Comparaison

NIS2 et NIST CSF 2.0 : une exigence juridique européenne vue sous l'angle du NIST

NIST Cybersecurity Framework 2.0 · NIS2 Implementing Regulation (EU) 2024/2690 · données du 2026-10-27

Pour les organisations qui pilotent leur programme de sécurité avec le NIST CSF 2.0, souvent des entreprises dont le siège est aux États-Unis et qui disposent d'activités dans l'UE, la question est de savoir dans quelle mesure le CSF les rapproche de NIS2. Les indications techniques de mise en œuvre de l'ENISA mettent en correspondance chaque exigence du règlement d'exécution (UE) 2024/2690 avec les sous-catégories du CSF 2.0, ainsi qu'avec l'ISO 27001.

La réponse est la suivante : une large part des mesures techniques est couverte. Presque chaque point de NIS2 est couvert par les résultats du CSF, quelques-uns n'étant que faiblement liés. Le seul point sans correspondance concerne la restitution ou la suppression des actifs à la fin d'une relation de travail, que l'ENISA rapproche de l'ISO mais pas du CSF.

En partant de NIS2 vers le CSF, les résultats du CSF sans correspondance relèvent surtout de la gouvernance stratégique, que NIS2 ne détaille pas : revue de la mission et de la stratégie de l'organisation, orientation de l'appétence au risque, circuits de communication sur les risques et vérification de l'identité.

Comme pour l'ISO, une correspondance ne vaut pas conformité. Les obligations juridiques de NIS2 (responsabilité et formation de l'organe de direction, délais de notification des incidents prévus à l'article 23, enregistrement, transposition nationale) ne relèvent d'aucun référentiel de contrôles.

Points clés à retenir

Un profil cible du CSF qui inclut les sous-catégories mises en correspondance avec NIS2 constitue un bon plan de mise en œuvre de NIS2.
Ajoutez explicitement les obligations propres à l'UE : délais de notification aux CSIRT, formation de la direction, enregistrement national.
Si vous avez également besoin d'une certification, la voie passe par l'ISO 27001 : le CSF n'est pas certifiable.

Télécharger cette comparaison (CSV) Ouvrir dans l'analyse des écarts →

Avoir NIST CSF 2.0 → viser NIS2

49 exig.

45 mis en correspondance · · 1 sans correspondance Ouvrir dans la vue des écarts →

Sur 49 exigences NIS2 Implementing Regulation (EU) 2024/2690, 45 correspondent à un élément de NIST CSF 2.0, 3 sont seulement faiblement liées et 1 n'ont aucune correspondance dans nos données.

Ici, NIS2 désigne les mesures techniques du règlement d'exécution (UE) 2024/2690, qui s'applique directement aux fournisseurs d'infrastructures numériques et de services TIC ; les autres entités NIS2 suivent la transposition nationale de leur pays de l'article 21. Les délais de notification des incidents (article 23) ne sont pas couverts. La correspondance de l'ENISA n'est pas contraignante.

Travaux probablement nouveaux : exigences NIS2 sans correspondance avec NIST CSF 2.0 (1)

NIS2	Exigence	Correspondance	NIST CSF 2.0	Preuves
12. Asset management · 1
12.5	Deposit, return or deletion of assets upon termination of employment	Aucune correspondance dans nos données	—	Aucune correspondance avec NIST CSF 2.0 dans nos données.

À vérifier : liens seulement indirects (un résultat CSF commun, pas une correspondance) (3)

NIS2	Exigence	Correspondance	NIST CSF 2.0	Preuves
6. Security in acquisition, development and maintenance · 1
6.4	Change management, repairs and maintenance	Faiblement liés	ID.RA-07	Partage seulement les fonctions CSF ID.RA-07 : lien indicatif, pas une correspondance
10. Human resources security · 2
10.1	Human resources security	Faiblement liés	GV.RR-04 PR.AT-02	Partage seulement les fonctions CSF GV.RR-04, PR.AT-02 : lien indicatif, pas une correspondance
10.3	Termination or change of employment procedures	Faiblement liés	GV.RR-04	Partage seulement les fonctions CSF GV.RR-04 : lien indicatif, pas une correspondance

