Plateforme
Modules
Par secteur
By sector
Les normes que nous couvrons
Blog
Actualités
Événements
Normes · Cybersécurité
L'ISO/IEC 27001 et sa famille, les cadres du NIST et du CIS, l'IEC 62443, SOC 2 et TISAX, et les lois européennes qui vous engagent directement : NIS2, DORA, le règlement sur la cyber-résilience et le RGPD. Expliqués en mots simples, dans un seul catalogue, chaque entrée renvoyant à sa source.
Vue d'ensemble
Une exigence de sécurité arrive sous forme de norme, de cadre ou de loi. Savoir laquelle vous avez devant vous vous dit qui la contrôle et quelles preuves sont attendues.
L'ISO/IEC 27001 est le système de management qu'un client demande. Un organisme accrédité l'audite et délivre le certificat ; les 27002, 27005, 27017, 27018 et 27701 se lisent par-dessus.
NIST CSF 2.0 et SP 800-53, SP 800-171 pour la chaîne d'approvisionnement de la défense américaine, les CIS Controls, l'IEC 62443 pour les systèmes industriels. SOC 2 et TISAX sont les rapports et labels bâtis sur la même idée.
NIS2 et CER par secteur, DORA pour la finance, le règlement sur la cyber-résilience pour les produits, le RGPD pour les données personnelles. Une autorité de contrôle les fait appliquer, qu'un contrat les mentionne ou non.
Les mesures énumérées par les lois sont celles qu'un système 27001 met en œuvre. Bâtissez le système une fois, conservez ses preuves, et répondez à l'auditeur, au client et au régulateur à partir des mêmes enregistrements.
Cherchez dans le catalogue par nom, parcourez-le par famille, ou répondez à cinq questions sur votre situation. Chaque entrée renvoie à sa source et peut être demandée dans ComplyTrain.
Une exigence de sécurité parvient à une entreprise sous trois formes. Le questionnaire ou le contrat d'un client demande une norme, généralement l'ISO/IEC 27001. Un cadre comme celui du NIST donne à un programme sa structure et un catalogue de mesures au regard duquel l'évaluer. Et une loi vous engage non parce qu'un contrat le dit, mais en raison de ce que vous êtes et de ce que vous vendez : NIS2, DORA, le règlement sur la cyber-résilience, le RGPD. Cette page explique les trois, comment elles s'articulent et d'où viennent les documents. L'explorateur plus bas trouve ensuite celles qui correspondent à votre situation.
L'ISO/IEC 27001 est la norme internationale du système de management de la sécurité de l'information, et celle dont un client parle en premier. Elle est certifiable, elle est la même dans tous les secteurs, et son texte principal n'énumère aucune mesure technique : elle vous demande de faire fonctionner un système de management qui sait quelles informations vous détenez, en apprécie les risques, choisit des mesures et conserve les preuves qu'elles fonctionnent. L'annexe A de l'édition 2022 contient 93 mesures en quatre thèmes : organisationnelles, liées aux personnes, physiques et technologiques. L'ISO/IEC 27002 explique chaque mesure et sa mise en œuvre, et l'ISO/IEC 27005 décrit l'appréciation du risque que la norme exige sans la détailler. Voir ISO/IEC 27001, ISO/IEC 27002 et ISO/IEC 27005.
Autour de ce noyau se placent les extensions qu'un client particulier demande. L'ISO/IEC 27017 ajoute des mesures pour les services en nuage et l'ISO/IEC 27018 protège les données personnelles dans un nuage public ; les deux sont ce qu'on demande à un fournisseur de nuage de montrer. L'ISO/IEC 27701 étend le système de management à la protection de la vie privée, la forme sous laquelle un programme RGPD peut être mené. L'ISO/IEC 27035 couvre la gestion des incidents, et l'ISO 22301 la continuité d'activité. Aucune ne tient seule : chacune se lit par-dessus un système 27001. Voir ISO/IEC 27017 et ISO/IEC 27018.
