Gérer plusieurs référentiels de conformité sans multiplier les audits
ISO 27001, NIS 2, DORA, RGPD, exigences des clients : chaque référentiel arrive avec son projet, son tableau et son audit. La conformité multi-référentiels consiste à inverser la logique : un seul dispositif de contrôles, relié à chaque texte.
Une erreur fréquente coûte cher à de nombreuses organisations : traiter chaque référentiel comme un projet séparé. Le projet RGPD a produit son registre et ses procédures. Le projet ISO 27001 a produit sa déclaration d’applicabilité et ses politiques. Le projet NIS 2 démarre avec son propre cabinet de conseil et son propre tableau d’écarts. Les clients envoient leurs questionnaires de sécurité, chacun dans son format. Résultat : des politiques qui se contredisent, des preuves produites trois fois, des équipes épuisées par les audits. La conformité multi-référentiels consiste à inverser la logique : un seul dispositif de contrôles, relié à chaque texte.
Pourquoi c’est possible : les référentiels se recoupent
Les principaux référentiels de sécurité de l’information décrivent, avec des mots différents, des exigences très proches. Gérer les incidents, assurer la continuité, contrôler les accès, encadrer les fournisseurs, sauvegarder, former, évaluer les risques : on retrouve ces thèmes partout. Le tableau suivant en donne quelques exemples.
| Exigence commune | ISO/IEC 27001:2022 (annexe A) | NIS 2 | DORA | RGPD |
|---|---|---|---|---|
| Gestion des incidents | 5.24 à 5.28 | Art. 21.2 b, art. 23 | Art. 17 à 19 | Art. 33 et 34 |
| Continuité et sauvegardes | 5.29, 5.30, 8.13 | Art. 21.2 c | Art. 11 et 12 | Art. 32.1 c |
| Fournisseurs et sous-traitants | 5.19 à 5.22 | Art. 21.2 d | Art. 28 à 30 | Art. 28 |
| Contrôle d’accès et authentification | 5.15 à 5.18, 8.5 | Art. 21.2 i et j | Art. 9 | Art. 32 |
| Gouvernance et rôle de la direction | Clause 5 | Art. 20 | Art. 5 | Art. 24 |
Ces correspondances ne signifient pas que les exigences sont identiques. Les délais de notification diffèrent (24 heures pour l’alerte précoce de NIS 2, 72 heures pour la notification d’une violation de données au titre du RGPD, des délais propres à DORA pour les incidents majeurs), les périmètres aussi. Mais le contrôle sous-jacent (savoir détecter, qualifier et signaler un incident) est le même, et il gagne à être construit une seule fois.
On ne se conforme pas à quatre textes ; on gère un ensemble de risques avec un ensemble de contrôles, et l’on démontre, texte par texte, que ces contrôles couvrent les exigences.
La démarche en sept étapes
- Recenser les obligations. Lister tous les référentiels applicables : lois et règlements (RGPD, NIS 2, DORA pour le secteur financier, règles sectorielles), normes choisies (ISO/IEC 27001, ISO/IEC 27701 pour la vie privée), exigences contractuelles des clients, engagements de groupe. Pour chacun, noter le périmètre, l’autorité ou le client concerné, et le mode de contrôle.
- Choisir un référentiel pivot. Celui qui servira de colonne vertébrale. L’ISO/IEC 27001 est souvent retenue pour son système de management et sa certification reconnue ; sa version 2022 compte 93 mesures réparties en quatre thèmes (organisationnel, humain, physique, technologique). Le cadre du NIST, dont la version 2.0 publiée en février 2024 a ajouté une fonction consacrée à la gouvernance, est une alternative fréquente.
- Construire le catalogue de contrôles. À partir du pivot, rédiger les contrôles propres à l’organisation : ce qui est fait, par qui, à quelle fréquence, avec quelle preuve. Un contrôle est une pratique concrète (« les droits d’accès aux applications critiques sont revus chaque trimestre par les responsables métier »), pas une reformulation de la norme.
- Établir la table de correspondance. Pour chaque exigence de chaque référentiel, indiquer le ou les contrôles qui la couvrent. Les exigences sans contrôle correspondant sont des écarts à traiter ; les contrôles sans exigence sont à justifier ou à supprimer. Plusieurs organismes publient des correspondances entre référentiels, qui servent de point de départ mais ne dispensent pas d’une analyse propre.
- Traiter les exigences spécifiques. Certaines exigences n’existent que dans un texte : l’enregistrement auprès de l’autorité NIS 2, les tests de pénétration fondés sur la menace prévus par DORA pour certaines entités, le registre des traitements du RGPD. Elles font l’objet de contrôles dédiés, rattachés au même catalogue.
