NIS2, RGPD et ISO/IEC 27001:2022 se croisent dans les audits cybersécurité, mais ne demandent pas la même chose, ni au même niveau. La conformité se joue autant dans la gouvernance que dans les mesures techniques. Et l’écart entre une norme volontaire et une obligation réglementaire change la logique de preuve.
L’audit, longtemps cantonné à une photographie des contrôles, devient un exercice de démonstration structurée: démontrer une gestion des risques, une capacité de réaction aux incidents, une maîtrise des fournisseurs, et, côté données personnelles, une organisation capable de répondre aux droits des personnes dans les délais. Le point délicat tient au chevauchement: une même mesure (journalisation, sauvegardes, gestion des accès) peut servir plusieurs cadres, mais les attendus documentaires et les responsabilités ne s’alignent pas toujours.
Dans les entreprises, l’enjeu n’est pas seulement de cocher des cases. Il s’agit de construire un dispositif qui résiste à un audit externe, à une demande d’autorité, ou à une crise opérationnelle. Autrement dit, l’audit doit tester la réalité d’exécution, pas seulement l’existence de politiques.
NIS2: gouvernance, incidents et chaîne d’approvisionnement au centre
La directive NIS2 élargit le périmètre des obligations de sécurité à 18 secteurs critiques [1]. Ce simple fait change la pratique de l’audit: des organisations qui se percevaient comme hors champ se retrouvent à devoir démontrer un socle d’exigences de cybersécurité, avec une lecture plus prescriptive que celle d’une norme volontaire.
Selon une analyse comparant ISO 27001:2022 et NIS2, la directive NIS2 s’inscrit dans une logique réglementaire plus coercitive, avec un régime de sanctions comparable à celui du RGPD, et des mesures pouvant inclure contrôles, injonctions et même la révocation de dirigeants en cas de manquement grave [4]. Pour l’audit, cela implique un changement de ton: la question n’est plus le système est-il mature?, mais l’organisation peut-elle prouver qu’elle respecte des obligations?.
Le même texte souligne que NIS2 exige une gestion de la cybersécurité à un niveau stratégique, avec implication du management, notification des incidents, évaluation des fournisseurs [4]. Dans un audit, cela se traduit par des vérifications concrètes:
- Gouvernance: décisions, responsabilités, arbitrages, supervision au bon niveau.
- Gestion des risques: méthode, priorisation, traçabilité des actions correctrices.
- Réponse aux incidents: procédures, rôles, capacité à qualifier et notifier.
- Fournisseurs: évaluation, exigences contractuelles, suivi, continuité.
La chaîne d’approvisionnement devient un objet d’audit à part entière. Un exemple cité dans les sources est l’existence d’un label NIS2 Supply Chain, présenté comme un label de qualité en cybersécurité destiné aux PME fournissant des services aux organisations NIS2 [3]. Même sans présumer de sa reconnaissance réglementaire dans chaque pays, ce signal illustre une tendance: les exigences ruissellent vers les sous-traitants, et l’audit doit couvrir ce périmètre étendu.
RGPD: l’audit se gagne sur les droits, les délais et la preuve
Le RGPD reste le socle de la protection des données personnelles, et l’audit le traite souvent comme un fil rouge transversal plutôt qu’un chantier isolé. Dans les sources, un rappel est central: le RGPD garantit 8 droits fondamentaux (information, accès, rectification, effacement, limitation, portabilité, opposition, non-soumission à une décision automatisée) [1].
Un audit sérieux ne se limite pas à vérifier l’existence d’une adresse email privacy@… Il doit tester la capacité opérationnelle à recevoir, qualifier et traiter une demande, puis à répondre dans les délais. Le même document précise un délai de réponse d’un mois, extensible à deux mois pour les demandes complexes [1]. Le contrôle porte donc sur la mécanique réelle: registre de suivi, critères d’extension, traçabilité des échanges, et preuves de réponse.
Autre point souligné dans les sources: la logique de responsabilités et d’accountability [1]. Dans un audit, l’accountability se traduit par des éléments vérifiables: décisions de gouvernance, analyses de risques, documentation des mesures, et capacité à expliquer pourquoi une mesure est en place, ou pourquoi elle ne l’est pas encore. C’est aussi là que la sécurité informatique rejoint la conformité: une faiblesse de gestion des accès ou de journalisation peut devenir un risque de confidentialité, donc un risque RGPD.
Dans la pratique, l’audit RGPD s’articule souvent autour de trois niveaux:
- Organisation: rôles, processus, escalades, gestion des sous-traitants.
