Comment mettre en œuvre les mesures de cybersécurité NIS 2 : cartographie avec ISO 27001
Si vous devez vous conformer à la directive NIS 2, vous vous demandez peut-être comment procéder. La directive décrit les objectifs à atteindre, mais ne fournit aucune indication sur la manière de procéder.
L'une des meilleures façons de s'attaquer à cette tâche de conformité est de suivre un cadre de cybersécurité établi. Dans cet article, je vais examiner si la norme ISO 27001, la principale norme internationale de cybersécurité, peut aider à répondre à ces exigences.
La norme ISO 27001 peut couvrir la plupart des exigences de cybersécurité de la norme NIS 2, à l’exception des rapports d’incidents.
Quelles sont les exigences en matière de cybersécurité et de reporting dans NIS 2 ?
Examinons ce que les entreprises doivent mettre en œuvre. Il est intéressant de noter que seuls trois articles de l'ensemble de la directive NIS 2 sont particulièrement pertinents pour les organisations essentielles et importantes qui doivent se mettre en conformité.
Article 20 – Gouvernance
Article 21 – Mesures de gestion des risques de cybersécurité
Article 23 – Obligations de déclaration
Tous les autres articles du NIS 2 sont essentiellement destinés aux organismes gouvernementaux qui doivent appliquer le NIS 2.
Vous trouverez une description détaillée des exigences des articles 20 et 21 dans le tableau ci-dessous.
La norme ISO 27001 est-elle pertinente pour NIS 2 ?
Bien que la norme NIS 2 ne mentionne pas explicitement la norme ISO 27001, elle encourage l’utilisation de « normes européennes et internationales pertinentes ». En outre, le préambule de la norme NIS 2 suggère d’utiliser la série de normes ISO/IEC 27000 pour la mise en œuvre de mesures de cybersécurité.
La norme ISO 27001 est bien considérée par l'ENISA, l'Agence de l'Union européenne pour la cybersécurité :
Outil de cartographie de l'ENISA : l'ENISA a développé un outil qui met en correspondance les clauses et les contrôles de la norme ISO 27001 avec les exigences de la directive NIS d'origine (le prédécesseur de NIS 2).
Rapport 2017 : Dans le rapport « Cartographie des exigences de sécurité des OES pour des secteurs spécifiques », l'ENISA a identifié la norme ISO 27001 comme la norme la plus couramment suivie par les opérateurs de services essentiels (OES) devant se conformer à l'ancienne directive NIS.
Rapport 2021 : Le rapport « Investissements NIS » a noté qu'une majorité d'organisations (51.1%) conformes à l'ancienne directive NIS ont certifié leurs systèmes et processus sur la base de la certification ISO 27001.
Compte tenu de ces points, ainsi que de l’acceptation mondiale de la norme ISO 27001 en tant que norme ISO et de sa prédominance dans la série ISO 27000, la norme ISO 27001 est un choix logique pour atteindre la conformité NIS 2.
Carte des articles NIS 2 avec clauses et contrôles ISO 27001
ISO 27001 et NIS 2 : couverture et mise en œuvre
Parmi les 26 exigences de cybersécurité spécifiées par la norme NIS 2, la norme ISO 27001 peut en traiter 25. La seule exception est la gestion de crise, qui n'est pas entièrement couverte par la norme ISO 27001.
Respect des obligations de déclaration
L'article 23 de la norme NIS 2 impose des exigences de reporting spécifiques qui ne peuvent pas être entièrement satisfaites à l'aide de la norme ISO 27001.
Utilisation de la norme ISO 27001 pour la conformité NIS 2
Sur la base de la cartographie, voici les étapes qui peuvent être mises en œuvre à l’aide de la norme ISO 27001 :
- Réaliser une formation initiale
- Rédiger une politique de haut niveau sur la sécurité des systèmes d'information
- Définir la méthodologie de gestion des risques
- Effectuer une évaluation et un traitement des risques
- Rédiger et approuver le plan de traitement des risques
- Mettre en œuvre des mesures de cybersécurité
- Mettre en place la sécurité de la chaîne d'approvisionnement
- Mettre en place l'évaluation de l'efficacité de la cybersécurité
- Mettre en place une formation continue en cybersécurité
- Effectuer des audits internes périodiques
- Effectuer des revues de gestion périodiques
- Exécuter des actions correctives
Les étapes 1 et 2 ne sont pas répertoriées ici car elles se concentrent sur la gestion de projet. L'étape 11, « Configurer les notifications d'incident », est exclue pour les raisons évoquées précédemment.
Conclusion : NIS 2 contre ISO 27001
Pour résumer comment la norme ISO 27001 peut être utilisée pour la conformité NIS 2 :
- La norme ISO 27001 peut répondre à la plupart des exigences de cybersécurité de la norme NIS 2, à l’exception du signalement des incidents.
- 12 des 15 étapes de mise en œuvre peuvent être réalisées grâce à la norme ISO 27001.
Il s’agit d’un alignement fort, indiquant que la norme ISO 27001 est un choix solide pour la conformité NIS 2, d’autant plus que NIS 2 et ENISA encouragent l’utilisation de normes de cybersécurité établies.
