NIS 2 et ISO 27001 ?
ISO 27001 aide-t-elle à se conformer à NIS 2 ? Périmètre, exigences et nuances : ce que les deux référentiels partagent et ce qui les distingue.
NIS 2 implique une application des objectifs de sécurité sur l'ensemble des systèmes d'information, pour tout ce qui peut porter atteinte à :
La disponibilité des activités et services.
la confidentialité des informations de l'entité.
l'intégrité des informations nécessaires à l'activité.
On retrouve ici les grands concepts de l'ISO 27001 (DCI), à un détail près : le domaine d'application porte sur toutes les activités et services, y compris ceux qui ne correspondent pas aux critères de désignation en tant qu'Entité Essentielle ou Entité Importante.
En bref, il est fort possible que le périmètre ISO 27001 ne soit pas celui de NIS 2.
De plus, de nouvelles exigences viennent s'ajouter avec NIS 2, et demanderont un travail de fond à ne pas négliger. On notera par exemple le travail sur les aspects contractuels, mais aussi pour certains les audits techniques externes.
Là où la famille 27001 n'impose pas les mesures techniques, NIS 2 est beaucoup plus prescriptif. C'est aussi vrai sur les procédures de déclaration d'incidents.
Enfin, il est fort possible que l'analyse de risque demande une mise à jour, voire un basculement vers une autre méthode que celle utilisée dans le contexte ISO 27001 (la 27001 n'impose pas de méthode, la transposition par contre...).
Alors oui, disposer d'une certification ISO 27001 est évidemment un grand avantage en termes de maturité. Cela va permettre de gagner du temps.
Pour autant, attention à ne pas partir du principe que la conformité NIS 2 sera présumée dans le cas d'une 27001 en place. Ce serait un raccourci trop hâtif.
Une analyse s'impose, et permet de déterminer l'effort complémentaire rapidement. N'hésitez pas à me contacter pour aller plus loin !