Cyber Essentials face à l'Essential Eight : deux référentiels nationaux comparés
Tous deux sont courts, techniques et soutenus par les pouvoirs publics. L'un certifie cinq mesures ; l'autre évalue huit stratégies selon leur niveau de maturité. Appliquer l'un vous mène déjà en partie vers l'autre.
Le Royaume-Uni et l'Australie publient chacun une courte liste de contrôles techniques qui permettent d'arrêter la plupart des attaques courantes. Celle du Royaume-Uni est Cyber Essentials, géré par le National Cyber Security Centre et délivré par IASME ; celle de l'Australie est l'Essential Eight, publiée par l'Australian Signals Directorate. Ils sont souvent cités ensemble, et les organisations présentes dans les deux pays se posent la question évidente : si nous en avons un, dans quelle mesure nous rapproche-t-il de l'autre ?
Comment ils sont construits
Cyber Essentials certifie cinq mesures techniques : pare-feu, configuration sécurisée, gestion des mises à jour de sécurité, contrôle des accès utilisateurs et protection contre les logiciels malveillants. Les exigences actuelles, version 3.3, s'appliquent à partir du 27 avril 2026. La certification comporte deux niveaux : une auto-évaluation vérifiée, et Cyber Essentials Plus, qui ajoute des tests techniques pratiques. Les certificats sont valables un an.
L'Essential Eight est un ensemble de huit stratégies d'atténuation (correctifs pour les applications, correctifs pour les systèmes d'exploitation, authentification multifactorielle, restriction des privilèges d'administration, contrôle des applications, restriction des macros Office, durcissement des applications utilisateur et sauvegardes régulières), chacune mise en œuvre à l'un de trois niveaux de maturité. ControlMapping met en correspondance les 126 Contrôles ISM que l'ASD associe à ces niveaux. Il n'existe pas de certification : les organisations s'évaluent elles-mêmes ou commandent une évaluation, et depuis le 1er juillet 2022, le Protective Security Policy Framework exige que les entités du Commonwealth australiennes non commerciales mettent en œuvre les huit stratégies au moins au niveau de maturité 2.
De l'Essential Eight vers Cyber Essentials
Sur les 5 contrôles techniques Cyber Essentials, 4 (80%) correspondent à un élément de Essential Eight, 0 sont seulement faiblement liés et 1 n'ont aucune correspondance dans nos données. Ouvrir le rapport d'écarts →
| Cyber Essentials | Exigence | Correspondance | Essential Eight |
|---|---|---|---|
| CE 1 | Firewalls | Aucune correspondance dans nos données | — |
| CE 2 | Secure Configuration | Éditorial | ISM-1412ISM-1585ISM-1621ISM-1654 |
| CE 3 | Security Update Management | Éditorial | ISM-1501ISM-1691ISM-1693ISM-1695 |
| CE 4 | User Access Control | Éditorial | ISM-0445ISM-0974ISM-1173ISM-1175 |
| CE 5 | Malware protection | Éditorial | ISM-0843ISM-1488ISM-1490ISM-1544 |
La plupart des exigences de Cyber Essentials ont un équivalent dans l'Essential Eight. L'exception concerne les pare-feu : aucune stratégie de l'Essential Eight ne traite des pare-feu de périmètre ou d'hôte, de sorte qu'un programme Essential Eight laisse cette mesure à votre charge.
De Cyber Essentials vers l'Essential Eight
Sur les 126 Contrôles ISM Essential Eight, 39 (31%) correspondent à un élément de Cyber Essentials, 72 sont seulement faiblement liés et 15 n'ont aucune correspondance dans nos données. Ouvrir le rapport d'écarts →
Dans l'autre sens, Cyber Essentials ne couvre qu'une partie de l'Essential Eight, ce qui n'a rien d'étonnant : il comporte cinq mesures face à une liste bien plus longue d'exigences graduées. Les écarts les plus importants sont :
- Sauvegardes régulières. La version 3.3 de Cyber Essentials insiste sur l'importance de sauvegarder les données, sans l'exiger. Les sauvegardes figurent parmi les huit stratégies, avec une restauration testée à chaque niveau de maturité.
- Macros Office et durcissement des applications utilisateur. La mesure de configuration sécurisée de Cyber Essentials supprime les logiciels inutiles et désactive l'exécution automatique ; elle ne traite ni les macros ni le durcissement des navigateurs et des PDF.
