NIS2 et NF EN ISO 27001 : ce que couvre le certificat et ce qui manque encore pour répondre aux exigences du KSC

Dans de nombreuses entreprises, la réflexion sur NIS2 commence par une question sur la certification NF EN ISO 27001. Cette démarche est compréhensible, mais elle ne constitue pas le bon point de départ pour la direction et les pilotes de processus. Il faut d’abord déterminer si l’organisation est soumise aux obligations, quels services et actifs sont concernés, et à qui incombe la responsabilité de leur mise en œuvre. Ce n’est qu’ensuite qu’il devient possible d’évaluer précisément ce que couvre le système de management de la sécurité de l’information existant et ce qui reste à mettre en place au regard du KSC. En pratique, c’est à ce niveau que se joue la différence entre un système maîtrisé et une coûteuse illusion de préparation.

L’erreur la plus coûteuse : confondre certification et conformité

L’erreur initiale la plus importante n’est pas l’absence de certificat NF EN ISO 27001, mais l’idée que sa détention suffit à démontrer la conformité aux obligations issues de NIS2 et des dispositions nationales relatives au KSC. Pour la direction, la bonne question n’est pas « sommes-nous certifiés NF EN ISO 27001 ? », mais « sommes-nous soumis à ces obligations, à quel titre, et pour quels services, processus et actifs ? ». Ce n’est qu’après avoir déterminé le statut de l’entité, le périmètre des activités concernées et les responsabilités de la direction que l’on peut apprécier dans quelle mesure le système existant soutient réellement la conformité ou ne produit qu’une apparence de maîtrise.

Cette distinction a des conséquences directes sur le cadrage du projet et sur son budget. Le certificat atteste la conformité d’un système de management aux exigences de la norme dans un périmètre de certification défini, généralement indiqué sur le certificat et précisé par la déclaration d’applicabilité. Il ne remplace ni l’analyse des obligations légales, ni l’identification des services essentiels, ni l’évaluation des dépendances vis-à-vis des fournisseurs, ni la détermination des démarches formelles que doit accomplir une entité soumise à la réglementation. La direction doit donc distinguer trois dimensions souvent confondues : le système de management, la conformité réglementaire et la capacité opérationnelle à agir sous la pression d’un incident.

Les projets les plus coûteux sont ceux qui suivent l’ordre inverse. L’organisation commence par structurer sa documentation et ses dispositifs de maîtrise en vue de l’audit de certification, puis découvre que des processus critiques, des obligations de notification des incidents, des exigences applicables aux fournisseurs, des responsabilités de la direction ou des exigences sectorielles sont restés hors périmètre. Il ne suffit alors plus d’ajouter quelques procédures : il faut revoir le périmètre du système, les rôles décisionnels et l’organisation de la réponse aux incidents.

D’un point de vue opérationnel, il est donc préférable de mesurer non pas la seule détention du certificat, mais trois éléments : l’alignement entre le périmètre certifié et les services critiques, le résultat de l’autoévaluation de l’assujettissement au KSC, et le nombre d’écarts entre les procédures formalisées et la capacité réelle à agir. La première étape n’est donc pas d’accroître la documentation, mais de déterminer si l’organisation entre dans le champ des obligations et quelles démarches formelles sont requises. Cette séquence est également bien structurée dans l’article NIS2 : autoévaluation et inscription au registre KSC – que doit faire une entreprise industrielle ?. C’est à ce stade que l’entreprise détermine si elle construit son système autour d’obligations réelles ou autour d’une illusion de préparation, certes rassurante, mais coûteuse.

Ce qu’NF EN ISO 27001 couvre réellement, au-delà des déclarations

La principale valeur pratique d’NF EN ISO 27001 ne réside pas dans le certificat lui-même, mais dans la capacité d’un SMSI correctement mis en œuvre à structurer la sécurité comme un domaine de management. La norme apporte une base particulièrement solide lorsque l’organisation doit fonctionner selon une approche processus : appréciation et traitement des risques, définition des politiques et des règles de gouvernance, attribution des rôles et responsabilités, identification des actifs informationnels, gestion des incidents, continuité d’activité, ainsi que mécanismes de revue et d’amélioration. Si ces éléments fonctionnent réellement, et pas uniquement en vue de l’audit, l’entreprise dispose d’un socle robuste pour démontrer que la sécurité n’est pas une juxtaposition de mesures isolées, mais un système piloté et relié aux décisions opérationnelles.

