Mis à jour le 28 août 2026

Comparatif · référentiel contre référentiel

NIS2 ou ISO 27001 : l’une vous choisit, l’autre vous la choisissez.

NIS2 est une directive européenne : votre secteur et votre taille décident à votre place. ISO 27001 est une norme volontaire : c’est vous, ou votre client, qui décidez. Elles se recoupent moins qu’on ne le dit, et pas là où on le croit.

Évaluer ma conformité — gratuit Voir le tableau

Chiffres relus dans les référentiels
Sources datées
Aucun test comparatif inventé

En bref

Trois différences qui changent tout.

La nature
Directive (UE) 2022/2555 d’un côté, norme internationale volontaire de l’autre. L’une devient une obligation légale une fois transposée, l’autre reste un choix.
Le périmètre
NIS2 s’applique aux systèmes qui supportent les activités visées : le périmètre découle du texte. En ISO 27001, vous définissez et documentez vous-même le périmètre du SMSI.
La preuve
ISO 27001 se termine par un certificat délivré par un organisme accrédité. Il n’existe aucun certificat NIS2 : ce qui est attendu, c’est de pouvoir démontrer, pièce à l’appui.

Si vous êtes dans les deux cas, ce n’est pas un choix : c’est un ordre de marche. Le tableau ci-dessous et le bloc « par lequel commencer » donnent le nôtre.

Sources : directive (UE) 2022/2555 ; ANSSI, référentiel de cybersécurité NIS 2 (ReCyF) v2.5, version de travail du 16 février 2026 ; norme ISO/IEC 27001:2022, 3e édition. Les décomptes d’exigences, d’actions et de documents sont ceux des référentiels intégrés à ALYDEA, relus le 28 août 2026.

Critère par critère

Ce qui les sépare, ligne à ligne.

Aucune colonne « gagnante » : ce sont deux objets de nature différente. Le tableau sert à savoir laquelle vous concerne, et à quel titre.

Critère	NIS2 (ReCyF)Directive (UE) 2022/2555	ISO/IEC 27001:2022Norme internationale volontaire
Nature du texte	Directive européenne : elle fixe un résultat, chaque État membre écrit sa loi. En France, la loi de transposition n’est pas promulguée à ce jour.	Norme publiée par l’ISO et la CEI. Aucune force de loi ; une exigence contractuelle fréquente, notamment dans les appels d’offres.
Qui est visé	Les entités des secteurs des annexes I et II, classées essentielles ou importantes selon leur secteur et leur taille. L’ANSSI est l’autorité nationale.	L’organisme qui le décide. Le plus souvent parce qu’un client, un groupe ou un donneur d’ordre le demande.
Périmètre	Les réseaux et systèmes d’information qui supportent les activités visées. Le périmètre découle du texte, pas d’un arbitrage interne.	Le périmètre du système de management est défini et documenté par l’organisme lui-même (clause 4.3), puis audité tel qu’il a été déclaré.
Structure des exigences	4 piliers (gouvernance, protection, défense, résilience), 20 objectifs de sécurité, 152 exigences. Les objectifs 1 à 15, soit 77 exigences, s’appliquent aux entités importantes ; les objectifs 16 à 20 ne visent que les entités essentielles.	30 clauses de management (4.1 à 10.2) et 93 mesures d’annexe A réparties en quatre thèmes — organisationnel 37, humain 8, physique 14, technologique 34 — soit 123 exigences.
Appréciation des risques	Objectif 16, « approche par les risques » : il fait partie des cinq objectifs réservés aux entités essentielles.	Clause 6.1 : appréciation et traitement des risques, puis déclaration d’applicabilité justifiant chaque mesure retenue ou écartée.
Ce qui atteste	Rien. Aucun certificat NIS2 n’existe. Ce qui est attendu, c’est de pouvoir démontrer que les objectifs sont tenus, pièce à l’appui, le jour où on vous le demande.	Un certificat délivré par un organisme accrédité, valable trois ans, avec des audits de surveillance. ALYDEA prépare l’audit ; seul l’organisme certifie.
Ce qui sanctionne	La directive prévoit des mesures de contrôle et des sanctions administratives ; les modalités françaises dépendent de la loi de transposition et de ses textes d’application, non publiés à ce jour.	Aucune sanction publique. Le risque est commercial : suspension ou perte du certificat, et le marché qui allait avec.
Dans ALYDEA	Référentiel natif : 324 actions de remédiation et 23 types de documents rattachés aux exigences, dont 9 actions dont la preuve ne peut venir que de vous.	Référentiel natif : 164 actions, 80 types de documents, déclaration d’applicabilité produite à partir des écarts constatés.

