ISO 27001 et NIS 2 en France : ce qu'un SMSI couvre et ce qu'il ne couvre pas
La directive NIS 2 (UE) 2022/2555 impose aux entités essentielles et importantes des mesures de gestion des risques de cybersécurité (article 21) et la notification des incidents importants (article 23). En France, sa transposition passe par le projet de loi « Résilience », adopté par le Sénat le 12 mars 2025 et toujours en première lecture à l'Assemblée nationale au 29 octobre 2026. La directive n'impose pas la certification ISO 27001, mais un SMSI conforme à ISO/IEC 27001:2022 couvre l'essentiel des dix mesures minimales de l'article 21 et permet de s'y préparer dès maintenant.
Où en est la transposition de NIS 2 en France (octobre 2026)
| Point | Situation |
|---|---|
| Texte | Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (REC, NIS 2 et DORA), procédure accélérée |
| Sénat | Adopté en première lecture le 12 mars 2025 |
| Assemblée nationale | Texte de la commission spéciale publié en septembre 2025 ; au 29 octobre 2026, le dossier législatif ne mentionne pas d'adoption en séance publique |
| Étapes restantes | Vote de l'Assemblée, commission mixte paritaire si les textes diffèrent, promulgation, puis décrets d'application |
| Autorité | ANSSI, qui publie les informations sur la transposition sur cyber.gouv.fr |
Les obligations précises (liste des entités, délais d'enregistrement, référentiel de mesures) dépendront de la loi et de ses décrets. Les mesures de l'article 21 de la directive, elles, sont déjà connues : c'est sur elles qu'un SMSI permet d'avancer. Ce guide n'est pas un conseil juridique ; vérifiez le dossier législatif et le site de l'ANSSI.
Correspondance : les 10 mesures de l'article 21 et ISO 27001
Les mesures sont résumées avec nos propres mots ; la norme est citée uniquement par numéro de chapitre et de mesure. Il s'agit d'une aide à la lecture, pas d'une équivalence officielle.
| Mesure (art. 21, § 2, NIS 2) | ISO/IEC 27001:2022 |
|---|---|
| a) Politiques d'analyse des risques et de sécurité des systèmes d'information | 6.1.2, 6.1.3, 5.2, A.5.1 |
| b) Gestion des incidents | A.5.24 à A.5.28 |
| c) Continuité des activités, sauvegardes, reprise après sinistre, gestion de crise | A.5.29, A.5.30, A.8.13, A.8.14 |
| d) Sécurité de la chaîne d'approvisionnement | A.5.19 à A.5.23 |
| e) Sécurité de l'acquisition, du développement et de la maintenance, y compris les vulnérabilités | A.8.8, A.8.25 à A.8.29, A.8.32 |
| f) Évaluation de l'efficacité des mesures | 9.1, 9.2, 9.3, A.5.35 |
| g) Cyberhygiène de base et formation | 7.3, A.6.3, A.8.1, A.8.7 |
| h) Cryptographie et chiffrement | A.8.24 |
| i) Sécurité des ressources humaines, contrôle d'accès, gestion des actifs | A.6.1 à A.6.6, A.5.9 à A.5.11, A.5.15 à A.5.18 |
| j) Authentification multifacteur, communications sécurisées, communications d'urgence | A.8.5, A.5.14, A.8.20, A.8.21 |
Pour la notification des incidents (article 23 : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois), les mesures A.5.5 (relations avec les autorités) et A.5.26 (réponse aux incidents) sont les plus proches. Pour la responsabilité des organes de direction (article 20), voir les chapitres 5.1 (leadership) et 9.3 (revue de direction).
Kit de documentation SMSI ISO 27001
84 fichiers pour documenter votre SMSI selon ISO/IEC 27001:2022.
Voir le kit de documentation ISO 27001 (paiement unique)Ce qu'ISO 27001 ne couvre pas pour NIS 2
- L'enregistrement auprès de l'autorité et la mise à jour des informations de l'entité, selon les modalités que fixeront la loi et ses décrets.
- Les délais et canaux de notification à l'autorité : ISO 27001 demande un processus de gestion des incidents, pas des délais de 24 ou 72 heures.
- Le périmètre : NIS 2 vise les réseaux et systèmes d'information utilisés pour fournir les services ; un SMSI au périmètre plus étroit ne suffit pas.
- L'approbation des mesures par les organes de direction, leur formation et leur responsabilité.
