NIS2 vs ISO 27001 : pas des alternatives — des cadres complémentaires avec des fonctions différentes
Comparaison entre la Directive NIS2 et la certification ISO 27001 en 2026 : ce que couvre chacune, leurs recoupements, les sanctions et pourquoi ce sont des cadres complémentaires pour les entreprises opérant en Espagne.
NIS2 (Directive UE 2022/2555)
Avantages
- ✓ Conformité légale obligatoire : la transposition espagnole imposera des exigences contraignantes avec des sanctions directes pour les entités essentielles et importantes
- ✓ Cadre harmonisé à l'échelle de l'UE : simplifie l'alignement des groupes multinationaux sous une politique de sécurité de référence unique
- ✓ Protocole de notification d'incidents obligatoire standardisé : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous 30 jours à l'autorité compétente
- ✓ Couverture explicite de la chaîne d'approvisionnement : exige l'évaluation et la gestion des risques de sécurité des fournisseurs critiques et des tiers
- ✓ Responsabilité personnelle des dirigeants : les organes de gouvernance doivent approuver et superviser les mesures de cybersécurité — crée une véritable responsabilité exécutive
Inconvénients
- ✗ Sanctions allant jusqu'à 10 millions d'EUR ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles — jusqu'à 7 millions d'EUR ou 1,4 % pour les entités importantes
- ✗ Périmètre encore en cours de définition : la transposition espagnole peut modifier les seuils d'entités et les exigences spécifiques
- ✗ Pas une certification : la conformité NIS2 ne génère aucun label vérifiable de l'extérieur que les clients ou partenaires commerciaux peuvent contrôler indépendamment
- ✗ Concentrée sur les secteurs critiques (énergie, transport, santé, eau, numérique) — pour les autres entreprises, l'application pratique est moins directe
- ✗ Obligation de gouvernance : les exigences de responsabilité des dirigeants nécessitent une formation spécifique des administrateurs et cadres, ce qui peut se heurter à des résistances internes
ISO 27001:2022
Avantages
- ✓ Certification reconnue internationalement : vérifiable par les clients, partenaires, banques et auditeurs comme preuve de maturité en matière de sécurité de l'information
- ✓ Périmètre flexible : l'entreprise définit le périmètre de certification autour de ses actifs, systèmes et processus critiques
- ✓ Différenciateur commercial : dans les appels d'offres publics et les contrats avec les grandes entreprises, la certification ISO 27001 est de plus en plus un critère de sélection ou de préférence de notation
- ✓ Volontaire mais démontre la diligence requise : en cas d'incident, un SMSI certifié ISO 27001 est la meilleure défense contre les réclamations de tiers ou le contrôle réglementaire
- ✓ Structure de contrôle complète : l'Annexe A de l'ISO 27001:2022 couvre 93 contrôles dans quatre domaines incluant la majorité des exigences techniques de NIS2
- ✓ Fondation pour d'autres cadres de conformité : les politiques, procédures et contrôles ISO 27001 sont directement réutilisables pour le RGPD, l'ENS, SOC 2 et d'autres cadres réglementaires
Inconvénients
- ✗ Coût de certification de 15 000-40 000 EUR pour une première certification dans une entreprise de taille intermédiaire (conseil à la mise en œuvre + audit de certification accrédité)
- ✗ Audits de surveillance annuels et renouvellement triennal : coûts de maintenance d'environ 5 000-15 000 EUR par an
- ✗ N'équivaut pas automatiquement à la conformité NIS2 : ISO 27001 couvre environ 70 % des contrôles techniques de NIS2 mais omet la notification d'incidents à l'autorité, la gouvernance de la chaîne d'approvisionnement et la responsabilité personnelle des dirigeants
- ✗ Risque de certification superficielle : une ISO 27001 obtenue par une mise en œuvre minimale peut être un label sans amélioration significative de la sécurité
Notre avis
NIS2 et ISO 27001 ne sont pas des alternatives — ce sont des cadres complémentaires avec des fonctions distinctes. ISO 27001 fournit le système de management (les contrôles techniques et organisationnels) et la certification vérifiable de l'extérieur. NIS2 ajoute les obligations de notification d'incidents, la gouvernance de la chaîne d'approvisionnement et la responsabilité personnelle de la direction. La stratégie optimale consiste à mettre en œuvre ISO 27001 d'abord comme fondation — elle couvre environ 70 % des exigences techniques de NIS2 — puis à ajouter les obligations spécifiques NIS2 par-dessus. Les entreprises qui obtiennent ISO 27001 puis ignorent NIS2 auront une excellente posture de sécurité mais seront sanctionnées pour non-conformité légale.
