NIST CSF 2.0 : les 6 fonctions, les profils et les niveaux

Le NIST CSF (Cybersecurity Framework) est le cadre de cybersécurité publié par l'institut américain des normes et de la technologie : il décrit, en six fonctions, les résultats qu'une organisation doit obtenir pour maîtriser ses risques cyber. Sa version 2.0, publiée en février 2024, s'adresse désormais à toutes les organisations, quels que soient leur taille et leur secteur, et ajoute une fonction consacrée à la gouvernance. Ce guide détaille les fonctions, les profils, les niveaux, les ressources du NIST et la façon de l'articuler avec ISO 27001 et NIS 2.

Le CSF est né en 2014 d'un décret présidentiel américain sur la protection des infrastructures critiques ; une version 1.1 a suivi en 2018. La version 2.0, publiée le 26 février 2024 après deux ans de consultation, change trois choses :

• son public : le cadre ne vise plus seulement les infrastructures critiques mais toute organisation, de la petite entreprise à l'administration ;
• la gouvernance : une sixième fonction, Gouverner, regroupe la stratégie, les rôles, la politique et la supervision, jusque-là dispersés dans la fonction Identifier ; elle accueille aussi la gestion des risques de la chaîne d'approvisionnement ;
• son outillage : le NIST accompagne désormais le cadre de guides de démarrage rapide, d'exemples de mise en œuvre et d'un outil de consultation en ligne.

Le principe ne change pas : le CSF décrit des résultats sans prescrire la manière de les atteindre. Il ne remplace pas une analyse de risques, il aide à l'organiser et à en rendre compte. Il est gratuit, volontaire, et le NIST en publie une traduction française officielle. Pour le situer face à ISO 27001, COBIT et les CIS Controls, voyez notre comparatif des référentiels de cybersécurité.

Le cœur du cadre (le « Core ») est une liste de résultats organisée sur trois niveaux : 6 fonctions, 22 catégories et 106 sous-catégories. Les fonctions ne sont pas des étapes à dérouler l'une après l'autre : elles fonctionnent en même temps, et Gouverner les éclaire toutes.

Chaque sous-catégorie est un résultat concret, par exemple « les inventaires du matériel géré par l'organisation sont tenus à jour » ou « les incidents sont classés et priorisés ». La fonction Gouverner compte à elle seule six catégories, dont la chaîne d'approvisionnement, qui rejoint les sujets traités dans notre article sur la gestion des risques tiers. Côté Répondre et Rétablir, on retrouve la logique de la norme ISO 27035 et du plan de continuité d'activité.

Le CSF devient vraiment utile avec les profils d'organisation. Un profil actuel décrit les résultats que l'organisation atteint aujourd'hui ; un profil cible, ceux qu'elle se fixe, compte tenu de ses risques, de ses obligations et de ses moyens. L'écart entre les deux devient le plan d'action. Le guide de démarrage rapide consacré aux profils propose cinq étapes :

1. Délimiter le profil : toute l'organisation, une filiale, un système ou un produit, avec les hypothèses retenues.
2. Rassembler l'information : politiques, résultats d'audit, analyse de risques, priorités métier, obligations réglementaires.
3. Construire le profil : pour chaque sous-catégorie retenue, noter ce qui est en place et ce qui est visé.
4. Analyser les écarts et bâtir un plan d'action priorisé.
5. Mettre en œuvre le plan et tenir le profil à jour, pour mesurer les progrès.

Le NIST prévoit aussi des profils communautaires, écrits par un secteur ou une communauté pour un contexte partagé (un type d'activité, une technologie). Ils servent de point de départ à un profil cible. Ce raisonnement en écart est celui d'une feuille de route cybersécurité : le profil cible fixe la destination, le plan découpe le chemin.

Les niveaux qualifient la rigueur de la gouvernance et de la gestion des risques cyber, pas la qualité de chaque mesure technique. Le NIST en décrit quatre, détaillés dans le guide consacré aux niveaux :

Le niveau visé est un choix : une PME peut viser le niveau 2 ou 3 sur la plupart des sujets, une banque le niveau 4 sur la détection. Ce n'est pas une note de conformité. Pour la direction, le niveau s'exprime bien dans un tableau de bord de la sécurité, à côté de l'avancement du plan d'action.

• Les guides de démarrage rapide. Une série de fiches courtes, dont un guide pour les petites entreprises, un pour créer ses profils, un pour utiliser les niveaux et d'autres pour les gestionnaires de risques ou la chaîne d'approvisionnement, toutes listées sur la page des guides du NIST. Le guide de présentation des ressources (SP 1299) sert de porte d'entrée.
• Les exemples de mise en œuvre. Pour chaque sous-catégorie, des exemples d'actions concrètes, indicatifs, qui aident à comprendre ce qu'on attend.
• Les références informatives. Des tables de correspondance entre les sous-catégories et d'autres documents, publiées sur la page des références informatives. Le NIST précise qu'il ne vérifie pas l'exactitude des correspondances proposées par des tiers.
• La traduction française. La version française officielle reprend les intitulés des fonctions utilisés dans cet article.

Une organisation européenne n'adopte pas le CSF à la place d'ISO 27001 ou de NIS 2, mais à côté. Le rapprochement ci-dessous est indicatif et fait par nos soins : il montre où chercher, il ne remplace pas une table de correspondance détaillée. L'ENISA publie, dans son guide technique pour les mesures de NIS 2, des correspondances entre ces exigences et les normes internationales.

En pratique, ISO 27001 reste le meilleur pivot pour structurer un SMSI et obtenir une certification (voir notre guide ISO 27001 et le détail de l'annexe A). Pour NIS 2, la référence attendue en France est le ReCyF de l'ANSSI, qui décline les dix mesures de l'article 21. Le CSF trouve sa place au-dessus : il donne six rubriques que la direction comprend, et une grille commune pour suivre plusieurs référentiels. Depuis leur version 8.1, les CIS Controls reprennent d'ailleurs les fonctions du CSF, gouvernance comprise.