Mis en correspondance (45)

NIS2	Exigence	Correspondance	NIST CSF 2.0	Preuves
1. Policy on the security of network and information systems · 2
1.1	Policy on the security of network and information systems	Correspondance	GV.PO-01 GV.PO-02	Même sujet : Politique de gouvernance
1.2	Roles, responsibilities and authorities	Correspondance	GV.RR-01 GV.RR-02 GV.RR-03	Même sujet : Rôles et responsabilités
2. Risk management policy · 3
2.1	Risk management framework	Correspondance	GV.RM-01 GV.RM-02 GV.RM-03+5	Même sujet : Gestion des risques
2.2	Compliance monitoring	Correspondance	GV.OC-03 GV.OV-03	Même sujet : Conformité
2.3	Independent review of information and network security	Éditorial	GV.OC-03 GV.OV-03	Même sujet : Conformité (choix de la rédaction)
3. Incident handling · 6
3.1	Incident handling policy	Correspondance	ID.IM-04 RS.MA-01 RS.MA-02+2	Même sujet : Réponse aux incidents
3.2	Monitoring and logging	Correspondance	DE.AE-02 DE.AE-03 DE.AE-06+5	Même sujet : Détection d'intrusion, Journalisation et audit, SIEM / SOC
3.3	Event reporting	Correspondance	RS.CO-02	Même sujet : Notification
3.4	Event assessment and classification	Correspondance	DE.AE-02 DE.AE-03 DE.AE-04+3	Même sujet : Détection d'anomalies, SIEM / SOC
3.5	Incident response	Correspondance	ID.IM-04 RS.AN-03 RS.AN-06+7	Même sujet : Réponse aux incidents, Criminalistique numérique
3.6	Post-incident reviews	Correspondance	ID.IM-03 RC.RP-06	Même sujet : Enseignements tirés
4. Business continuity and crisis management · 3
4.1	Business continuity and disaster recovery plan	Correspondance	GV.OC-04 ID.IM-04 PR.IR-03+4	Même sujet : Continuité des activités, Planification de la reprise, Reprise après sinistre
4.2	Backup management	Correspondance	PR.DS-11 PR.IR-03 RC.RP-02+2	Même sujet : Sauvegarde et restauration, Reprise après sinistre
4.3	Crisis management	Correspondance	GV.OC-04 PR.IR-03 RC.CO-03+4	Même sujet : Continuité des activités, Communication et rétablissement
5. Supply chain security · 2
5.1	Supply chain security policy	Correspondance	DE.CM-06 GV.SC-01 GV.SC-03+7	Même sujet : Gestion des risques fournisseurs, Risque lié à la chaîne d'approvisionnement
5.2	Directory of suppliers and service providers	Correspondance	DE.CM-06 GV.SC-04 GV.SC-06+2	Même sujet : Gestion des risques fournisseurs
6. Security in acquisition, development and maintenance · 9
6.1	Security in acquisition of ICT services, ICT systems or ICT products	Correspondance	DE.CM-06 GV.SC-01 GV.SC-03+10	Même sujet : Gestion des risques fournisseurs, Risque lié à la chaîne d'approvisionnement
6.2	Secure development life cycle	Correspondance	PR.PS-06	Même sujet : Développement sécurisé
6.3	Configuration management	Correspondance	PR.PS-01	Même sujet : Configuration sécurisée
6.5	Security testing	Correspondance	ID.RA-01 ID.RA-08	Même sujet : Gestion des vulnérabilités
6.6	Security patch management	Correspondance	PR.PS-02	Même sujet : Gestion des correctifs
6.7	Network security	Correspondance	ID.AM-03 PR.IR-01	Même sujet : Pare-feu / Segmentation réseau
6.8	Network segmentation	Correspondance	ID.AM-03 PR.AA-03 PR.AA-04+2	Même sujet : Pare-feu / Segmentation réseau, Zero Trust
6.9	Protection against malicious and unauthorised software	Correspondance	DE.CM-09 PR.DS-02 PR.PS-05	Même sujet : Protection des terminaux, Sécurité de la messagerie
6.10	Vulnerability handling and disclosure	Correspondance	ID.RA-01 ID.RA-08	Même sujet : Gestion des vulnérabilités
7. Assessing the effectiveness of cybersecurity risk-management measures · 1
7.1	Policies and procedures to assess the effectiveness of cybersecurity risk-management measures	Correspondance	GV.RM-01 GV.RM-02 GV.RM-03+1	Même sujet : Gestion des risques
8. Basic cyber hygiene practices and security training · 2
8.1	Awareness raising and basic cyber hygiene practices	Correspondance	PR.AT-01 PR.AT-02	Même sujet : Sensibilisation et formation
8.2	Security training	Correspondance	PR.AT-01 PR.AT-02	Même sujet : Sensibilisation et formation
9. Cryptography · 1
9.1	Cryptography	Correspondance	PR.DS-01 PR.DS-02	Même sujet : Chiffrement
10. Human resources security · 2
10.2	Verification of Background	Correspondance	DE.CM-03 GV.RR-04	Même sujet : Menace interne
10.4	Disciplinary process	Correspondance	DE.CM-03 GV.RR-04	Même sujet : Menace interne
11. Access control · 7
11.1	Access control policy	Correspondance	PR.AA-01 PR.AA-03 PR.AA-04+2	Même sujet : Contrôle d'accès, Zero Trust
11.2	Management of access rights	Correspondance	PR.AA-01 PR.AA-05	Même sujet : Contrôle d'accès
11.3	Privileged accounts and system administration accounts	Correspondance	PR.AA-05	Même sujet : Accès privilégiés
11.4	Administration systems	Correspondance	PR.AA-05	Même sujet : Accès privilégiés
11.5	Identification	Correspondance	PR.AA-01 PR.AA-05	Même sujet : Contrôle d'accès
11.6	Authentication	Correspondance	PR.AA-03 PR.AA-04 PR.AA-05+1	Même sujet : Authentification multifacteur, Zero Trust
11.7	Multi-factor authentication	Correspondance	PR.AA-03	Même sujet : Authentification multifacteur
12. Asset management · 4
12.1	Asset classification	Correspondance	ID.AM-05 ID.AM-07	Même sujet : Classification des données
12.2	Handling of assets	Correspondance	PR.DS-01 PR.DS-02 PR.DS-10	Même sujet : Protection des données
12.3	Removable media policy	Correspondance	PR.DS-01 PR.DS-02 PR.DS-10	Même sujet : Protection des données, DLP
12.4	Asset inventory	Correspondance	ID.AM-01 ID.AM-02 ID.AM-04+1	Même sujet : Gestion des actifs
13. Environmental and physical security · 3
13.1	Supporting utilities	Correspondance	DE.CM-02 PR.AA-06 PR.IR-02	Même sujet : Sécurité physique
13.2	Protection against physical and environmental threats	Correspondance	DE.CM-02 PR.AA-06 PR.IR-02	Même sujet : Sécurité physique
13.3	Perimeter and physical access control	Correspondance	DE.CM-02 PR.AA-06 PR.IR-02	Même sujet : Sécurité physique

