Ressources · 05

Due diligence numérique : checklist de confiance avant décision

Vérifier une organisation, ses dirigeants, ses dépendances et ses signaux de risque sans transformer l’enquête en accumulation de données.

Mis à jour le 28 octobre 2026 · 16 min

Illustration · scène fictive

Ce que ce guide permet

Vérifier l’identité au-delà du discours commercial
Relier les signaux numériques au risque de décision
Distinguer faits, allégations et inconnues
Poser des conditions mesurables avant engagement

Contrôle express

L’entité contractante est-elle clairement identifiée ?
Les bénéficiaires effectifs et dirigeants sont-ils cohérents ?
Les dépendances critiques ont-elles une solution de repli ?
Les incidents sont-ils datés, sourcés et contextualisés ?
Quel fait nouveau ferait changer la recommandation ?

Méthode pas à pas

01
Cadrer la décision et la proportionnalité
Précisez la décision, le montant ou l’impact exposé, les juridictions, les personnes concernées et le niveau de vérification justifié. Écartez les données sans utilité décisionnelle.
Livrable : mandat de vérification et critères d’arrêt.
02
Établir identité et contrôle
Recoupez registres officiels, bénéficiaires effectifs, dirigeants, adresses, domaines et comptes institutionnels. Documentez les homonymies et divergences au lieu de les résoudre par intuition.
Livrable : fiche d’identité sourcée.
03
Cartographier activités et dépendances
Reliez produits, clients sensibles, fournisseurs, hébergeurs, sous-traitants, licences et zones d’activité. Cherchez les concentrations et dépendances sans alternative réaliste.
Livrable : carte des dépendances critiques.
04
Qualifier réputation et incidents
Construisez une chronologie depuis les sources primaires : décisions publiques, communications officielles, incidents, corrections et réponses de l’organisation. Séparez toujours fait établi et allégation.
Livrable : chronologie qualifiée.
05
Évaluer la confiance numérique
Examinez exposition externe, pratiques de sécurité visibles, gouvernance des données, continuité, transparence et cohérence entre déclarations et preuves fournies.
Livrable : grille de confiance et demandes complémentaires.
06
Décider sous conditions
Présentez scénarios, incertitudes, risques résiduels et mesures compensatoires. Donnez à chaque condition un responsable, une preuve, une échéance et un déclencheur de réexamen.
Livrable : note go, no-go ou go conditionnel.

Exemple d’application

Situation illustrative

Avant de signer avec un prestataire critique, une équipe confronte identité juridique, domaine, sous-traitants, incident déclaré et dépendances techniques. Une incohérence de nom est conservée comme question ouverte.

Décision et preuve attendue

La recommandation distingue conditions à lever avant signature, contrôles pendant l’exécution et éléments encore invérifiables.

Indicateurs de pilotage

Indicateur	Ce qu’il mesure	Première action
Couverture probante	Points décisifs reliés à une source primaire ou une preuve fournie	Traiter d’abord les inconnues susceptibles d’inverser la décision
Fraîcheur	Preuves encore valides au rythme de changement du sujet	Fixer une date d’expiration aux éléments critiques
Concentration	Dépendances dont la défaillance interrompt une fonction essentielle	Obtenir une alternative ou une mesure compensatoire
Conditions levées	Réserves clôturées avec une preuve conforme	Refuser les clôtures uniquement déclaratives

Erreurs fréquentes

Confondre absence de signal et absence de risque
Collecter des données personnelles sans nécessité
Prendre une reprise médiatique pour une source indépendante
Livrer un score sans expliquer les conditions de décision

Questions fréquentes

Une due diligence numérique remplace-t-elle les vérifications juridiques et financières ?

Non. Elle complète ces travaux par l’examen de l’identité en ligne, des dépendances techniques, de l’exposition, des preuves publiques et de la cohérence numérique.

Peut-on enquêter sur n’importe quelle personne ?

La collecte doit rester licite, proportionnée et liée à un objectif légitime. Les données sensibles ou sans rapport avec la décision doivent être exclues.

Comment traiter une information contradictoire ?

Conservez les deux versions, remontez aux sources primaires, datez-les, sollicitez une clarification et indiquez l’incertitude résiduelle dans la recommandation.