La direction ne doit toutefois pas se concentrer sur le certificat, mais sur son utilité au regard des services, processus et dépendances ayant une portée réglementaire. Un même certificat peut correspondre soit à un système mature couvrant les processus critiques, les revues périodiques, les actions correctives et le pilotage effectif par les propriétaires de processus, soit à un dispositif étroit limité à une partie de l’organisation. Avant une autoévaluation au regard de NIS2 et du KSC, il convient donc d’examiner non seulement la déclaration d’applicabilité, mais également la liste des processus intégrés à l’appréciation des risques, les résultats des audits internes, les conclusions des revues de direction et la manière dont les décisions relatives aux risques se traduisent dans les budgets, les contrats, l’architecture des services et les modalités de réponse.

Ce point est particulièrement visible dans les entreprises intégrées à des chaînes d’approvisionnement. NF EN ISO 27001 permet généralement de structurer les exigences contractuelles, la classification de l’information, les règles d’accès, les responsabilités des fournisseurs et la traçabilité des dérogations. Il s’agit d’un socle utile, notamment lorsque les clients exigent la démonstration d’une maîtrise des partenaires. La certification ne permet toutefois pas de satisfaire automatiquement toutes les attentes métiers ou tous les critères sectoriels spécifiques. Le même arbitrage apparaît dans l’article NF EN ISO 27001 ou TISAX : que choisir lorsqu’un client exige la sécurité de l’information dans la chaîne d’approvisionnement ? En pratique, le certificat structure les relations et les responsabilités, mais il ne dispense pas de vérifier quelles obligations doivent encore être intégrées aux contrats, aux procédures d’escalade et au contrôle des services externalisés.

La conclusion est simple : la certification peut raccourcir sensiblement le chemin vers une sécurité structurée, mais elle ne constitue pas à elle seule une preuve du respect des obligations découlant du KSC. Un audit de certification évalue la conformité du système de management aux exigences de la norme dans un périmètre donné. Il ne poursuit pas le même objectif qu’une évaluation des obligations légales et de la préparation opérationnelle. L’organisation doit donc vérifier en parallèle si le périmètre du SMSI couvre les processus significatifs, si l’appréciation des risques a été actualisée au regard des services et dépendances réels, et si les dispositifs de gestion des incidents, de continuité et de maîtrise des fournisseurs fonctionnent effectivement.

Les domaines dans lesquels le certificat ne suffit pas

Le premier écart concerne la conformité réglementaire elle-même. Un système de management de la sécurité de l’information structure les principes, les rôles et la gouvernance, mais il ne détermine pas à lui seul si l’entité a été correctement qualifiée au regard des obligations du KSC, qui est responsable des notifications formelles, qui assure la relation avec l’autorité compétente et comment les décisions sont portées au niveau de la direction. Il ne s’agit pas de l’absence d’un document isolé, mais d’une faiblesse dans la conception des responsabilités. Si ces éléments ne sont pas intégrés au modèle opérationnel réel de l’entreprise, le certificat apporte de l’ordre en interne sans garantir pour autant une gouvernance réglementaire maîtrisée.

Le deuxième écart porte sur le périmètre. De nombreuses organisations disposent d’une certification limitée à un site, à une société, à une direction particulière ou à une partie des services supports. Or, l’évaluation de la préparation au KSC doit partir de la cartographie réelle des services, processus critiques, actifs et dépendances, et non des frontières de l’audit de certification. Lorsqu’un service essentiel ou important est fourni par plusieurs entités d’un groupe, avec l’intervention d’un centre de données externe, d’une équipe de maintenance mutualisée ou d’un dispositif distribué de gestion des incidents, un certificat formellement valable peut ne couvrir qu’une partie de l’ensemble. La décision de la direction ne consiste alors pas seulement à déterminer s’il faut étendre la certification, mais à choisir entre un projet intégré de conformité et deux chantiers parallèles, l’un consacré à la certification et l’autre aux exigences réglementaires.