- Niveaux de maturité et délais. Lorsque les deux exigent la même chose, l'Essential Eight est généralement plus précis à ses niveaux supérieurs, par exemple sur le délai de correction des vulnérabilités des services exposés sur Internet, ainsi que sur la journalisation et la protection des accès privilégiés.
- Notification des incidents. Certaines mesures de l'Essential Eight exigent la notification des incidents de cybersécurité ; Cyber Essentials ne comporte aucune exigence en la matière.
Les exigences sans lien avec Cyber Essentials dans nos données :
| Essential Eight | Exigence | Correspondance | Cyber Essentials |
|---|---|---|---|
| ISM-1511 | Backups of data, applications and settings are performed and retained in accordance… | Aucune correspondance dans nos données | — |
| ISM-1515 | Restoration of data, applications and settings from backups to a common point in time… | Aucune correspondance dans nos données | — |
| ISM-1705 | Privileged user accounts (excluding backup administrator accounts) cannot access… | Aucune correspondance dans nos données | — |
| ISM-1706 | Privileged user accounts (excluding backup administrator accounts) cannot access their… | Aucune correspondance dans nos données | — |
| ISM-1707 | Privileged user accounts (excluding backup administrator accounts) are prevented from… | Aucune correspondance dans nos données | — |
| ISM-1708 | Backup administrator accounts are prevented from modifying and deleting backups during… | Aucune correspondance dans nos données | — |
| ISM-1810 | Backups of data, applications and settings are synchronised to enable restoration to a… | Aucune correspondance dans nos données | — |
| ISM-1811 | Backups of data, applications and settings are retained in a secure and resilient manner | Aucune correspondance dans nos données | — |
| ISM-1812 | Unprivileged user accounts cannot access backups belonging to other user accounts | Aucune correspondance dans nos données | — |
| ISM-1813 | Unprivileged user accounts cannot access their own backups | Aucune correspondance dans nos données | — |
| ISM-1814 | Unprivileged user accounts are prevented from modifying and deleting backups | Aucune correspondance dans nos données | — |
| ISM-0123 | Cyber security incidents are reported to the chief information security officer, or one… | Aucune correspondance dans nos données | — |
| ISM-0140 | Cyber security incidents are reported to ASD as soon as possible after they occur or… | Aucune correspondance dans nos données | — |
| ISM-1815 | Event logs are protected from unauthorised modification and deletion | Aucune correspondance dans nos données | — |
| ISM-1819 | Following the identification of a cyber security incident, the cyber security incident… | Aucune correspondance dans nos données | — |
Points de convergence, sujet par sujet
| Référentiel | Gestion des correctifs | Lien |
|---|---|---|
| NIST CSF 2.0 | PR.PS-02 | Définition du sujet |
| ISO 27001 | A.8.8 | Correspondance |
| CIS v8.1 | CIS 2.2CIS 7.3CIS 7.4CIS 12.1 | Correspondance |
| SOC 2 | CC7.1 | Éditorial |
| PCI DSS | 6.3.16.3.3 | Correspondance |
| CMMC | SI.L2-3.14.1 | Correspondance |
| 800-53 | SI-2 | Correspondance |
| HIPAA | — | |
| GDPR | — | Aucune correspondance dans nos données |
| NIS2 | 6.6 | Correspondance |
| Essential Eight | ISM-1876ISM-1691ISM-1693ISM-1877ISM-1695ISM-1704ISM-1501 | Éditorial |
| DORA | Art.9(4)(f) | Éditorial |
| CPS 234 | — | Aucune correspondance dans nos données |
| Cyber Essentials | CE 3 | Éditorial |
Détail complet et raison de chaque lien : Gestion des correctifs dans les référentiels →
| Référentiel | Authentification multifacteur | Lien |
|---|---|---|
| NIST CSF 2.0 | PR.AA-03 | Définition du sujet |
| ISO 27001 | A.8.5 | Correspondance |
| CIS v8.1 | CIS 6.3CIS 6.4CIS 6.5 | Éditorial |
| SOC 2 | CC6.1 | Éditorial |
| PCI DSS | 8.4.18.4.28.4.38.5.1 | Éditorial |
| CMMC | IA.L2-3.5.3 | Correspondance |
| 800-53 | IA-2(1)IA-2(2) | Correspondance |
| HIPAA | — | |
| GDPR | — | Aucune correspondance dans nos données |
| NIS2 | 11.611.7 | Correspondance |
| Essential Eight | ISM-1504ISM-1679ISM-1173ISM-0974ISM-1401ISM-1872 | Éditorial |
| DORA | Art.9(4)(d) | Éditorial |
| CPS 234 | — | Aucune correspondance dans nos données |
| Cyber Essentials | CE 4 | Éditorial |
Détail complet et raison de chaque lien : Authentification multifacteur dans les référentiels →
Les correctifs et l'authentification multifactorielle constituent le terrain commun le plus net. Cyber Essentials fixe une règle unique pour les mises à jour (correctifs critiques et à haut risque sous 14 jours) et exige la MFA partout où elle est disponible, et systématiquement pour les services cloud ; l'Essential Eight définit des délais et un périmètre MFA différents à chaque niveau de maturité.