- Organiser une base de preuves unique. Chaque contrôle produit des preuves (compte rendu de revue, journal, rapport de test, attestation de formation) rangées une seule fois, datées, reliées au contrôle et donc, par la table de correspondance, à tous les référentiels concernés.
- Intégrer le calendrier des audits. Regrouper autant que possible les audits internes, coordonner les audits externes, et préparer pour chaque auditeur une vue de la base de preuves filtrée selon son référentiel.
Les questionnaires des clients
Pour les fournisseurs, les questionnaires de sécurité envoyés par les clients représentent souvent une charge plus lourde que les audits officiels : des dizaines de questionnaires par an, chacun avec ses propres questions. Le dispositif unifié aide ici aussi. Une bibliothèque de réponses types, rattachées aux contrôles et aux preuves, permet de répondre plus vite et de façon cohérente. Un dossier de sécurité standard (politique, synthèse des mesures, certifications, engagements de notification) peut être proposé d’emblée et réduit le nombre de questions spécifiques. L’arrivée de NIS 2, qui impose aux entités concernées d’évaluer la sécurité de leurs fournisseurs, rend ce dossier d’autant plus utile.
Qui porte le dispositif
Le dispositif unifié a besoin d’un propriétaire. Dans une organisation de taille moyenne, il s’agit souvent du responsable de la sécurité des systèmes d’information, associé au délégué à la protection des données et à la fonction conformité. Chaque contrôle a, lui, un responsable opérationnel dans le service qui l’applique. Une revue périodique en comité de direction examine l’état des contrôles, les écarts, les audits à venir et les évolutions réglementaires, et arbitre les priorités. C’est cette revue qui donne au dispositif son autorité.
Les pièges à éviter
Le tableau qui devient l’objectif. La table de correspondance est un outil, pas une fin. Une organisation peut avoir un tableau impeccable et des contrôles qui ne sont pas réellement appliqués. Les auditeurs le voient vite.
Le pivot appliqué à la lettre. Reprendre mot pour mot les mesures de la norme sans les adapter produit des contrôles abstraits, que personne ne sait appliquer. Le catalogue doit décrire ce que fait réellement l’organisation.
Le cloisonnement des équipes. Le délégué à la protection des données, le responsable de la sécurité, le contrôle interne et la conformité réglementaire travaillent parfois chacun de leur côté. Le dispositif unifié suppose une instance commune, au moins pour le catalogue de contrôles, la base de preuves et le calendrier.
L’oubli des échéances. Les référentiels évoluent. Les organisations certifiées selon l’ancienne version de l’ISO/IEC 27001 doivent avoir achevé leur transition vers la version 2022 au plus tard le 31 octobre 2025. Une veille réglementaire et normative, rattachée au catalogue, évite de découvrir les changements au moment de l’audit.
Ce que l’on y gagne
Le premier gain est le temps : une preuve produite une fois sert plusieurs fois, et chaque nouvel audit ou questionnaire part d’une base existante. Le deuxième est la cohérence : une seule politique de gestion des incidents, connue de tous, plutôt que trois procédures différentes. Le troisième, le plus important, est la lisibilité pour la direction : un seul tableau de bord des risques et des contrôles, au lieu d’une collection de projets de conformité dont personne ne voit l’ensemble.
Pour les obligations propres à chaque texte, voir notre dossier NIS 2 et notre note sur les cinq piliers de DORA. Pour conserver une base de preuves datée et traçable, notre produit Gouvernance est conçu pour cet usage, et notre expertise cybersécurité et conformité peut accompagner la construction du catalogue et de la table de correspondance.
Questions fréquentes
Quel référentiel choisir comme pivot ?
Celui qui structure déjà le mieux l'organisation ou que ses parties prenantes exigent. L'ISO/IEC 27001 est souvent retenue parce qu'elle fournit un système de management complet et une certification reconnue. Le cadre du NIST (CSF 2.0) est une alternative fréquente, notamment dans les groupes internationaux.
Une certification ISO 27001 dispense-t-elle des autres audits ?
Non. Chaque autorité ou client garde le droit de vérifier le respect de ses propres exigences. Mais une certification solide, avec une base de preuves bien tenue, réduit fortement le travail de chaque audit supplémentaire, qui peut s'appuyer sur les preuves existantes.
Faut-il un outil spécialisé de gestion de la conformité ?
Pas nécessairement au début. Un tableau de correspondance bien tenu et un espace de preuves organisé suffisent pour une organisation de taille moyenne. Un outil devient utile quand le nombre de référentiels, d'entités ou d'audits rend la tenue manuelle trop fragile.