Référentiels : couverture, réglages et étiquettes
Un référentiel est une grille de lecture posée sur le travail que vous faites déjà dans l’outil. Renseigner une stack, corriger une CVE dans les délais, motiver une exception, planifier la sortie d’un composant en fin de vie, attester une revue d’inventaire, importer un scan, tenir le registre des fournisseurs ou des incidents : chacun de ces gestes produit une preuve, et chaque preuve répond à plusieurs textes à la fois.
L’organisation choisit les référentiels qu’elle suit : NIS2 (directive (UE) 2022/2555 et règlement d’exécution 2024/2690), ISO/IEC 27001:2022, CIS Controls v8, guide d’hygiène informatique de l’ANSSI. NIS2 est un référentiel comme les autres : on la suit ou non.
Trois endroits
Section intitulée « Trois endroits »| Où | Ce qu’on y fait |
|---|---|
| Réglages › Référentiels (réglages de l’organisation) | choisir les référentiels suivis, le statut NIS2 de l’entité, les responsables, les projets couverts, les délais de correction, le rapport pour la direction |
Référentiels (page Couverture, adresse /referentiels) |
lire, pour chaque référentiel suivi, ses exigences, les mesures de l’outil qui y répondent, l’écran de la preuve et le statut |
| Les écrans de tous les jours | de petites étiquettes (« NIS2 21.2.e · ISO 27001 A.8.8 ») rappellent les exigences que sert l’écran |
Tant que l’organisation ne suit aucun référentiel, rien de tout cela ne s’affiche : ni étiquette, ni onglet de rapport pour la direction. La page Couverture se contente de mener aux réglages.
Choisir ses référentiels
Section intitulée « Choisir ses référentiels »Les réglages se trouvent dans Espace de travail › Organisations, réglages de l’organisation, groupe Conformité : pages Référentiels, Responsables et Rapport direction (les délais de correction sont dans Veille et correction › Délais de correction, les projets couverts sur la page Couverture). Les anciennes adresses /conformite/reglages et /conformite/activation mènent à la page correspondante.
- Ouvrez Réglages › Référentiels. Le sommaire en tête mène à chaque section ; Voir la couverture ouvre la page Couverture.
- Section Référentiels suivis : un interrupteur par référentiel. Chacun indique le nombre et la liste des exigences reliées à l’outil. Chaque bascule est enregistrée aussitôt (« Référentiels enregistrés »).
- Si NIS2 est suivie, choisissez le statut de l’entité au titre de NIS2 : Entité essentielle, Entité importante, Non concernée (suivi volontaire, comme bonne pratique) ou Je ne sais pas encore.
Le statut NIS2 est informatif : il ne change aucun calcul, il dit à quel titre l’organisation suit NIS2. Seuls les administrateurs et le propriétaire de l’organisation choisissent ; les autres membres lisent.
Les autres pages
Section intitulée « Les autres pages »- Responsables : direction, responsable de la sécurité, contact incident, désignés par le propriétaire (voir Réglages NIS2).
- Projets couverts : tous les projets de l’organisation, chacun avec son état, ses workflows et Activer ou Désactiver. Activer un projet ouvre ses registres (échéances, fin de vie, revues, risques acceptés) ; le premier projet activé ouvre ceux de l’organisation (fournisseurs, incidents, rapport). C’est l’activation par projet de toujours (voir Activer NIS2 sur un projet), qui vaut pour tous les référentiels suivis.
- Workflows de l’organisation, Délais de correction, Rapport pour la direction et le catalogue des workflows : inchangés (voir Réglages NIS2).
Ce que le choix change, et ce qu’il ne change pas
Section intitulée « Ce que le choix change, et ce qu’il ne change pas »Suivre un référentiel ne change ni l’offre, ni les droits, ni les registres : il pose sa grille de lecture sur les mêmes mesures. Une organisation qui ne suit qu’ISO 27001 garde ses registres (fournisseurs, incidents, revues…) tant que son offre les comprend et qu’au moins un projet est couvert : la règle d’accès est celle d’aujourd’hui (offre, puis activation par projet).
La page Couverture
Section intitulée « La page Couverture »La page Référentiels (/referentiels) est la vue de l’auditeur : on n’y travaille pas, on y lit ce que le travail a produit. Elle suit l’organisation du projet actif ; l’ancienne adresse /conformite y mène.
- Sélecteur : un onglet par référentiel suivi (« NIS2 », « ISO 27001 »…), quand l’organisation en suit plusieurs.
- Résumé : le nombre d’exigences par statut et le nombre de projets couverts (dans votre périmètre, sur ceux activés dans l’organisation). Une phrase rappelle que seules les exigences reliées à l’outil sont comptées.
- Tableau : une ligne par exigence, avec ses numéros et son intitulé, les mesures de l’outil qui y répondent (chacune avec un point de couleur, un chiffre clé et le lien Voir la preuve vers l’écran où elle se produit), puis le statut de l’exigence.
- En tête de page : Rapport référentiels (direction) (page Rapports) pour qui peut le lire, et Réglages.
Si aucun projet n’est encore couvert, un bandeau le dit et mène à la section Projets couverts.
Les statuts
Section intitulée « Les statuts »| Statut | Signification |
|---|---|
| Couvert | la mesure tourne et sa preuve est à jour |
| Partiel | elle tourne, mais quelque chose attend : échéance proche, responsable tenu par défaut, projet non scanné… |
| À faire | elle n’a encore rien produit (aucun projet couvert, registre vide, aucun scan), ou une obligation datée est dépassée |
| Non couvert par l'outil | le module qui la produit n’est pas dans l’offre de l’organisation |
Une exigence prend le statut le plus sévère de ses mesures. Elle n’est « non couverte par l’outil » que si aucune de ses mesures n’est produite ; si une seule manque parmi d’autres, elle est partielle.