Un cadre n'est pas un certificat. C'est une structure pour organiser un programme et un catalogue au regard duquel l'évaluer, et c'est avec lui qu'un auditeur, un assureur ou un client américain vous mesure. Le NIST Cybersecurity Framework 2.0, de 2024, compte six fonctions, Govern, Identify, Protect, Detect, Respond et Recover, et renvoie aux catalogues qui le sous-tendent. Le NIST SP 800-53 est le catalogue de mesures au regard duquel les systèmes fédéraux américains sont évalués, et celui auquel la plupart des autres catalogues se réfèrent. Le NIST SP 800-171 est le sous-ensemble qu'un fournisseur du département de la Défense des États-Unis respecte pour traiter des informations non classifiées contrôlées, et la base du programme de certification CMMC. Les CIS Controls sont dix-huit groupes de mesures priorités en trois groupes de mise en œuvre selon la taille de l'organisation, et le premier pas habituel quand rien de formel n'existe encore.
Deux cadres sont sectoriels. L'IEC 62443 est la série de sécurité des systèmes d'automatisation et de contrôle industriels : zones et conduits pour l'installation, cycle de développement sécurisé pour le produit (partie 4-1) et exigences techniques pour les composants (partie 4-2). TISAX est l'échange d'évaluations de sécurité de l'information de l'industrie automobile au regard du catalogue VDA ISA, et ce qu'on demande à un fournisseur d'un constructeur allemand. Et deux sont des attestations plutôt que des normes : un rapport SOC 2 est l'opinion d'un auditeur sur les mesures d'un prestataire de services au regard des Trust Services Criteria de l'AICPA, le document qu'un client américain demande à un fournisseur SaaS ; les schémas de certification du règlement européen sur la cybersécurité en sont l'équivalent européen, encore en cours de déploiement.
Une norme vous engage parce qu'un contrat le dit. Une loi vous engage en raison de ce que vous êtes. Cinq actes européens portent aujourd'hui des obligations de sécurité directes, et chacun a son propre champ d'application.
NIS2, la directive (UE) 2022/2555, s'applique aux entités essentielles et importantes de dix-huit secteurs, de l'énergie et des transports à l'infrastructure numérique, à la fabrication de produits critiques et à l'administration publique. Elle est transposée en droit national, si bien que les obligations exactes viennent de la loi de votre propre pays, mais la forme est partout la même : responsabilité de la direction, mesures de gestion des risques selon une liste fixée, sécurité de la chaîne d'approvisionnement, et alerte précoce en cas d'incident important dans les 24 heures. La directive REC, 2022/2557, en est le pendant pour la résilience physique des entités critiques.
DORA, le règlement (UE) 2022/2554, s'applique depuis janvier 2025 aux entités financières et à leurs prestataires tiers critiques de services TIC. Il exige la gestion du risque TIC, la notification des incidents, des tests de résilience incluant des tests d'intrusion fondés sur la menace pour les plus grandes, et un registre de chaque contrat TIC. Il s'applique directement, sans transposition nationale.
Le règlement sur la cyber-résilience, le règlement (UE) 2024/2847, vise les produits plutôt que les organisations : le matériel et les logiciels comportant des éléments numériques mis sur le marché de l'Union doivent être sûrs dès la conception, traiter les vulnérabilités pendant leur période de support et porter le marquage CE à ce titre. La déclaration des vulnérabilités activement exploitées commence en septembre 2026 et l'ensemble des obligations s'applique à partir de décembre 2027. L'ETSI EN 303 645 est le socle sur lequel s'appuie sa partie relative à l'IoT grand public.
Le RGPD, le règlement (UE) 2016/679, est le plus ancien des cinq et celui que tout le monde respecte déjà : sécurité du traitement adaptée au risque, et notification d'une violation à l'autorité de contrôle dans les 72 heures. Deux actes plus récents en touchent les bords : eIDAS 2, le règlement (UE) 2024/1183, pour les services de confiance et le portefeuille européen d'identité numérique, et le règlement sur l'IA, (UE) 2024/1689, dont les systèmes à haut risque ont besoin d'un système de gestion des risques et d'un système de management de la qualité propres.
Un certificat ISO/IEC 27001 ne satisfait pas à lui seul NIS2 ou DORA ; les lois ont leur propre champ, leurs propres délais de notification et leurs propres autorités. Mais les mesures qu'elles énumèrent, analyse des risques, traitement des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, contrôle d'accès, chiffrement, sont celles qu'un système 27001 met en œuvre, et les autorités nationales comme l'ENISA renvoient dans leurs lignes directrices à l'ISO/IEC 27001 et au cadre du NIST. Un système de management certifié est la façon habituelle de montrer à une autorité que les mesures existent et fonctionnent, et un registre des risques et un journal des incidents sont les preuves que lisent aussi bien un auditeur de certification qu'un régulateur.