Incident cyber : décisions et preuves de reprise

Évaluer la reprise avec les preuves du fournisseur

Un engagement de disponibilité n’explique pas qui peut fournir les traces, accepter une restauration ou coordonner la communication après incident.

Identifier contacts de crise, suppléants, droits d’accès aux traces et responsabilités de décision.
Demander un exemple expurgé de test montrant contrôles du candidat et validation du service restauré.
Rapprocher les règles de partage et la communication de reprise des accords effectivement applicables.

Explorer les repères NIST et la chronologie →

Références relues le 2026-10-22 · NIST SP 800-61r3 · pp. 27–29, 34–35 · CSF 2.0 · Appendix A

Explorer les résultats du NIST CSF 2.0

Le CSF 2.0 organise des résultats de gestion du risque cyber. Son Core comprend ici six fonctions, 22 catégories et 106 sous-catégories actives, extraites de l’outil NIST et recoupées avec l’annexe A de NIST CSWP 29. Les libellés officiels restent en anglais ; les questions de preuve ci-dessous sont des propositions éditoriales propres à Cyber Intelligence Embassy.

Cette lecture aide à cadrer une discussion de due diligence cyber. Elle ne réalise aucun audit, ne collecte aucune donnée du visiteur et ne calcule aucune note de conformité. Les catégories ne sont pas une liste universelle de contrôles à cocher : le périmètre, les résultats prioritaires et les moyens de les atteindre dépendent de l’organisation.

Version du cadre : 2.0, publiée le 26 février 2024. Extraction consultée le 22 octobre 2026. L’export de l’outil est une vue générée, distincte de la publication officielle ; seuls les champs du Core actif sont repris. Les entrées retirées de CSF 1.1, exemples d’implémentation et correspondances vers d’autres référentiels sont exclus.

Répartition des résultats par fonction

Les nombres comptent les sous-catégories de cette extraction. Ils ne mesurent ni le risque, ni la couverture d’une organisation, ni le budget recommandé. Les six fonctions se travaillent conjointement ; leur ordre d’affichage n’est pas un calendrier de projet.

Répartition des résultats par fonction
Fonction CSF	Catégories	Sous-catégories
GV · GOVERN	6	31
ID · IDENTIFY	3	21
PR · PROTECT	5	22
DE · DETECT	2	11
RS · RESPOND	4	13
RC · RECOVER	2	8

Résultats affichés : 106 / 106

Questions et preuves à examiner

Pour chaque catégorie, la question, le document ou test proposé et la limite sont des repères éditoriaux. Ils ne sont pas des exigences NIST ni une traduction des Implementation Examples. Protéger les informations sensibles : une référence à une preuve et son périmètre suffisent souvent pour préparer un échange.

GV · GOVERN

The organization's cybersecurity risk management strategy, expectations, and policy are established, communicated, and monitored

GV.OC · Organizational Context (5)

The circumstances - mission, stakeholder expectations, dependencies, and legal, regulatory, and contractual requirements - surrounding the organization's cybersecurity risk management decisions are understood

Question de revue: Quel service doit rester assuré et de qui dépend-il ?
Preuve ou observation à rapprocher: Périmètre signé, services critiques, parties prenantes et dépendances amont/aval.
Limite d’interprétation: Une liste de serveurs ne décrit pas, à elle seule, la mission ni les attentes des parties prenantes.

GV.OC · Résultats officiels NIST, en anglais
ID	Résultats officiels NIST, en anglais
GV.OC-01	The organizational mission is understood and informs cybersecurity risk management
GV.OC-02	Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered
GV.OC-03	Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed
GV.OC-04	Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated
GV.OC-05	Outcomes, capabilities, and services that the organization depends on are understood and communicated

GV.RM · Risk Management Strategy (7)

The organization's priorities, constraints, risk tolerance and appetite statements, and assumptions are established, communicated, and used to support operational risk decisions

Question de revue: Qui arbitre le risque et selon quels critères ?
Preuve ou observation à rapprocher: Critères d’acceptation, appétence et tolérance documentées, décisions avec propriétaire.
Limite d’interprétation: Une couleur dans un tableau sans critères ni autorité de décision reste ambiguë.

