ISO 22301 ou NIS2: que faut-il prioriser ?

Quand un comité de direction demande s’il faut choisir ISO 22301 ou NIS2, la vraie question est rarement juridique. Elle est opérationnelle. Que faut-il structurer en priorité pour réduire l’exposition, tenir en cas d’incident majeur et démontrer un niveau de maîtrise crédible face aux clients, aux auditeurs et aux autorités ?

Poser ISO 22301 et NIS2 comme deux options concurrentes conduit souvent à de mauvais arbitrages. L’une est une norme internationale de système de management de la continuité d’activité. L’autre est un cadre réglementaire européen de cybersécurité, avec des obligations de gouvernance, de gestion des risques et de notification des incidents pour des entités essentielles et importantes. Dans la pratique, ces deux références ne répondent pas au même besoin, même si leurs zones de recouvrement sont réelles.

ISO 22301 ou NIS2 : une fausse alternative

ISO 22301 sert à organiser la continuité d’activité de manière structurée. La norme encadre la gouvernance, l’analyse d’impact sur l’activité, l’évaluation des risques, les stratégies de continuité, les plans,les exercices, le retour d’expérience et l’amélioration continue. Elle répond à une question simple mais exigeante : comment maintenir ou rétablir des activités critiques à un niveau acceptable dans des délais compatibles avec les exigences métier ?

NIS2 poursuit un objectif différent. La directive vise à élever le niveau de cybersécurité des organisations concernées, avec des exigences plus fortes en matière de responsabilité de la direction, de mesures de sécurité, de gestion de la chaîne d’approvisionnement, de traitement des incidents et de résilience des réseaux et systèmes d’information. Elle introduit aussi un cadre de supervision et de sanctions.

Autrement dit, ISO 22301 traite la résilience de l’organisation dans son ensemble, y compris lorsque la cause de rupture n’est pas cyber. NIS2 se concentre sur la cybersécurité et la résilience numérique, avec une logique réglementaire. Si votre exposition principale est la dépendance à des services numériques critiques, NIS2 devient un impératif de conformité. Si votre enjeu est de garantir la continuité des opérations au-delà du seul périmètre IT, ISO 22301 apporte une structure que la réglementation ne remplace pas.

Ce que couvre ISO 22301, et ce qu’elle ne couvre pas seule

L’intérêt d’ISO 22301 tient à sa capacité à relier les activités critiques, les exigences de reprise et les décisions de gouvernance. La norme oblige à identifier ce qui doit être protégé en priorité, à définir des objectifs de continuité réalistes et à construire des réponses cohérentes entre métiers, fonctions support, IT et cellule de crise.

Pour un responsable PCA, cette approche présente un avantage majeur : elle met le besoin métier au centre. On ne commence pas par la technologie disponible, ni par une liste générique de contrôles. On commence par les impacts acceptables, les interdépendances, les ressources nécessaires et les scénarios de rupture plausibles.

En revanche, ISO 22301 n’est pas un référentiel détaillé de cybersécurité. Elle ne remplace ni une politique SSI structurée, ni des capacités de détection, ni des mesures techniques adaptées aux menaces actuelles. Une organisation certifiée ISO 22301 peut avoir un dispositif de continuité sérieux tout en restant insuffisamment mature sur la sécurité de ses systèmes d’information si elle ne complète pas ce socle par d’autres référentiels, exigences sectorielles ou contrôles spécifiques.

Ce que NIS2 impose, et ce qu’elle n’organise pas entièrement

NIS2 impose une montée en exigence très concrète. Les organisations visées doivent démontrer qu’elles gèrent leurs risques cyber avec méthode, que la direction est impliquée, queles incidents significatifssont notifiés dans les délais requis et que certaines dimensions longtemps traitées de manière périphérique, comme la sécurité des fournisseurs ou la continuité des systèmes d’information, sont réellement pilotées.

Pour autant, la conformité NIS2 ne produit pas automatiquement un dispositif complet de continuité d’activité. Une organisation peut satisfaire à des obligations cyber tout en restant fragile sur la continuité de ses processus métier, sur la gestion des indisponibilités prolongées, sur les modes dégradés ou sur la coordination de crise hors périmètre SSI.

C’est un point souvent sous-estimé. Beaucoup de programmes de mise en conformité démarrent par un inventaire des mesures de sécurité. C’est nécessaire, mais insuffisant dès lors que l’organisation doit tenir dans la durée pendant un incident majeur. La continuité ne se limite pas à empêcher l’attaque. Elle consiste aussi à continuer à délivrer l’essentiel quand l’attaque a réussi, quand un fournisseur est indisponible ou quand la restauration prend plus de temps que prévu.

Dans quels cas faut-il prioriser l’un avant l’autre ?

