nous ne sommes pas certifiés ISO 27001 mais nous prenons beaucoup de mesures en matière de sécurité, comment dois-je remplir cela

Non sur le certificat, oui sur la pratique peuvent tous deux être vrais

Oui, c'est autorisé — à condition de le traiter séparément de la question relative au certificat lui-même. Une question ISO 27001 dans un questionnaire est généralement une question fermée oui/non sur la possession du le certificat. Si vous ne l'avez pas, alors « non » est la réponse factuellement correcte à cette question spécifique, et aucune clarification ne peut y remédier. Ce qui est possible : de nombreux questionnaires posent avant ou à côté de la question de certificat aussi des questions distinctes sur les mesures sous-jacentes — analyse de risques, gestion des accès, traitement des incidents. Vous répondez à celles-ci selon leurs propres mérites, avec leurs propres preuves, indépendamment du certificat.

La confusion surgit parce que la certification et les mesures touchent au même contenu mais ne sont pas des synonymes. Un auditeur qui parcourt l'Annexe A et une entreprise qui a simplement mis en place MFA, des sauvegardes et un processus d'incident, peuvent disposer matériellement des mêmes contrôles — la différence est que l'une a un examen indépendant et un certificat, l'autre non. Dans le dossier de chaîne, vous consignez donc deux réponses distinctes : à la question de certificat « non », et à la question portant par exemple sur l'authentification multifacteur ou le traitement des incidents de sécurité la réponse factuellement correcte avec la pièce justificative que vous avez pour cela — un document de politique, une exportation de configuration, une description de processus. Ne jamais remplir l'une comme preuve de l'autre.

L'Annexe A et l'article 21, paragraphe 2 se chevauchent, mais ne sont pas interchangeables

La norme ISO/IEC 27001 Annexe A décrit les mesures de contrôle qu'un système de gestion certifié doit couvrir ; la Directive (UE) 2022/2555 article 21, paragraphe 2 énumère les dix mesures qui sont obligatoires en vertu de NIS2 pour les entités relevant de cette directive. Les deux listes mentionnent la gestion des risques, l'accès, le chiffrement et la réponse aux incidents, mais l'une est une norme de certification avec un auditeur qui effectue l'examen, l'autre est une législation sans obligation de certification. Un « non » sur le certificat ne dit donc rien sur le fait qu'une personne se conforme à l'article 21, paragraphe 2 — c'est une question distincte, qui ne devient pertinente que lorsqu'il est établi si l'entreprise elle-même relève de la Directive NIS2 ou de la Loi sur la cybersécurité.