NIS2 et ISO 27001 : quelles preuves de gestion des vulnérabilités préparer
NIS2, DORA, ISO 27001 : les auditeurs attendent des preuves datées de gestion des vulnérabilités. Les cinq preuves à préparer et les erreurs à éviter.
Les textes se multiplient, l’attente reste la même : montrer que les vulnérabilités sont identifiées, évaluées et corrigées, avec des preuves. Ce qui change, c’est le niveau d’exigence sur ces preuves.
Ce que demandent les textes
- NIS2 (directive européenne 2022/2555) impose aux entités essentielles et importantes des mesures de gestion des risques, dont le traitement des vulnérabilités. Vérifiez l’état de sa transposition dans votre pays et votre périmètre d’application.
- DORA, applicable au secteur financier depuis le 17 janvier 2025, exige un inventaire des actifs informatiques et une gestion des vulnérabilités et des incidents.
- ISO 27001, dans son contrôle 8.8, porte sur la gestion des vulnérabilités techniques.
Cet article donne des repères pratiques. Il ne remplace ni l’analyse de votre juriste ni l’avis de votre auditeur.
Cinq preuves à tenir prêtes
- Un inventaire à jour : chaque actif, son application, son propriétaire.
- Un état des correctifs par actif, daté, avec la règle de conformité utilisée.
- La liste des vulnérabilités ouvertes, leur sévérité et leur échéance de correction.
- Les dérogations : quel actif, quel motif, quelle échéance, qui a validé.
- L’évolution dans le temps : un chiffre isolé ne prouve pas que le processus fonctionne.
Trois erreurs qui fragilisent un dossier
- Reconstituer les preuves la veille. Une extraction faite pour l’audit ne démontre pas un suivi régulier.
- Présenter des chiffres inexplicables. Un auditeur demandera la liste derrière le pourcentage.
- Oublier le périmètre. Un taux de conformité calculé sur les seules machines connues de l’outil ne couvre pas le parc.
Faire de la preuve un sous-produit du quotidien
La preuve la plus solide est celle que personne n’a fabriquée pour l’occasion : les mêmes écrans que les équipes utilisent chaque jour, datés et reliés aux actifs. C’est l’approche d’Univizio Compliance, qui relie chaque exigence à un indicateur calculé et chaque indicateur à sa liste d’actifs.