Lequel choisir
Si un contrat vous impose l'un des deux, c'est le contrat qui tranche : les acheteurs publics britanniques demandent Cyber Essentials, et les entités publiques australiennes travaillent avec l'Essential Eight. Si vous choisissez librement, ils se combinent bien. Cyber Essentials vous donne une certification externe pour un socle minimum solide ; l'Essential Eight vous offre une voie pour aller plus loin, avec les sauvegardes et le durcissement des applications que Cyber Essentials omet. Pour être prêt pour les deux, construisez sur l'Essential Eight, ajoutez les règles de pare-feu et vérifiez vos délais de correction : la règle des 14 jours de Cyber Essentials s'applique à toute mise à jour critique ou à haut risque, ce qui peut être plus strict que les niveaux de maturité inférieurs pour certains logiciels.
Points clés à retenir
- La plupart de Cyber Essentials correspond à l'Essential Eight ; les pare-feu constituent l'écart.
- Cyber Essentials ne couvre qu'une partie de l'Essential Eight : les sauvegardes, le durcissement des macros et des applications, ainsi que le détail des niveaux de maturité, s'y ajoutent.
- Aucun des deux organismes ne publie de correspondance ; considérez donc ces liens comme un point de départ et vérifiez le détail.
Pour aller plus loin
Consultez les pages des référentiels Cyber Essentials et Essential Eight, lancez l'analyse d'écarts pour exporter la comparaison dans un tableau de suivi, ou lisez notre guide Essential Eight.
Questions
La certification Cyber Essentials satisfait-elle l'Essential Eight ?
Non. Les deux se recoupent sur les correctifs, l'authentification multifactorielle, les privilèges d'administration et le contrôle des applications, mais l'Essential Eight exige en plus des sauvegardes régulières, le durcissement des macros Office et des applications, et définit des niveaux de maturité assortis de délais propres. Cyber Essentials certifie aussi les pare-feu, que nulle stratégie de l'Essential Eight ne couvre.
Existe-t-il une certification pour l'Essential Eight ?
Il n'existe pas de programme de certification comparable à Cyber Essentials. Les organisations s'évaluent elles-mêmes, ou commandent une évaluation indépendante, au regard du modèle de maturité de l'ASD. Cyber Essentials est une certification à deux niveaux, Cyber Essentials et Cyber Essentials Plus.
Existe-t-il une correspondance officielle entre les deux ?
Ni le NCSC ni l'ASD n'en publient une. Les liens présents sur ControlMapping relèvent de notre travail éditorial, et chacun indique sa justification.
Données au 2026-10-27 : les chiffres de cet article sont calculés à partir de la correspondance actuelle et sont mis à jour lorsqu'elle évolue. Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Pas un conseil en conformité.
Articles connexes
Analyse · 2026-10-27APRA CPS 234 et ISO 27001 : ce que couvre votre SMSI et ce qu'APRA ajouteUn SMSI ISO 27001 couvre presque chaque paragraphe de la norme CPS 234 de l'APRA, mais l'APRA ajoute des obligations pour le conseil d'administration, l'assurance des tiers et des délais de notification stricts.
Analyse · 2026-10-27DORA vs NIS2 : ce qu'un programme NIS2 couvre déjàDORA et NIS2 partagent l'essentiel de la sécurité, mais DORA ajoute registre, clauses et tests basés sur la menace. Article par article, ce qui se reporte.
Analyse · 2026-10-13Exigences MFA comparées dans 11 référentiels de sécuritéQuels référentiels imposent le MFA, à qui et avec quelle rigueur : PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2 et HIPAA, comparés côte à côte.