Avoir NIS2 → viser NIST CSF 2.0

106 exig.

85 mis en correspondance · · 9 sans correspondance Ouvrir dans la vue des écarts →

Sur 106 exigences NIST Cybersecurity Framework 2.0, 85 correspondent à un élément de NIS2, 12 sont seulement faiblement liées et 9 n'ont aucune correspondance dans nos données.

Travaux probablement nouveaux : exigences NIST CSF 2.0 sans correspondance avec NIS2 (9)

NIST CSF 2.0	Exigence	Correspondance	NIS2	Preuves
Govern (GV) · 5
GV.OC-01	The organizational mission is understood and informs cybersecurity risk management	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
GV.OV-01	Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
GV.RM-04	Strategic direction that describes appropriate risk response options is established and communicated	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
GV.RM-05	Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
GV.RM-07	Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
Identify (ID) · 2
ID.IM-01	Improvements are identified from evaluations	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
ID.IM-02	Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
Protect (PR) · 2
PR.AA-02	Identities are proofed and bound to credentials based on the context of interactions	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.
PR.IR-04	Adequate resource capacity to ensure availability is maintained	Aucune correspondance dans nos données	—	Aucune correspondance avec NIS2 dans nos données.

À vérifier : liens seulement indirects (un résultat CSF commun, pas une correspondance) (12)

NIST CSF 2.0	Exigence	Correspondance	NIS2	Preuves
Detect (DE) · 1
DE.AE-07	Cyber threat intelligence and other contextual information are integrated into the analysis	Faiblement liés	4.3	Partage seulement les fonctions CSF DE.AE-07 : lien indicatif, pas une correspondance
Govern (GV) · 6
GV.OC-02	Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered	Faiblement liés	1.1	Partage seulement les fonctions CSF GV.OC-02 : lien indicatif, pas une correspondance
GV.OC-05	Outcomes, capabilities, and services that the organization depends on are understood and communicated	Faiblement liés	5.1 5.2 13.1	Partage seulement les fonctions CSF GV.OC-05 : lien indicatif, pas une correspondance
GV.OV-02	The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks	Faiblement liés	2.2 2.3	Partage seulement les fonctions CSF GV.OV-02 : lien indicatif, pas une correspondance
GV.SC-02	Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally	Faiblement liés	1.2	Partage seulement les fonctions CSF GV.SC-02 : lien indicatif, pas une correspondance
GV.SC-08	Relevant suppliers and other third parties are included in incident planning, response, and recovery activities	Faiblement liés	3.1 4.1	Partage seulement les fonctions CSF GV.SC-08 : lien indicatif, pas une correspondance
GV.SC-10	Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement	Faiblement liés	5.1	Partage seulement les fonctions CSF GV.SC-10 : lien indicatif, pas une correspondance
Identify (ID) · 2
ID.RA-02	Cyber threat intelligence is received from information sharing forums and sources	Faiblement liés	2.1 6.10	Partage seulement les fonctions CSF ID.RA-02 : lien indicatif, pas une correspondance
ID.RA-07	Changes and exceptions are managed, assessed for risk impact, recorded, and tracked	Faiblement liés	6.4	Partage seulement les fonctions CSF ID.RA-07 : lien indicatif, pas une correspondance
Protect (PR) · 1
PR.PS-03	Hardware is maintained, replaced, and removed commensurate with risk	Faiblement liés	6.10	Partage seulement les fonctions CSF PR.PS-03 : lien indicatif, pas une correspondance
Respond (RS) · 2
RS.AN-08	An incident's magnitude is estimated and validated	Faiblement liés	3.6	Partage seulement les fonctions CSF RS.AN-08 : lien indicatif, pas une correspondance
RS.MA-05	The criteria for initiating incident recovery are applied	Faiblement liés	3.1	Partage seulement les fonctions CSF RS.MA-05 : lien indicatif, pas une correspondance

Mis en correspondance (85)

