Un certificat ISO 27001 signifie-t-il que nous respectons NIS2 ?

Pas automatiquement, même s’il couvre une grande partie du terrain. L’ISO/IEC 27001 apporte un système de management fondé sur les risques et des mesures qui recoupent largement les mesures de gestion des risques de cybersécurité exigées par NIS2NIS2: deuxième directive européenne sur la sécurité des réseaux et de l'information. La loi européenne sur la cybersécurité (directive (UE) 2022/2555), qui fixe des obligations de sécurité et de notification d'incidents à de nombreuses entreprises., comme la gestion des incidents, la continuité d’activité, la sécurité de la chaîne d’approvisionnement, le contrôle d’accès et la cryptographie. Mais NIS2 est une loi et le certificat porte sur une norme volontaire, et ils diffèrent par endroits. NIS2 prévoit sa propre notification des incidents par étapes à une autorité nationale selon l’article 23, des obligations spécifiques pour les organes de direction, dont la formation et la responsabilité, un enregistrement auprès de l’autorité et des règles nationales qui peuvent aller plus loin. Un certificat ne couvre en outre que son périmètre déclaré, qui peut laisser de côté justement les services auxquels NIS2 s’applique. Servez-vous de votre SMSI comme colonne vertébrale : rattachez chaque mesure NIS2 à vos mesures, comblez les écarts comme la procédure de notification et la formation de la direction, et vérifiez que le périmètre inclut chaque service concerné. Consultez votre loi nationale de transposition et voyez si elle renvoie à des normes. NetSenX suit les délais de notification NIS2 par incident ; il n’évalue ni votre certificat ni votre situation au regard de NIS2.

← Les 15 questions sur Normes de sécurité : ISO 27001, SOC 2Tous les thèmes