Nature du texte
NIS2 (ReCyF)
Directive européenne : elle fixe un résultat, chaque État membre écrit sa loi. En France, la loi de transposition n’est pas promulguée à ce jour.
ISO/IEC 27001:2022
Norme publiée par l’ISO et la CEI. Aucune force de loi ; une exigence contractuelle fréquente, notamment dans les appels d’offres.
Qui est visé
NIS2 (ReCyF)
Les entités des secteurs des annexes I et II, classées essentielles ou importantes selon leur secteur et leur taille. L’ANSSI est l’autorité nationale.
ISO/IEC 27001:2022
L’organisme qui le décide. Le plus souvent parce qu’un client, un groupe ou un donneur d’ordre le demande.
Périmètre
NIS2 (ReCyF)
Les réseaux et systèmes d’information qui supportent les activités visées. Le périmètre découle du texte, pas d’un arbitrage interne.
ISO/IEC 27001:2022
Le périmètre du système de management est défini et documenté par l’organisme lui-même (clause 4.3), puis audité tel qu’il a été déclaré.
Structure des exigences
NIS2 (ReCyF)
4 piliers (gouvernance, protection, défense, résilience), 20 objectifs de sécurité, 152 exigences. Les objectifs 1 à 15, soit 77 exigences, s’appliquent aux entités importantes ; les objectifs 16 à 20 ne visent que les entités essentielles.
ISO/IEC 27001:2022
30 clauses de management (4.1 à 10.2) et 93 mesures d’annexe A réparties en quatre thèmes — organisationnel 37, humain 8, physique 14, technologique 34 — soit 123 exigences.
Appréciation des risques
NIS2 (ReCyF)
Objectif 16, « approche par les risques » : il fait partie des cinq objectifs réservés aux entités essentielles.
ISO/IEC 27001:2022
Clause 6.1 : appréciation et traitement des risques, puis déclaration d’applicabilité justifiant chaque mesure retenue ou écartée.
Ce qui atteste
NIS2 (ReCyF)
Rien. Aucun certificat NIS2 n’existe. Ce qui est attendu, c’est de pouvoir démontrer que les objectifs sont tenus, pièce à l’appui, le jour où on vous le demande.
ISO/IEC 27001:2022
Un certificat délivré par un organisme accrédité, valable trois ans, avec des audits de surveillance. ALYDEA prépare l’audit ; seul l’organisme certifie.
Ce qui sanctionne
NIS2 (ReCyF)
La directive prévoit des mesures de contrôle et des sanctions administratives ; les modalités françaises dépendent de la loi de transposition et de ses textes d’application, non publiés à ce jour.
ISO/IEC 27001:2022
Aucune sanction publique. Le risque est commercial : suspension ou perte du certificat, et le marché qui allait avec.
Dans ALYDEA
NIS2 (ReCyF)
Référentiel natif : 324 actions de remédiation et 23 types de documents rattachés aux exigences, dont 9 actions dont la preuve ne peut venir que de vous.
ISO/IEC 27001:2022
Référentiel natif : 164 actions, 80 types de documents, déclaration d’applicabilité produite à partir des écarts constatés.

Le décompte « 77 exigences pour les entités importantes » est celui relevé dans le référentiel intégré (exigences marquées applicables aux entités importantes), et non un arrondi.

Deux logiques

Un résultat à atteindre, ou un système à tenir.

La confusion la plus fréquente vient de là : on compare deux documents qui ne répondent pas à la même question.

Le ReCyF décrit un résultat
Objectif par objectif, il énonce ce qui doit être en place et ce qui doit pouvoir être montré. Il ne demande pas de constituer un système de management : il demande que les exigences soient tenues.
ISO 27001 décrit un système
Contexte, engagement de la direction, appréciation des risques, choix des mesures, contrôle, amélioration. Les 93 mesures d’annexe A ne viennent qu’après, comme un catalogue dans lequel on puise en justifiant ses choix.
D’où une conséquence désagréable
On peut tenir une bonne partie du ReCyF sans SMSI, et on peut détenir un certificat ISO 27001 tout en restant en écart sur des exigences du ReCyF. Ni l’un ni l’autre ne se déduit du second.
Et une différence de rythme
La certification s’audite à date, sur un cycle de trois ans. Un contrôle NIS2 se prépare en continu : la question n’est pas de savoir si vous étiez conforme en mars, mais si vous pouvez le prouver aujourd’hui.