Le troisième écart concerne les preuves et n’apparaît souvent qu’à l’occasion d’un incident, d’un exercice ou d’un contrôle. L’organisation dispose de procédures de gestion des incidents, de continuité d’activité et de maîtrise des fournisseurs, mais n’est pas en mesure de démontrer leur fonctionnement opérationnel. Il manque un registre des incidents, une traçabilité des décisions de la direction, les résultats des exercices, les revues post-incident, des indicateurs d’efficacité ou des actions correctives documentées. Le système est alors décrit, mais non démontré. C’est précisément dans cette situation que les corrections sont les plus coûteuses, car il faut modifier non seulement les procédures, mais aussi les modalités de reporting à la direction, la fréquence des revues et la responsabilité des pilotes de processus. Ce mécanisme se retrouve également dans d’autres systèmes de management, notamment dans l’article IATF 16949 : quelles exigences sont réellement difficiles au quotidien et comment les piloter sans conformité de façade ?

Le quatrième écart concerne la chaîne d’approvisionnement et les dépendances externes. La norme aide à structurer les exigences applicables aux fournisseurs, mais la conformité au KSC peut nécessiter une cartographie plus approfondie : quels services externes soutiennent la fourniture du service critique, où se trouvent les points uniques de défaillance, quels scénarios de perturbation doivent être envisagés et dans quelle mesure le fournisseur, le personnel ou le site peuvent être remplacés. En pratique, il faut mesurer non seulement l’existence de contrats et d’évaluations des fournisseurs, mais aussi l’alignement du périmètre certifié sur la cartographie réelle des services critiques, l’exhaustivité des registres d’incidents et d’exercices, ainsi que l’actualité des revues des fournisseurs et des dépendances. Seule cette analyse permet de distinguer un système effectivement maîtrisé de sa simple représentation formelle.

Le projet de conformité doit partir des services, pas des documents

L’erreur la plus fréquente au démarrage consiste à ouvrir le projet par une revue des politiques, procédures et enregistrements NF EN ISO 27001, au lieu de commencer par les services qui doivent réellement être maintenus et par les obligations réglementaires qui leur sont associées. L’ordre approprié est inverse : il faut d’abord identifier les services, processus, actifs et dépendances critiques du point de vue de la continuité d’activité et des responsabilités liées au KSC, puis leur rattacher les exigences de management et les preuves attendues. Cette approche est la seule qui permette de distinguer la documentation nécessaire de celle qui ne crée aucune maîtrise supplémentaire.

Pour la direction, cela implique de décider de l’élaboration d’une cartographie des services critiques, des dépendances aux fournisseurs et aux systèmes, ainsi que d’un inventaire des procédures existantes pouvant être réutilisées sans dupliquer les dispositifs. Ce n’est qu’à partir de cette base qu’il devient possible de savoir si le SMSI couvre réellement les éléments déterminants pour le maintien du service et la conformité, ou uniquement ceux qui ont historiquement été intégrés au périmètre de certification.

La deuxième étape concerne le modèle de responsabilités. Si la sécurité de l’information est répartie entre les équipes informatiques, qualité, conformité, maintenance et achats sans répartition claire des rôles, le projet se transforme rapidement en un ensemble d’initiatives locales. Il faut donc préciser qui est responsable des risques, qui pilote la gestion des incidents, qui contrôle les relations avec les fournisseurs, qui prend les décisions au niveau de la direction et qui conserve les preuves de conformité. Dans la pratique, une matrice simple des rôles et responsabilités, associée à un cycle unique de revues de direction, fonctionne mieux que plusieurs circuits parallèles de reporting. C’est également à ce stade qu’il convient de décider s’il faut mettre en place un comité de pilotage commun pour la conformité et la sécurité, et si les technologies opérationnelles doivent être intégrées au même modèle de risques.