GV.RM · Résultats officiels NIST, en anglais
ID	Résultats officiels NIST, en anglais
GV.RM-01	Risk management objectives are established and agreed to by organizational stakeholders
GV.RM-02	Risk appetite and risk tolerance statements are established, communicated, and maintained
GV.RM-03	Cybersecurity risk management activities and outcomes are included in enterprise risk management processes
GV.RM-04	Strategic direction that describes appropriate risk response options is established and communicated
GV.RM-05	Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties
GV.RM-06	A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated
GV.RM-07	Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions

GV.RR · Roles, Responsibilities, and Authorities (4)

Cybersecurity roles, responsibilities, and authorities to foster accountability, performance assessment, and continuous improvement are established and communicated

Question de revue: Qui peut décider, financer et interrompre une activité ?
Preuve ou observation à rapprocher: Responsabilités approuvées, délégations, ressources et suppléants identifiés.
Limite d’interprétation: Un organigramme ne prouve pas que les responsabilités sont comprises ou exercées.

GV.RR · Résultats officiels NIST, en anglais
ID	Résultats officiels NIST, en anglais
GV.RR-01	Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving
GV.RR-02	Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced
GV.RR-03	Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies
GV.RR-04	Cybersecurity is included in human resources practices

GV.PO · Policy (2)

Organizational cybersecurity policy is established, communicated, and enforced

Question de revue: La règle s’applique-t-elle au périmètre effectivement utilisé ?
Preuve ou observation à rapprocher: Politique datée, approbation, diffusion, exceptions et déclencheurs de révision.
Limite d’interprétation: Une politique archivée ne prouve ni sa communication ni sa mise en œuvre.

GV.PO · Résultats officiels NIST, en anglais
ID	Résultats officiels NIST, en anglais
GV.PO-01	Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced
GV.PO-02	Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission

GV.OV · Oversight (3)

Results of organization-wide cybersecurity risk management activities and performance are used to inform, improve, and adjust the risk management strategy

Question de revue: Les décisions précédentes ont-elles produit le résultat attendu ?
Preuve ou observation à rapprocher: Revues de direction, indicateurs définis, écarts expliqués et décisions de correction.
Limite d’interprétation: Une moyenne globale peut masquer une dépendance critique non traitée.

GV.OV · Résultats officiels NIST, en anglais
ID	Résultats officiels NIST, en anglais
GV.OV-01	Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction
GV.OV-02	The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks
GV.OV-03	Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed

GV.SC · Cybersecurity Supply Chain Risk Management (10)

Cyber supply chain risk management processes are identified, established, managed, monitored, and improved by organizational stakeholders

Question de revue: Le contrat couvre-t-il le fournisseur, ses dépendances et la sortie ?
Preuve ou observation à rapprocher: Tiers hiérarchisés, exigences convenues, suivi, coordination incident et scénario de fin de relation.
Limite d’interprétation: Un certificat fournisseur ne couvre pas automatiquement votre usage ni tous ses sous-traitants.

GV.SC · Résultats officiels NIST, en anglais
ID	Résultats officiels NIST, en anglais
GV.SC-01	A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders
GV.SC-02	Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally
GV.SC-03	Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes
GV.SC-04	Suppliers are known and prioritized by criticality
GV.SC-05	Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties
GV.SC-06	Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships
GV.SC-07	The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship
GV.SC-08	Relevant suppliers and other third parties are included in incident planning, response, and recovery activities
GV.SC-09	Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle
GV.SC-10	Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement

ID · IDENTIFY

The organization's current cybersecurity risks are understood

ID.AM · Asset Management (7)

Assets (e.g., data, hardware, software, systems, facilities, services, people) that enable the organization to achieve business purposes are identified and managed consistent with their relative importance to organizational objectives and the organization's risk strategy

Question de revue: Quels actifs, données et services composent le périmètre ?
Preuve ou observation à rapprocher: Inventaire rapproché des observations, flux, propriétaires et étapes du cycle de vie.
Limite d’interprétation: Un inventaire déclaré sans rapprochement peut omettre SaaS, actifs abandonnés ou données dupliquées.