Les normes ISO/IEC s'achètent auprès de l'ISO, de l'IEC ou de votre organisme national de normalisation. Toutes les publications du NIST sont gratuites auprès du Computer Security Resource Center du NIST, et les CIS Controls sont gratuits après inscription. Les actes européens sont gratuits sur EUR-Lex, et chaque entrée réglementaire de l'explorateur renvoie au texte consolidé qui s'y trouve ; les transpositions nationales de NIS2 et de REC viennent de votre propre législateur. L'IEC 62443 s'achète auprès de l'IEC ou de l'ISA, les critères de SOC 2 viennent de l'AICPA, et TISAX de l'association ENX.
Ni cette page, ni nous. Un contrat ou un questionnaire nomme la norme ; une loi nomme son propre champ, et savoir si vous y entrez est une question sur votre secteur, votre taille et ce que vous vendez, à laquelle répond votre conseil juridique. Ce que l'explorateur peut faire, c'est vous montrer la carte entière : cherchez par numéro ou par nom, parcourez par famille, ou répondez à cinq questions sur votre situation et voyez les domaines sur lesquels les entreprises comme la vôtre sont couramment interrogées. Chaque entrée renvoie à sa source, à sa page ComplyTrain lorsqu'elle existe, et sinon à une demande. ComplyTrain tient une norme sous forme d'arbre d'exigences, avec les preuves associées à chaque exigence. Le certificat, c'est à vous de l'obtenir.
Explorateur de normes
Cherchez ensemble dans la famille ISO/IEC 27000, les cadres du NIST et du CIS, l'IEC 62443, SOC 2 et TISAX, et les actes européens, parcourez-les par famille, ou répondez à cinq questions sur votre situation.
Rien ne correspond. Essayez un numéro, un code, ou parcourez par famille.
Les normes qui s'appliquent à vous sont fixées par vos contrats ; savoir quelles lois s'appliquent est une question sur votre secteur, votre taille et ce que vous vendez, à laquelle répond votre conseil juridique. Considérez ceci comme une carte, pas comme un verdict.
Cinq questions, cochez tout ce qui s'applique. Rien n'est enregistré.
Les domaines sur lesquels les entreprises comme la vôtre sont couramment interrogées, et les normes et lois de chacun. À confirmer avec vos contrats et votre conseil juridique.
Les normes qui s'appliquent à vous sont fixées par vos contrats ; savoir quelles lois s'appliquent est une question sur votre secteur, votre taille et ce que vous vendez, à laquelle répond votre conseil juridique. Considérez ceci comme une carte, pas comme un verdict.
Chaque page expose ce que la norme exige de vous et comment un espace de travail ComplyTrain s'organise autour d'elle. Le catalogue ci-dessus en contient bien davantage, et toute entrée peut être demandée. Ajouter une norme à un espace de travail prend en général quelques jours, ce n'est pas un projet.
ISO/IEC 27001
ISO 27001 est la norme relative aux systèmes de management de la sécurité de l'information (SMSI). ComplyTrain vous fournit le cadre pour construire, exploiter et étayer par des preuves votre SMSI. La certification, elle, reste la vôtre à obtenir.
ISO/IEC 27002
La norme ISO 27002 fournit les recommandations de mise en œuvre des mesures de sécurité de l'information listées dans l'annexe A de la norme ISO 27001. ComplyTrain traite chaque mesure comme une exigence, accompagnée des preuves d'audit qui démontrent qu'elle fonctionne.
ISO/IEC 27005
ISO 27005 fournit les lignes directrices pour le management du risque en sécurité de l'information. Elle couvre l'appréciation et le traitement du risque qu'ISO 27001 exige sans les décrire. ComplyTrain en fait un registre vivant, et non un document annuel.
ISO/IEC 27017
ISO 27017 étend les mesures de sécurité de l'ISO 27002 aux services cloud et en ajoute qui leur sont propres. ComplyTrain traite chacune comme une exigence, y compris celles qui incombent à votre fournisseur plutôt qu'à vous.
ISO/IEC 27018
ISO 27018 étend l'ISO 27001 à la protection des données personnelles dans les clouds publics. ComplyTrain vous fournit le cadre pour piloter ces contrôles et en apporter la preuve.
