La vue conformité : NIS2, ISO 27001, Cyber Essentials
Comment chaque constat se rattache à l’article 21(2) de NIS2, à l’annexe A d’ISO/IEC 27001:2022 et à Cyber Essentials, et ce qu’une vue extérieure peut dire ou non.
Beaucoup d’équipes surveillent leurs domaines parce qu’un référentiel le leur demande. Perimetry Cloud rattache chaque constat aux exigences de trois référentiels, pour que vous voyiez ce qu’une vue extérieure dit de chacune et prépariez une évaluation.
Les trois référentiels
- NIS2 : les mesures de gestion des risques de cybersécurité de l’article 21(2) de la directive NIS2 (UE) 2022/2555.
- Cyber Essentials : les cinq mesures des exigences pour l’infrastructure informatique du dispositif britannique (v3.3).
- ISO 27001 : les mesures de l’annexe A d’ISO/IEC 27001:2022 auxquelles un audit externe peut se rattacher.
Un constat n’est rattaché à une exigence que lorsque le lien est direct.
Sous chaque constat, avec toutes les offres
Chaque constat montre ses exigences liées, sous forme de petites étiquettes (par exemple une mesure NIS2, une mesure Cyber Essentials, une mesure ISO 27001). Survolez une étiquette pour lire le nom complet de l’exigence.
La vue conformité, à partir de l’offre Solo
Sur un rapport, Vue conformité ouvre la vue de cet audit, un référentiel à la fois (NIS2, Cyber Essentials, ISO 27001). Pour chaque exigence, elle montre :
- les constats de cet audit qui s’y rattachent, ou
- Rien trouvé de l’extérieur, ou
- Non évaluable de l’extérieur, quand un audit externe ne peut rien en voir (vos politiques, votre personnel, vos systèmes internes).
Une ligne en haut compte les exigences avec des constats et celles qui ne sont pas évaluables de l’extérieur. Les constats acceptés sont laissés hors de la vue, qui indique combien.
Le rapport PDF de l’audit reprend la même correspondance dans sa page consacrée aux référentiels.
Ce que c’est, et ce que ce n’est pas
C’est une correspondance indicative, pour vous aider à préparer : un audit externe ne voit qu’une partie de ce que demande chaque exigence. « Rien trouvé » ne veut jamais dire « conforme ». Ce n’est ni une certification ni un conseil juridique.
Pour un évaluateur, trois autres fonctions aident :
- le registre des risques, pour les constats que vous avez choisi d’accepter, avec leur justification ;
- les attestations, des PDF datés de ce que la surveillance a vu sur une période, avec les mesures de l’article 21(2) de NIS2 dont une vue extérieure peut parler ;
- la surveillance des fournisseurs, pour l’exigence de NIS2 sur la chaîne d’approvisionnement (article 21(2)(d)).