NIST CSF 2.0	Exigence	Correspondance	NIS2	Preuves
Detect (DE) · 10
DE.AE-02	Potentially adverse events are analyzed to better understand associated activities	Correspondance	3.2 3.4	Même sujet : Détection d'intrusion, Détection d'anomalies
DE.AE-03	Information is correlated from multiple sources	Correspondance	3.2 3.4	Même sujet : Journalisation et audit, SIEM / SOC
DE.AE-04	The estimated impact and scope of adverse events are understood	Correspondance	3.4	Même sujet : Détection d'anomalies
DE.AE-06	Information on adverse events is provided to authorized staff and tools	Correspondance	3.2 3.4	Même sujet : SIEM / SOC
DE.AE-08	Incidents are declared when adverse events meet the defined incident criteria	Correspondance	3.2 3.4	Même sujet : SIEM / SOC
DE.CM-01	Networks and network services are monitored to find potentially adverse events	Correspondance	3.2	Même sujet : Surveillance continue, Détection d'intrusion
DE.CM-02	The physical environment is monitored to find potentially adverse events	Correspondance	13.1 13.2 13.3	Même sujet : Sécurité physique
DE.CM-03	Personnel activity and technology usage are monitored to find potentially adverse events	Correspondance	3.2 10.2 10.4	Même sujet : Surveillance continue, Menace interne
DE.CM-06	External service provider activities and services are monitored to find potentially adverse events	Correspondance	5.1 5.2 6.1	Même sujet : Gestion des risques fournisseurs
DE.CM-09	Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events	Correspondance	3.2 3.4 6.9	Même sujet : Surveillance continue, Détection d'anomalies, Protection des terminaux, Sécurité de la messagerie
Govern (GV) · 20
GV.OC-03	Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed	Correspondance	2.2 2.3	Même sujet : Conformité
GV.OC-04	Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated	Correspondance	4.1 4.3	Même sujet : Continuité des activités
GV.OV-03	Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed	Correspondance	2.2 2.3	Même sujet : Conformité
GV.PO-01	Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced	Correspondance	1.1	Même sujet : Politique de gouvernance
GV.PO-02	Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission	Correspondance	1.1	Même sujet : Politique de gouvernance
GV.RM-01	Risk management objectives are established and agreed to by organizational stakeholders	Correspondance	2.1 7.1	Même sujet : Gestion des risques
GV.RM-02	Risk appetite and risk tolerance statements are established, communicated, and maintained	Correspondance	2.1 7.1	Même sujet : Gestion des risques
GV.RM-03	Cybersecurity risk management activities and outcomes are included in enterprise risk management processes	Correspondance	2.1 7.1	Même sujet : Gestion des risques
GV.RM-06	A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated	Correspondance	2.1 7.1	Même sujet : Gestion des risques
GV.RR-01	Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving	Correspondance	1.2	Même sujet : Rôles et responsabilités
GV.RR-02	Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced	Correspondance	1.2	Même sujet : Rôles et responsabilités
GV.RR-03	Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies	Correspondance	1.2	Même sujet : Rôles et responsabilités
GV.RR-04	Cybersecurity is included in human resources practices	Correspondance	10.2 10.4	Même sujet : Menace interne
GV.SC-01	A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders	Correspondance	5.1 6.1	Même sujet : Risque lié à la chaîne d'approvisionnement
GV.SC-03	Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes	Correspondance	5.1 6.1	Même sujet : Risque lié à la chaîne d'approvisionnement
GV.SC-04	Suppliers are known and prioritized by criticality	Correspondance	5.1 5.2 6.1	Même sujet : Gestion des risques fournisseurs
GV.SC-05	Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties	Correspondance	5.1 6.1	Même sujet : Risque lié à la chaîne d'approvisionnement
GV.SC-06	Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships	Correspondance	5.1 5.2 6.1	Même sujet : Gestion des risques fournisseurs
GV.SC-07	The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship	Correspondance	5.1 5.2 6.1	Même sujet : Gestion des risques fournisseurs
