ISO 27001 · NIS 2
ISO 27001 et NIS 2 sur AWS : ce qu'il faut vérifier
Ni ISO 27001 ni NIS 2 ne listent de réglages AWS. Mais une bonne part de leurs exigences techniques se vérifie dans la configuration d'un compte : identités, chiffrement, journalisation, sauvegardes, vulnérabilités. Voici les contrôles de l'annexe A et les mesures de l'article 21 concernés, ce qu'il faut regarder sur AWS, et ce qu'un audit de configuration ne couvre pas.
En résumé
- ISO/IEC 27001:2022 certifie un système de management de la sécurité de l'information (SMSI). Son annexe A compte 93 contrôles, dont 34 contrôles technologiques.
- NIS 2 (directive (UE) 2022/2555) impose aux entités essentielles et importantes dix mesures minimales de gestion des risques (article 21) et la notification des incidents importants (article 23).
- Les certifications d'AWS ne couvrent pas vos comptes : AWS sécurise son infrastructure, la configuration de vos ressources relève de vous.
- Un audit de configuration AWS apporte des preuves datées pour une partie des exigences techniques. Il ne remplace ni le SMSI, ni l'audit de certification, ni les processus exigés par NIS 2.
ISO 27001 : les contrôles de l'annexe A vérifiables sur AWS
L'édition 2022 répartit ses 93 contrôles en quatre thèmes : organisationnels (37), liés aux personnes (8), physiques (14) et technologiques (34). Sur un compte AWS, ce sont surtout les contrôles technologiques et quelques contrôles organisationnels qui se constatent dans la configuration.
| Contrôle (annexe A) | À vérifier sur AWS |
|---|---|
| 5.9 Inventaire des informations et des actifs | Inventaire des ressources de toutes les régions, balisage par application et environnement |
| 5.15 à 5.18 Contrôle d'accès, identités, authentification | Compte root sans clé d'accès, MFA, rotation des clés, utilisateurs et clés inactifs |
| 5.23 Sécurité de l'utilisation des services cloud | Security Hub avec les standards FSBP et CIS AWS Foundations v5.0 |
| 5.30 Préparation des TIC à la continuité | Architecture multi-AZ, plans de reprise, objectifs de reprise atteignables |
| 8.2 Droits d'accès privilégiés | Aucune politique *:*, rôles de confiance inter-comptes, IAM Access Analyzer |
| 8.8 Gestion des vulnérabilités techniques | Amazon Inspector, versions logicielles exposées, runtimes Lambda en fin de vie |
| 8.9 Gestion de la configuration | Écarts aux référentiels FSBP et CIS v5.0, IMDSv2 sur EC2 |
| 8.13 et 8.14 Sauvegarde et redondance | Plans AWS Backup, snapshots, Multi-AZ des bases de données |
| 8.15 et 8.16 Journalisation et surveillance | CloudTrail multi-région, journaux de flux VPC, GuardDuty |
| 8.20 à 8.22 Sécurité et cloisonnement des réseaux | Groupes de sécurité, ports d'administration ouverts, sous-réseaux publics |
| 8.24 Utilisation de la cryptographie | Chiffrement au repos (S3, EBS, RDS), clés KMS et rotation, TLS des points d'entrée |
Ces vérifications nourrissent l'appréciation des risques (clause 6.1.2) et justifient les choix de la déclaration d'applicabilité. Elles ne disent rien des clauses 4 à 10 du SMSI : politique, rôles, audit interne, revue de direction, amélioration continue.
NIS 2 : les dix mesures de l'article 21 sur AWS
L'article 21, paragraphe 2, liste dix mesures minimales. Certaines se vérifient sur un compte AWS, d'autres sont des processus ou des politiques qu'aucune lecture de configuration ne peut constater.
| Mesure (art. 21.2) | Ce qui se vérifie sur AWS | Audit de configuration |
|---|---|---|
| a) Analyse des risques et politiques de sécurité | Constats priorisés par gravité, scénarios d'attaque reliant plusieurs écarts | Partiel : alimente l'analyse |
| b) Gestion des incidents | Capacité de détection : CloudTrail, GuardDuty, alarmes sur les événements sensibles | Partiel : la détection, pas le processus |
| c) Continuité, sauvegardes, reprise | Sauvegardes, Multi-AZ, reprise multi-région | Oui, hors tests de restauration |
| d) Sécurité de la chaîne d'approvisionnement | Accès accordés à des comptes tiers, rôles de confiance inter-comptes | Partiel : les accès, pas les contrats |
| e) Acquisition, développement, vulnérabilités | Inspector, versions logicielles vulnérables, scan web en option | Oui |
| f) Évaluation de l'efficacité des mesures | Scores par domaine comparables d'un audit à l'autre | Oui |
| g) Cyberhygiène et formation | Référentiels CIS et FSBP | Partiel : l'hygiène, pas la formation |
| h) Cryptographie et chiffrement | Chiffrement au repos et en transit, gestion et rotation des clés KMS | Oui |
| i) RH, contrôle d'accès, gestion des actifs | Identités IAM, moindre privilège, inventaire des ressources | Partiel : hors sécurité RH |
| j) MFA et communications sécurisées | MFA du compte root et des accès console, TLS | Oui |
NIS 2 engage aussi la direction : l'article 20 lui demande d'approuver ces mesures, d'en superviser la mise en œuvre et de se former. L'article 23 fixe les délais de notification d'un incident important : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois.
