Comparatif · 5 min · mis à jour le 4 novembre 2026
NIS 2 et ISO 27001 : ce que votre certification couvre (et ne couvre pas)
Une certification ISO/CEI 27001 est un excellent point de départ pour NIS 2, mais elle ne suffit pas à elle seule. Voici comment les deux s'articulent.
Deux logiques différentes
| ISO/CEI 27001 | NIS 2 (ReCyF) | |
|---|---|---|
| Nature | Norme volontaire, certifiable | Obligation légale |
| Périmètre | Choisi par l'entreprise | Tous les SI par défaut, exclusions justifiées |
| Approche | Système de management par les risques | Objectifs et mesures précises + risques pour les EE |
| Incidents | Gestion interne | Notification à l'ANSSI sous 24 h, 72 h, 1 mois |
| Dirigeants | Engagement de la direction | Responsabilité personnelle et formation obligatoire |
| Sanctions | Perte du certificat | Amendes jusqu'à 10 M€ ou 2 % du CA |
Ce que l'ANSSI reconnaît
Le ReCyF prévoit qu'un SMSI certifié ISO/CEI 27001:2022 peut être présenté lors d'un contrôle pour démontrer l'objectif 2 (cadre de gouvernance) et, pour les entités essentielles, l'objectif 16 (approche par les risques), sur les SI couverts par la certification.
Les écarts fréquents à combler
- Un périmètre de certification plus petit que le périmètre NIS 2.
- Des mesures techniques précises du ReCyF non exigées telles quelles par l'annexe A : passerelles entrantes et sortantes, cœur de confiance de l'annuaire, postes d'administration dédiés.
- La procédure de notification des incidents dans les délais réglementaires.
- La formation des dirigeants et l'approbation formelle des mesures.
La bonne méthode
Réutilisez votre SMSI : politique, analyse de risques, déclaration d'applicabilité et revues de direction. Faites ensuite l'auto-évaluation ReCyF sur tout le périmètre NIS 2 pour isoler les seuls écarts restants.