Les mesures et leur preuve
Section intitulée « Les mesures et leur preuve »| Mesure | Chiffre clé | Où se produit la preuve |
|---|---|---|
| Responsables désignés | fonctions tenues par défaut | Réglages › Responsables |
| Veille par stack | projets dont la stack est suivie, fraîcheur des sources nationales (CERT-FR, EUVD) | Stack |
| Correction dans les délais | taux de respect des délais sur 90 jours | Planning des échéances |
| Exceptions et atténuations | risques acceptés en vigueur, en attente d’approbation, à revoir | Alertes, vue Exceptions |
| Fin de vie des composants | composants hors support parmi les composants datés | Fin de vie |
| Inventaire et revues | date de la dernière revue d’inventaire | Stack |
| Fournisseurs | taille du registre, évaluations échues | registre des fournisseurs |
| Incidents | registre utilisé ou non, date du dernier incident, déclarations en retard | registre des incidents |
| Scans importés | date du dernier scan, projets scannés sous 90 jours | Imports, connecteurs et scans |
| Divulgation coordonnée | modèle fourni (toujours « Partiel » : la procédure est un document de l’organisation) | Télécharger le modèle, sur la ligne |
| Rapports et preuves | date du dernier rapport à la direction | Rapports |
Les chiffres sont ceux du rapport pour la direction : mêmes calculs, mêmes définitions. Les registres de projet ne comptent que les projets couverts que vous pouvez consulter ; le détail des incidents est réservé aux responsables et aux administrateurs (les autres voient le statut, pas les chiffres).
Les étiquettes sur les écrans
Section intitulée « Les étiquettes sur les écrans »Sur les écrans qui produisent une preuve, de petites étiquettes discrètes rappellent les exigences des référentiels suivis : une étiquette par référentiel (« NIS2 21.2.e, CIR 6.6 », « ISO 27001 A.8.8 »). Au survol ou au clavier, une infobulle donne l’intitulé de chaque exigence.
| Écran | Mesure |
|---|---|
| En-tête de la page Stack | veille par stack, inventaire et revues |
| Page Fin de vie | fin de vie des composants |
| Stack › Scans | scans importés |
| Rapports, nouveau rapport : preuve de remédiation, pack de preuves | rapports et preuves |
| En-tête de la page Incidents | incidents |
| En-tête de la page Fournisseurs | fournisseurs |
| Alertes, vue Exceptions | exceptions et atténuations |
| En-tête du Planning | correction dans les délais (fin de vie sur la vue Fin de vie) |
| Bandeau de revue d’inventaire de la page Stack | inventaire et revues |
Sans référentiel suivi, ou si l’offre de l’organisation ne comprend pas les référentiels (ou ce référentiel), aucune étiquette n’apparaît.
Le rapport référentiels (direction)
Section intitulée « Le rapport référentiels (direction) »Le rapport pour la direction devient le rapport référentiels (direction) : page Rapports, onglet Référentiels (direction) (l’ancien lien ?onglet=nis2 y mène). Son titre est « Rapport référentiels — direction » ; ses références suivent les référentiels suivis : les articles de NIS2 (et l’article 20 sur la direction) seulement si NIS2 est suivie, sinon les exigences des référentiels suivis. Pour le reste : synthèse, correspondance des obligations, une table par autre référentiel suivi, indicateurs et annexes (voir Le rapport pour la direction). L’onglet n’apparaît que si l’organisation suit au moins un référentiel.
Qui peut faire quoi
Section intitulée « Qui peut faire quoi »| Action | Qui |
|---|---|
| Lire la page Couverture et les pages Référentiels et Responsables | tout membre de l’organisation, si l’offre comprend les référentiels |
| Choisir les référentiels et le statut NIS2 | propriétaires et administrateurs de l’organisation |
| Activer ou désactiver un projet couvert | propriétaires et administrateurs ; pour son projet, qui a « Paramètres du projet » |
| Désigner les responsables | le propriétaire |
| Lire et générer le rapport pour la direction | propriétaires, administrateurs, responsables |
Disponible selon votre offre
Section intitulée « Disponible selon votre offre »La page Couverture, la page Réglages › Référentiels, les étiquettes et le rapport direction demandent la fonction Référentiels de l’offre (Pro et Business). Chaque référentiel a en plus son propre interrupteur d’offre : un référentiel non inclus porte un cadenas et le nom de l’offre qui l’ouvre, ne peut pas être ajouté, et n’entre ni dans la couverture, ni dans les étiquettes, ni dans le rapport. S’il était déjà suivi, il reste choisi et revient avec l’offre. Voir aussi : Abonnement › pages, vues et éléments.
Questions fréquentes
Section intitulée « Questions fréquentes »Je ne vois aucune étiquette. L’organisation ne suit aucun référentiel, ou son offre ne comprend pas les référentiels. Ouvrez Réglages › Référentiels.
Pourquoi la divulgation coordonnée reste-t-elle « Partiel » ? L’outil fournit le modèle de procédure ; la procédure elle-même est un document de votre organisation, à compléter et publier hors de l’outil. L’outil ne peut pas savoir qu’elle est publiée.
Toutes mes exigences sont « À faire ». Aucun projet n’est encore couvert, ou vous ne consultez aucun projet couvert. Activez au moins un projet dans Projets couverts.