La Directive NIS2 Article 21 \u00e9tablit les mesures de base de gestion des risques de cybers\u00e9curit\u00e9 que les entit\u00e9s essentielles et importantes doivent mettre en \u0153uvre. Pour les organisations s’appuyant sur des pipelines CI\/CD pour livrer des logiciels, ces exigences se traduisent directement en contr\u00f4les de gouvernance des pipelines que les auditeurs et les responsables conformit\u00e9 doivent \u00e9valuer.<\/p>\n
L’Article 21 impose une approche tous risques<\/strong> \u2014 ce qui signifie que les contr\u00f4les doivent couvrir les risques sur l’ensemble du cycle de vie de livraison logicielle, pas uniquement l’infrastructure de production. Cela inclut les environnements de build, l’automatisation du d\u00e9ploiement, la gestion des artefacts et les workflows d’approbation des changements.<\/p>\n Le tableau ci-dessous met en correspondance chaque exigence de l’Article 21 avec les contr\u00f4les CI\/CD correspondants et les preuves que les auditeurs devraient demander lors des \u00e9valuations.<\/p>\n Mettre en correspondance les exigences avec les contr\u00f4les n’est que la moiti\u00e9 de l’exercice. Sur le terrain, les auditeurs ne lisent pas les politiques de fa\u00e7on isol\u00e9e — ils testent si les contr\u00f4les cartographi\u00e9s fonctionnent r\u00e9ellement comme d\u00e9crit. Comprendre leur m\u00e9thode aide les \u00e9quipes conformit\u00e9 \u00e0 pr\u00e9parer les bonnes preuves.<\/p>\n Une \u00e9valuation type combine trois techniques :<\/p>\n Parce que l’Article 21 exige une approche tous risques, un seul \u00e9chantillon en d\u00e9faut — une release parvenue en production sans barri\u00e8re de s\u00e9curit\u00e9 franchie, ou une approbation accord\u00e9e par l’auteur du changement — suffit souvent \u00e0 soulever un constat contre l’exigence correspondante. Pr\u00e9parer \u00e0 l’avance un petit nombre d’exemples de releases complets et tra\u00e7ables est l’un des moyens les plus efficaces de raccourcir une \u00e9valuation.<\/p>\n La plupart des entit\u00e9s r\u00e9glement\u00e9es sont soumises \u00e0 plusieurs cadres \u00e0 la fois. Les contr\u00f4les qui satisfont l’Article 21 couvrent \u00e9galement de larges pans de DORA, ISO 27001 et SOC 2 — ce qui signifie qu’un environnement de contr\u00f4le CI\/CD unique et bien \u00e9tay\u00e9 peut r\u00e9pondre simultan\u00e9ment \u00e0 plusieurs obligations. La correspondance ci-dessous met en \u00e9vidence les recoupements les plus forts.<\/p>\n Pour les auditeurs, ce recoupement est une occasion de r\u00e9duire les doublons : une seule revue de bout en bout du pipeline peut fournir des preuves pour plusieurs cadres. Pour les responsables conformit\u00e9, il plaide pour le maintien d’un jeu de contr\u00f4les consolid\u00e9 plut\u00f4t que d’une documentation parall\u00e8le propre \u00e0 chaque cadre.<\/p>\n Plut\u00f4t que de rassembler les preuves de fa\u00e7on r\u00e9active, les \u00e9quipes matures maintiennent un dossier de preuves permanent align\u00e9 sur les dix sous-exigences de l’Article 21. Au minimum, il devrait contenir :<\/p>\n Maintenir ce dossier \u00e0 jour transforme chaque \u00e9valuation d’un exercice dans l’urgence en une revue de bout en bout sans heurts, et r\u00e9pond directement \u00e0 l’exigence (f) — l’obligation d’\u00e9valuer l’efficacit\u00e9 des mesures elles-m\u00eames.<\/p>\n Pour une compr\u00e9hension plus approfondie de la fa\u00e7on dont les principes d’architecture de s\u00e9curit\u00e9 NIS2 s’appliquent aux environnements CI\/CD, consultez Architecture de s\u00e9curit\u00e9 NIS2 expliqu\u00e9e<\/a>.<\/p>\n Pour la biblioth\u00e8que compl\u00e8te de ressources de conformit\u00e9 NIS2, visitez notre Hub de conformit\u00e9 NIS2<\/a>.<\/p>\nExigences de l’Article 21 mises en correspondance avec les contr\u00f4les CI\/CD<\/h2>\n
