Méthodologie
ControlMapping regroupe les exigences de sécurité en 50 sujets (chiffrement, authentification multifacteur, réponse aux incidents, …) et indique quelle exigence de chaque référentiel couvre chaque sujet. Cette page explique d'où provient chaque correspondance, afin que vous puissiez juger dans quelle mesure vous y fier.
Comprendre les symboles
Les mêmes cinq symboles ont la même signification sur chaque page. Chacun porte un libellé ; la couleur n'est qu'un signal complémentaire.
- Définition du sujet : résultats du NIST CSF 2.0 qui définissent le sujet.
- Correspondance : une correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien.
- Éditorial : jugement de ControlMapping lorsqu'aucune correspondance publiée n'existe ; la raison est indiquée.
- : ne partagent qu'un résultat du CSF 2.0 : à vérifier, mais ce n'est pas une correspondance.
- Aucune correspondance dans nos données : rien n'est mis en correspondance dans nos données ; il s'agit souvent de travaux nouveaux, mais consultez les notes de couverture.
Une correspondance est Correspondance ou Éditorial : les deux exigences sont retenues dans le même sujet, ou directement reliées. Seules les correspondances comptent comme couverture, dans l'outil d'analyse d'écarts, les comparaisons et les décomptes. est une piste à vérifier, jamais une couverture.
Aucune correspondance dans nos données signifie que rien n'est mis en correspondance dans nos données. Pour la plupart des référentiels, il s'agit probablement de travaux nouveaux, mais la couverture est inégale : CIS v8.1 : la plupart des liens CIS sont éditoriaux ; la correspondance publiée par le CIS couvre 49 des 153 mesures de protection ; SOC 2 : les liens SOC 2 sont uniquement éditoriaux ; RGPD (GDPR) : seuls les articles de sécurité du RGPD sont mis en correspondance, de façon éditoriale ; Essential Eight : les liens Essential Eight sont uniquement éditoriaux ; DORA : les liens DORA sont éditoriaux, et ses normes techniques ne sont pas mises en correspondance ; CPS 234 : CPS 234 repose sur des principes et ses liens sont éditoriaux ; Cyber Essentials : Cyber Essentials ne couvre que cinq mesures techniques. Considérez l'absence de correspondance comme « pas encore mis en correspondance » et vérifiez avant de budgéter.
1. Le NIST CSF 2.0 est le pivot
Chaque sujet est défini par une ou plusieurs sous-catégories du NIST Cybersecurity Framework 2.0 (par exemple, Chiffrement = PR.DS-01 données au repos et PR.DS-02 données en transit). Le choix de ces sous-catégories relève de notre décision éditoriale, et il est indiqué sur chaque page de sujet.
2. Correspondance ou éditorial
Pour chaque autre référentiel, chaque exigence listée face à un sujet est vérifiée par rapport aux correspondances publiées dans le catalogue Online Informative References (OLIR) du NIST :
- Correspondance : une correspondance publiée relie cette exigence à l'une des sous-catégories CSF du sujet, soit directement, soit par l'intermédiaire d'un contrôle SP 800-53 lui-même relié. Le lien est indiqué, par exemple « Correspondance : PR.DS-01 » ou « Correspondance NIST HIPAA : SC-13 ».
- Éditorial : aucune correspondance publiée n'établit le lien, mais nous jugeons qu'il est pertinent, et la raison est indiquée. Toutes les correspondances RGPD, SOC 2 et Essential Eight sont éditoriales : aucune correspondance sous licence ouverte n'existe pour elles.
Les correspondances n'ont pas toutes la même autorité. Celles établies par le NIST ou par le propriétaire du référentiel (le CIS pour les CIS Controls) sont les plus solides. La correspondance PCI DSS est celle du PCI SSC lui-même. Les correspondances ISO 27001 vers CSF 2.0 ont été soumises par des tiers indépendants, et le NIST ne vérifie pas l'exactitude des soumissions qui ne viennent pas de lui. Les liens ISO sont également contrôlés par rapport à la correspondance propre du NIST entre SP 800-53 et ISO 27001. Le tableau ci-dessous indique chaque source.
Les liens passant par des familles entières de contrôles 800-53 (les anciennes données du NIST relient certaines sous-catégories à toutes les familles) ne sont pas retenus comme preuves. Un lien CMMC, HIPAA ou ISO qui passe par un contrôle SP 800-53 ne compte que si ce contrôle 800-53 est lui-même relié au sujet par une correspondance.
Sur les 968 correspondances d'exigences hors CSF 2.0, 475 sont appuyées par une correspondance publiée et 493 sont éditoriales.
