NIS2, ISO 27001, CyberFundamentals…Pour une direction ou un responsable QSE, il peut être difficile de comprendre la différence entre ces trois références.
Pourtant, elles ne répondent pas à la même question.
- NIS2 est une réglementation.
- ISO 27001 est une norme de système de management certifiable.
- CyberFundamentals est un référentiel belge de cybersécurité.
Selon la situation de l’organisation, ces approches peuvent être alternatives sur certains aspects, complémentaires sur d’autres, et dans certains cas liées à des exigences réglementaires spécifiques.
En bref
- NIS2 est une obligation réglementaire, pas une norme de certification ;
- ISO 27001 structure un véritable système de management et permet la certification ;
- CyFun est un cadre belge à niveaux, adapté au niveau de risque et de maturité ;
- une certification ISO 27001 ne suffit pas automatiquement pour NIS2 ;
- avant de choisir, il faut partir de vos obligations, de votre maturité et de votre système existant.
NIS2, ISO 27001 et CyberFundamentals : trois références de nature différente
NIS2 : une obligation réglementaire
La directive européenne NIS2 vise à renforcer la cybersécurité d’organisations importantes pour l’économie et la société.
En Belgique, elle a été transposée par la loi du 26 avril 2024.
Elle prévoit notamment des obligations relatives à :
- la gestion des risques ;
- la gouvernance ;
- la continuité des activités ;
- la gestion des incidents ;
- la sécurité des fournisseurs et de la chaîne d’approvisionnement ;
- la notification de certains incidents.
NIS2 est donc une réglementation et non une norme de certification.
ISO 27001 : construire un système de management
ISO 27001 permet de structurer la sécurité de l’information dans un véritable système de management.
Elle organise notamment les responsabilités, les risques, les objectifs, les mesures de sécurité, les audits, la revue et l’amélioration.
Elle peut donc constituer une réponse structurante pour une organisation souhaitant à la fois améliorer son management de la sécurité de l’information et aller vers une certification.
ISO 27001 peut également être intéressante indépendamment de NIS2, par exemple lorsqu’un client l’exige ou lorsque la protection de l’information constitue un enjeu stratégique.
CyberFundamentals : le référentiel belge CyFun
CyberFundamentals, ou CyFun, est un cadre développé par le Centre pour la Cybersécurité Belgique.
Il propose une série de mesures organisationnelles et techniques visant à améliorer progressivement la résilience cyber.
Le référentiel prévoit différents niveaux afin d’adapter les exigences au niveau de risque et de maturité de l’organisation.
Contrairement à ISO 27001, il ne s’agit pas d’une norme internationale de système de management.
Comment choisir : ISO 27001, CyFun et NIS2
ISO 27001 ou CyFun : faut-il choisir ?
Pas nécessairement de manière absolue.
Le choix doit d’abord partir :
- des obligations NIS2 applicables ;
- du type d’organisation ;
- de ses clients ;
- du niveau de maturité ;
- de son besoin de certification ;
- de ses risques ;
- de ses ressources.
Une entreprise peut notamment choisir ISO 27001 parce qu’elle souhaite mettre en place un système de management internationalement reconnu.
Une autre peut choisir un parcours CyFun adapté à son contexte réglementaire.
Une certification ISO 27001 suffit-elle pour NIS2 ?
Il faut être prudent.
ISO 27001 constitue un cadre très pertinent pour structurer de nombreux éléments demandés par NIS2, mais la certification ne signifie pas automatiquement que toutes les obligations réglementaires sont couvertes.
La notification des incidents, certaines responsabilités de la direction ou d’autres exigences légales doivent notamment être traitées spécifiquement.
Pourquoi l’approche processus reste utile dans les trois cas ?
Quel que soit le cadre retenu, le même problème se pose : comment faire vivre les exigences dans l’organisation ?
- Une mesure de sécurité des accès implique RH, managers et IT.
- La sécurité des fournisseurs implique les Achats.
- La continuité implique les processus opérationnels.
- La gouvernance implique la direction.