Deux cadres que l’on traite à tort comme des alternatives
L’une des questions les plus fréquentes que nous recevons dans les missions de cybersécurité est : « Nous devons nous conformer à NIS2 — devrions-nous obtenir la certification ISO 27001 ou aller directement vers NIS2 ? »
La question contient une prémisse erronée. NIS2 et ISO 27001 ne sont pas des alternatives entre lesquelles choisir : elles ont des natures différentes, des objectifs différents et se complètent de façon spécifique. Les traiter comme des alternatives est l’une des erreurs les plus coûteuses qu’une entreprise puisse faire dans sa stratégie de cybersécurité.
Définitions : ce que chacune est réellement
ISO 27001 est une norme internationale volontaire qui spécifie les exigences pour établir, mettre en œuvre, maintenir et améliorer continuellement un Système de Management de la Sécurité de l’Information (SMSI). C’est une certification privée délivrée par des organismes accrédités. L’Annexe A d’ISO 27001:2022 répertorie 93 contrôles dans quatre domaines : organisationnels, relatifs aux personnes, physiques et technologiques.
NIS2 (Directive UE 2022/2555) est une norme juridiquement contraignante pour les entités essentielles et importantes opérant dans les secteurs critiques de l’UE. Elle ne génère pas de certification — elle génère des obligations légales avec des sanctions administratives en cas de non-conformité.
La carte des chevauchements
| Domaine | ISO 27001 | NIS2 |
|---|---|---|
| Gestion des risques | Oui (Clause 6) | Oui (Article 21) |
| Contrôle d’accès et authentification | Oui (A.5, A.8) | Oui (Article 21.2.j) |
| Gestion des incidents | Oui (A.5.24-26) | Oui + délais légaux (Article 23) |
| Continuité des activités | Oui (A.5.29-30) | Oui (Article 21.2.c) |
| Sécurité de la chaîne d’approvisionnement | Partiel (A.5.19-22) | Obligatoire et détaillé (Article 21.2.d) |
| Cryptographie | Oui (A.8.24) | Oui (Article 21.2.h) |
| Formation de la direction | Non | Obligatoire (Article 20) |
| Notification à l’autorité compétente | Non | Obligatoire — 24h/72h/30 jours |
| Responsabilité personnelle des administrateurs | Non | Oui (Article 20.4) |
| Certification vérifiable de l’extérieur | Oui | Non |
ISO 27001 couvre environ 70 % des contrôles techniques de NIS2. Les trois lacunes fondamentales — notification d’incidents, gouvernance de la direction et responsabilité personnelle — ne sont pas couvertes par ISO 27001 et nécessitent des mesures supplémentaires spécifiques.
La stratégie de mise en œuvre optimale
Phase 1 : ISO 27001 comme fondation (mois 1-18)
Mettre en œuvre le SMSI complet, obtenir la certification et stabiliser les contrôles. Cela couvre la majorité des exigences techniques de NIS2 et génère la certification vérifiable sur le marché.
Phase 2 : Analyse des écarts NIS2 sur la base ISO 27001 (mois 12)
Une fois le SMSI opérationnel, réaliser une analyse des écarts NIS2 spécifique : identifier les exigences que ISO 27001 ne couvre pas (notification, gouvernance, chaîne d’approvisionnement spécifique) et concevoir le plan de mise en œuvre pour combler les lacunes.
Phase 3 : Couche NIS2 sur la fondation ISO 27001 (mois 15-24)
Mettre en œuvre les exigences spécifiques NIS2 : protocoles de notification d’incidents à l’autorité compétente, programme de formation du conseil, clauses de sécurité dans les contrats avec les fournisseurs critiques, et mise à jour du registre des incidents avec les délais légaux NIS2.
Cette approche séquentielle est plus efficace que d’essayer de mettre en œuvre les deux cadres en parallèle, et génère des preuves de conformité plus rapidement (la certification ISO 27001 comme premier jalon visible).
Le coût de l’inaction
Les sanctions NIS2 sont les plus élevées de l’histoire de la réglementation européenne en cybersécurité :
- Entités essentielles : jusqu’à 10 millions d’EUR ou 2 % du chiffre d’affaires annuel mondial (le montant le plus élevé s’appliquant)
- Entités importantes : jusqu’à 7 millions d’EUR ou 1,4 % du chiffre d’affaires annuel mondial
En plus des sanctions, NIS2 permet aux États membres d’imposer des pénalités directes aux membres des organes de gouvernance des entités essentielles en cas de non-conformité systématique. L’Espagne dispose d’une marge pour mettre en œuvre cette disposition dans sa transposition.
Le coût de la certification ISO 27001 plus une couche NIS2 — généralement 30 000-70 000 EUR au total pour une entreprise de taille intermédiaire — représente une fraction de l’un quelconque de ces scénarios de sanctions.
Questions fréquentes
Service associé
nis2-compliance →
Demandez une consultation personnalisée
Nos experts sont prêts à analyser votre situation et vous proposer des solutions sur mesure.