3. Relations entre exigences
Les pages d'exigences, les comparaisons, l'outil d'analyse d'écarts et les téléchargements mettent en relation des exigences de différents référentiels. Deux exigences sont mises en correspondance lorsque :
- les deux sont retenues dans un même sujet ControlMapping (sélectionnées et validées comme ci-dessus). Le lien est Correspondance lorsque les deux choix sont appuyés par une correspondance publiée dans ce sujet, et Éditorial dans le cas contraire ; ou
- une correspondance directe par paires les relie : la table ENISA NIS2 → ISO 27001, la correspondance HIPAA → SP 800-53 du NIST, la correspondance SP 800-53 → ISO 27001 du NIST, ou, pour CMMC, les références de l'Annexe D de SP 800-171 Rev 2 et de SP 800-171 Rev 3 → SP 800-53 du NIST (toutes Correspondance). Lorsqu'aucune correspondance n'existe, un petit ensemble de paires éditoriales ControlMapping (par exemple SOC 2 CC4.1 ↔ ISO 27001 Clause 9.2) comble les lacunes évidentes ; chacune porte sa raison (Éditorial).
Sinon, deux exigences liées à la même sous-catégorie du NIST CSF 2.0 sont affichées comme : elles visent des résultats apparentés, mais l'une ne satisfait pas l'autre. Ces pistes sont classées (d'abord celles appuyées par une correspondance, puis par le nombre de résultats partagés), limitées à 8 par référentiel sur les pages d'exigences, et restent repliées. Deux types de liens sont écartés comme bruit : les liens partagés uniquement via les résultats génériques d'amélioration du CSF (ID.IM), et les contrôles « -1 » de politiques et procédures SP 800-53, sauf si le résultat partagé concerne les politiques (GV.PO).
Les pratiques CMMC atteignent le CSF 2.0 via leur équivalent SP 800-171 Rev 3 ou via les contrôles 800-53 de l'Annexe D, et les exigences HIPAA via la correspondance HIPAA → SP 800-53 du NIST. Les téléchargements incluent chaque lien exigence → CSF 2.0, afin que vous puissiez le vérifier ou l'étendre.
4. Chaque identifiant est validé
La génération échoue si un identifiant d'exigence n'existe pas dans le catalogue de son référentiel ou a été retiré (par exemple, les identifiants CSF 1.1 tels que ID.BE-01, retirés dans CSF 2.0).
5. Sources et versions
| Référentiel | Catalogue des exigences | Correspondance utilisée | Correspondances (publiées) |
|---|---|---|---|
| NIST Cybersecurity Framework 2.0 | Export CPRT du NIST pour CSF 2.0 (y compris les sous-catégories 1.1 retirées) | Le pivot : chaque sujet est défini par les sous-catégories CSF 2.0 | — |
| ISO/IEC 27001:2022 | Numéros des contrôles de l'Annexe A et des clauses, avec titres courts (le texte de la norme est protégé par le droit d'auteur de l'ISO) | ISO/IEC 27001:2022 vers CSF 2.0 (OLIR, soumissions indépendantes) et correspondance propre du NIST entre SP 800-53 Rev 5 et ISO/IEC 27001:2022 | 105 (99) |
| CIS Controls v8.1 | Mesures de protection CIS Controls v8.1 avec les titres du CIS (CC BY-NC-ND 4.0) | Correspondance propre du CIS entre CIS Controls v8.1 et CSF 2.0 dans l'OLIR, qui couvre 49 des 153 mesures de protection ; les autres sont éditoriales | 163 (40) |
| SOC 2 (Trust Services Criteria) | Identifiants des Trust Services Criteria 2017 (points d'attention révisés 2022) avec les résumés en une ligne propres à ControlMapping ; le texte des critères est protégé par le droit d'auteur de l'AICPA | L'AICPA publie des correspondances TSC (par exemple vers NIST 800-53 et ISO 27001), mais pas sous licence ouverte ; toutes les correspondances SOC 2 ici sont donc éditoriales de ControlMapping | 66 (0) |
| PCI DSS v4.0.1 | Numérotation des exigences PCI DSS v4.0.1 (vérifiée par rapport à la correspondance) avec les résumés en une ligne propres à ControlMapping ; le texte des exigences est protégé par le droit d'auteur du PCI SSC | Correspondance PCI DSS v4.0.1 vers CSF 2.0 propre au PCI SSC (Board of Advisors), publiée dans les références informatives du CSF 2.0 du NIST | 95 (70) |
| CMMC Level 2 | Export CPRT du NIST pour SP 800-171 Rev 2 (les 110 pratiques CMMC Level 2) avec les noms de pratiques CMMC Level 2 du DoD | Annexe D de SP 800-171 Rev 2 du NIST (→ SP 800-53, identifiants Rev 4 repris dans Rev 5), plus les références SP 800-171 Rev 3 → SP 800-53 et CSF 2.0 → 800-171r3 via l'exigence Rev 3 correspondante | 72 (60) |
| NIST SP 800-53 Rev 5.2 | Catalogue OSCAL du NIST, SP 800-53 Rev 5.2.0 (y compris les contrôles retirés) | Références informatives du NIST CSF 2.0 (800-53 Rev 5.2.0 et 5.1.1) | 120 (106) |
