L’essentiel en bref<\/p>\n
- \n
- Pas de substitut :<\/strong> Le BSI ne reconna\u00eet pas explicitement une certification ISO 27001 comme preuve de conformit\u00e9 au BSIG. La surveillance examine directement les articles 30, 32 et 38.<\/li>\n
- Large chevauchement :<\/strong> Le tableau de correspondance du BSI associe les dix domaines de mesures de l’article 30 \u00e0 des contr\u00f4les ISO concrets. Un ISMS bien g\u00e9r\u00e9 r\u00e9duit sensiblement l’effort de mise en \u0153uvre.<\/li>\n
- Trois lacunes :<\/strong> La norme ne conna\u00eet pas le champ d’application, l’acceptation des risques et l’obligation de d\u00e9claration aux autorit\u00e9s de cette mani\u00e8re. C’est pr\u00e9cis\u00e9ment ici que le r\u00e9flexe consistant \u00e0 simplement pr\u00e9senter le certificat \u00e9choue.<\/li>\n
- Affaire de direction :<\/strong> L’article 38 oblige la direction g\u00e9n\u00e9rale personnellement \u00e0 la mise en \u0153uvre, \u00e0 la surveillance et \u00e0 la formation r\u00e9guli\u00e8re. Cette obligation ne peut pas \u00eatre d\u00e9l\u00e9gu\u00e9e \u00e0 un certificat.<\/li>\n<\/ul>\n<\/div>\n
Li\u00e9s :<\/span>NIS2 apr\u00e8s le d\u00e9lai : la surveillance du BSI commence maintenant<\/a> \/<\/span> MFA adaptative dans l’audit NIS2<\/a><\/p>\n
Trois obligations BSIG que votre audit ISO ignore<\/h2>\n
Qu’est-ce que NIS2 ?<\/strong> NIS2 est la directive europ\u00e9enne relative \u00e0 la s\u00e9curit\u00e9 des r\u00e9seaux et de l’information, transpos\u00e9e en Allemagne par le BSIG modifi\u00e9. Elle oblige les \u00e9tablissements concern\u00e9s \u00e0 la gestion des risques, \u00e0 la notification des incidents significatifs et \u00e0 l’enregistrement aupr\u00e8s du BSI, avec une responsabilit\u00e9 personnelle de la direction g\u00e9n\u00e9rale.<\/p>\n
Le certificat reste un fondement solide. Un ISMS op\u00e9rationnel couvre, selon le tableau de correspondance du BSI, une grande partie des mesures l\u00e9gales. Mais pas tout. Ceux qui connaissent les lacunes \u00e9vitent des doubles efforts co\u00fbteux et des corrections lors du premier audit.<\/p>\n
Le fait qu’un \u00e9tablissement rel\u00e8ve de la loi d\u00e9pend du secteur et de la taille. Son propre niveau de s\u00e9curit\u00e9 n’a aucune influence sur son assujettissement. L’article 28 du BSIG distingue les \u00e9tablissements particuli\u00e8rement importants et importants ; les op\u00e9rateurs KRITIS sont automatiquement consid\u00e9r\u00e9s comme particuli\u00e8rement importants. Les entit\u00e9s concern\u00e9es portent trois obligations centrales qu’un auditeur ISO ne v\u00e9rifie pas lors de sa certification.<\/p>\n
La premi\u00e8re est l’enregistrement conform\u00e9ment \u00e0 l’article 33. La deuxi\u00e8me est la notification des incidents significatifs conform\u00e9ment \u00e0 l’article 32. La troisi\u00e8me est la gestion des risques accompagn\u00e9e de la documentation conform\u00e9ment \u00e0 l’article 30. ISO 27001 est une norme volontaire, le BSIG est un droit en vigueur avec une autorit\u00e9 de surveillance derri\u00e8re. C’est le c\u0153ur du malentendu : un auditeur certifie un syst\u00e8me de management, une autorit\u00e9 exige le respect d’obligations l\u00e9gales concr\u00e8tes.<\/p>\n
Le BSI formule cette s\u00e9paration sans ambigu\u00eft\u00e9 dans son kit d’information sur la norme. Une certification est une bonne preuve de maturit\u00e9, mais dans la proc\u00e9dure de surveillance, elle ne compte pas comme preuve de conformit\u00e9.<\/p>\n
O\u00f9 ISO 27001 porte d\u00e9j\u00e0 selon le tableau de correspondance du BSI<\/h2>\n
La bonne nouvelle figure dans le tableau de correspondance officiel du BSI. L’article 30, paragraphe 2, \u00e9num\u00e8re dix domaines de mesures obligatoires, de l’analyse des risques \u00e0 la r\u00e9ponse aux incidents et \u00e0 la continuit\u00e9 d’activit\u00e9, jusqu’\u00e0 la cha\u00eene d’approvisionnement, la cryptographie et l’authentification multifacteur. Pour chacun de ces domaines, le BSI d\u00e9signe les clauses et contr\u00f4les correspondants d’ISO 27001 dans sa version de 2022.<\/p>\n
