ISO 27001, RGPD et NIS 2 : une seule démarche pour trois exigences

Un éditeur SaaS qui prépare ISO 27001, tient sa conformité RGPD et surveille NIS 2 finit vite avec trois registres de risques, trois procédures d'incident et trois interlocuteurs qui se contredisent. Ces textes posent pourtant largement les mêmes questions. L'enjeu se chiffre : un manquement à la sécurité RGPD expose jusqu'à 10 M€ ou 2 % du chiffre d'affaires annuel mondial, et NIS 2 impose aux États de prévoir au moins ce plafond pour les entités essentielles. Un socle unique tient la route, à condition de savoir exactement où le certificat s'arrête.

ISO 27001, RGPD, NIS 2 : trois textes de nature différente

Ces trois référentiels n'ont ni le même statut, ni le même destinataire, ni la même sanction.

ISO 27001 : une norme volontaire

Aucune loi générale n'impose ISO 27001. La pression vient des clients et des appels d'offres. Le certificat atteste qu'un système de management de la sécurité fonctionne sur un périmètre donné. Le rôle de chacun dans ce projet est détaillé dans notre article sur ce que l'avocat prend en charge dans une certification ISO 27001.

RGPD : du droit applicable depuis 2018

L'article 32 impose un niveau de sécurité adapté au risque, au responsable du traitement comme au sous-traitant. C'est une obligation de moyens : la CNIL rappelle qu'elle sanctionne non la violation elle-même, mais l'insuffisance des mesures qui l'a rendue possible (SAN-2026-001, points 58 et 62).

NIS 2 : une directive pas encore transposée en France

Au 2 novembre 2026, aucune loi de transposition n'a été trouvée au Journal officiel. Le projet adopté par le Sénat le 12 mars 2025 a été retiré de l'ordre du jour de l'Assemblée nationale le 6 octobre 2026. Le relevé de la Conférence des présidents du 27 octobre, qui annonce les travaux jusqu'à la semaine du 16 novembre, ne le mentionne pas. Le 3 novembre, selon l'AFP, la Conférence a retenu le principe d'une inscription à partir du 9 novembre, sans date acquise. Le détail figure dans notre point sur la transposition de NIS 2 en France.

Les obligations de NIS 2 ne s'imposent donc pas encore aux entreprises françaises par la loi. Le régime précédent reste en vigueur : la loi n° 2018-133 du 26 février 2018 vise les opérateurs de services essentiels désignés et les fournisseurs de service numérique, dont les services d'informatique en nuage, hors entreprises de moins de 50 salariés réalisant au plus 10 M€ de chiffre d'affaires (art. 5, 10 et 11). Les exigences de NIS 2 peuvent aussi arriver par les contrats : des clients soumis à la directive dans d'autres États membres, ou qui s'y préparent, peuvent les répercuter sur leurs fournisseurs directs (art. 21, § 2, d). Pour un éditeur, la question de fond reste celle de la qualification. L'annexe I vise les fournisseurs de services d'informatique en nuage, et le considérant 33 cite le SaaS parmi les modèles concernés. Une entreprise moyenne de ce type serait entité importante, une plus grande entité essentielle (art. 2 et 3). Tout logiciel en ligne ne remplit pas pour autant la définition de l'article 6, point 30 : l'analyse se fait service par service.

Deux textes européens restent à suivre, sans qu'il faille les traiter comme acquis. La proposition d'omnibus numérique COM(2025) 837 prévoit un point d'entrée unique pour les notifications et, selon les commentaires publiés, un délai RGPD porté à 96 heures. La proposition COM(2026) 13 modifierait NIS 2 de façon ciblée. Le 2 novembre, l'Observatoire législatif du Parlement européen les indique toutes deux en attente d'une décision de commission. Le droit applicable reste celui d'aujourd'hui.

Le socle commun : huit chantiers à ne traiter qu'une fois

Le recoupement a un appui officiel. Le règlement d'exécution (UE) 2024/2690, qui précise l'article 21 de NIS 2 pour les fournisseurs de services en nuage, les fournisseurs de services gérés et d'autres acteurs numériques, indique que ses exigences sont fondées notamment sur ISO/IEC 27001 et 27002 (considérant 3). L'ENISA publie une table de correspondance entre ce règlement et la norme, non contraignante. En combinant cette table avec le RGPD, on obtient huit chantiers (numérotation de l'édition 2022 de la norme) :