Ce qui se recoupe

Deux familles d’actions, réellement mutualisées.

Nous préférons montrer les familles d’actions effectivement partagées dans la plateforme plutôt qu’annoncer un taux de recouvrement flatteur. Aujourd’hui, deux d’entre elles concernent à la fois NIS2 et ISO 27001 : quand l’action est faite, elle compte pour les deux.

Clauses de sécurité dans les contrats fournisseurs
ISO 27001 A.5.20NIS2 objectif 3DORA prestataires tiers TIC
Gestion des incidents
ISO 27001 A.5.24NIS2 objectif 12DORA incidents

Le reste des exigences est suivi séparément, référentiel par référentiel. Les deux autres familles mutualisées par la plateforme — politique de sécurité des SI et inventaire des actifs — relient ISO 27001 à DORA, pas à NIS2.

Par lequel commencer

Dans l’ordre, et sans faire semblant.

Il n’y a pas de bonne réponse générale. Il y a la vôtre, qui dépend d’une obligation d’un côté et d’une échéance commerciale de l’autre.

Commencez par NIS2 si…

Une obligation légale ne se négocie pas avec un calendrier commercial.

Votre secteur figure aux annexes I ou II de la directive et vos effectifs ou votre chiffre d’affaires dépassent les seuils.
Vous fournissez un service pour lequel la directive ne pose pas de condition de taille.
Vous avez été désigné par l’autorité, ou vous vous attendez à l’être.
Aucune demande client ne porte sur une certification ISO 27001 à court terme.

Faire le test d’éligibilité NIS2

Commencez par ISO 27001 si…

Un certificat exigé au contrat a une date, et cette date arrive plus vite qu’un décret.

Un client, un groupe ou un appel d’offres exige le certificat, avec une échéance.
Vous êtes hors des secteurs visés par la directive.
Vous voulez une structure de gouvernance reconnue à l’international, réutilisable pour d’autres référentiels.
Vous avez déjà un responsable capable de tenir un système de management.

Ouvrir le hub ISO 27001

Si vous n’avez ni l’un ni l’autre en face de vous, le guide d’hygiène informatique de l’ANSSI est le point de départ le moins coûteux : 42 mesures, aucun formalisme de management, et un socle que les deux référentiels supposent acquis.

Questions fréquentes

Ce qu’on nous demande sur cette comparaison.

Une certification ISO 27001 rend-elle conforme à NIS2 ?

Non. Elle couvre une part réelle des attendus — gouvernance, gestion des incidents, maîtrise des fournisseurs — mais le ReCyF formule des exigences que la norme ne formule pas, et le statut d’entité ne se démontre pas par un certificat. Un certificat est un excellent point de départ ; ce n’est pas une réponse.

Peut-on tenir les deux en parallèle ?

Oui, et c’est fréquent. Dans ALYDEA les deux référentiels vivent sur le même plan d’action : une preuve déposée une fois vaut pour toutes les exigences qu’elle couvre, et deux familles d’actions sont explicitement mutualisées entre NIS2 et ISO 27001. Le reste est suivi séparément.

NIS2 est-elle applicable en France aujourd’hui ?

La directive est en vigueur au niveau européen depuis le 16 janvier 2023 et l’échéance de transposition du 17 octobre 2024 est dépassée. La loi française n’est pas promulguée à ce jour. Le contenu technique attendu, lui, est publié : le référentiel ReCyF v2.5 porte la date du 16 février 2026. Personne ne peut annoncer honnêtement la date de votre premier contrôle.

Combien d’exigences représentent les deux référentiels ?

152 exigences pour le ReCyF v2.5, dont 77 s’appliquent aux entités importantes ; 123 pour ISO 27001:2022, soit 30 clauses de management et 93 mesures d’annexe A. Ces décomptes sont ceux des référentiels intégrés à la plateforme, pas des estimations.

Peut-on présenter son certificat ISO à l’autorité en cas de contrôle ?

Rien ne l’interdit, et il sera regardé avec intérêt. Il ne dispense d’aucune exigence : ce qui est examiné, ce sont les objectifs du référentiel national et les preuves que vous en apportez.

Voir aussi

Les pages qui vont avec.

Le diagnostic couvre les deux référentiels, dans le même espace.

Vous choisissez les référentiels à activer, vous répondez aux questions, Alex qualifie les écarts et vous ressortez avec votre score par pilier et vos premières actions. Gratuit, sans carte bancaire.

Lancer le diagnostic