Votre entité est-elle concernée par NIS 2 ?
- Secteurs : 18 secteurs, dont 11 hautement critiques (énergie, transports, banque, santé, eau, infrastructures numériques, gestion des services TIC, administration publique, espace...) et 7 autres secteurs critiques (services postaux, déchets, chimie, alimentation, industrie manufacturière, fournisseurs numériques, recherche).
- Taille : en règle générale, les moyennes et grandes entreprises de ces secteurs. Certaines entités sont concernées quelle que soit leur taille, comme les fournisseurs de services DNS ou les prestataires de services de confiance qualifiés.
- Fournisseurs de cloud et prestataires de services managés : leurs exigences techniques sont détaillées par le règlement d'exécution (UE) 2024/2690.
- En France, l'ANSSI est l'autorité chargée de NIS 2. Elle publie l'état de la transposition et met à disposition MonEspaceNIS2 pour vérifier si votre entité est concernée.
Ce qu'un audit de configuration AWS ne couvre pas
- Le SMSI lui-même : politique de sécurité, rôles, appréciation formelle des risques, déclaration d'applicabilité, audit interne, revue de direction.
- Les personnes : sensibilisation, formation, procédures d'arrivée et de départ (thème 6 de l'annexe A).
- Les processus : gestion et notification des incidents, gestion des fournisseurs et de leurs contrats, tests de restauration.
- Ce qui est hors AWS : postes de travail, annuaire d'entreprise, applications SaaS, autres clouds.
- La certification : seul un organisme accrédité (le Cofrac en France) peut certifier un SMSI ISO 27001. Aucun audit de configuration ne rend une entité « conforme NIS 2 ».
Transformer l'audit en preuves
- Dater chaque vérification et conserver le rapport : l'auditeur de certification et l'autorité NIS 2 jugent un état à une date donnée.
- Relier chaque écart à un risque de votre registre et à un contrôle de votre déclaration d'applicabilité.
- Suivre la correction ressource par ressource dans un plan de traitement des risques.
- Recommencer avant chaque audit de surveillance annuel, et après tout changement important de l'architecture. Entre deux revues, AWS Config et Security Hub surveillent en continu.
- Présenter les résultats à la direction : la revue de direction d'ISO 27001 (clause 9.3) comme l'article 20 de NIS 2 l'attendent.
L'audit Silamir lit vos comptes AWS en lecture seule sur 10 domaines, cite chaque ressource en écart, calcule un score CIS AWS Foundations v5.0 et un score FSBP, et livre un plan d'action priorisé et une synthèse pour la direction, pour 299 USD par audit. Il ne délivre ni certification ISO 27001 ni attestation de conformité NIS 2.
ISO 27001, NIS 2 et AWS : questions fréquentes
AWS est certifié ISO 27001 : mon hébergement sur AWS l'est-il aussi ?
Non. La certification d'AWS couvre l'infrastructure et les services qu'AWS exploite. Votre SMSI, et la configuration de vos comptes, doivent être évalués pour votre propre certification. Les rapports d'AWS (AWS Artifact) servent de preuve pour la partie qu'il gère.
Une certification ISO 27001 suffit-elle pour NIS 2 ?
Elle aide beaucoup, sans suffire. Les mesures de l'article 21 recoupent largement l'annexe A, et l'article 25 encourage l'usage des normes internationales. Mais NIS 2 ajoute des obligations propres : enregistrement auprès de l'autorité, notification des incidents sous 24 et 72 heures, responsabilité de la direction. Et le périmètre certifié ne couvre pas toujours tous les systèmes concernés.
Combien de contrôles de l'annexe A concernent un compte AWS ?
Une vingtaine se vérifient directement dans la configuration, surtout dans le thème 8 (contrôles technologiques) : accès privilégiés, vulnérabilités, configuration, sauvegarde, journalisation, réseaux, cryptographie. Les contrôles organisationnels, humains et la plupart des contrôles physiques se prouvent autrement.
À quelle fréquence auditer la configuration AWS ?
En continu avec AWS Config et Security Hub, et par une revue datée au moins une fois par an, avant l'audit de surveillance ISO 27001. NIS 2 demande aussi d'évaluer l'efficacité des mesures (article 21.2 f) : refaire le même audit permet de comparer les scores d'une année sur l'autre.
Où en est votre compte AWS ?
Dix questions, trois minutes, sans accès à votre compte : un score sécurité, un score FinOps et l'article à lire pour chacun de vos trois points les plus faibles. Vos réponses restent dans votre navigateur.
Prêt à auditer votre compte AWS ?
Souscrivez sur AWS Marketplace, déployez le rôle en lecture seule et recevez vos rapports dans l'heure.