• Analyse de risques. ISO : clauses 6.1.2 et 6.1.3. RGPD : art. 32 et, pour les traitements à risque élevé, art. 35. NIS 2 : art. 21, § 1 et § 2, a.
• Gestion des incidents. ISO : A.5.24 à A.5.27. RGPD : art. 33 et 34. NIS 2 : art. 21, § 2, b, et art. 23.
• Continuité et sauvegardes. ISO : A.5.29, A.5.30, A.8.13. RGPD : art. 32, § 1, b et c. NIS 2 : art. 21, § 2, c.
• Fournisseurs. ISO : A.5.19 à A.5.22. RGPD : art. 28. NIS 2 : art. 21, § 2, d, et § 3.
• Accès et authentification. ISO : A.5.15 à A.5.18, A.8.5. RGPD : art. 32. NIS 2 : art. 21, § 2, i et j.
• Développement et vulnérabilités. ISO : A.8.8, A.8.25. RGPD : art. 25. NIS 2 : art. 21, § 2, e.
• Formation. ISO : A.6.3. RGPD : art. 32, § 4, et art. 39, § 1, b. NIS 2 : art. 20, § 2, et art. 21, § 2, g.
• Mesure de l'efficacité. ISO : clauses 9.1 à 9.3. RGPD : art. 32, § 1, d. NIS 2 : art. 21, § 2, f.

Une seule analyse de risques, un seul plan de traitement et une seule revue de direction peuvent alimenter les trois dossiers. La table de correspondance reste un point de départ : elle rapproche des thèmes, elle ne prouve pas qu'une mesure satisfait un texte.

ReCyF : ce que vaut un certificat ISO 27001 devant l'ANSSI

La question revient à chaque projet : le certificat vaudra-t-il conformité NIS 2 ? La directive encourage le recours aux normes internationales (art. 25), mais ne prévoit aucune équivalence. La réponse française se lit dans ReCyF, le Référentiel Cyber France, publié par l'ANSSI le 17 mars 2026 en version de travail 2.5.

Des objectifs obligatoires, des moyens facultatifs

ReCyF correspond au référentiel mentionné à l'article 14 du projet de loi. Il compte 20 objectifs de sécurité, dont les objectifs 16 à 20 réservés aux entités essentielles. Si le décret est pris dans ces termes, ces objectifs seront obligatoires. Les « moyens acceptables de conformité » resteraient facultatifs, sauf cas particuliers, et l'entité qui les applique pourrait s'en prévaloir pour démontrer qu'elle atteint les objectifs.

La présomption de conformité a disparu du texte

Le document de suivi des modifications publié par l'ANSSI montre un changement à connaître. En version 2.4, un système de management certifié ISO 27001 permettait d'apporter une « présomption de conformité ». En version 2.5, la formule est barrée. Selon la version 2.5, les entités peuvent « se prévaloir lors d'un contrôle » de ce système pour démontrer le respect de l'objectif, sur les systèmes d'information couverts par la certification. Le même retrait touche des prestations qualifiées par l'ANSSI : il ne vise pas ISO 27001 seule.

La portée est étroite. Dans ce document, ISO 27001 n'apparaît qu'à deux endroits : l'objectif 2, sur la gouvernance, et l'objectif 16, sur l'approche par les risques, réservé aux entités essentielles. Le certificat aide donc à prouver deux objectifs, sur son périmètre, et un seul pour une entité importante. Il ne couvre pas d'office les autres.

Point de vigilance. L'ANSSI met à disposition un outil de comparaison entre ReCyF, ISO 27001 et 27002. Elle le présente comme purement informatif, sans préjudice de son appréciation en contrôle, et précise qu'il ne vaut pas reconnaissance d'un autre référentiel, mécanisme que prévoit le projet de loi. Une promesse commerciale du type « ISO 27001, donc conforme NIS 2 » n'a aujourd'hui aucun appui dans ces documents.

ReCyF reste qualifié de version provisoire par l'ANSSI, susceptible d'évoluer avec les travaux législatifs, et une consultation est annoncée avant les décrets. Son contenu ne doit donc pas être présenté comme du droit en vigueur. Il mérite pourtant d'être lu dès maintenant. La doctrine de l'ANSSI pèse déjà dans les dossiers RGPD : dans ses décisions Free de janvier 2026, la CNIL apprécie l'article 32 à la lumière de ses recommandations et de celles de l'ANSSI (SAN-2026-001, points 70 et 98).

Ce que le certificat ISO 27001 ne couvre pas

Quatre sujets restent à traiter à part, quelle que soit la qualité du projet ISO.

Le périmètre

Le certificat porte sur le périmètre défini par l'entreprise. Le RGPD, lui, vise chaque traitement de données personnelles, y compris ceux des RH et du marketing. NIS 2 vise les réseaux et systèmes utilisés pour les activités ou les services, selon une approche « tous risques » (art. 21, § 1 et 2). Si seule la plateforme de production est certifiée, le reste de l'entreprise n'est pas couvert. ReCyF va dans le même sens : les objectifs s'appliquent à l'ensemble des systèmes d'information, sauf exception justifiée par une analyse de risques (objectif 1).