- Technique: contrôles de sécurité qui protègent la donnée personnelle.
- Évidence: capacité à produire des preuves cohérentes et datées.
Enjeux d’audit et de conformité cybersécurité
ISO/IEC 27001:2022: la méthode, les contrôles et le risque de perdre la certification
Les sources présentent ISO/IEC 27001:2022 comme une référence internationale du management de la sécurité de l’information [1]. Là où NIS2 dicte des obligations, ISO 27001 structure une méthode: politique, analyse de risques, choix de contrôles, amélioration continue. Pour un audit interne, c’est souvent la colonne vertébrale, car elle fournit un langage commun entre RSSI, DSI, direction et métiers.
La comparaison ISO 27001:2022 vs NIS2 rappelle un point déterminant: ISO 27001 est une norme volontaire et n’entraîne pas de sanction juridique directe en cas de non-respect, mais une entreprise peut perdre son certificat lors d’un audit de certification si elle ne respecte pas les exigences [4]. Pour une organisation qui vend à des donneurs d’ordres exigeants, la sanction est alors commerciale et réputationnelle: accès à certains marchés, crédibilité, capacité à répondre à des appels d’offres.
L’audit ISO 27001, quand il est bien mené, teste moins la quantité de documents que l’alignement entre:
- Risque: ce que l’organisation dit craindre et ce qu’elle priorise vraiment.
- Contrôles: ce qui est déployé, configuré, maintenu, surveillé.
- Mesure: indicateurs, revues, actions correctrices, preuves d’efficacité.
Le point d’attention, souvent sous-estimé, est la cohérence des périmètres. Une certification peut couvrir un périmètre défini, alors que NIS2 ou le RGPD peuvent exiger une couverture plus large selon les activités. L’audit doit donc cartographier ce qui est inclus, ce qui ne l’est pas, et les risques de zones grises.
DORA: la résilience opérationnelle numérique comme test de continuité
Dans les sources, DORA est présenté comme un règlement qui impose la résilience opérationnelle numérique au secteur financier [1], et comme le cadre qui assure la continuité du secteur financier [2]. Même quand une organisation n’est pas directement dans le périmètre financier, DORA sert de repère de marché: il pousse vers des exigences plus concrètes sur la continuité, les prestataires critiques, et la capacité à absorber des incidents.
Le même ensemble de sources résume la complémentarité: le RGPD protège la donnée, NIS2 sécurise les infrastructures, DORA assure la continuité du secteur financier, et ISO 27001 offre la méthode pour les intégrer [2]. En audit, cette phrase se traduit par une matrice de couverture: chaque contrôle (gestion des accès, sauvegardes, supervision, gestion des vulnérabilités, gestion de crise) doit être relié à des obligations ou à des objectifs de résilience, avec des preuves adaptées à chaque cadre.
Ce qui change avec une logique résilience, c’est la nature des tests attendus. Un audit ne peut pas se contenter d’un plan sur étagère. Il va chercher des traces d’exercices, de retours d’expérience, et de décisions de remédiation. Autrement dit, la continuité devient une discipline vivante, pas un document.
Comment conduire un audit de conformité cybersécurité sans doublons
Un audit de conformité en cybersécurité évalue les contrôles, politiques et pratiques de sécurité au regard de normes et de référentiels [5]. La difficulté, en 2026 comme aujourd’hui, vient de l’empilement: plusieurs cadres, plusieurs autorités potentielles, plusieurs équipes internes. La réponse opérationnelle consiste à concevoir un audit multi-cadres piloté par les risques.
Une approche robuste consiste à bâtir un socle commun, puis à ajouter des exigences spécifiques:
- Socle commun: inventaire des actifs, gestion des identités et accès, supervision, sauvegardes, gestion des vulnérabilités, réponse aux incidents, gestion des fournisseurs.
- Spécificités RGPD: traitement des demandes de droits, traçabilité, gouvernance des sous-traitants, preuves d’accountability.
- Spécificités NIS2: gouvernance au niveau direction, obligations de notification, exigences prescriptives, contrôle des fournisseurs dans une logique de chaîne.
- Spécificités DORA: continuité et résilience, dépendances aux prestataires, capacité de reprise et d’apprentissage.
Le bénéfice est double: réduire les doublons, et surtout éviter l’angle mort classique où un contrôle est présent pour ISO, mais insuffisant pour NIS2, ou où une mesure de sécurité existe, mais ne permet pas de répondre à une demande RGPD dans les délais.