Cette logique est particulièrement importante dans les entreprises industrielles et multisites. Un incident ne se limite pas à une atteinte à la confidentialité des données : il peut entraîner l’arrêt d’une ligne, perturber la planification, compromettre la traçabilité des lots ou affecter la capacité à fournir un service. La sécurité de l’information doit donc être articulée avec la continuité des opérations, la maintenance et les environnements de technologies opérationnelles. Si le système de management ne couvre que l’environnement bureautique et laisse de côté les systèmes de contrôle, la télémaintenance, les dépendances aux intégrateurs ou les procédures de secours sur site, la vision des risques sera formellement structurée, mais opérationnellement incomplète. La même rigueur de conception s’observe dans d’autres domaines soumis à de fortes exigences de surveillance, notamment dans l’article ASME, NQA-1 et ISO 19443 — trois sigles que tout fournisseur du secteur nucléaire doit connaître.

Ce n’est qu’une fois ces fondations établies qu’il convient d’utiliser le SMSI NF EN ISO 27001 existant comme socle et de réaliser une analyse d’écarts spécifique au KSC. Cette analyse n’a pas pour objet de remettre en cause le certificat, mais de déterminer où les exigences sont effectivement couvertes et où des procédures, registres, circuits d’escalade ou preuves de fonctionnement supplémentaires restent nécessaires. Cette approche limite la surdocumentation et permet de mieux maîtriser la cohérence des dispositifs que des projets séparés et concurrents.

Comment vérifier la situation réelle avant un audit ou un contrôle

Avant un audit, une autoévaluation ou un contrôle, la question n’est pas de savoir si l’organisation « a NF EN ISO 27001 », mais si elle est capable de démontrer sa préparation réelle et la traçabilité de ses décisions. Cette préparation doit être évaluée selon quatre niveaux : déterminer d’abord le périmètre et le statut des obligations, vérifier ensuite la conception du système de management, évaluer l’efficacité opérationnelle des processus, puis contrôler l’exhaustivité des preuves. Seule cette séquence permet de distinguer la maîtrise documentaire de la capacité d’action.

Les questions les plus utiles ne sont donc pas « avons-nous une procédure ? », mais « savons-nous quand la déclencher, qui prend la décision, quels sont les seuils d’escalade, comment allons-nous le démontrer et avons-nous déjà testé ce scénario ? ». Si la gestion d’un incident dépend des connaissances d’une seule personne, si les relations avec les fournisseurs ne comportent aucun critère de sécurité attribué et si la direction ne reçoit que des rapports généraux dépourvus de décisions et d’échéances, le système peut être conforme à sa propre description tout en restant inadapté à une situation de crise.

La revue de préparation doit donc couvrir les interfaces entre la direction, les opérations, l’informatique, la maintenance et les fournisseurs, car c’est précisément à ces points de jonction que se trouvent le plus souvent les écarts invisibles dans les procédures. Dans la pratique, l’approche la plus efficace consiste à conduire l’analyse d’écarts selon une méthode proche de l’audit opérationnel. Elle évalue non seulement le contenu des documents, mais aussi les processus de décision, les circuits d’escalade, les enregistrements d’incidents, les résultats des tests et exercices, ainsi que le registre des non-conformités, observations et actions correctives.

Un scénario simple constitue un bon test : un incident survient chez un fournisseur critique ou une perturbation affecte l’environnement de production. Il faut alors déterminer qui qualifie l’événement, qui déclenche la communication, qui évalue l’incidence sur le service et quelles preuves de la décision seront conservées. Si les réponses sont dispersées et si l’organisation se réfère à des « pratiques » que personne ne peut reconstituer à partir d’enregistrements, la préparation est illusoire, même lorsque le système de management est correctement maintenu.

