NIS 2 ou ISO 27001 : quelle différence pour une PME ?
Les deux parlent de sécurité de l’information, les deux produisent des politiques, des registres et des preuves. Mais l’une est une loi et l’autre une norme, et cela change tout : qui est obligé, ce qu’on prouve, à qui, et ce que ça coûte.
En une phrase chacune
NIS 2 est une directive européenne qui impose aux entités des secteurs jugés critiques de gérer leurs risques cyber et de déclarer leurs incidents. En France, elle est transposée par la loi « Résilience » — toujours en attente de vote — et mise en œuvre par l’ANSSI à travers le référentiel ReCyF. On ne la choisit pas : on est concerné ou on ne l’est pas.
ISO 27001 est une norme internationale qui décrit comment construire et faire vivre un système de management de la sécurité de l’information. On la choisit, on la met en place, et un organisme accrédité vient vérifier qu’elle tourne avant de délivrer un certificat.
Point par point
| NIS 2 | ISO 27001 | |
|---|---|---|
| Nature | Directive européenne, transposée en loi. Obligation, avec sanctions. | Norme internationale. Démarche volontaire, avec certification par un organisme accrédité. |
| Qui est concerné | Les entités des secteurs listés au-dessus des seuils de taille (essentielles et importantes), et par ricochet leurs fournisseurs. | Toute organisation qui choisit de la mettre en place, quelle que soit sa taille ou son secteur. |
| Ce qu'on prouve | Qu'on a mis en œuvre des mesures de gestion des risques cyber et qu'on sait notifier un incident. À l'autorité, sur contrôle. | Qu'on a un système de management de la sécurité de l'information (SMSI) qui tourne. À un auditeur, à échéance. |
| Le référentiel | En France, le ReCyF de l'ANSSI : des objectifs de sécurité concrets, avec des mesures attendues. | L'annexe A : 93 mesures organisées en 4 thèmes, à sélectionner selon l'analyse de risques. |
| Ce qui se passe si ça manque | Amende jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial pour une entité essentielle ; responsabilité de la direction. | Pas de sanction légale. Perte de la certification, donc d'un argument commercial. |
| Coût et durée | Pas de coût de certification. Le coût, c'est la mise en œuvre des mesures. | Audit initial puis audits de surveillance annuels ; comptez plusieurs milliers d'euros par an, plus le temps interne. |
| Ce qui est le plus utile | Savoir où l'on en est, corriger ce qui manque, et pouvoir le montrer. | Le label, quand un client ou un appel d'offres l'exige. |
Ce qu’elles ont en commun
Presque tout le fond. Gestion des accès, sauvegardes, gestion des incidents, sécurité des fournisseurs, continuité d’activité, sensibilisation : les mesures du ReCyF et celles de l’annexe A de la norme se recoupent largement. Une organisation qui a fait l’une a fait l’essentiel du travail pour l’autre. La différence n’est pas dans les mesures, elle est dans ce qu’on en fait : les documenter pour un contrôleur qui peut venir, ou les faire auditer pour obtenir un label.
Laquelle engager en premier
Si NIS 2 vous concerne, elle passe devant : c’est une obligation, avec une autorité qui peut contrôler et sanctionner. Si vous n’êtes pas sûr d’être concerné, le simulateur répond en trois questions, y compris pour le cas du fournisseur d’une entité concernée — le plus fréquent chez les PME, et le moins connu.
ISO 27001 se justifie quand quelqu’un vous la demande : un client grand compte, un appel d’offres, un assureur. Dans ce cas, avoir déjà travaillé les objectifs du ReCyF est un avantage réel : les politiques, les registres et les preuves existent déjà, il reste à les organiser en système de management et à faire venir l’auditeur.
Ce que Mon Registre fait : le diagnostic sur les objectifs du ReCyF, les ateliers qui rédigent les documents, et l’attestation scellée que vous pouvez présenter à un contrôleur ou à un client. Ce qu’il ne fait pas : la certification ISO 27001, qui relève d’un organisme accrédité, ni l’audit.
Si je suis certifié ISO 27001, suis-je conforme à NIS 2 ?
Non, pas automatiquement. La certification couvre une grande partie des mesures attendues, mais NIS 2 ajoute des obligations propres : enregistrement auprès de l'ANSSI, notification des incidents sous 24 h et 72 h, responsabilité explicite de la direction, sécurité de la chaîne d'approvisionnement. Un certifié ISO part avec une longueur d'avance, pas avec une dispense.
Une PME de trente personnes a-t-elle besoin d'ISO 27001 ?
Rarement pour elle-même. Elle en a besoin quand un client, un appel d'offres ou un assureur l'exige. Sinon, le rapport coût/utilité est défavorable : la certification demande un système de management complet et des audits annuels, pour un label que personne ne lui réclame.
Par quoi commencer quand on n'a ni l'un ni l'autre ?
Par vérifier si NIS 2 vous concerne, directement ou comme fournisseur d'une entité concernée. Si oui, les objectifs du ReCyF sont le bon point de départ : ils sont concrets et ils préparent aussi à ISO 27001 si celle-ci devient nécessaire plus tard. Si non, le RGPD s'applique à vous de toute façon.
Un contrôleur NIS 2 acceptera-t-il un certificat ISO 27001 comme preuve ?
Comme un élément parmi d'autres, oui — il montre qu'un système existe. Mais il ne remplace pas la démonstration mesure par mesure de ce que le référentiel attend, ni les obligations qui ne sont pas dans la norme. Ce qu'un contrôleur veut, ce sont des preuves datées de ce qui est en place.