ID.AM · Résultats officiels NIST, en anglais
ID	Résultats officiels NIST, en anglais
ID.AM-01	Inventories of hardware managed by the organization are maintained
ID.AM-02	Inventories of software, services, and systems managed by the organization are maintained
ID.AM-03	Representations of the organization's authorized network communication and internal and external network data flows are maintained
ID.AM-04	Inventories of services provided by suppliers are maintained
ID.AM-05	Assets are prioritized based on classification, criticality, resources, and impact on the mission
ID.AM-07	Inventories of data and corresponding metadata for designated data types are maintained
ID.AM-08	Systems, hardware, software, services, and data are managed throughout their life cycles

ID.RA · Risk Assessment (10)

The cybersecurity risk to the organization, assets, and individuals is understood by the organization

Question de revue: Quel scénario relie menace, vulnérabilité et conséquence métier ?
Preuve ou observation à rapprocher: Constats datés, sources de menace, analyse de vraisemblance/impact et décision de traitement.
Limite d’interprétation: Une CVE ou un score technique ne suffit pas à démontrer un risque applicable au service.

ID.RA · Résultats officiels NIST, en anglais
ID	Résultats officiels NIST, en anglais
ID.RA-01	Vulnerabilities in assets are identified, validated, and recorded
ID.RA-02	Cyber threat intelligence is received from information sharing forums and sources
ID.RA-03	Internal and external threats to the organization are identified and recorded
ID.RA-04	Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded
ID.RA-05	Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization
ID.RA-06	Risk responses are chosen, prioritized, planned, tracked, and communicated
ID.RA-07	Changes and exceptions are managed, assessed for risk impact, recorded, and tracked
ID.RA-08	Processes for receiving, analyzing, and responding to vulnerability disclosures are established
ID.RA-09	The authenticity and integrity of hardware and software are assessed prior to acquisition and use
ID.RA-10	Critical suppliers are assessed prior to acquisition

ID.IM · Improvement (4)

Improvements to organizational cybersecurity risk management processes, procedures and activities are identified across all CSF Functions

Question de revue: Quel retour d’expérience a changé la préparation ?
Preuve ou observation à rapprocher: Résultats d’évaluations et d’exercices, actions suivies, plans mis à jour et vérification ultérieure.
Limite d’interprétation: Un compte rendu sans action ni contrôle ultérieur ne démontre pas l’amélioration.

ID.IM · Résultats officiels NIST, en anglais
ID	Résultats officiels NIST, en anglais
ID.IM-01	Improvements are identified from evaluations
ID.IM-02	Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties
ID.IM-03	Improvements are identified from execution of operational processes, procedures, and activities
ID.IM-04	Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved

PR · PROTECT

Safeguards to manage the organization's cybersecurity risks are used

PR.AA · Identity Management, Authentication, and Access Control (6)

Access to physical and logical assets is limited to authorized users, services, and hardware and managed commensurate with the assessed risk of unauthorized access

Question de revue: Les droits réels suivent-ils l’identité et le besoin métier ?
Preuve ou observation à rapprocher: Création/retrait des accès, authentification, autorisations, revues et protections physiques pertinentes.
Limite d’interprétation: L’activation du MFA ne prouve pas le moindre privilège ni le retrait des anciens accès.

PR.AA · Résultats officiels NIST, en anglais
ID	Résultats officiels NIST, en anglais
PR.AA-01	Identities and credentials for authorized users, services, and hardware are managed by the organization
PR.AA-02	Identities are proofed and bound to credentials based on the context of interactions
PR.AA-03	Users, services, and hardware are authenticated
PR.AA-04	Identity assertions are protected, conveyed, and verified
PR.AA-05	Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties
PR.AA-06	Physical access to assets is managed, monitored, and enforced commensurate with risk

PR.AT · Awareness and Training (2)

The organization's personnel are provided with cybersecurity awareness and training so that they can perform their cybersecurity-related tasks

Question de revue: Chaque rôle sait-il reconnaître et traiter son risque ?
Preuve ou observation à rapprocher: Contenus adaptés aux rôles, exercices et observation des tâches sensibles.
Limite d’interprétation: Un taux de présence ne démontre pas une compétence opérationnelle.

PR.AT · Résultats officiels NIST, en anglais
ID	Résultats officiels NIST, en anglais
PR.AT-01	Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind
PR.AT-02	Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind

PR.DS · Data Security (4)

Data are managed consistent with the organization's risk strategy to protect the confidentiality, integrity, and availability of information

Question de revue: Comment les données sont-elles protégées et restaurables ?
Preuve ou observation à rapprocher: Traitements des données au repos, en transit et en usage, sauvegardes protégées et tests.
Limite d’interprétation: La présence de chiffrement ne prouve ni la maîtrise des accès ni la possibilité de restauration.