La substance du RGPD

ISO 27001 protège l'information de l'entreprise, sous l'angle du risque pour l'organisation. Le RGPD raisonne en risque pour les personnes. L'annexe A comporte une mesure sur la protection des données personnelles (A.5.34), mais elle ne remplace pas le travail sur la base légale, la durée de conservation, les droits des personnes et le registre de traitement. Sur la conservation, Free Mobile a été sanctionnée au titre de l'article 5, § 1, e, en plus de la sécurité. Et ISO 27001 ne figure pas, à ce jour, au registre européen des mécanismes de certification approuvés au titre de l'article 42 : elle ne donne donc pas la valeur d'élément de preuve prévue aux articles 28, § 5, et 32, § 3, ni le facteur de l'article 83, § 2, j. Elle reste un élément du dossier parmi d'autres.

Les notifications aux autorités

La norme organise la réponse à l'incident. Les destinataires et les délais légaux viennent des textes, et ils doivent être écrits dans la procédure.

Le rôle personnel des dirigeants

ISO 27001 demande l'engagement de la direction. NIS 2 va plus loin : les organes de direction approuvent les mesures, supervisent leur mise en œuvre, peuvent être tenus responsables de leur violation et doivent suivre une formation (art. 20). ReCyF place la sécurité numérique sous la responsabilité du dirigeant exécutif. Pour les entités essentielles, la directive permet même de demander l'interdiction temporaire d'un dirigeant, si les autres mesures restent sans effet (art. 32, § 5).

Notification d'un incident : une procédure, trois horloges

C'est là que la démarche unique rapporte le plus, et que les procédures séparées échouent. Prenons un scénario type : un éditeur SaaS de 80 salariés héberge les données RH de ses clients. Un jeudi à 18 heures, l'équipe détecte un accès suspect à une base de production.

Horloge RGPD

Pour les données de ses clients, l'éditeur est sous-traitant. Il doit leur notifier la violation dans les meilleurs délais (art. 33, § 2), sans attendre d'avoir évalué le risque. Le client responsable du traitement dispose ensuite de 72 heures pour saisir la CNIL, sauf absence de risque pour les personnes, et il est en principe considéré comme ayant pris connaissance de la violation une fois informé par son sous-traitant (CEPD, lignes directrices 9/2022, point 44). Pour ses propres salariés et prospects, l'éditeur est responsable du traitement : c'est alors à lui de notifier. Le détail des obligations figure dans notre article sur les violations de données personnelles.

Horloge NIS 2

Une fois la directive transposée, une entité concernée devra adresser une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final au plus tard un mois après cette notification (art. 23, § 4). Elle devra aussi informer, le cas échéant, les destinataires de ses services (art. 23, § 1). Pour un fournisseur de services en nuage, le règlement 2024/2690 retient notamment ces seuils : indisponibilité totale de plus de 30 minutes, ou compromission de données par une action suspectée d'être malveillante (art. 7). S'y ajoutent les critères généraux, dont une perte financière directe de plus de 500 000 € ou de 5 % du chiffre d'affaires, le montant le plus faible étant retenu (art. 3). Ce règlement est en vigueur et directement applicable, mais il précise des obligations que le droit français n'a pas encore reprises : traitez-le comme le niveau d'exigence probable et faites vérifier son application à votre cas. Aujourd'hui, si le service relève de la loi de 2018, un incident à impact significatif se déclare sans délai à l'ANSSI (art. 13).

Horloge ISO

Aucun délai légal ne vient de la norme. Elle attend une gestion organisée : évaluation des événements (A.5.25), réponse (A.5.26), retour d'expérience (A.5.27), collecte des preuves (A.5.28). C'est le squelette sur lequel accrocher les deux autres horloges.

Deux qualifications distinctes

Un même événement ne déclenche pas forcément les deux régimes. Une panne totale de 40 minutes sans fuite de données peut intéresser NIS 2 sans imposer de notification à la CNIL. Elle n'échappe pas pour autant au RGPD : selon le CEPD, une indisponibilité temporaire est une violation dès lors qu'elle peut avoir une incidence significative sur les personnes, et elle se documente même sans notification (lignes directrices 9/2022, points 21 et 22). À l'inverse, un fichier de clients envoyé au mauvais destinataire relève du RGPD sans constituer, en principe, un incident important. La procédure unique doit donc comporter deux questions distinctes dès la première heure, un décideur nommé et des modèles de message prêts. La directive précise que le simple fait de notifier n'accroît pas la responsabilité de l'entité (art. 23, § 1).

