NIS 2 et ISO 27001: le mapping utile au Luxembourg

En bref — La guidance technique de l’ENISA (26/06/2025) fournit des tableaux de correspondance NIS 2 ↔ ISO/IEC 27001/27002 et, surtout, des exemples de preuves attendues. Message clé: pas de correspondance 1‑pour‑1; il faut démontrer la mise en œuvre exigée par le règlement d’exécution (UE) 2024/2690, référence reprise par l’ILR au Luxembourg.

L’affaire

• Autorité et date — ENISA, Technical Implementation Guidance v1.0 (26/06/2025) avec tables de mapping et exemples d’« evidences ». Communiqué et publication: enisa.europa.eu.
• Texte d’ancrage — Règlement d’exécution (UE) 2024/2690 du 17/10/2024: exigences techniques et méthodologiques de l’article 21(2) NIS 2, et critères d’« incident significatif » par secteur. Texte: eur-lex.europa.eu.
• Contexte luxembourgeois — L’ILR renvoie officiellement à 2024/2690 et aux ressources ENISA. Voir ILR – Implementing Regulation et ILR – Security Measures.

Pour cadrer un programme local, voyez aussi notre page directive NIS 2 au Luxembourg et, côté évaluation, notre offre d’audit cybersécurité et ISO 27001.

Le raisonnement juridique

• Base légale — L’article 21 NIS 2 impose des mesures de gestion des risques. L’acte 2024/2690 précise le « comment » pour les entités pertinentes au travers de 13 exigences (politique sécurité, gestion des risques/incidents, continuité/crise, supply chain, acquisition/développement, évaluation d’efficacité, hygiène/formation, cryptographie, sécurité RH, contrôle d’accès, gestion d’actifs, sécurité physique/environnementale). Texte: eur-lex.europa.eu.
• Référence aux standards — Le considérant (3) aligne sur ISO/IEC 27001/27002 et normes internationales, avec proportionnalité (taille, criticité, exposition, impact). ISO 27001 « aide », mais ne suffit pas à prouver 2024/2690.
• Guidance ENISA — Paramètres d’implémentation, exemples de preuves, et mapping vers ISO/IEC 27001/27002: publication ENISA et PDF.

Ce que ça change concrètement

Pour les entités luxembourgeoises relevant des « réseaux et services numériques » (cloud, MSP/MSSP, DC, CDN, plateformes en ligne…), la conformité ne se résume pas à une certification ISO 27001:

1. Prouver la mise en œuvre (2024/2690) — Exemple « Contrôle d’accès » (point 11): au‑delà d’une politique et d’un SoA, produire des évidences vivantes (revues de droits signées, séparation prod/non‑prod, MFA résistante au phishing, traçabilité des élévations). Voir les « examples of evidence » ENISA (PDF).
2. Documenter la supply chain (point 5) — Politique dédiée, critères d’évaluation, exigences contractuelles minimales, preuves d’audits/assurances (certificats, SOC 2 Type II, scans partagés), et prise en compte des évaluations coordonnées (art. 22(1) NIS 2). Possibilité d’appui sur des certifications cybersécurité UE (Règlement 2019/881). Texte: eur-lex.europa.eu.
3. Évaluer l’efficacité (point 7) — Procédure formelle reliée au risque, à la BIA (4.1.3) et au classement d’actifs (12.1). Exemples d’indicateurs: taux de détection sur cas d’usage critiques, délai de révocation des accès orphelins, couverture de journalisation. Voir l’Annexe 2024/2690.
4. Continuité et crise (point 4) — BIA, scénarios, tests et retours d’expérience, avec livrables démontrables attendus par l’ILR: ILR – Security Measures. Pour cadrer BIA/BCP/DRP, voir notre accompagnement plan de continuité et reprise.
5. Attentes locales — L’ILR évalue au prisme de 2024/2690 et de la guidance ENISA: références ILR.

Pièges fréquents

• Certification ≠ conformité — ISO 27001 ne coche pas automatiquement les 13 exigences de l’Annexe 2024/2690 (supply chain, efficacité mesurée, artefacts BIA). Les auditeurs demanderont les « evidences » ENISA (ENISA).
• Oublier la proportionnalité prouvée — Justifier le niveau de mesures par la criticité, l’exposition et l’impact (considérant 4): texte 2024/2690.
• Réduire la supply chain à un contrat — Le point 5 exige politique, critères, évaluations coordonnées et certifications UE quand pertinent (Eur‑Lex).
• Négliger la traçabilité — Preuves vérifiables: journaux, tickets, PV de revues, exports IAM (voir PDF ENISA).
• Ignorer les seuils d’incident significatif — Intégrer les critères sectoriels de 2024/2690 dans détection/notification et playbooks.

Pour agir maintenant

Partez de l’Annexe du 2024/2690, utilisez la guidance ENISA comme « mode d’emploi », puis bâtissez un dossier de preuves par exigence. Au Luxembourg, alignez vos livrables avec les références de l’ILR. Pour un pilotage opérationnel, un CISO externalisé peut structurer le dispositif et le mapping ISO/NIS 2, et pour le contexte local: NIS 2 Luxembourg (ILR).

Besoin d’un échange rapide sur votre situation? Contactez-nous.

Article d'expertise Luxgap. Pour un cadrage personnalisé sur ce sujet, contactez-nous ou configurez votre devis en ligne.