PR.DS · Résultats officiels NIST, en anglais
ID	Résultats officiels NIST, en anglais
PR.DS-01	The confidentiality, integrity, and availability of data-at-rest are protected
PR.DS-02	The confidentiality, integrity, and availability of data-in-transit are protected
PR.DS-10	The confidentiality, integrity, and availability of data-in-use are protected
PR.DS-11	Backups of data are created, protected, maintained, and tested

PR.PS · Platform Security (6)

The hardware, software (e.g., firmware, operating systems, applications), and services of physical and virtual platforms are managed consistent with the organization's risk strategy to protect their confidentiality, integrity, and availability

Question de revue: La configuration en service correspond-elle à la référence approuvée ?
Preuve ou observation à rapprocher: Références de configuration, maintenance, journalisation, logiciel autorisé et pratiques de développement.
Limite d’interprétation: Une référence de durcissement non comparée à la production ne démontre pas l’état réel.

PR.PS · Résultats officiels NIST, en anglais
ID	Résultats officiels NIST, en anglais
PR.PS-01	Configuration management practices are established and applied
PR.PS-02	Software is maintained, replaced, and removed commensurate with risk
PR.PS-03	Hardware is maintained, replaced, and removed commensurate with risk
PR.PS-04	Log records are generated and made available for continuous monitoring
PR.PS-05	Installation and execution of unauthorized software are prevented
PR.PS-06	Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle

PR.IR · Technology Infrastructure Resilience (4)

Security architectures are managed with the organization's risk strategy to protect asset confidentiality, integrity, and availability, and organizational resilience

Question de revue: Le service tient-il face à la perte d’une dépendance ?
Preuve ou observation à rapprocher: Architecture, segmentation, protections environnementales, capacité et essais de défaillance.
Limite d’interprétation: Une redondance annoncée peut partager une dépendance unique.

PR.IR · Résultats officiels NIST, en anglais
ID	Résultats officiels NIST, en anglais
PR.IR-01	Networks and environments are protected from unauthorized logical access and usage
PR.IR-02	The organization's technology assets are protected from environmental threats
PR.IR-03	Mechanisms are implemented to achieve resilience requirements in normal and adverse situations
PR.IR-04	Adequate resource capacity to ensure availability is maintained

DE · DETECT

Possible cybersecurity attacks and compromises are found and analyzed

DE.CM · Continuous Monitoring (5)

Assets are monitored to find anomalies, indicators of compromise, and other potentially adverse events

Question de revue: Quels événements pertinents sont réellement observés ?
Preuve ou observation à rapprocher: Sources de supervision, couverture, horodatage, traitement des anomalies et angles morts.
Limite d’interprétation: Un volume élevé de journaux ne garantit ni couverture utile ni alerte exploitable.

DE.CM · Résultats officiels NIST, en anglais
ID	Résultats officiels NIST, en anglais
DE.CM-01	Networks and network services are monitored to find potentially adverse events
DE.CM-02	The physical environment is monitored to find potentially adverse events
DE.CM-03	Personnel activity and technology usage are monitored to find potentially adverse events
DE.CM-06	External service provider activities and services are monitored to find potentially adverse events
DE.CM-09	Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events

DE.AE · Adverse Event Analysis (6)

Anomalies, indicators of compromise, and other potentially adverse events are analyzed to characterize the events and detect cybersecurity incidents

Question de revue: Qui transforme un événement corrélé en décision d’incident ?
Preuve ou observation à rapprocher: Corrélation des événements, contexte CTI, impact estimé et critères de déclaration.
Limite d’interprétation: Une alerte isolée ne constitue pas automatiquement un incident confirmé.

DE.AE · Résultats officiels NIST, en anglais
ID	Résultats officiels NIST, en anglais
DE.AE-02	Potentially adverse events are analyzed to better understand associated activities
DE.AE-03	Information is correlated from multiple sources
DE.AE-04	The estimated impact and scope of adverse events are understood
DE.AE-06	Information on adverse events is provided to authorized staff and tools
DE.AE-07	Cyber threat intelligence and other contextual information are integrated into the analysis
DE.AE-08	Incidents are declared when adverse events meet the defined incident criteria

RS · RESPOND

Actions regarding a detected cybersecurity incident are taken

RS.MA · Incident Management (5)

Responses to detected cybersecurity incidents are managed

Question de revue: L’incident a-t-il un commandement et des seuils d’escalade ?
Preuve ou observation à rapprocher: Plan activé, qualification, priorités, coordination des tiers et décision de passage à la reprise.
Limite d’interprétation: Un numéro d’astreinte sans autorité ni critères ne suffit pas à piloter la réponse.