\n\n
\n \nExigence NIS2 Article 21<\/th>\n Contr\u00f4le CI\/CD<\/th>\n Preuves pour les auditeurs<\/th>\n<\/tr>\n<\/thead>\n \n Art. 21(2)(a)<\/strong> \u2014 Analyse des risques et politiques de s\u00e9curit\u00e9 des syst\u00e8mes d’information<\/td>\n Politique de s\u00e9curit\u00e9 des pipelines document\u00e9e couvrant les \u00e9tapes de build, test et d\u00e9ploiement ; \u00e9valuations p\u00e9riodiques des risques de l’infrastructure CI\/CD<\/td>\n Documents de politique approuv\u00e9s avec historique de versions ; rapports d’\u00e9valuation des risques r\u00e9f\u00e9ren\u00e7ant les actifs CI\/CD ; enregistrements de validation par la direction<\/td>\n<\/tr>\n \n Art. 21(2)(b)<\/strong> \u2014 Gestion des incidents<\/td>\n Proc\u00e9dures de r\u00e9ponse aux incidents de pipeline ; alertes automatis\u00e9es sur les \u00e9checs de build\/d\u00e9ploiement ; m\u00e9canismes de rollback<\/td>\n Playbooks de r\u00e9ponse aux incidents sp\u00e9cifiques aux d\u00e9faillances de pipeline ; enregistrements de configuration des alertes ; journaux d’incidents montrant les d\u00e9lais d\u00e9tection-r\u00e9solution<\/td>\n<\/tr>\n \n Art. 21(2)(c)<\/strong> \u2014 Continuit\u00e9 d’activit\u00e9 et gestion de crise<\/td>\n Plans de redondance et de reprise apr\u00e8s sinistre des pipelines ; sauvegarde des configurations et secrets de pipeline ; objectifs de temps de r\u00e9cup\u00e9ration pour l’infrastructure de build<\/td>\n Plans de continuit\u00e9 d’activit\u00e9 couvrant les syst\u00e8mes CI\/CD ; proc\u00e9dures de r\u00e9cup\u00e9ration document\u00e9es ; r\u00e9sultats de tests des exercices PRA ; journaux de v\u00e9rification des sauvegardes<\/td>\n<\/tr>\n \n Art. 21(2)(d)<\/strong> \u2014 S\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement<\/td>\n Politiques de gouvernance des d\u00e9pendances ; registres et catalogues d’images de base approuv\u00e9s ; \u00e9valuations des fournisseurs d’outils CI\/CD ; g\u00e9n\u00e9ration de Software Bill of Materials (SBOM)<\/td>\n Listes de d\u00e9pendances approuv\u00e9es ; enregistrements SBOM par release ; rapports d’\u00e9valuation des risques fournisseurs ; workflows d’approbation des composants tiers<\/td>\n<\/tr>\n \n Art. 21(2)(e)<\/strong> \u2014 S\u00e9curit\u00e9 dans l’acquisition, le d\u00e9veloppement et la maintenance des r\u00e9seaux et syst\u00e8mes d’information<\/td>\n Standards de configuration s\u00e9curis\u00e9e des pipelines ; s\u00e9paration des environnements (dev\/staging\/production) ; barri\u00e8res de scan de s\u00e9curit\u00e9 automatis\u00e9es<\/td>\n Baselines de configuration des pipelines ; documentation d’architecture des environnements ; politiques de barri\u00e8res de scan et enregistrements r\u00e9ussite\/\u00e9chec<\/td>\n<\/tr>\n \n Art. 21(2)(f)<\/strong> \u2014 Politiques et proc\u00e9dures pour \u00e9valuer l’efficacit\u00e9 des mesures de gestion des risques de cybers\u00e9curit\u00e9<\/td>\n M\u00e9triques et KPI de s\u00e9curit\u00e9 des pipelines ; audits p\u00e9riodiques des pipelines ; revues d’efficacit\u00e9 des contr\u00f4les<\/td>\n Rapports de tableaux de bord sur les taux de r\u00e9ussite des barri\u00e8res de s\u00e9curit\u00e9 ; constats d’audit et suivi de