Si l’organisation réalise déjà des audits internes NF EN ISO 27001, ceux-ci peuvent servir de support à cette vérification, à condition d’élargir les critères d’audit aux obligations réglementaires et aux preuves attendues au regard du KSC. Les méthodes d’audit sont ici particulièrement utiles, tout comme les compétences développées par les personnes se préparant au rôle d’auditeur responsable ou d’auditeur interne. L’article Auditeur responsable NF EN ISO 27001 : guide complet sur la certification et les exigences de la norme peut également constituer un point de référence. Il faut toutefois respecter l’ordre des priorités : les compétences d’audit permettent d’évaluer le système, mais elles ne remplacent pas l’analyse des obligations juridiques et organisationnelles effectivement applicables à l’entreprise.

Décision de la direction : faire du certificat un socle, pas un alibi

L’approche la plus rationnelle consiste à considérer NF EN ISO 27001 comme le fondement de la gouvernance, et non comme une preuve autonome du respect de toutes les obligations issues de NIS2 et du KSC. La certification structure les responsabilités, l’appréciation des risques, la gestion des incidents, les audits et l’amélioration. Elle ne dispense toutefois pas de déterminer quelles obligations s’appliquent réellement à l’organisation, dans quel périmètre et quelles preuves seront nécessaires pour démontrer l’efficacité des dispositifs.

Pour la direction, le risque principal n’est pas une lacune documentaire, mais une illusion de préparation : considérer qu’un système certifié est nécessairement prêt à répondre aux exigences du cadre juridique national. La décision ne doit donc pas porter uniquement sur le maintien ou l’extension du certificat. Trois questions de gouvernance doivent d’abord être tranchées :

• confirmer le statut de l’organisation et le périmètre de ses obligations,
• réaliser une analyse des écarts entre le système existant et les exigences du KSC,
• définir le modèle de pilotage des actions et des preuves d’efficacité.

Ce n’est qu’à partir de cette analyse que l’entreprise peut déterminer s’il est pertinent d’étendre son périmètre de certification ou s’il suffit d’utiliser le SMSI NF EN ISO 27001 existant et de lui ajouter les mécanismes organisationnels, juridiques et opérationnels manquants. Trois outils simples sont particulièrement utiles pour la direction : une comparaison entre le périmètre de certification actuel et la cartographie des processus critiques, une liste des écarts accompagnée d’une évaluation de leur incidence sur les risques et la conformité, ainsi qu’un plan d’action précisant les responsables, les échéances et les critères de clôture.

Lorsqu’une organisation doit encore choisir sa trajectoire, l’ordre des travaux n’est pas universel. Si la pression des clients ou les exigences des appels d’offres sont fortes, la construction d’un système visant la certification peut constituer une première étape justifiée, à condition de ne pas différer en parallèle l’analyse des obligations réglementaires. Dans les entreprises présentant un risque opérationnel élevé ou un modèle de responsabilités dispersé, il peut être plus pertinent de traiter d’abord les écarts réglementaires, puis de structurer le périmètre de certification. Il ne s’agit pas d’un débat sur l’ordre des formalités, mais sur l’ordre de réduction des risques. Dans cette perspective, l’article Certificat ISO : avantages et processus de mise en œuvre doit lui aussi être abordé non pas indépendamment du modèle opérationnel de l’entreprise, mais comme une composante d’une décision plus large sur le management de la conformité.

Les meilleurs résultats sont obtenus avec un programme cohérent dans lequel la sécurité de l’information, la continuité d’activité, la maîtrise des fournisseurs et les obligations réglementaires sont gérées comme des composantes du modèle opérationnel, et non comme des initiatives distinctes portées par plusieurs fonctions. Dans le contexte polonais, la fragmentation des responsabilités est précisément l’un des facteurs qui affaiblissent le plus souvent la capacité à agir et à produire les preuves attendues. La conclusion est claire : la certification constitue une aide réelle et peut accélérer sensiblement la structuration du système, mais la conformité doit encore être conçue, mise en œuvre et étayée par des preuves adaptées au contexte de NIS2 et du KSC.