ISO 27001, ISO 27005 et NIS 2 : les notions

ISO/IEC 27001 est la norme internationale qui définit les exigences d'un système de management de la sécurité de l'information (SMSI) ; une organisation peut se faire certifier conforme. ISO/IEC 27005 est la norme qui guide la gestion des risques au sein de ce système. La directive européenne NIS 2, elle, impose des mesures de gestion des risques cyber à des milliers d'organisations, mais sa transposition en droit français n'est pas encore achevée. Ce chapitre donne les notions à connaître au BTS : la famille ISO 27000, le SMSI et la roue PDCA, l'annexe A, la certification, le lien entre ISO 27005 et EBIOS RM, puis NIS 2 et son état en France au 1er novembre 2026.

La famille ISO/IEC 27000

Les normes de sécurité de l'information sont publiées conjointement par l'ISO et la CEI (d'où « ISO/IEC »). Les principales :

Le SMSI et la roue PDCA

Un système de management de la sécurité de l'information (SMSI) est l'ensemble des politiques, des processus, des responsabilités et des moyens par lesquels une organisation gère la sécurité de son information dans la durée. L'idée centrale : la sécurité n'est pas un projet qu'on termine, c'est un cycle d'amélioration continue, souvent représenté par la roue de Deming, PDCA (Plan, Do, Check, Act).

Ce qu'exige ISO 27001:2022

La version en vigueur est ISO/IEC 27001:2022, complétée en 2024 par un amendement qui demande de prendre en compte le changement climatique dans le contexte de l'organisation. Elle a remplacé la version de 2013, et la période de transition des certificats s'est terminée le 31 octobre 2025 : toute certification valide est aujourd'hui au format 2022.

La norme comporte deux parties :

• Les clauses 4 à 10, obligatoires : comprendre le contexte de l'organisation, l'engagement de la direction, la planification (dont l'appréciation et le traitement des risques), les ressources et les compétences, le fonctionnement, l'évaluation des performances (audits internes, revue de direction) et l'amélioration.
• L'annexe A, une liste de 93 mesures de sécurité réparties en quatre thèmes : 37 organisationnelles, 8 liées aux personnes, 14 physiques et 34 technologiques. La version 2013 en comptait 114 en 14 domaines.

L'organisation n'est pas obligée d'appliquer les 93 mesures : elle choisit celles qui traitent ses risques, et justifie chaque inclusion et chaque exclusion dans un document clé, la déclaration d'applicabilité (DdA, en anglais Statement of Applicability). Une agence de communication sans développement logiciel peut exclure la mesure sur le codage sécurisé, à condition de l'expliquer.

Parmi les mesures introduites en 2022, plusieurs parlent directement à un technicien de BTS SIO : le renseignement sur les menaces, la sécurité de l'utilisation des services cloud, la gestion de la configuration, la suppression des informations, le masquage des données, la prévention des fuites de données, le filtrage web et le codage sécurisé.

La certification ISO 27001

Une organisation qui veut prouver le sérieux de sa sécurité (à ses clients, à un donneur d'ordre, pour répondre à un appel d'offres) fait certifier son SMSI par un organisme de certification accrédité (en France, l'accréditation est délivrée par le COFRAC). Le cycle de certification dure trois ans : un audit initial, des audits de surveillance chaque année, puis un audit de renouvellement.

ISO 27005 : la gestion des risques

ISO/IEC 27005:2022 (quatrième édition) donne les lignes directrices pour mener la gestion des risques qu'exige la 27001. Elle reprend le processus de la norme générale de management du risque, ISO 31000 : établir le contexte, apprécier les risques (identifier, analyser, évaluer), les traiter, les accepter, avec la communication et la surveillance en continu (chapitre 1).

