NIST CSF.
Décrire les risques de cybersécurité dans un langage commun de résultats et hiérarchiser les améliorations dans un périmètre adapté.
- NIST CSWP 29 · CSF 2.0
- Par Jonathan Bezdek
- À jour au 22/10/2026
- Temps de lecture : 8 min
Réponse courte.
Le NIST CSF est un cadre de pilotage des risques de cybersécurité pour les organisations de différentes tailles et de différents secteurs. Le NIST Cybersecurity Framework 2.0 organise les résultats souhaités en six fonctions. Les profils actuels et cibles aident à hiérarchiser les améliorations. Le cadre ne prescrit pas de liste uniforme de mesures ; les Tiers caractérisent le pilotage des risques.
Le NIST Cybersecurity Framework 2.0.
Le NIST CSF 2.0 décrit des résultats dont la direction, les métiers et les équipes sécurité peuvent discuter ensemble. L’édition a été publiée le 26 février 2024 sous la référence NIST CSWP 29. La page actuelle de l’éditeur présente toujours cette édition de base ; des guides et Community Profiles complémentaires en facilitent l’application. Un document d’accompagnement plus récent n’est donc pas automatiquement une nouvelle version du cadre.
Le Core organise les résultats en fonctions, catégories et sous-catégories. Un Organizational Profile consigne les résultats atteints ou visés pour un périmètre donné. Les Tiers apportent un contexte complémentaire sur le pilotage des risques. NIST SP 1299 explique séparément ces trois composantes : panorama thématique, profil et caractérisation des pratiques répondent à des questions différentes.
La mise en œuvre concrète dépend du contexte. NIST CSWP 29, section 1, s’adresse à différents secteurs et tailles d’organisation sans imposer un catalogue identique de mesures. En pratique, un résultat doit être relié aux services, risques et responsabilités propres à l’organisation avant de devenir une tâche pertinente de mise en œuvre.
À qui s’adresse le NIST CSF.
Le NIST CSF convient aux organisations souhaitant justifier clairement leurs priorités de sécurité et les relier à leurs objectifs métier. La page publique du NIST cite explicitement différentes tailles, différents secteurs et situations initiales. Le cadre peut aider aussi bien à démarrer qu’à réévaluer un programme de sécurité existant. Un haut niveau technique ne supprime pas la nécessité de décider des risques acceptables.
L’application est en principe volontaire ; les dispositions légales, administratives ou contractuelles concrètes doivent être examinées séparément. La FAQ actuelle du NIST mentionne de possibles exigences externes. Pour une entreprise allemande, son origine au ministère américain du Commerce n’implique ni obligation générale d’utilisation ni exclusion. Clarifiez en pratique si un client attend un profil, une évaluation ou une autre preuve précise.
Les six fonctions du NIST CSF.
Les six fonctions CSF organisent les résultats de cybersécurité liés. NIST CSWP 29, section 2, les considère simultanément ; leur ordre ne constitue pas une succession de phases de projet à achever une seule fois. Les descriptions suivantes présentent les principaux domaines dans nos propres termes.
Govern : clarifier l’orientation et les responsabilités.
Govern relie les décisions de sécurité à la mission de l’organisation, à ses attentes en matière de risques et à la supervision par la direction. Les responsabilités et le traitement des dépendances externes font partie de ce contexte. En pratique, une règle devient utilisable lorsque les personnes habilitées à décider des écarts sont identifiables.
Identify : comprendre les risques dans leur contexte opérationnel.
Identify s’intéresse à l’existant et aux risques associés. Cela comprend les informations, services et dépendances essentiels à l’exploitation. Un inventaire soutient ce travail ; une simple liste n’explique ni l’importance métier ni les liens avec les fournisseurs.
Protect : mettre en place une protection adaptée.
Protect concerne les dispositions limitant les risques pour les services et informations de l’organisation. Personnes, processus et technologies y contribuent ensemble. La configuration adaptée doit découler du contexte propre ; le seul nom de la fonction ne détermine ni un produit ni une configuration précise.
Detect : repérer et analyser les anomalies.
Detect traite de la capacité à remarquer et analyser des événements potentiellement dommageables. L’évaluation pratique porte donc aussi sur la transformation des observations en décisions compréhensibles. Un outil de surveillance activé ne démontre pas encore sa couverture, le traitement des alertes ou la qualité de détection.
Respond : agir de manière coordonnée lors des incidents.
Respond organise les actions liées à un incident de cybersécurité détecté. L’organisation doit coordonner sa réponse avec les acteurs concernés. Un exercice vérifiant les circuits de décision et les informations disponibles constitue un point de départ pratique ; les seuils légaux de notification doivent être examinés en complément.
Recover : rétablir l’activité.
Recover concerne le rétablissement des capacités touchées et la communication associée. Sa préparation commence avant l’incident. Au quotidien, les responsables doivent donc pouvoir vérifier si le redémarrage est possible avec les dépendances supposées et quelles décisions sont réellement nécessaires lors d’une perturbation.
