référentiel
NIST Cybersecurity Framework 2.0
Votre client ou votre assureur vous interroge sur le NIST Cybersecurity Framework ? Complass vous guide à travers la méthode des profils : du périmètre à l’état actuel et à la cible, jusqu’au plan d’action, avec des preuves que vous pouvez reprendre d’ISO 27001, de NIS2 ou d’IEC 62443.
Qu’est-ce que NIST CSF 2.0?
Le NIST Cybersecurity Framework (CSF) 2.0 est un cadre volontaire du National Institute of Standards and Technology américain. Il décrit, en six fonctions (Govern, Identify, Protect, Detect, Respond, Recover), 22 catégories et 106 sous-catégories, les résultats que doit atteindre une gestion efficace des cyberrisques. Il est répandu dans le monde entier et utilisable quels que soient le secteur et la taille. Il n’existe pas de certificat.
Complass n’a aucun lien avec le NIST. Les formulations anglaises des résultats proviennent du NIST CSWP 29, une œuvre du gouvernement fédéral américain librement utilisable.
État des contenus:
Suis-je concerné ?
Le CSF concerne les entreprises dont les clients, sociétés mères ou cyberassureurs souhaitent voir leur sécurité de l’information décrite dans le langage du CSF : fournisseurs de groupes internationaux, éditeurs de logiciels et de services, exploitants d’installations connectées et organisations qui ont besoin d’une image homogène de leur situation.
Le CSF n’est pas obligatoire et ne remplace pas les obligations légales telles que NIS2. Il les complète comme langage commun ; vous disposez déjà de nombreux résultats si vous travaillez selon ISO 27001 ou NIS2.
Cet aperçu ne remplace pas un conseil juridique. Le texte juridique ou normatif fait foi ; dans Complass, vous vérifiez l’applicabilité à l’aide de consignes fondées sur les références.
Bases
- NIST CSWP 29The NIST Cybersecurity Framework (CSF) 2.0, publié le 26/02/2024
Dates clés
Il n’existe pas de délais légaux pour le CSF ; le calendrier est fixé par vos clients ou assureurs. Le profil est un document évolutif ; nous recommandons de le réexaminer lors de chaque changement et au moins une fois par an.
Comment Complass vous aide
- 5phases
- 10étapes guidées
- 3modèles de documents
- 106exigences dans le catalogue
Méthode des profils en cinq phases
Périmètre, profil actuel, profil cible avec tier, analyse des écarts et plan d’action, mise en œuvre et mise à jour, guidés pas à pas.
106 sous-catégories avec identifiants officiels
Chaque résultat avec applicabilité, statut, justification et preuve. Titres et conseils formulés dans nos propres mots, la formulation originale du NIST à côté.
Modèles
Profil d’organisation pour l’état actuel et la cible, évaluation des tiers et plan d’action.
Mettre en œuvre une fois, prouver plusieurs fois
Complass vous propose de reprendre pour le CSF les mesures que vous avez déjà évaluées pour ISO 27001, NIS2 ou IEC 62443.
Les phases du module
- Point de départ et périmètre
- Établir le profil actuel
- Définir le profil cible et le tier
- Analyse des écarts et plan de mesures
- Mettre en œuvre et maintenir à jour
Catalogue: Core du NIST CSF 2.0 – 106 sous-catégories
Modules associés
Gestion de la conformité
Mettre en œuvre des référentiels de façon guidée : phases, modèles, pyramide documentaire, catalogues, analyse des écarts, objectifs et plan d'actions jusqu'à l'audit dans le portail des auditeurs.
En savoir plusGestion des risques
Registre des risques avec appréciation qualitative ou quantitative, appétence au risque et plan de traitement, relié aux actifs, aux vulnérabilités et aux incidents.
En savoir plusGestion des actifs
Actifs IT et OT en un seul endroit, collectés sans agent, avec SBOM, avis des fabricants, fin de support, rapprochement des licences, identités, relations et zones selon IEC 62443-3-2.
En savoir plusQuestions fréquentes
Existe-t-il un certificat CSF ?
Non. Le CSF n’est pas certifiable. Complass vous aide à décrire et à justifier votre situation sous forme de profil ; il n’en résulte ni certificat ni label.
Qu’est-ce qu’un tier ?
Les quatre tiers (Partial, Risk Informed, Repeatable, Adaptive) indiquent le degré de maturité de votre gouvernance et de votre gestion des risques dans leur ensemble. Vous consignez le tier actuel et le tier visé dans un modèle.
Nous travaillons déjà selon ISO 27001. Devons-nous tout saisir de nouveau ?
Non. Grâce aux mesures communes, Complass vous propose de reprendre évaluations et preuves. Vous examinez chaque proposition sur le fond avant de la confirmer.
Le CSF remplace-t-il NIS2 ou ISO 27001 ?
Non. Il les complète comme présentation de votre situation auprès des clients et des assureurs. Les obligations légales demeurent.
Testez Complass avec vos propres données
Créez vous-même votre accès d'essai, avec un projet d'exemple par référentiel si vous le souhaitez. Si vous préférez d'abord voir Complass, demandez une démo.