GV.SC-09	Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle	Correspondance	5.1 6.1	Même sujet : Risque lié à la chaîne d'approvisionnement
Identify (ID) · 17
ID.AM-01	Inventories of hardware managed by the organization are maintained	Correspondance	12.4	Même sujet : Gestion des actifs
ID.AM-02	Inventories of software, services, and systems managed by the organization are maintained	Correspondance	12.4	Même sujet : Gestion des actifs
ID.AM-03	Representations of the organization's authorized network communication and internal and external network data flows are maintained	Correspondance	6.7 6.8	Même sujet : Pare-feu / Segmentation réseau
ID.AM-04	Inventories of services provided by suppliers are maintained	Correspondance	6.1 12.4	Même sujet : Sécurité du cloud, Gestion des actifs
ID.AM-05	Assets are prioritized based on classification, criticality, resources, and impact on the mission	Correspondance	12.1	Même sujet : Classification des données
ID.AM-07	Inventories of data and corresponding metadata for designated data types are maintained	Correspondance	12.1	Même sujet : Classification des données
ID.AM-08	Systems, hardware, software, services, and data are managed throughout their life cycles	Correspondance	12.4	Même sujet : Gestion des actifs
ID.IM-03	Improvements are identified from execution of operational processes, procedures, and activities	Correspondance	3.6	Même sujet : Enseignements tirés
ID.IM-04	Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved	Correspondance	3.1 3.5 4.1	Même sujet : Réponse aux incidents, Planification de la reprise
ID.RA-01	Vulnerabilities in assets are identified, validated, and recorded	Correspondance	6.5 6.10	Même sujet : Gestion des vulnérabilités
ID.RA-03	Internal and external threats to the organization are identified and recorded	Correspondance	2.1	Même sujet : Évaluation des risques
ID.RA-04	Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded	Correspondance	2.1	Même sujet : Évaluation des risques
ID.RA-05	Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization	Correspondance	2.1	Même sujet : Évaluation des risques
ID.RA-06	Risk responses are chosen, prioritized, planned, tracked, and communicated	Correspondance	2.1	Même sujet : Évaluation des risques
ID.RA-08	Processes for receiving, analyzing, and responding to vulnerability disclosures are established	Correspondance	6.5 6.10	Même sujet : Gestion des vulnérabilités
ID.RA-09	The authenticity and integrity of hardware and software are assessed prior to acquisition and use	Correspondance	5.1 6.1	Même sujet : Risque lié à la chaîne d'approvisionnement
ID.RA-10	Critical suppliers are assessed prior to acquisition	Correspondance	5.1 5.2 6.1	Même sujet : Gestion des risques fournisseurs
Protect (PR) · 19
PR.AA-01	Identities and credentials for authorized users, services, and hardware are managed by the organization	Correspondance	11.1 11.2 11.5	Même sujet : Contrôle d'accès
PR.AA-03	Users, services, and hardware are authenticated	Correspondance	6.8 11.1 11.6+1	Même sujet : Zero Trust, Authentification multifacteur
PR.AA-04	Identity assertions are protected, conveyed, and verified	Correspondance	6.8 11.1 11.6	Même sujet : Zero Trust
PR.AA-05	Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties	Correspondance	6.8 11.1 11.2+4	Même sujet : Zero Trust, Contrôle d'accès
PR.AA-06	Physical access to assets is managed, monitored, and enforced commensurate with risk	Correspondance	13.1 13.2 13.3	Même sujet : Sécurité physique
PR.AT-01	Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind	Correspondance	8.1 8.2	Même sujet : Sensibilisation et formation
PR.AT-02	Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind	Correspondance	8.1 8.2	Même sujet : Sensibilisation et formation
PR.DS-01	The confidentiality, integrity, and availability of data-at-rest are protected	Correspondance	9.1 12.2 12.3	Même sujet : Chiffrement, Protection des données, DLP
PR.DS-02	The confidentiality, integrity, and availability of data-in-transit are protected	Correspondance	6.9 9.1 12.2+1	Même sujet : Sécurité de la messagerie, Chiffrement, Protection des données