Une protection technique peut être performante tout en restant insuffisante si les responsabilités et pratiques de l’organisation ne sont pas alignées.
Éviter trois systèmes parallèles
Une entreprise concernée par NIS2 et disposant déjà d’ISO 9001 ne devrait idéalement pas construire : un système qualité, un système NIS2, puis un système ISO 27001 indépendant.
Il faut rechercher une gouvernance cohérente.
Les spécificités cyber doivent être préservées, mais les mécanismes communs peuvent être intégrés.
Comment Cplus et RANGERS-IM abordent cette question ?
La démarche commence par l’expertise cyber.
RANGERS-IM réalise le diagnostic et l’analyse initiale, permettant d’évaluer le niveau de maturité, les risques et les actions nécessaires.
Cplus peut ensuite intervenir pour transformer ces résultats en organisation et en système de management :
- processus ;
- responsabilités ;
- plans d’actions ;
- documentation ;
- objectifs ;
- audits ;
- revues ;
- coordination avec les autres référentiels.
Le niveau d’accompagnement Cplus est choisi selon les besoins : Autonomie, Synergie ou Pilotage.
Les interventions techniques complémentaires RANGERS-IM sont définies après le diagnostic, selon les résultats et les ressources de l’organisation.
Quel point de départ choisir ?
Avant de décider « ISO 27001 ou CyFun », il est donc préférable de répondre à plusieurs questions :
- Sommes-nous concernés par NIS2 ?
- Quelles obligations s’appliquent à nous ?
- Quel est notre niveau de maturité cyber ?
- Nos clients exigent-ils une certification particulière ?
- Possédons-nous déjà un système QSE pouvant être utilisé ?
- Quelles compétences techniques avons-nous en interne ?
La bonne démarche ne consiste pas nécessairement à choisir le référentiel le plus exigeant.
Elle consiste à construire un niveau de sécurité et de gouvernance adapté aux risques, aux obligations et à la réalité de l’entreprise.
FAQ ISO 27001, CyberFundamentals et NIS2
NIS2 est-elle une norme certifiable ?
Non. NIS2 est une réglementation et non une norme de certification. En Belgique, elle a été transposée par la loi du 26 avril 2024.
Qu’est-ce que CyberFundamentals (CyFun) ?
C’est un référentiel belge développé par le Centre pour la Cybersécurité Belgique. Il propose des mesures organisationnelles et techniques et prévoit plusieurs niveaux adaptés au niveau de risque et de maturité de l’organisation. Ce n’est pas une norme internationale de système de management.
Faut-il choisir entre ISO 27001 et CyFun ?
Pas nécessairement de manière absolue. Le choix dépend des obligations NIS2 applicables, du type d’organisation, des clients, du niveau de maturité, du besoin de certification, des risques et des ressources.
Une certification ISO 27001 suffit-elle pour être conforme à NIS2 ?
Non, pas automatiquement. ISO 27001 est un cadre très pertinent, mais certaines obligations, comme la notification des incidents ou certaines responsabilités de la direction, doivent être traitées spécifiquement.
Peut-on s’appuyer sur un système QSE existant ?
Oui. Il faut éviter de construire trois systèmes parallèles (qualité, NIS2, ISO 27001) : les spécificités cyber sont préservées, mais les mécanismes communs peuvent être intégrés.
Cplus et RANGERS-IM, vos partenaires pour choisir et structurer votre démarche cyber
Chez Cplus, nous vous aidons à clarifier votre point de départ, puis à transformer les résultats du diagnostic cyber en système cohérent :
- un diagnostic cyber et une analyse initiale par RANGERS-IM pour évaluer maturité, risques et actions nécessaires ;
- la structuration de vos processus, responsabilités, plans d’actions et documentation ;
- la mise en place d’audits, de revues et d’objectifs ;
- la coordination avec vos autres référentiels ;
- un accompagnement au niveau de votre choix : Autonomie, Synergie ou Pilotage.
Vous ne savez pas si NIS2 vous concerne, ni s’il faut viser ISO 27001 ou CyFun ? Un premier échange permet de poser les bonnes questions avant de vous engager dans une démarche.