Repères pratiques: points à vérifier vite
- Droits RGPD: circuit de traitement, preuve de réponse, gestion des prolongations de délai [1].
- Management NIS2: implication documentée, décisions, suivi des risques et des incidents [4].
- ISO 27001: cohérence périmètre/risques/contrôles, preuves d’amélioration continue [4].
- Fournisseurs: exigences, évaluation, suivi, logique supply chain, y compris PME [3].
FAQ: audits NIS2, RGPD, ISO 27001 et DORA
Quelle différence de logique entre ISO 27001 et NIS2?
ISO 27001 structure un système de management volontaire, alors que NIS2 impose des exigences réglementaires, avec une approche plus coercitive et des obligations de gouvernance et de notification d’incidents [4].
Quels droits RGPD l’audit doit-il tester en priorité?
L’audit doit vérifier la capacité à traiter les 8 droits (information, accès, rectification, effacement, limitation, portabilité, opposition, non-soumission à une décision automatisée) et à répondre dans les délais prévus [1].
Pourquoi la chaîne d’approvisionnement est-elle devenue un sujet d’audit central?
Les exigences se propagent aux prestataires et sous-traitants, et des initiatives comme un label orienté supply chain visent les PME fournisseurs d’organisations concernées par NIS2 [3].
DORA concerne-t-il uniquement les banques?
Les sources le présentent comme un règlement visant la résilience opérationnelle numérique du secteur financier [1], et comme un cadre centré sur la continuité [2]. Son influence dépasse souvent ce périmètre via les exigences des donneurs d’ordres.
Qu’est-ce qu’un audit de conformité en cybersécurité, concrètement?
C’est une évaluation des contrôles, politiques et pratiques de sécurité au regard de normes et de référentiels, pour mesurer l’écart et produire des preuves exploitables [5].
Récapitulatif NIS2, RGPD, ISO 27001
- NIS2 étend les obligations de sécurité à 18 secteurs critiques.
- Le RGPD prévoit 8 droits fondamentaux pour les personnes concernées.
- Le RGPD fixe un délai de réponse d’un mois, extensible à deux mois pour les demandes complexes.
- ISO/IEC 27001:2022 est présentée comme une référence internationale du management de la sécurité de l’information.
- ISO 27001 est une norme volontaire, mais une certification peut être retirée lors d’un audit en cas de non-respect.
- NIS2 prévoit un régime de sanctions pouvant aller jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial.
Cet article a été rédigé avec l' assistance de l' intelligence artificielle à partir de sources journalistiques.
À retenir
- NIS2 étend les obligations de cybersécurité à 18 secteurs critiques et renforce l’exigence de gouvernance et de gestion d’incidents.
- Le RGPD impose 8 droits aux personnes concernées et des délais de réponse d’un mois, extensibles à deux mois pour les demandes complexes.
- ISO/IEC 27001:2022 fournit une méthode de management de la sécurité ; en certification, un audit peut conduire à la perte du certificat en cas de non-respect.
- DORA cible la résilience opérationnelle numérique du secteur financier et influence les attentes en continuité et gestion des prestataires.
- Un audit efficace évite les doublons en construisant un socle commun de contrôles, puis des exigences spécifiques à chaque cadre.
Questions fréquentes
- Quelle différence de logique entre ISO 27001 et NIS2 ?
- ISO/IEC 27001:2022 est une norme volontaire de management de la sécurité de l’information, alors que NIS2 impose des obligations réglementaires, avec une approche plus coercitive et des exigences de gouvernance, de notification d’incidents et d’évaluation des fournisseurs.
- Quels droits RGPD l’audit doit-il être capable de vérifier ?
- Le RGPD garantit 8 droits fondamentaux (information, accès, rectification, effacement, limitation, portabilité, opposition, non-soumission à une décision automatisée). Un audit doit tester l’organisation et la traçabilité permettant de les traiter.
- Quel délai de réponse le RGPD impose-t-il pour une demande de droit ?
- Le délai de réponse est d’un mois, avec une extension possible à deux mois pour les demandes complexes.
- Pourquoi la supply chain devient-elle un périmètre d’audit ?
- Les exigences de cybersécurité se diffusent aux prestataires et sous-traitants. Des initiatives comme un label orienté « NIS2 Supply Chain » visent les PME qui fournissent des services aux organisations concernées.
Sources
En tant que jeune média indépendant, Magazine de Communication Entreprises : Gagner en visibilité sur Internet a besoin de votre aide. Soutenez-nous en nous suivant et en nous ajoutant à vos favoris sur Google News. Merci !