PR.DS-10	The confidentiality, integrity, and availability of data-in-use are protected	Correspondance	12.2 12.3	Même sujet : Protection des données, DLP
PR.DS-11	Backups of data are created, protected, maintained, and tested	Correspondance	4.2	Même sujet : Sauvegarde et restauration
PR.IR-01	Networks and environments are protected from unauthorized logical access and usage	Correspondance	6.1 6.7 6.8+2	Même sujet : Sécurité du cloud, Pare-feu / Segmentation réseau, Zero Trust
PR.IR-02	The organization's technology assets are protected from environmental threats	Correspondance	13.1 13.2 13.3	Même sujet : Sécurité physique
PR.IR-03	Mechanisms are implemented to achieve resilience requirements in normal and adverse situations	Correspondance	4.1 4.2 4.3	Même sujet : Continuité des activités, Reprise après sinistre
PR.PS-01	Configuration management practices are established and applied	Correspondance	6.1 6.3	Même sujet : Sécurité du cloud, Configuration sécurisée
PR.PS-02	Software is maintained, replaced, and removed commensurate with risk	Correspondance	6.6	Même sujet : Gestion des correctifs
PR.PS-04	Log records are generated and made available for continuous monitoring	Correspondance	3.2	Même sujet : Journalisation et audit
PR.PS-05	Installation and execution of unauthorized software are prevented	Correspondance	6.9	Même sujet : Protection des terminaux
PR.PS-06	Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle	Correspondance	6.2	Même sujet : Développement sécurisé
Recover (RC) · 8
RC.CO-03	Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders	Correspondance	4.3	Même sujet : Communication et rétablissement
RC.CO-04	Public updates on incident recovery are shared using approved methods and messaging	Correspondance	4.3	Même sujet : Communication et rétablissement
RC.RP-01	The recovery portion of the incident response plan is executed once initiated from the incident response process	Correspondance	4.1	Même sujet : Planification de la reprise
RC.RP-02	Recovery actions are selected, scoped, prioritized, and performed	Correspondance	4.1 4.2	Même sujet : Planification de la reprise, Reprise après sinistre
RC.RP-03	The integrity of backups and other restoration assets is verified before using them for restoration	Correspondance	4.2	Même sujet : Sauvegarde et restauration
RC.RP-04	Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms	Correspondance	4.1 4.3	Même sujet : Continuité des activités
RC.RP-05	The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed	Correspondance	4.1 4.2 4.3	Même sujet : Reprise après sinistre, Communication et rétablissement
RC.RP-06	The end of incident recovery is declared based on criteria, and incident-related documentation is completed	Correspondance	3.6	Même sujet : Enseignements tirés
Respond (RS) · 11
RS.AN-03	Analysis is performed to establish what has taken place during an incident and the root cause of the incident	Correspondance	3.5	Même sujet : Criminalistique numérique
RS.AN-06	Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved	Correspondance	3.5	Même sujet : Criminalistique numérique
RS.AN-07	Incident data and metadata are collected, and their integrity and provenance are preserved	Correspondance	3.5	Même sujet : Criminalistique numérique
RS.CO-02	Internal and external stakeholders are notified of incidents	Correspondance	3.3	Même sujet : Notification
RS.CO-03	Information is shared with designated internal and external stakeholders	Correspondance	4.3	Même sujet : Communication
RS.MA-01	The incident response plan is executed in coordination with relevant third parties once an incident is declared	Correspondance	3.1 3.5	Même sujet : Réponse aux incidents
RS.MA-02	Incident reports are triaged and validated	Correspondance	3.1 3.5	Même sujet : Réponse aux incidents
RS.MA-03	Incidents are categorized and prioritized	Correspondance	3.1 3.5	Même sujet : Réponse aux incidents
RS.MA-04	Incidents are escalated or elevated as needed	Correspondance	3.1 3.5	Même sujet : Réponse aux incidents
RS.MI-01	Incidents are contained	Correspondance	3.5	Même sujet : Atténuation
RS.MI-02	Incidents are eradicated	Correspondance	3.5	Même sujet : Atténuation