| HIPAA Security Rule | NIST SP 800-66r2 (CPRT) : normes et spécifications d'implémentation de la Security Rule. Les identifiants suivent la forme du NIST, qui omet le (1) final du CFR pour les normes : §164.310(a) ici correspond à §164.310(a)(1) | Correspondance du NIST entre la HIPAA Security Rule et SP 800-53 Rev 5.1.1 (OLIR), via les contrôles 800-53 du sujet appuyés par une correspondance | 47 (36) |
| RGPD (GDPR) | Articles du RGPD (GDPR) comportant des obligations de sécurité (art. 5, 24–25, 28–30, 32–35, 37–39) | Aucune n'existe (le RGPD est une loi sur la vie privée), donc toutes les correspondances RGPD sont éditoriales | 34 (0) |
| NIS2 Implementing Regulation (EU) 2024/2690 | Les 49 points d'exigence de l'annexe au règlement d'exécution (UE) 2024/2690 de la Commission, avec les titres de l'ENISA | Table de correspondance officielle de l'ENISA (v1.2) de chaque point vers NIST CSF 2.0 et ISO/IEC 27001:2022 ; normalisée (par exemple, identifiants CSF 1.1 retirés déplacés via les données du NIST), et liens d'amélioration génériques ID.IM utilisés uniquement lorsque rien d'autre n'est mis en correspondance | 65 (64) |
| ASD Essential Eight | Les 126 contrôles du Information Security Manual que l'ASD associe aux niveaux de maturité Essential Eight (ISM septembre 2026, CC BY 4.0), regroupés selon les huit stratégies de l'ASD | Aucune : l'ASD ne publie pas de correspondance Essential Eight/ISM vers NIST ou ISO ; les liens stratégie → CSF 2.0 et les correspondances de sujets sont donc éditoriaux de ControlMapping. L'affectation contrôle-stratégie suit le Essential Eight Maturity Model de l'ASD | 62 (0) |
| DORA (Regulation (EU) 2022/2554) | Règlement (UE) 2022/2554 tel que publié au Journal officiel (Office des publications) : les 22 articles qui s'imposent aux entités financières, avec le texte de leurs paragraphes et points | Aucune n'existe, donc toutes les correspondances DORA sont éditoriales, établies au niveau du paragraphe ou du point, avec une raison pour chacune | 93 (0) |
| APRA CPS 234 Information Security | Norme prudentielle CPS 234 de l'APRA telle qu'enregistrée au Federal Register of Legislation (F2018L01745, CC BY 4.0) : paragraphes opérationnels 13 à 36, avec les titres courts de ControlMapping | Aucune n'existe, donc toutes les correspondances CPS 234 sont éditoriales | 35 (0) |
| UK Cyber Essentials (NCSC) | NCSC Cyber Essentials Requirements for IT Infrastructure v3.3 (avril 2026) : les cinq thèmes de contrôles techniques (droit d'auteur de la Couronne : noms uniquement) | Aucune n'existe, donc toutes les correspondances Cyber Essentials sont éditoriales, chacune désignant l'exigence précise | 11 (0) |
Données sources récupérées le 2026-10-16 ; correspondances générées le 2026-10-27.
6. Lacunes connues
- La correspondance CSF du PCI SSC omet certaines exigences essentielles, notamment les exigences MFA (8.4.x) et la plupart des contrôles de sécurité réseau de l'exigence 1. Lorsque nous les incluons, elles sont marquées comme éditoriales.
- La correspondance OLIR du CIS ne couvre que 49 des 153 mesures de protection CIS v8.1, de sorte que de nombreuses correspondances CIS sont éditoriales. Le CIS publie une correspondance plus complète derrière un formulaire de téléchargement, qui n'est pas intégrée.
- La correspondance HIPAA du NIST vise SP 800-53 ; une exigence HIPAA n'est donc considérée comme appuyée par une correspondance que lorsqu'elle atteint l'un des contrôles 800-53 du sujet reliés par une correspondance.
- CMMC Level 2 correspond à SP 800-171 Rev 2. Ses liens officiels proviennent de l'Annexe D de la Rev 2 elle-même (qui cite des contrôles SP 800-53 Rev 4 ; sept contrôles retirés dans Rev 5 suivent les liens « incorporated into » du NIST, et SC-19 pour la VoIP n'a pas de successeur) et de l'exigence Rev 3 correspondante. La Rev 3 a réécrit certaines exigences ; un lien Rev 3 est donc une preuve du même sujet, et non une formulation identique.
- Certains sujets n'ont pas d'exigence équivalente dans un référentiel. Par exemple, CMMC Level 2 n'a pas de pratique de planification de la reprise et CIS v8.1 n'a pas de mesure de gouvernance. Ces lacunes sont réelles, et non des omissions.
7. Ceci n'est pas un conseil en conformité
Les correspondances indiquent où les référentiels traitent des résultats similaires. Elles ne prouvent pas que la satisfaction d'une exigence en satisfait une autre. Vérifiez auprès du texte officiel de chaque référentiel et auprès de votre évaluateur ou auditeur.