RS.MA · Résultats officiels NIST, en anglais
ID	Résultats officiels NIST, en anglais
RS.MA-01	The incident response plan is executed in coordination with relevant third parties once an incident is declared
RS.MA-02	Incident reports are triaged and validated
RS.MA-03	Incidents are categorized and prioritized
RS.MA-04	Incidents are escalated or elevated as needed
RS.MA-05	The criteria for initiating incident recovery are applied

RS.AN · Incident Analysis (4)

Investigations are conducted to ensure effective response and support forensics and recovery activities

Question de revue: Peut-on expliquer la portée et la cause sans altérer les preuves ?
Preuve ou observation à rapprocher: Chronologie, données collectées, intégrité, provenance et hypothèses explicitement distinguées.
Limite d’interprétation: Une hypothèse de cause initiale ne prouve pas que toute la portée est connue.

RS.AN · Résultats officiels NIST, en anglais
ID	Résultats officiels NIST, en anglais
RS.AN-03	Analysis is performed to establish what has taken place during an incident and the root cause of the incident
RS.AN-06	Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved
RS.AN-07	Incident data and metadata are collected, and their integrity and provenance are preserved
RS.AN-08	An incident's magnitude is estimated and validated

RS.CO · Incident Response Reporting and Communication (2)

Response activities are coordinated with internal and external stakeholders as required by laws, regulations, or policies

Question de revue: Quel message peut être partagé, avec qui et par quel canal ?
Preuve ou observation à rapprocher: Destinataires, validation, canaux de secours et règles de partage convenues.
Limite d’interprétation: Les obligations légales de notification dépendent du contexte et doivent être vérifiées séparément.

RS.CO · Résultats officiels NIST, en anglais
ID	Résultats officiels NIST, en anglais
RS.CO-02	Internal and external stakeholders are notified of incidents
RS.CO-03	Information is shared with designated internal and external stakeholders

RS.MI · Incident Mitigation (2)

Activities are performed to prevent expansion of an event and mitigate its effects

Question de revue: Comment vérifier l’effet du confinement et de l’éradication ?
Preuve ou observation à rapprocher: Actions autorisées, dépendances, traces d’exécution et observation après intervention.
Limite d’interprétation: La disparition d’une alerte ne démontre pas, seule, l’éradication.

RS.MI · Résultats officiels NIST, en anglais
ID	Résultats officiels NIST, en anglais
RS.MI-01	Incidents are contained
RS.MI-02	Incidents are eradicated

RC · RECOVER

Assets and operations affected by a cybersecurity incident are restored

RC.RP · Incident Recovery Plan Execution (6)

Restoration activities are performed to ensure operational availability of systems and services affected by cybersecurity incidents

Question de revue: Le service restauré fonctionne-t-il avec des données intègres ?
Preuve ou observation à rapprocher: Intégrité des supports de reprise, tests fonctionnels, vérification de l’état rétabli et clôture documentée.
Limite d’interprétation: Une tâche de sauvegarde réussie ne prouve pas l’intégrité de la restauration.

RC.RP · Résultats officiels NIST, en anglais
ID	Résultats officiels NIST, en anglais
RC.RP-01	The recovery portion of the incident response plan is executed once initiated from the incident response process
RC.RP-02	Recovery actions are selected, scoped, prioritized, and performed
RC.RP-03	The integrity of backups and other restoration assets is verified before using them for restoration
RC.RP-04	Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms
RC.RP-05	The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed
RC.RP-06	The end of incident recovery is declared based on criteria, and incident-related documentation is completed

RC.CO · Incident Recovery Communication (2)

Restoration activities are coordinated with internal and external parties

Question de revue: Comment communiquer l’avancement sans déclarer trop tôt le retour à la normale ?
Preuve ou observation à rapprocher: Points de situation approuvés, destinataires internes/externes et cohérence entre annonces et observations.
Limite d’interprétation: Une annonce publique de reprise ne remplace pas la vérification du service.