Appliquer le NIST CSF à l’aide de profils.
Convenir du périmètre et de la finalité.
Pour commencer concrètement, délimitez un service ou un domaine organisationnel et clarifiez la question de risque à laquelle la direction souhaite répondre avec le profil.
Réunir les informations existantes.
Selon l’approche de NIST SP 1301, recueillez les objectifs, risques, exigences, responsabilités et informations opérationnelles pertinents pour ce périmètre.
Distinguer le profil actuel et le profil cible.
Décrivez l’état atteint de manière traçable et définissez séparément les résultats visés et leurs priorités.
Décider des améliorations.
Évaluez les différences et définissez les actions concrètes, les responsables et les ressources plutôt que d’accorder le même poids à toute amélioration possible.
Mettre en œuvre et réévaluer.
Suivez le plan convenu et actualisez les profils selon les enseignements ou changements de risques ; ces étapes constituent un point de départ reproductible fondé sur NIST SP 1301.
Évaluer les profils et les Tiers de manière traçable.
Un profil CSF est une représentation justifiée de l’état considéré. NIST SP 1301 distingue Current et Target Profile : le premier décrit les résultats atteints, le second les objectifs et priorités retenus. Un Community Profile peut servir de repère ; la page NIST sur les profils le décrit comme une base commune à un groupe. Le périmètre propre et les décisions réelles restent à expliquer.
Les quatre Tiers sont Partial, Risk Informed, Repeatable et Adaptive. Selon NIST SP 1302, ils caractérisent le degré de structuration de la gouvernance et de la gestion des risques. Leur choix tient compte notamment des objectifs, risques, exigences et ressources disponibles. Ils complètent la méthode de risque ; ils ne remplacent ni une preuve concrète ni une décision justifiée sur l’état nécessaire.
Une évaluation interne ou externe commandée doit préciser son périmètre, sa date, sa méthode et ses limites. Le NIST ne propose pas de certification CSF ; un rapport privé ne doit donc pas être présenté comme un certificat émis par le NIST. Définissez concrètement les changements déclenchant une réévaluation. Aucune durée générale de certificat ne découle du CSF.
Pour aller plus loin sur le blog.
Situer les autres référentiels.
ISO 27001 décrit les exigences d’un système de management de la sécurité de l’information avec une certification possible. NIST SP 800-53 fournit un catalogue détaillé de contrôles de sécurité et de protection des données, tandis que les CIS Controls organisent les pratiques de protection prioritaires. Ces aides peuvent concrétiser le travail opérationnel ; leur application doit être évaluée séparément de la présentation d’un profil CSF.
Dans Secani.
Secani propose un catalogue de travail éditorial allemand/anglais pour le NIST CSF 2.0. Les informations de profil existantes recensent notamment la date d’évaluation, le périmètre convenu et la finalité du profil : état actuel, cible ou les deux. Le catalogue ne remplace ni le texte anglais de l’éditeur ni l’évaluation spécialisée ; aucune détermination automatique du Tier ou certification NIST n’est promise.
Commencer par une question concrète de risque.
Choisissez un service représentatif et nommez la décision que le profil doit préparer. Consignez le périmètre, y compris les fournisseurs importants et les processus de soutien. Recueillez les enregistrements existants avant de décrire un état cible. Vous verrez ainsi quelles affirmations sont déjà solides et où un examen supplémentaire est d’abord nécessaire.
Sources.
- NIST – centre de ressources CSF 2.0 actuel
- NIST CSWP 29 – Cybersecurity Framework 2.0, 26 février 2024
- NIST – page de publication du CSF 2.0
- NIST SP 1299 – Resource & Overview Guide
- NIST SP 1301 – Organizational Profiles
- NIST – profils et modèles actuels
- NIST SP 1302 – Using the CSF Tiers
- NIST – questions fréquentes sur le CSF
Questions fréquentes.
Non. Le CSF 2.0 est conçu pour des organisations de différents pays, tailles et secteurs ; les éventuelles obligations légales ou contractuelles d’utilisation doivent être examinées séparément.
Non. Les Tiers caractérisent la gouvernance et la gestion des risques dans leur contexte ; ce ne sont ni des niveaux de certification attribués par le NIST ni des notes universelles de maturité.
Non. NIST SP 1302 fonde le choix sur les objectifs, les risques, les exigences et la faisabilité ; un niveau supérieur n’est pas une fin en soi générale.
Non. Un profil CSF et une certification du SMSI expriment des conclusions différentes ; une preuve contractuelle doit être examinée selon le libellé et le périmètre convenus.
Relier les résultats et les preuves.
Discutons de la manière de structurer le travail sur votre programme de sécurité dans Secani.
Cette page explique le NIST CSF 2.0 dans ses propres termes. Les publications de l’éditeur font foi ; l’évaluation d’un profil ne remplace pas l’examen distinct des obligations légales ou contractuelles.