Une norme arrive le plus souvent comme une condition contractuelle ou un courrier d'une autorité, pas comme un projet que quelqu'un avait prévu, et souvent dans une entreprise sans responsable qualité. Le logiciel est la moitié de la réponse. Les consultants de Skylen sont l'autre moitié, et parce qu'ils s'appuient sur ComplyTrain dès le premier jour, il vous reste un système vivant qui appartient à votre équipe plutôt qu'un classeur et un consultant reparti.
Une lecture clause par clause de votre situation au regard de la norme que cite votre contrat ou votre autorité, transformée en un plan priorisé que vous pourrez mener avec nous ou seul.
Ce que couvre une analyseNos consultants construisent le système avec votre équipe - procédures, maîtrise documentaire, les enregistrements à conserver et le rythme des revues - et vous préparent à l'audit ou à l'inspection.
Comment se déroule une missionNous exploitons et maintenons le système pour vous, afin qu'une petite équipe puisse atteindre et tenir une norme sans recruter un responsable qualité.
Ce que signifie le service completNon, et rien ne le fait à soi seul. NIS2 est transposée en droit national avec son propre champ, sa propre liste de mesures et ses propres délais de notification, et une autorité vous contrôle au regard de cette loi, pas d'un certificat. Un système 27001 met bien en œuvre les mesures que la loi énumère, si bien que le certificat et les enregistrements du système sont la façon habituelle de montrer à une autorité qu'elles existent. Lisez votre loi nationale pour les obligations et les délais.
L'ISO/IEC 27001 est une certification : un organisme accrédité vous audite et délivre un certificat. Les ISO/IEC 27017, 27018 et 27701 sont auditées comme des extensions de celle-ci. SOC 2 est un rapport d'attestation, une opinion qu'un auditeur rédige, pas un certificat. TISAX est une évaluation assortie d'un label partagé via la plateforme ENX. Le cadre du NIST, le SP 800-53 et les CIS Controls sont des cadres au regard desquels vous vous évaluez, CMMC étant le programme de certification bâti sur le SP 800-171. L'IEC 62443 dispose de schémas de certification de produits et de processus opérés par des tiers. Une loi n'est rien de tout cela : vous vous y conformez, et une autorité la fait appliquer.
L'ISO/IEC 27001 est la norme d'exigences, celle selon laquelle vous êtes certifié : elle dit ce qu'un système de management doit faire et énumère les mesures dans son annexe A. L'ISO/IEC 27002 est le guide : elle reprend chacune de ces mesures et explique ce qu'elle signifie et comment la mettre en œuvre. Vous ne pouvez pas être certifié selon la 27002. Voir ISO/IEC 27001 et ISO/IEC 27002.
Demandez au client, car c'est sa procédure d'achat qui décide. Un grand compte américain demande généralement à un fournisseur SaaS un rapport SOC 2 de type II ; un acheteur européen ou public demande généralement l'ISO/IEC 27001. Les deux se recoupent largement et beaucoup d'entreprises détiennent les deux, en exploitant un seul jeu de mesures et en le faisant auditer deux fois. À un fournisseur du département de la Défense des États-Unis, on demande le NIST SP 800-171 et, de plus en plus, CMMC.
Si vous mettez sur le marché de l'Union un produit comportant des éléments numériques, matériel ou logiciel, il s'applique, sauf si le produit relève d'un acte sectoriel qui régit déjà sa sécurité, comme les dispositifs médicaux ou les véhicules. Les logiciels libres proposés en dehors d'une activité commerciale en sont exclus. Ce que l'acte exige dépend de la classe du produit ; les obligations de déclaration commencent en septembre 2026 et le reste en décembre 2027. Savoir si votre produit entre dans le champ est une question juridique pour votre conseil.
Non. La certification est délivrée par un organisme de certification accrédité, une autorisation par votre autorité, et l'assurance qualité étatique est exercée par l'autorité d'acquisition. ComplyTrain est le système dans lequel vous construisez, pilotez et prouvez votre conformité, et les consultants de Skylen peuvent vous accompagner dans ce travail. Le certificat, c'est à vous de l'obtenir.
Oui, c'est précisément à cela que sert le bouton « Demander l'accès » présent sur chaque entrée. Indiquez-nous la norme et l'origine de l'exigence, et nous revenons vers vous sur ce qu'implique de la tenir dans votre espace de travail, en général sous un jour ouvré. Ajouter une norme à un espace de travail prend en général quelques jours, ce n'est pas un projet. ComplyTrain tient une norme sous forme d'arbre d'exigences avec vos preuves associées à chaque exigence, et c'est cet arbre que nous construisons.