves, incidents et plans d’actions. Voir ISO 27001, NIS2, les risques cyber, PCA/PRA et le système de management digitalisé.
Support téléchargeable
Décision : oui, une matrice ISO 27001 / NIS2 serait pertinente. Elle n’est pas produite dans ce lot, car le guide doit rester indexable et non verrouillé derrière un formulaire.
Sources
- ANSSI - Directive NIS 2
- Directive (UE) 2022/2555 sur EUR-Lex
- Commission européenne - Directive SRI 2
- ISO - ISO/IEC 27001:2022
Vous voulez structurer risques cyber, contrôles et preuves ?
Voir MAPSI pour ISO 27001 ou demander une démo.