- Les règles sectorielles, par exemple DORA pour le secteur financier.
Se préparer avec un SMSI, étape par étape
- Vérifier si l'organisation entre dans le champ de NIS 2 (secteur, taille) et documenter l'analyse.
- Fixer un périmètre de SMSI qui couvre tous les systèmes utilisés pour les services concernés.
- Marquer les dix mesures du tableau comme non excluables dans la déclaration d'applicabilité et définir les preuves pour chaque mesure.
- Ajouter au processus d'incidents les étapes 24 heures, 72 heures et un mois.
- Faire approuver les mesures par la direction et planifier sa formation.
- Suivre l'avancement de la loi Résilience et de ses décrets, puis ajuster le registre des exigences légales, l'audit interne et la revue de direction.
Modèles : le kit ISO 27001 de NexoDocs
Le kit ISO 27001 de NexoDocs contient la déclaration d'applicabilité avec les 93 mesures, l'analyse et le plan de traitement des risques, des politiques de gestion des incidents, fournisseurs, contrôle d'accès, continuité, vulnérabilités, sauvegarde et cryptographie, un registre des incidents et un registre des fournisseurs, ainsi que la procédure et les modèles d'audit interne et de revue de direction, modifiables dans Word et Excel. Les délais de notification NIS 2 s'ajoutent à la politique de gestion des incidents. Pour commencer par les risques, vous pouvez télécharger gratuitement le modèle d'analyse des risques.
Étape suivante
Essayez gratuitement ou passez directement à la solution complète.
Kit de documentation SMSI ISO 27001
84 fichiers pour documenter votre SMSI selon ISO/IEC 27001:2022.
Voir le kit de documentation ISO 27001 (paiement unique)
Échantillon gratuit
Téléchargez gratuitement une version réduite de la matrice des risques du kit (Excel, 10 scénarios, carte de chaleur ; échantillon en anglais). Voyez comment le niveau et la catégorie sont calculés avant de décider.
Télécharger l'échantillon gratuit (en anglais)Questions fréquentes
NIS 2 impose-t-elle la certification ISO 27001 ?
Non. La directive exige des mesures de gestion des risques appropriées et proportionnées, sans imposer de certification. Un SMSI ISO 27001 est une manière répandue de les mettre en œuvre et de les démontrer.
La loi de transposition de NIS 2 est-elle adoptée en France ?
Pas au 29 octobre 2026 : le projet de loi Résilience a été adopté par le Sénat le 12 mars 2025 et le dossier législatif de l'Assemblée nationale ne mentionne pas encore d'adoption en séance. Vérifiez l'état actuel sur le site de l'Assemblée nationale et de l'ANSSI.
Un certificat ISO 27001 suffit-il pour NIS 2 ?
Pas automatiquement. Il faudra aussi l'enregistrement, les délais de notification, un périmètre couvrant tous les systèmes concernés et les obligations des organes de direction.
Quels sont les délais de notification d'un incident important ?
Selon l'article 23 de la directive : alerte précoce dans les 24 heures, notification dans les 72 heures et rapport final dans un délai d'un mois. Les modalités françaises seront précisées par la loi et ses décrets.
Faut-il attendre la loi pour commencer ?
Ce n'est pas nécessaire : les dix mesures de l'article 21 sont fixées par la directive et un SMSI demande plusieurs mois. Commencer par l'analyse des risques, la gestion des incidents et les fournisseurs laisse de la marge.
Guides associés
Qu'est-ce qu'un SMSI et comment le mettre en place avec l'ISO 27001 ?
Ce qu'est un système de management de la sécurité de l'information (SMSI), ce que demande l'ISO/IEC 27001:2022, les documents nécessaires et la certification.
Lire le guide →Déclaration d'applicabilité ISO 27001 : qu'est-ce que c'est et comment la rédiger ?
Ce que doit contenir la déclaration d'applicabilité ISO/IEC 27001:2022 pour les 93 mesures, justifier les exclusions, erreurs fréquentes. Avec modèle Excel.
Lire le guide →Analyse des risques ISO 27001 : que doit contenir la matrice ?
Ce que l'ISO/IEC 27001:2022 exige pour l'appréciation des risques, les colonnes d'une matrice SMSI et le calcul du niveau. Échantillon Excel gratuit.
Lire le guide →Mis à jour: 2026-10-29