Cartographie des preuves de conformité
Organiser la collecte et la structuration des preuves documentaires nécessaires pour démontrer la conformité NIS 2 et RGPD lors d'un contrôle.
À retenir
- La conformité se prouve par une documentation structurée, datée et exploitable en contrôle.
- Chaque preuve doit être rattachée à l'exigence réglementaire précise qu'elle couvre.
- La cartographie des preuves doit être un processus continu, pas un exercice ponctuel avant audit.
- L'articulation entre notification ANSSI/CSIRT et notification CNIL doit être écrite et testée.
Pourquoi cartographier les preuves à l'avance
La conformité NIS 2 et RGPD ne se démontre pas seulement par des mesures techniques effectives : elle se démontre par des preuves documentaires exploitables lors d'un contrôle de l'autorité compétente. Un opérateur de data center peut disposer d'excellentes mesures de sécurité physique sans pouvoir en apporter la preuve formelle si la documentation n'a pas été structurée en amont.
Les grandes familles de preuves attendues
- Gouvernance : compte rendu de validation de la politique de sécurité par l'organe de direction, attestations de formation cybersécurité des dirigeants.
- Analyse de risques : cartographie des risques, méthode utilisée (EBIOS RM par exemple), date de dernière révision.
- Sécurité physique : plans de zonage, registres d'accès, contrats de maintenance des systèmes de contrôle d'accès et de vidéoprotection, procès-verbaux de tests des sas et alarmes.
- Gestion des incidents : historique des alertes précoces, notifications et rapports finaux transmis, avec horodatage précis.
- RGPD : registre des traitements à jour, analyses d'impact (AIPD) pour les traitements à risque, contrats de sous-traitance article 28.
- Chaîne d'approvisionnement : évaluation de sécurité des prestataires critiques (maintenance, télécoms, nettoyage ayant accès aux zones sensibles).
Point clé
une preuve non datée ou non signée perd une grande partie de sa valeur lors d'un contrôle ; la traçabilité temporelle de chaque document est aussi importante que son contenu.
Construire une cartographie vivante
La cartographie des preuves ne doit pas être un exercice ponctuel réalisé juste avant un audit, mais un processus continu, idéalement outillé par une plateforme de GRC (gouvernance, risque, conformité) ou a minima par un tableau de suivi partagé entre les équipes sécurité, juridique et exploitation. Chaque preuve doit être associée à l'exigence réglementaire qu'elle couvre (article 21 NIS 2, article 30 RGPD, etc.) et à une date de dernière mise à jour.
Sur le terrain
lors d'un contrôle inopiné, l'incapacité à produire rapidement le registre d'accès des trente derniers jours ou le dernier procès-verbal de test du mantrap est perçue par les auditeurs comme un signal de faiblesse organisationnelle, même si l'incident redouté ne s'est jamais produit.
Anticiper l'articulation ANSSI / CNIL
En cas d'incident touchant à la fois la disponibilité du service et des données personnelles, les équipes doivent savoir qui contacte l'ANSSI (ou le CSIRT désigné) et qui contacte la CNIL, dans quel ordre, et avec quelles pièces jointes. Cette procédure de double notification doit être écrite, testée lors d'exercices de crise, et non improvisée le jour de l'incident.
Attention
l'absence de procédure formalisée d'articulation entre notification NIS 2 et notification RGPD conduit souvent à des délais dépassés sur l'un des deux régimes, l'équipe se concentrant sur le premier auquel elle pense sous la pression de l'urgence.
Astuce
organisez chaque année un exercice de simulation d'incident combinant volet NIS 2 et volet RGPD, avec chronométrage réel des délais de 24 h et 72 h ; c'est le meilleur moyen de vérifier que la procédure écrite correspond à la réalité opérationnelle du site.