La bonne réponse dépend du contexte réglementaire, de la maturité existante et du niveau de criticité opérationnelle. Si votre organisation entre clairement dans le périmètre de NIS2, la priorité immédiate est d’identifier les obligations applicables, les responsabilités de gouvernance et les écarts de conformité. L’exposition juridique et de supervision ne laisse généralement pas beaucoup d’espace à l’attentisme.

Si, à l’inverse, vous n’êtes pas directement visé par NIS2 mais que vous opérez dans un environnement où l’interruption d’activité a un coût élevé, ISO 22301 peut constituer le meilleur point d’entrée. Elle permet de structurer un programme transverse, d’objectiver les priorités et d’établir une base solide pour la résilience opérationnelle.

Il existe aussi un troisième cas, fréquent dans les secteurs critiques ou fortement dépendants du numérique : l’organisation a déjà une SSI relativement mature, parfois certifiée sur d’autres référentiels, maisson PCA reste incompletou théorique. Dans cette situation, ISO 22301 apporte un gain rapide en cohérence, notamment sur l’articulation entre analyse d’impact, stratégies de continuité, exercices et gouvernance de crise.

Comment articuler ISO 22301 et NIS2 sans créer deux programmes parallèles

L’erreur classique consiste à lancer un chantier NIS2 d’un côté et un programme continuité de l’autre, avec des équipes, des indicateurs et des livrables peu alignés. Cette séparation produit des doublons, des angles morts et une fatigue organisationnelle. Une approche plus efficace consiste à construire une architecture commune de gouvernance et de preuve.

Le premier levier est la cartographie des activités critiques et des actifs supports. Elle permet de relier les exigences métier, les systèmes d’information, les tiers clés et les scénarios d’incident. Cette vision commune sert autant à l’analyse d’impact qu’à la gestion des risques cyber.

Le deuxième levier est la gouvernance. La direction doit pouvoir arbitrer sur un ensemble cohérent : risques, priorités de traitement, niveaux de service minimaux, tolérances d’interruption, capacités de reprise, obligations de notification et dépendances fournisseurs. Sans ce niveau de pilotage, ISO 22301 devient un exercice documentaire et NIS2 un projet de conformité défensif.

Le troisième levier est l’exercice. Tester séparément la crise cyber, le PRA et le PCA n’apporte pas toujours une image fidèle de la réalité. Les incidents récents montrent au contraire la nécessité de scénarios combinés : compromission SI, rupture fournisseur, communication de crise, décisions juridiques, continuité métier en mode dégradé. C’est dans ces situations que l’alignement entre continuité d’activité et exigences NIS2 devient tangible.

Ce que les responsables métiers et les responsables SSI doivent clarifier ensemble

Pour qu’ISO 22301 et NIS2 se renforcent mutuellement, certains sujets doivent être tranchés sans ambiguïté. Qui décide des priorités de restauration quand plusieurs processus critiques sont touchés ? Quels délais de reprise sont réellement soutenables, compte tenu des dépendances techniques et humaines ? Quelles données, quels services et quels tiers sont indispensables au maintien d’un niveau minimal d’activité ? Et surtout, quels écarts entre l’exigence théorique et la capacité réelle l’organisation accepte-t-elle encore ?

Ces questions relèvent autant de la gouvernance que de la technique. Une organisation peut disposer d’outils de sécurité avancés et pourtant échouer lors d’un incident majeur faute d’arbitrages clairs, de plans exploitables ou d’exercices exigeants. À l’inverse, un PCA bien conçu mais déconnecté de la réalité cyber donnera une impression de maîtrise trompeuse.

Faut-il viser la certification ISO 22301 si NIS2 s’impose déjà ?

La certification n’est pas une obligation pour répondre à NIS2. En revanche, elle peut devenir un accélérateur utile selon vos objectifs. Si vous cherchez à structurer durablement votre système de management, à homogénéiser les pratiques entre entités, à renforcer la crédibilité du dispositif ou à disposer d’un cadre d’amélioration continue auditable, ISO 22301 apporte une valeur tangible.

Il faut toutefois rester lucide. La certification a un coût de mise en place, de maintien et de mobilisation interne. Elle est pertinente quand l’organisation veut inscrire la continuité dans un dispositif pérenne et démontrable, pas lorsqu’elle recherche uniquement une réponse rapide à une pression réglementaire immédiate.

Dans ce type d’arbitrage, la montée en compétences des équipes est souvent décisive. Comprendre comment relier analyse d’impact, exigences de reprise, scénarios cyber, crise et conformité change la qualité des décisions. C’est précisément là qu’une formation structurée, ancrée dans les référentiels et orientée mise en œuvre, fait la différence, comme le constatent de nombreuses organisations accompagnées par DRI France.

La bonne question n’est donc pas seulement ISO 22301 ou NIS2. C’est plutôt : quel dispositif permettra à votre organisation d’être à la fois conforme, pilotable et capable de tenir sous contrainte réelle ? Quand cette question guide les choix, les deux cadres cessent de se concurrencer et deviennent les composantes d’une même discipline de résilience.

This post is also available in: