Lors d’un comité de direction, un client m’a posé une question qui revient souvent : « Nous avons besoin d’être mieux organisés en sécurité. Faut-il partir sur NIST ou viser ISO 27001 ? » Derrière ce choix entre NIST CSF versus ISO 27001, il y avait deux réalités très concrètes : des équipes déjà sollicitées et une demande d’un donneur d’ordres qui voulait des garanties vérifiables.

La bonne réponse n’est pas de désigner un vainqueur. Ces deux référentiels ne répondent pas exactement au même besoin. L’un aide à structurer et à prioriser les actions de cybersécurité selon le risque. L’autre définit les exigences d’un système de management de la sécurité de l’information pouvant être audité et certifié.

Le bon choix dépend donc moins du nom du cadre que de la situation de l’organisation : obligations contractuelles, exigences réglementaires, maturité des pratiques, exposition au risque et capacité réelle à faire vivre le dispositif.

NIST CSF versus ISO 27001 : deux logiques différentes

Le NIST Cybersecurity Framework, dans sa version 2.0, est un cadre de pilotage. Il propose un langage commun pour évaluer les risques, organiser les priorités et suivre les progrès. Il est construit autour de six fonctions : Govern, Identify, Protect, Detect, Respond et Recover.

Son intérêt est immédiat pour une organisation qui veut répondre à des questions opérationnelles : savons-nous quels actifs comptent vraiment ? Qui décide des risques acceptables ? Les accès sont-ils maîtrisés ? Que faisons-nous lorsqu’un fournisseur subit un incident ? Pouvons-nous reprendre une activité critique après une attaque ?

ISO/IEC 27001 a une autre portée. La norme fixe les exigences à respecter pour établir, mettre en œuvre, maintenir et améliorer un système de management de la sécurité de l’information, souvent appelé SMSI. Elle demande notamment de définir le périmètre, d’analyser les risques, d’attribuer les responsabilités, de produire des preuves, de conduire des audits internes et de revoir le système au niveau de la direction.

La norme ISO 27001:2022 s’appuie aussi sur une déclaration d’applicabilité et sur un ensemble de 93 mesures de référence, réparties entre les volets organisationnel, humain, physique et technologique. Ces mesures ne sont pas une liste à recopier. L’organisation doit justifier celles qu’elle retient, celles qu’elle écarte et la manière dont elle traite les risques identifiés.

En pratique, NIST CSF donne une grille de lecture très utile pour décider où agir. ISO 27001 impose une discipline de gouvernance, de documentation et de preuve plus formelle.

La certification change la décision

C’est souvent le point qui tranche. ISO 27001 peut faire l’objet d’une certification par un organisme accrédité. Le certificat n’affirme pas qu’aucun incident ne surviendra. Il atteste qu’un système de management, dans un périmètre défini, satisfait aux exigences de la norme et est soumis à des audits périodiques.

Cette reconnaissance est utile lorsque des appels d’offres, des contrats, un groupe international ou des partenaires demandent explicitement une certification ISO 27001. Elle peut aussi apporter un cadre solide à une entreprise dont les pratiques de sécurité reposent encore trop fortement sur quelques personnes clés.

Le NIST CSF n’est pas une certification. Une organisation peut néanmoins réaliser une évaluation sérieuse de son niveau de maturité, définir un profil cible, mesurer les écarts et démontrer à ses clients les progrès accomplis. Il faut simplement être précis dans les termes employés. Dire que l’on « s’aligne sur le NIST CSF » n’équivaut pas à annoncer une conformité certifiée.

Cette différence a des conséquences de budget et de calendrier. Une démarche ISO 27001 comprend un effort durable de pilotage : registre des risques, politiques, preuves d’exécution, sensibilisation, gestion des non-conformités, audits internes et revue de direction. Chercher le certificat sans installer ces mécanismes produit souvent une documentation correcte sur le papier, mais peu suivie dans les opérations.

Ce que chaque cadre apporte aux équipes

Le NIST CSF est particulièrement efficace lorsqu’il faut remettre de l’ordre dans un programme existant ou lancer une démarche progressive. Sa fonction Govern, ajoutée dans la version 2.0, rend visible un sujet parfois traité trop tard : la sécurité relève aussi des décisions de gouvernance. Tolérance au risque, responsabilités, surveillance des fournisseurs, exigences contractuelles et contrôle de la direction y trouvent leur place.

Il convient bien à une entreprise qui doit établir une feuille de route réaliste. Par exemple, une société de services peut constater que sa protection technique est acceptable, mais que l’inventaire des actifs, la revue des habilitations et la gestion des incidents restent irréguliers. Le cadre aide à prioriser ces écarts sans demander, dès le départ, un corpus documentaire complet.

ISO 27001 apporte davantage de structure lorsque l’enjeu est la répétabilité. Les décisions sont formalisées, les responsabilités sont attribuées et les contrôles doivent laisser des traces. Pour une organisation de santé, un acteur financier ou un prestataire qui traite des données sensibles, cette rigueur facilite la préparation aux audits et les échanges avec les clients.

Il faut toutefois éviter une confusion fréquente : ISO 27001 ne remplace pas les choix de sécurité concrets. La norme ne décide pas à votre place de l’architecture IAM, de la stratégie de sauvegarde, des seuils de supervision ou des exigences à imposer aux sous-traitants. Elle oblige à gérer ces sujets de manière cohérente avec les risques, les obligations et le périmètre retenu.

Faut-il choisir un cadre ou combiner les deux ?

Dans beaucoup de missions, la réponse est : combiner intelligemment les deux. Le NIST CSF peut servir de structure de diagnostic et de langage de priorisation. ISO 27001 peut ensuite fournir le cadre de management et de certification lorsque celui-ci est nécessaire.

Cette approche évite deux écueils. Le premier consiste à lancer un chantier ISO uniquement pour répondre à une exigence commerciale, sans traiter les faiblesses les plus exposantes. Le second consiste à multiplier les évaluations NIST sans transformer les constats en décisions, responsables, échéances et preuves de réalisation.

Un scénario courant est le suivant : l’organisation réalise d’abord un état des lieux selon les fonctions NIST CSF, définit un profil cible lié à ses risques, puis utilise les exigences ISO 27001 pour formaliser le système de management. Les mesures de l’annexe A sont alors sélectionnées à partir des risques et non appliquées mécaniquement.

L’inverse peut aussi être pertinent. Une entreprise déjà certifiée ISO 27001 peut utiliser NIST CSF pour présenter sa situation au comité de direction dans un vocabulaire plus orienté capacité opérationnelle. C’est souvent plus lisible qu’une longue liste de mesures et de procédures.

Comment prendre une décision pragmatique

Avant de retenir un cadre, il faut clarifier ce que l’organisation cherche à obtenir dans les douze à dix-huit prochains mois. Une exigence contractuelle de certification ISO 27001 appelle une trajectoire ISO. Un besoin de visibilité sur les risques, de priorisation et de coordination entre équipes appelle volontiers NIST CSF. Une entreprise confrontée aux deux besoins devra séquencer le travail plutôt que lancer tous les chantiers simultanément.

Le périmètre mérite une attention particulière. Une certification ISO 27001 peut porter sur une activité, une entité ou un service précis. Un périmètre trop vaste ralentit le projet et augmente la charge de preuve. Un périmètre artificiellement étroit risque, lui, de décevoir les clients ou de laisser de côté des dépendances majeures, comme l’hébergement, l’identité ou les fournisseurs critiques.

La troisième question porte sur la capacité à maintenir la démarche. Une politique sans revue, une analyse de risque non actualisée et des contrôles sans preuve ne créent pas de maîtrise durable. Mieux vaut commencer par un périmètre crédible, des responsabilités claires et quelques indicateurs suivis que promettre une couverture globale impossible à tenir.

Enfin, ne sous-estimez pas les tiers. NIST CSF comme ISO 27001 donnent une place aux relations fournisseurs, mais les résultats se jouent dans l’exécution : critères de sélection, clauses de sécurité, évaluation des prestataires, suivi des plans de correction et gestion des accès externes. Pour beaucoup d’organisations, c’est là que l’écart entre les procédures et la réalité apparaît le plus vite.

Le choix entre NIST CSF et ISO 27001 ne devrait donc pas commencer par une norme, mais par une décision simple : quelle amélioration concrète devez-vous pouvoir démontrer à vos clients, à vos auditeurs et à votre direction dans un an ?

Source :

NIST, Cybersecurity Framework (CSF) 2.0, 2024. ISO/IEC, ISO/IEC 27001:2022 – Information security, cybersecurity and privacy protection – Information security management systems – Requirements, 2022.

Quelle preuve de maîtrise de vos risques serait la plus utile pour vos parties prenantes au cours des douze prochains mois ?