La preuve que vos clients exigent avant le contrat

L'annexe A a été restructurée, passant de 114 à 93 mesures, regroupées en quatre thèmes au lieu de quatorze, et complétée par onze nouvelles mesures — notamment la threat intelligence, la sécurité du cloud, la prévention des fuites de données (Data Leakage Prevention) et le développement sécurisé. Ceux qui ont construit leur système sur l'ancienne version ont besoin d'une correspondance (mapping), pas d'un nouveau départ.

Le document central de la norme : une liste de toutes les mesures de l'annexe A avec votre décision quant à leur applicabilité, la manière dont elles sont mises en œuvre et, le cas échéant, la raison de leur exclusion. Les auditeurs commencent presque toujours par là.

NIS2 est une loi, l'ISO 27001 est une norme. Un SMSI certifié ne répond pas automatiquement à NIS2, mais couvre une part importante des mesures de gestion des risques exigées et fournit la structure de preuves attendue par les autorités de contrôle.

En général, elle le raccourcit considérablement. De nombreux processus d'achat acceptent le certificat accompagné de la déclaration d'applicabilité à la place d'un catalogue de questions à trois chiffres.

À partir de 179 € par mois, préparation, audit, certificat et audits de surveillance inclus. Classiquement, le coût total pour une PME lors du premier cycle est souvent nettement plus élevé, car le conseil, l'organisme de certification et l'effort interne sont facturés séparément. Le simulateur de coûts vous montre la différence selon votre taille.

Pour une mise en place complète, comptez réalistement six à huit semaines ; avec un SMSI déjà en place, nettement moins, voire jusqu'à 48 heures en cas de changement, si l'évaluation des risques et les mesures sont réellement appliquées. Le goulot d'étranglement est presque toujours l'évaluation des risques, pas l'audit.

Non. Vous devez décider de manière justifiée, pour chaque mesure, si elle est applicable. L'exclusion doit être compréhensible — c'est l'objet de la déclaration d'applicabilité.

Une mise en correspondance avec la structure de 2022, l'évaluation des onze nouvelles mesures et l'adaptation de la déclaration d'applicabilité. Pas de reconstruction complète. Il vous suffit de charger vos documents existants sur notre plateforme et de retravailler les suggestions de l'IA.

Non. NIS2 est une loi et va en partie plus loin, notamment concernant les obligations de signalement et la responsabilité personnelle de la direction. Un SMSI couvre cependant une grande partie des mesures exigées et fournit la structure de preuves.

Oui. L'essentiel est que vous pilotiez vos fournisseurs et que le partage des responsabilités soit documenté.

Nous certifions aussi des organisations de moins de dix collaborateurs. L'effort dépend de la complexité, pas seulement du nombre de personnes.

Ce n'est pas un critère d'exclusion. Ce qui est vérifié, c'est si vous l'avez identifié, traité et en avez tiré des leçons. C'est exactement à cela que sert le système. Il s'agit ici de rendre visible l'amélioration continue.

Votre certificat est délivré par l'organisation nationale compétente pour votre marché ; vous voyez son statut avant la conclusion du contrat. Pour l'ISO/IEC 27001, une accréditation n'est obligatoire que dans certains secteurs réglementés par la loi — si cela vous concerne, nous vous le dirons lors du premier entretien. En règle générale : la même norme est vérifiée selon le même critère, et les pouvoirs adjudicateurs publics doivent accepter des preuves équivalentes. Tout cela sur .

Seulement si votre SMSI est déjà en place : l'évaluation des risques, la déclaration d'applicabilité et les mesures de l'annexe A choisies doivent exister et être appliquées au quotidien. C'est souvent le cas lors d'un changement d'organisme de certification, presque jamais lors d'une mise en place initiale. Nous vous le disons lors du Express-Check, avant que vous ne réserviez.

C'est là le véritable enjeu. Votre SMSI vit dans la plateforme : la déclaration d'applicabilité, les risques, les mesures et les incidents y sont gérés, notre IA signale les écarts et rappelle les cycles de révision. Un SMSI qui s'endort entre deux audits ne résiste à aucun audit client.

La plateforme et l'IA couvrent la plupart des cas. Là où vous avez besoin de plus — par exemple pour la méthodologie des risques ou un audit interne indépendant — nous vous mettons en relation avec des conseillers indépendants de notre réseau de partenaires. Celui qui vous a conseillé ne vous audite pas chez nous.