rem\u00e9diation ; comptes rendus de revue de direction<\/td>\n<\/tr>\n \n Art. 21(2)(g)<\/strong> \u2014 Pratiques de base en cyberhygi\u00e8ne et formation en cybers\u00e9curit\u00e9<\/td>\n Formation des d\u00e9veloppeurs sur l’utilisation s\u00e9curis\u00e9e des pipelines ; proc\u00e9dures d’onboarding document\u00e9es pour l’acc\u00e8s aux pipelines<\/td>\n Enregistrements de formation compl\u00e9t\u00e9e ; checklists d’onboarding ; supports de programme de sensibilisation r\u00e9f\u00e9ren\u00e7ant la s\u00e9curit\u00e9 CI\/CD<\/td>\n<\/tr>\n \n Art. 21(2)(h)<\/strong> \u2014 Politiques et proc\u00e9dures relatives \u00e0 l’utilisation de la cryptographie et du chiffrement<\/td>\n Politiques de gestion des secrets ; chiffrement des artefacts en transit et au repos ; exigences de signature de code<\/td>\n Attestations de configuration des outils de gestion des secrets ; politiques de chiffrement ; enregistrements de v\u00e9rification des artefacts sign\u00e9s ; journaux de gestion des certificats<\/td>\n<\/tr>\n \n Art. 21(2)(i)<\/strong> \u2014 S\u00e9curit\u00e9 des ressources humaines, politiques de contr\u00f4le d’acc\u00e8s et gestion des actifs<\/td>\n Contr\u00f4le d’acc\u00e8s bas\u00e9 sur les r\u00f4les (RBAC) pour les syst\u00e8mes de pipeline ; inventaire des actifs pipeline ; processus arriv\u00e9e\/mutation\/d\u00e9part pour l’acc\u00e8s CI\/CD<\/td>\n Matrices RBAC pour les outils de pipeline ; journaux de revue d’acc\u00e8s ; registres d’actifs listant les composants CI\/CD ; enregistrements de provisionnement et d\u00e9-provisionnement d’acc\u00e8s<\/td>\n<\/tr>\n \n Art. 21(2)(j)<\/strong> \u2014 Utilisation de l’authentification multi-facteurs (MFA) et communications s\u00e9curis\u00e9es<\/td>\n Application du MFA sur toutes les interfaces d’administration des pipelines ; canaux de communication chiffr\u00e9s entre les composants de pipeline<\/td>\n Attestations de configuration de l’application MFA ; journaux d’authentification montrant l’utilisation du MFA ; preuves de configuration TLS\/mTLS pour la communication inter-composants<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Ce que les auditeurs doivent v\u00e9rifier<\/h2>\n
Couche politique et gouvernance<\/h3>\n
\n
Couche d’impl\u00e9mentation des contr\u00f4les<\/h3>\n
\n
Couche de preuves et surveillance<\/h3>\n
\n
Signaux d’alerte \u00e0 surveiller<\/h3>\n
\n
Comment les auditeurs testent ces contr\u00f4les en pratique<\/h2>\n
\n
Recoupement avec DORA, ISO 27001 et SOC 2<\/h2>\n
\n\n
\n \nTh\u00e8me NIS2 Article 21<\/th>\n DORA<\/th>\n ISO 27001 (Annexe A)<\/th>\n SOC 2<\/th>\n<\/tr>\n<\/thead>\n \n Analyse des risques et politiques de s\u00e9curit\u00e9 (a)<\/td>\n Cadre de gestion des risques TIC<\/td>\n A.5.1, A.5.9<\/td>\n CC3.x<\/td>\n<\/tr>\n \n Gestion des incidents (b)<\/td>\n Gestion et notification des incidents TIC<\/td>\n A.5.24–A.5.27<\/td>\n CC7.x<\/td>\n<\/tr>\n \n S\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement (d)<\/td>\n Risque TIC li\u00e9 aux tiers<\/td>\n A.5.19–A.5.23<\/td>\n CC9.2<\/td>\n<\/tr>\n \n D\u00e9veloppement et acquisition s\u00e9curis\u00e9s (e)<\/td>\n Gestion des changements TIC<\/td>\n A.8.25–A.8.32<\/td>\n CC8.1<\/td>\n<\/tr>\n \n Contr\u00f4le d’acc\u00e8s et MFA (i, j)<\/td>\n Protection et pr\u00e9vention TIC<\/td>\n A.5.15–A.5.18, A.8.5<\/td>\n CC6.x<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Pr\u00e9parer un dossier de preuves pour l’Article 21<\/h2>\n
\n
Ressources connexes<\/h2>\n
Connexe pour les auditeurs<\/h3>\n