NIS2 vs ISO 27001 : Guide de cartographie de la conformité
Dans le paysage en constante évolution de la cybersécurité, les établissements financiers en Europe sont tenus de maintenir la conformité avec divers cadres réglementaires. Deux des cadres les plus répandus et les plus impactants sont la Directive relative à la sécurité du réseau et de l'information (NIS2) et la norme International Organization for Standardization (ISO) 27001. La Directive NIS2, qui remplace la Directive NIS de 2016, vise à renforcer la cybersécurité dans l'ensemble de l'UE, en se concentrant sur les entités essentielles et importantes. En parallèle, ISO 27001 fournit un cadre complet pour établir, mettre en œuvre et maintenir un Système de Gestion de la Sécurité de l'Information (ISMS). Cet article explorera ces deux cadres, cartographiera les principales exigences de NIS2 sur les contrôles ISO 27001 et identifiera les mesures supplémentaires nécessaires pour une conformité complète avec le NIS2.
Exigences ou Concepts Clés
Exigences NIS2
La Directive NIS2 (UE) 2022/2555 devait être transposée par les États membres au plus tard le 17 octobre 2024. Elle introduit des exigences en matière de cybersécurité plus strictes pour les entités essentielles et importantes. La directive vise à atteindre une approche harmonisée de la cybersécurité dans l'UE, avec des exigences spécifiques se concentrant sur la gestion des risques, la déclaration d'incidents et la coopération entre les États membres.
Parmi les principales exigences de NIS2, on trouve :
Gestion des Risques : NIS2 exige que les organisations identifient, évaluent et gèrent les risques pour leurs réseaux et systèmes d'information (article 21).
Déclaration d'Incidents : NIS2 impose aux organisations de déclarer les incidents importants au CSIRT ou à l'autorité compétente (article 23). L'alerte précoce est due sous 24 heures, la notification d'incident sous 72 heures et le rapport final sous un mois.
Coopération et Partage d'Informations : NIS2 permet aux entités d'échanger des informations sur les cybermenaces (article 29) et organise la coopération entre États membres (articles 14 et 15).
Gouvernance : NIS2 exige que l'organe de direction approuve les mesures de sécurité, supervise leur mise en œuvre et suive une formation (article 20).
Structure de l'ISO 27001:2022
L'ISO/IEC 27001 a deux parties. Les chapitres 4 à 10 fixent les règles du système de management : contexte, leadership, planification, support, fonctionnement, évaluation des performances et amélioration. L'annexe A liste 93 mesures en quatre thèmes :
- A.5 Mesures organisationnelles (5.1 à 5.37)
- A.6 Mesures liées aux personnes (6.1 à 6.8)
- A.7 Mesures physiques (7.1 à 7.14)
- A.8 Mesures technologiques (8.1 à 8.34)
L'édition 2013 comptait 14 domaines avec d'autres numéros. Les certificats selon l'édition 2013 ont expiré le 31 octobre 2025. Utilisez les numéros de 2022 ci-dessous.
Correspondance entre l'article 21(2) et l'article 23 de NIS2 et l'ISO 27001:2022
| Exigence NIS2 | Chapitres et mesures de l'annexe A de l'ISO 27001:2022 | Écart à combler pour NIS2 |
|---|---|---|
| Art. 21(2)(a) Analyse des risques et politiques de sécurité des systèmes d'information | Chapitres 6.1.2, 6.1.3, 8.2, 8.3 ; 5.1 Politiques de sécurité de l'information | Couvrir tous les risques, y compris les événements physiques. |
| Art. 21(2)(b) Gestion des incidents | 5.24 à 5.28 (préparation, appréciation, réponse, retour d'expérience, preuves) ; 6.8 Signalement des événements de sécurité de l'information ; 8.15 Journalisation ; 8.16 Activités de surveillance | Ajouter le test d'« incident important » de NIS2. |
| Art. 21(2)(c) Continuité des activités, sauvegardes, reprise après sinistre, gestion de crise | 5.29 Sécurité de l'information durant une perturbation ; 5.30 Préparation des TIC pour la continuité d'activité ; 8.13 Sauvegarde des informations ; 8.14 Redondance des moyens de traitement de l'information | Rédiger un plan de gestion de crise. L'ISO 27001 ne le nomme pas. |
| Art. 21(2)(d) Sécurité de la chaîne d'approvisionnement | 5.19 à 5.22 (relations fournisseurs, accords, chaîne d'approvisionnement TIC, surveillance) ; 5.23 Sécurité de l'information dans l'utilisation de services en nuage | Tenir compte des évaluations coordonnées des risques au niveau de l'UE (art. 22). |
| Art. 21(2)(e) Sécurité de l'acquisition, du développement et de la maintenance, y compris le traitement et la divulgation des vulnérabilités | 8.8 Gestion des vulnérabilités techniques ; 8.9 Gestion des configurations ; 8.25 à 8.29 (développement et tests sécurisés) ; 8.32 Gestion des changements | Ajouter un processus de divulgation coordonnée des vulnérabilités (art. 12). |