Ce qu'il faut savoir sur la 27005 :

• elle n'impose pas de méthode : elle dit quoi faire, pas exactement comment. EBIOS RM, MEHARI ou une méthode maison peuvent la mettre en œuvre ;
• elle décrit deux façons d'identifier les risques : une approche fondée sur les événements (on part des sources de risque et des scénarios, comme les ateliers 2 et 3 d'EBIOS RM) et une approche fondée sur les actifs (on part des biens, de leurs menaces et de leurs vulnérabilités) ;
• EBIOS RM s'y aligne : la version 1.5 du guide de l'ANSSI, publiée en 2024, a justement harmonisé son vocabulaire avec la 27005:2022.

NIS 2 : la directive européenne sur la cybersécurité

La directive (UE) 2022/2555, dite NIS 2 (Network and Information Security), vise à élever le niveau de cybersécurité dans toute l'Union. Elle remplace la première directive NIS de 2016, qui ne concernait en France que quelques centaines d'opérateurs, et étend les obligations à des milliers d'organisations.

Qui est concerné ? Les organisations de 18 secteurs : énergie, transports, banque, santé, eau, infrastructures numériques, administrations publiques, espace (secteurs dits hautement critiques), mais aussi services postaux, gestion des déchets, industrie chimique, agroalimentaire, fabrication de certains produits, fournisseurs numériques ou recherche. En règle générale, la directive vise les entreprises moyennes et grandes de ces secteurs (à partir de 50 salariés, ou de plus de 10 millions d'euros de chiffre d'affaires et de total de bilan), et certaines entités quelle que soit leur taille. Elle les classe en deux catégories :

• les entités essentielles, surtout les grandes organisations des secteurs les plus critiques, soumises à une supervision plus stricte ;
• les entités importantes, contrôlées plutôt après un incident ou un signalement.

Quelles obligations ?

• Gérer les risques : la directive (article 21) impose des mesures techniques, opérationnelles et organisationnelles fondées sur une approche par les risques, dont au moins des politiques d'analyse des risques, la gestion des incidents, la continuité d'activité et les sauvegardes, la sécurité de la chaîne d'approvisionnement, la sécurité dans le développement et la maintenance des systèmes, la cryptographie, la gestion des accès et l'authentification à plusieurs facteurs.
• Impliquer la direction : les dirigeants approuvent les mesures, en supervisent la mise en œuvre, suivent une formation et peuvent être tenus responsables (article 20).
• Notifier les incidents importants à l'autorité nationale (en France, l'ANSSI) en trois temps (article 23) : une alerte précoce sous 24 heures après en avoir pris connaissance, une notification d'incident sous 72 heures, et un rapport final au plus tard un mois après la notification.
• Sanctions : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour une entité essentielle, 7 millions d'euros ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu.

Normes, méthodes et réglementations : qui impose quoi

Comment ces notions tombent à l'E7

Les sujets SLAM de 2022 à 2025 n'ont pas interrogé directement les normes ISO. Elles apparaissent plutôt dans le contexte (une organisation certifiée, un prestataire labellisé ; en 2025, l'entreprise prestataire était labellisée ExpertCyber, un label de cybermalveillance.gouv.fr pour les prestataires de sécurité) ou dans une question de veille : « Qu'apporte une certification ISO 27001 à l'organisation ? », « Quelles obligations la directive NIS 2 imposera-t-elle ? ». Une réponse juste et courte suffit : ce que la norme exige (un SMSI fondé sur l'analyse des risques), ce qu'elle prouve (un système de management, pas une invulnérabilité), et pour NIS 2, les trois obligations clés (gérer les risques, impliquer la direction, notifier les incidents) et son état en France.

Pour aller plus loin. Les obligations de notification qu'impose NIS 2 en cas d'incident (alerte en 24 heures, notification en 72 heures, rapport final) sont détaillées dans le chapitre Notifier un incident du cours Réponse à incident.

Exercices

Exercice 1 sur 4 Quelle norme ? Réussi À revoir

Indique la norme ou le texte qui correspond à chaque description.