Par thème

Les deux couvrent (43) :

Politique de gouvernance Sensibilisation et formation Gestion des risques Risque lié à la chaîne d'approvisionnement Rôles et responsabilités Conformité Gestion des actifs Évaluation des risques Classification des données Gestion des vulnérabilités Contrôle d'accès Authentification multifacteur Chiffrement Protection des données Sauvegarde et restauration Accès privilégiés Pare-feu / Segmentation réseau Protection des terminaux Gestion des correctifs Configuration sécurisée Développement sécurisé Sécurité de la messagerie Zero Trust Sécurité du cloud DLP Surveillance continue Journalisation et audit Détection d'intrusion Détection d'anomalies SIEM / SOC Réponse aux incidents Criminalistique numérique Communication Atténuation Notification Planification de la reprise Continuité des activités Enseignements tirés Communication et rétablissement Reprise après sinistre Menace interne Gestion des risques fournisseurs Sécurité physique

Seulement NIST CSF 2.0 (7) :

Environnement métier Renseignement sur les menaces Sécurité web Sécurité mobile Sécurité DNS WAF Sécurité des API

Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.

Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · Faiblement liés partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Mis en correspondance = regroupés ensemble dans un thème ControlMapping, ou directement liés. Les correspondances ne prouvent pas la conformité. Méthodologie · Télécharger les données · Signaler une erreur.