Concr\u00e8tement, cela signifie : celui qui exploite un ISMS op\u00e9rationnel a d\u00e9j\u00e0 la plupart des \u00e9l\u00e9ments en interne. Registres des risques, playbooks de r\u00e9ponse aux incidents, \u00e9valuation des fournisseurs, une politique de cryptographie et une feuille de route MFA contribuent directement aux domaines l\u00e9gaux. Le BSI indique qu’une certification peut r\u00e9duire l’effort de mise en \u0153uvre. L’autorit\u00e9 ne mentionne volontairement pas de pourcentage fixe. Celui qui l’invente vend une fausse pr\u00e9cision.<\/p>\n
Une r\u00e9serve subsiste. Le mapping a un caract\u00e8re informatif sans valeur juridique contraignante. Un contr\u00f4le mis en \u0153uvre selon ISO ne satisfait \u00e0 l’obligation l\u00e9gale que si le champ d’application et la profondeur de mise en \u0153uvre sont corrects. Et c’est pr\u00e9cis\u00e9ment \u00e0 ces deux endroits que les lacunes apparaissent.<\/p>\n
Trois lacunes qu’un certificat ne comble pas<\/h2>\n
La premi\u00e8re lacune concerne le champ d’application. Dans ISO 27001, l’organisation d\u00e9finit elle-m\u00eame son p\u00e9rim\u00e8tre, souvent limit\u00e9 \u00e0 un d\u00e9partement, un site ou un processus unique. Le BSIG ne conna\u00eet pas cette libert\u00e9. Les mesures s’appliquent aux services r\u00e9glement\u00e9s et aux syst\u00e8mes informatiques qui les fournissent. Un certificat qui ne couvre que le service informatique ne r\u00e9pond g\u00e9n\u00e9ralement pas \u00e0 l’exigence l\u00e9gale.<\/p>\n
La deuxi\u00e8me lacune r\u00e9side dans le traitement des risques. ISO permet d’accepter consciemment les risques ou de les transf\u00e9rer par le biais d’une assurance. L’article 30 exige en revanche la mise en \u0153uvre effective de mesures appropri\u00e9es selon l’\u00e9tat de l’art. Une acceptation globale des risques pertinents ne tient pas devant la surveillance. Celui qui tient honn\u00eatement son registre des risques devrait v\u00e9rifier chaque entr\u00e9e avec le statut accept\u00e9 au regard de l’obligation l\u00e9gale de mise en \u0153uvre.<\/p>\n
La troisi\u00e8me lacune est l’obligation de notification. Un processus de r\u00e9ponse aux incidents selon ISO r\u00e9git l’escalade interne. Il ne conna\u00eet cependant aucun canal de notification \u00e0 l’autorit\u00e9. L’article 32 exige une notification en trois \u00e9tapes \u00e0 la plateforme commune de notification du BSI et du BBK : un avertissement pr\u00e9coce dans les 24 heures, un rapport de suivi dans les 72 heures et un rapport final dans un mois suivant le rapport de suivi. La ligne directrice du BSI est : la rapidit\u00e9 avant l’exhaustivit\u00e9. Une notification interne \u00e0 sa propre \u00e9quipe de s\u00e9curit\u00e9 ne remplace pas cette obligation.<\/p>\n
Le tableau suivant r\u00e9sume o\u00f9 le certificat s’applique et o\u00f9 la loi va au-del\u00e0.<\/p>\n
\n - Large chevauchement :<\/strong> Le tableau de correspondance du BSI associe les dix domaines de mesures de l’article 30 \u00e0 des contr\u00f4les ISO concrets. Un ISMS bien g\u00e9r\u00e9 r\u00e9duit sensiblement l’effort de mise en \u0153uvre.<\/li>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/06\/nis2-apres-lecheance-cest-maintenant-que-commence-la-supervision-de-la-bsi-cover-fr-hero-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/06\/sicherheitsforschung-aus-der-grauzone-wie-nis2-coordinated-disclosure-verbindlich-macht-cover-hero-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/06\/le-plan-durgence-que-personne-na-repete-cover-fr-hero-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-geopolitik-datacenter-roadmap-lieferkett-8054517-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-eu-ai-act-2026-kennzeichnungspflichten-m-35346140-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-xfs4iot-cloud-geldautomat-plattform-syna-61345494.jpg\")
<\/span>