| Art. 21(2)(f) Évaluer l'efficacité des mesures | Chapitres 9.1, 9.2, 9.3 ; 5.35 Revue indépendante de la sécurité de l'information ; 5.36 Conformité aux politiques, règles et normes de sécurité de l'information | En grande partie couvert. |
| Art. 21(2)(g) Cyberhygiène de base et formation | Chapitres 7.2, 7.3 ; 6.3 Sensibilisation, enseignement et formation ; 8.7 Protection contre les programmes malveillants ; 8.8 ; 8.9 | Former aussi l'organe de direction (art. 20(2)). |
| Art. 21(2)(h) Cryptographie et chiffrement | 8.24 Utilisation de la cryptographie | En grande partie couvert. |
| Art. 21(2)(i) Sécurité des ressources humaines, contrôle d'accès, gestion des actifs | 6.1 à 6.5 (sélection des candidats à responsabilités après la fin du contrat) ; 5.15 à 5.18 (contrôle d'accès, identités, informations d'authentification, droits d'accès) ; 8.2 Droits d'accès privilégiés ; 8.3 Restriction d'accès aux informations ; 5.9 à 5.11 (inventaire, utilisation correcte, restitution) | En grande partie couvert. |
| Art. 21(2)(j) Authentification multifacteur, communications sécurisées, communications d'urgence sécurisées | 8.5 Authentification sécurisée ; 5.14 Transfert des informations ; 8.20 à 8.22 (sécurité des réseaux) | Prévoir des communications d'urgence sécurisées. L'ISO 27001 ne les nomme pas. |
| Art. 23 Notification au CSIRT ou à l'autorité | 5.24 à 5.26 ; 6.8 ; 5.5 Relations avec les autorités | Ajouter l'alerte précoce sous 24 heures, la notification sous 72 heures et le rapport final sous un mois. |
Deux autres mesures aident pour NIS2. La mesure 5.7 Renseignements sur les menaces soutient le partage d'informations prévu par l'art. 29. La mesure 5.31 Exigences légales, statutaires, réglementaires et contractuelles sert à noter la loi nationale NIS2 qui vous concerne.
Guide de mise en œuvre ou étapes pratiques
Si vous êtes déjà certifié ISO 27001, faites correspondre vos mesures existantes à NIS2. Suivez ces étapes :
Comparer votre déclaration d'applicabilité au tableau : Vérifiez que chaque mesure du tableau est dans le périmètre et mise en œuvre. Regardez de près 5.23, 5.30 et 8.24. Elles sont souvent exclues.
Ajouter la notification NIS2 à votre processus d'incident : Les mesures 5.24 à 5.26 donnent un processus, mais pas les délais NIS2. Ajoutez les étapes à 24 heures, 72 heures et un mois, un test d'importance et un contact désigné pour l'autorité.
Combler les écarts nommés : Rédigez un plan de gestion de crise, un processus de divulgation des vulnérabilités et un plan de communications d'urgence sécurisées. Ajoutez la formation de l'organe de direction à votre plan de formation.
Inscrire la proportionnalité dans votre appréciation des risques : NIS2 exige des mesures proportionnées au risque, à la taille de l'entité et à l'impact des incidents (art. 21(1)). Notez ce raisonnement dans votre plan de traitement des risques (chapitre 6.1.3).
Auditer les deux cadres ensemble : Ajoutez les points NIS2 à votre programme d'audit interne (chapitre 9.2) et à votre revue de direction (chapitre 9.3).
Erreurs courantes ou pièges à éviter
Supposition de l'Alignement Total : supposer que la certification ISO 27001 satisfait automatiquement aux exigences de NIS2 peut entraîner une non-conformité. NIS2 introduit des obligations spécifiques qui peuvent ne pas être entièrement couvertes par les contrôles ISO 27001.
Négligence de la Proportionnalité : ne pas ajuster les mesures de sécurité en fonction du niveau de risque peut entraîner une non-conformité avec NIS2. Il est essentiel de réaliser une évaluation des risques détaillée pour garantir le niveau approprié de sécurité.
Ignorer les Exigences de Déclaration d'Incidents : négliger les exigences spécifiques de déclaration de NIS2 peut entraîner des pénalités importantes. Assurez-vous que votre processus de gestion des incidents se conforme aux délais et aux exigences en matière de contenu de la directive.
Manque de Coopération et de Communication : sous-estimer l'importance de la coopération et du partage d'informations avec les autorités nationales peut entraîner une non-conformité. Établissez des canaux de communication et des protocoles clairs pour faciliter ce processus.
Comment Matproof aide
La plateforme de gestion de la conformité Matproof simplifie le processus d'alignement de votre organisation aux exigences de NIS2 et ISO 27001. Notre plateforme fournit une cartographie complète des exigences réglementaires sur les contrôles ISO, garantissant ainsi que vos efforts de conformité sont efficaces et efficaces. Avec Matproof, vous pouvez suivre votre progression de conformité, automatiser la déclaration d'incidents et vous assurer que vos mesures de sécurité sont proportionnées au risque, vous aidant à maintenir la conformité avec les deux cadres.