1. Une entreprise affiche un certificat délivré par un organisme accrédité pour son activité d'hébergement.
2. Un guide qui détaille comment mettre en œuvre chacune des mesures de sécurité de l'annexe A.
3. Les lignes directrices pour apprécier et traiter les risques dans un SMSI.
4. Un texte européen qui impose aux entités essentielles de notifier leurs incidents importants en 24 heures, 72 heures et un mois.
5. Une méthode française gratuite organisée en cinq ateliers.

Voir la réponseMasquer la réponse de l'exercice 1

1. ISO/IEC 27001 : la norme sur laquelle on certifie le système de management de la sécurité de l'information d'une organisation, sur un périmètre donné.
2. ISO/IEC 27002.
3. ISO/IEC 27005.
4. La directive NIS 2 (article 23).
5. EBIOS Risk Manager, de l'ANSSI.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 4 Les phases du PDCA Réussi À revoir

Dans quelle phase de la roue PDCA d'un SMSI se situe chaque action ?

1. L'auditeur interne constate que trois comptes d'anciens salariés sont encore actifs.
2. Le RSSI rédige la déclaration d'applicabilité.
3. L'équipe met en place une revue mensuelle des comptes, suite au constat de l'auditeur.
4. Les techniciens installent l'EDR sur tous les postes.
5. La direction examine les indicateurs de sécurité de l'année lors de la revue de direction.

Voir la réponseMasquer la réponse de l'exercice 2

1. Check : un audit interne vérifie l'efficacité des mesures.
2. Plan : la déclaration d'applicabilité justifie les mesures choisies après l'appréciation des risques.
3. Act : une action corrective qui améliore le système après un écart.
4. Do : la mise en œuvre d'une mesure.
5. Check : la revue de direction fait partie de l'évaluation des performances.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 4 Les délais de notification NIS 2 Réussi À revoir

Une entité essentielle, dans un pays où NIS 2 est transposée, prend connaissance d'un incident important le mardi 10 mars 2026 à 14 h. Elle envoie sa notification d'incident le vendredi 13 mars 2026 à 10 h. Donne la date et l'heure limites de l'alerte précoce et de la notification d'incident, puis la date limite du rapport final.

Voir la réponseMasquer la réponse de l'exercice 3

• Alerte précoce : 24 heures après la prise de connaissance, soit au plus tard le mercredi 11 mars 2026 à 14 h.
• Notification d'incident : 72 heures après la prise de connaissance, soit au plus tard le vendredi 13 mars 2026 à 14 h. L'envoi à 10 h respecte le délai.
• Rapport final : au plus tard un mois après la notification d'incident, envoyée le 13 mars : au plus tard le 13 avril 2026.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 4 sur 4 Exclure une mesure Réussi À revoir

Une entreprise de transport routier de 60 salariés prépare sa certification ISO 27001. Elle n'a aucun développeur et utilise uniquement des logiciels du commerce et des services en ligne. Elle veut exclure de sa déclaration d'applicabilité la mesure de l'annexe A sur le codage sécurisé, mais conserver celle sur la sécurité de l'utilisation des services cloud.

1. Est-ce possible ? Rédige la justification de l'exclusion.
2. Pourquoi la mesure sur les services cloud doit-elle au contraire être retenue ?

Voir la réponseMasquer la réponse de l'exercice 4

1. Oui : la 27001 n'impose pas d'appliquer toutes les mesures de l'annexe A, mais de justifier chaque exclusion. Justification possible : « L'entreprise ne développe aucun logiciel, ni en interne ni par un sous-traitant ; elle n'utilise que des logiciels et services du commerce. La mesure relative au codage sécurisé est donc sans objet. Le choix des fournisseurs est encadré par les mesures sur les relations avec les fournisseurs. » La justification doit être revue si l'entreprise commence à développer.
2. Parce que l'entreprise dépend de services en ligne pour son activité : leur configuration (comptes, partages, sauvegarde des données hébergées), la répartition des responsabilités avec le fournisseur et la réversibilité sont des risques réels qu'elle doit traiter.

Tu avais trouvé ?

Oui, j'avais bonPas encore