Le contenu du message compte autant que le délai. Dans les décisions Free, la CNIL a retenu un manquement à l'article 34 : indiquer que « toutes les mesures nécessaires » avaient été prises était trop général et abstrait, et la société aurait dû décrire brièvement les principales mesures correctives (SAN-2026-001, points 190 et 191 ; SAN-2026-002, point 141). Un audit ISO réussi ne garantit pas ce point. C'est une relecture juridique des modèles qui le fait.

Contrats fournisseurs : une seule clause pour trois exigences

Le contrat est l'autre gisement de mutualisation. L'article 28, § 3, du RGPD impose déjà le contenu du contrat de sous-traitance : sécurité, assistance, audit, sous-traitance ultérieure, sort des données en fin de contrat. Le point 5.1.4 de l'annexe du règlement 2024/2690 dresse une liste voisine pour les entités qu'il vise : exigences de cybersécurité, notification des incidents sans retard injustifié, droit d'audit ou de recevoir des rapports d'audit, gestion des vulnérabilités, encadrement de la sous-traitance, récupération et destruction des informations au terme du contrat.

Plutôt que deux annexes, rédigez une annexe sécurité unique, conçue pour répondre aux mesures ISO A.5.19 à A.5.22, à l'article 28 et à cette liste. Elle doit fixer un délai de remontée d'incident compatible avec vos propres horloges. Un fournisseur qui vous alerte sous 72 heures laisse vos clients sans information pendant trois jours.

Sanctions : le cumul a une limite, pas le risque

Côté RGPD, les manquements aux articles 28, 32, 33 et 34 exposent à 10 M€ ou 2 % du chiffre d'affaires annuel mondial, le plus élevé étant retenu (art. 83, § 4). L'échelle est réelle : 42 M€ au total pour Free Mobile (27 M€) et Free (15 M€) en janvier 2026, après une attaque portant sur 24 millions de contrats.

Côté NIS 2, la directive impose aux États de prévoir un plafond d'au moins 10 M€ ou 2 % pour les entités essentielles, et d'au moins 7 M€ ou 1,4 % pour les entités importantes (art. 34). Les montants français dépendront de la loi.

L'article 35 évite une partie du cumul. Si l'autorité de contrôle RGPD inflige une amende, l'autorité NIS 2 ne peut pas en prononcer une pour une violation découlant du même comportement. Elle conserve toutefois ses mesures d'exécution. La directive écarte donc la seconde amende dans ce cas, sous réserve de la loi française. Elle ne traite pas l'ordre inverse, si l'amende NIS 2 vient d'abord. Et deux autorités peuvent s'intéresser au même dossier, l'une informant l'autre (art. 35, § 1). Ce que vous dites à l'une doit être cohérent avec ce que vous dites à l'autre.

Le 22 janvier 2026, la CNIL a infligé 5 M€ à France Travail en relevant que ses analyses d'impact avaient listé les risques qui se sont ensuite réalisés (SAN-2026-003, point 126). Cette décision ne concerne pas ISO 27001. Mais une analyse de risques unique est plus lisible pour un contrôleur, y compris quand un risque reste ouvert. Elle n'a de valeur que si chaque risque accepté est motivé et chaque retard réarbitré.

Ma méthode pour construire le socle unique en cinq étapes

Voici l'ordre que je suggère à une entreprise qui a déjà engagé ISO 27001 ou qui s'y prépare.

1. Qualifier. Je fixe avec vous, service par service, votre rôle RGPD, votre statut probable au regard de NIS 2 et le périmètre réel du certificat.
2. Tenir un registre d'exigences unique. Chaque ligne indique la source (loi, contrat, norme), le responsable et la preuve. Ce registre sert aussi à la mesure A.5.31 de l'annexe A.
3. Fusionner les risques. Une seule analyse, avec deux lectures : risque pour l'entreprise et ses services, risque pour les personnes. Les AIPD s'y raccordent au lieu de vivre à côté.
4. Réécrire la procédure d'incident. Une matrice de notification, des décideurs nommés, des modèles relus, puis un exercice sur un scénario réaliste.
5. Remonter à la direction. La revue de direction ISO porte aussi les sujets RGPD et NIS 2, avec des décisions tracées. C'est la meilleure préparation à l'article 20.

Le consultant et le RSSI gardent le système de management et les mesures techniques. Je prends en charge la qualification, les contrats, les notifications et les politiques opposables : c'est le volet juridique de la certification ISO 27001. Pour la qualification et l'anticipation de la loi française, voir mon accompagnement d'avocat NIS 2.

Ne lancez pas de nouveau chantier NIS 2 avant d'avoir relu ce que le projet ISO et le dossier RGPD contiennent déjà. Si vous voulez savoir ce que votre démarche couvre réellement, échangeons sur votre situation.