RC.CO · Résultats officiels NIST, en anglais
ID	Résultats officiels NIST, en anglais
RC.CO-03	Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders
RC.CO-04	Public updates on incident recovery are shared using approved methods and messaging

Passer d’un résultat attendu à un écart traitable

Un profil organisationnel décrit la posture actuelle et/ou cible au moyen des résultats du Core. Garder le même périmètre entre observation et cible : une filiale, un produit ou un service peut justifier son propre profil. Le guide NIST SP 1301 décrit le cadrage, les informations à réunir, la création du profil, l’analyse des écarts et le plan d’action, puis son suivi.

Passer d’un résultat attendu à un écart traitable
Repère	Ce qu’il décrit	Pièce utile pour la discussion
Current Profile	Résultats actuellement atteints ou recherchés et manière ou degré de réalisation.	Observations datées, périmètre, références de preuves et incertitudes.
Target Profile	Résultats souhaités, sélectionnés et priorisés selon les objectifs de gestion du risque.	Attentes convenues, priorités et justification métier.
Écart et plan d’action	Différence entre les états comparés, puis action permettant de progresser.	Responsable, dépendances, moyens, échéance négociée et vérification attendue.
CSF Tiers	Rigueur des pratiques de gouvernance et de gestion du risque : Partial, Risk Informed, Repeatable, Adaptive.	Contexte et pratiques observées ; aucune moyenne improvisée des sous-catégories.

Exemple de raisonnement : la reprise d’un fournisseur critique

Cas fictif pédagogique : un fournisseur présente une procédure de reprise, mais aucune observation récente de restauration sur le service retenu. RC.RP-03 porte sur la vérification de l’intégrité des sauvegardes et autres actifs de restauration avant utilisation. RC.RP-05 vise la vérification de l’intégrité des actifs restaurés, du rétablissement et de l’état de fonctionnement normal. La procédure décrit une intention ; elle ne remplace pas ces vérifications. Enregistrer l’écart, demander un exercice adapté au périmètre et définir qui accepte le risque résiduel. Aucun résultat client n’est présenté ici.

Lire le cadre sans surinterpréter ses identifiants

Pourquoi manque-t-il des numéros ?

Le NIST conserve des ruptures dans la numérotation lorsque des sous-catégories de CSF 1.1 ont été déplacées. Une séquence incomplète ne signale pas une perte de données dans cet explorateur.

Une catégorie suffit-elle à démontrer la conformité ?

Un identifiant permet de se comprendre sur un résultat attendu. Il ne prouve ni son atteinte ni le respect d’un contrat, d’une réglementation ou d’un autre référentiel.

Peut-on afficher une certification NIST CSF ?

Le NIST indique ne proposer aucune certification ni approbation des produits, services ou implémentations liés au CSF. Décrire précisément une méthode ou un alignement examiné, sans transformer ce travail en approbation du NIST.

National Institute of Standards and Technology (2024), The NIST Cybersecurity Framework (CSF) 2.0, NIST CSWP 29. Republished courtesy of the National Institute of Standards and Technology. Adaptation CIE du 22 octobre 2026 : extraction des seuls éléments actifs du Core, regroupement par catégorie, filtre de consultation, questions et exemples éditoriaux séparés. Aucune approbation du NIST n’est impliquée. Conditions de réutilisation et absence de garantie : source NIST ci-dessous.

Source export SHA-256: 0438875f185cb3260caa464dad5644cd82927329d3e73d40f4aa811ffe48dd4e

NIST (2024) · The NIST Cybersecurity Framework (CSF) 2.0 · NIST CSWP 29 · 2024-02-26 · §2–3, Appendix A–C
NIST (2024) · Creating and Using Organizational Profiles · NIST SP 1301 · 2024-02 · scope, current/target, gap analysis
NIST · CSF 2.0 Reference Tool · Export retrieved 2026-10-22 · Core fields only
NIST · Cybersecurity Framework FAQ · Reviewed 2026-10-22 · outcomes, numbering, certification
NIST · Copyright and licensing statements · Technical Series Publications / non-SRD data · reviewed 2026-10-22

Références officielles

Date de consultation des références : 22/10/2026. La méthode et la fiche de travail proposent des contrôles à adapter à votre contexte ; elles ne constituent pas une certification.