Comment intégrer ces nouvelles exigences sans complexifier les systèmes existants ? Quels liens avec les démarches ISO déjà en place ?
Pour répondre à ces questions, nous avons interrogé Aline Fürstenberger, Ingénieure Conseil QSE – GRC & SSI Lead implementer ISO 27001, Lead auditor certifiée ISO 27001, ISO 27005 RM, EBIOS RM Certifiée.
AFNOR BAO : Pendant longtemps, les entreprises ont traité la cybersécurité comme un sujet à part. Est-ce encore pertinent aujourd’hui ?
Aline FÜRSTENBERGER : Non, clairement plus. Pendant des années, les sujets qualité, environnement, santé-sécurité et numérique ont été gérés dans des univers séparés. Cette approche n’est plus adaptée. Aujourd’hui, un incident cyber, une fuite de données ou une non-conformité au RGPD ou à NIS2 peut avoir des conséquences aussi importantes qu’un incident qualité ou environnemental : interruption d’activité, perte de confiance, fragilisation de l’organisation. Ce ne sont donc plus des sujets techniques. Ce sont des sujets de management, qui doivent être portés au niveau de la direction.
BAO : Quels liens faites-vous avec les normes ISO ?
AF : Les liens sont très forts. Les entreprises qui sont déjà engagées dans des démarches ISO 9001, ISO 14001 ou ISO 45001 ont souvent déjà les bons réflexes : analyse du contexte, approche par les risques, organisation des responsabilités, audits, amélioration continue. Ce socle facilite énormément l’intégration des enjeux de cybersécurité et l’évolution vers ISO 27001. C’est également intéressant dans l’autre sens : les entreprises qui commencent par structurer leur démarche autour de la sécurité de l’information développent une culture du risque et une gouvernance qui peuvent ensuite servir à d’autres systèmes de management.
BAO : Peut-on parler aujourd’hui de convergence entre ces différents systèmes ?
AF : Oui, et c’est même une évolution de fond. La structure HLS, structure commune des normes ISO, facilite cette convergence, mais l’enjeu est surtout stratégique. On ne peut plus traiter la cybersécurité, le RGPD ou NIS2 à part. Ces sujets doivent être intégrés dans une vision globale, en lien avec les démarches qualité, environnement et santé-sécurité.
Les évolutions des normes ISO 9001 et 14001 vont d’ailleurs dans ce sens, avec un renforcement de la prise en compte des risques, du contexte et de la robustesse des organisations.
BAO : Certaines entreprises craignent d’ajouter de la complexité. Est-ce un risque réel ?
AF : C’est une crainte que j’entends souvent, mais ce n’est pas le bon angle.
L’objectif n’est pas d’ajouter une couche de complexité. Il s’agit d’intégrer ces enjeux dans le pilotage existant. Quand c’est bien fait, cela simplifie au contraire les choses : on évite les systèmes parallèles, on gagne en cohérence et on rend les démarches plus opérationnelles.
BAO : Concrètement, qu’est-ce que cela change pour les entreprises ?
AF : Cela change la manière de piloter l’entreprise. Intégrer la cybersécurité, le RGPD et NIS2 dans une vision globale permet de gagner en cohérence, en lisibilité et en efficacité. Mais surtout, cela renforce la capacité de l’organisation à faire face aux risques et aux perturbations.
Aujourd’hui, ce n’est plus seulement une question de conformité. C’est un enjeu de solidité et de pérennité.
