# Le NIST CSF 2.0 expliqué aux PME > Le cadre de cybersécurité 2.0 du NIST en termes simples : les six fonctions, les profils et les niveaux, et comment une PME peut commencer sans certification. - URL: https://nextit.tech/fr/blogue/le-nist-csf-2-explique-aux-pme/ - Language: Français - Other language: https://nextit.tech/blog/nist-csf-2-explained-for-smbs/ - Publisher: NextIT (https://nextit.tech/) --- [Blog](https://nextit.tech/fr/blogue/) # Le cadre de cybersécurité 2.0 du NIST expliqué aux PME Équipe Sécurité NextIT 27 oct. 2026 7 min de lecture Le renouvellement de votre assurance cyber vous demande comment vous gérez les risques de sécurité, et votre fournisseur TI vous conseille de « suivre le NIST CSF ». Vous le cherchez et trouvez un long document rempli de fonctions, de catégories et de sous-catégories. Voici ce qu’est ce cadre, ce qu’il demande à une petite entreprise et comment commencer sans tout lire. ## Ce qu’est le NIST CSF Le cadre de cybersécurité du NIST (CSF, pour Cybersecurity Framework) est un guide publié par le National Institute of Standards and Technology (NIST), un organisme du gouvernement des États-Unis. Il aide une organisation à comprendre, évaluer, prioriser et communiquer son travail en cybersécurité. La version actuelle, le CSF 2.0, a été publiée le 26 février 2024 sous le numéro CSWP 29. Le CSF décrit des résultats, pas des actions. Il dit à quoi ressemble une bonne sécurité, par exemple savoir quels équipements, logiciels et services votre entreprise utilise. Il ne vous dit pas quel outil acheter ni quelles étapes suivre. Le NIST précise que ces résultats ne forment pas une liste de contrôle. Le CSF est un guide volontaire. Le NIST n’est pas un organisme de réglementation, et il n’offre aucune certification pour la mise en œuvre du CSF. Personne ne vous certifie « selon » le CSF, comme un organisme accrédité certifie un système de gestion ISO/IEC 27001. Vous utilisez le cadre pour organiser votre propre travail et pour l’expliquer aux autres. Un modèle de budget familial fonctionne de la même façon. Il énumère les postes, comme le logement, l’épicerie et l’épargne, mais il ne dit pas combien dépenser pour chacun. Vous notez où vous en êtes aujourd’hui et où vous voulez aller, puis vous planifiez l’écart. Le CSF fait la même chose pour la sécurité. ## Pourquoi cela compte pour une PME Le NIST a conçu le CSF pour les organisations de toute taille, de tout secteur et de tout niveau de maturité : entreprises, gouvernements, établissements d’enseignement et organismes sans but lucratif. Ses résultats ne sont pas propres à un pays, et des organisations hors des États-Unis l’utilisent aussi. La plupart des organisations l’adoptent de façon volontaire. Les agences fédérales américaines, elles, doivent l’utiliser en vertu du décret présidentiel 13800. Pour une petite ou moyenne entreprise (PME) canadienne, trois raisons ressortent : - **Un langage commun.** Les six fonctions donnent aux dirigeants, à l’équipe TI et aux fournisseurs externes les mêmes mots pour le même travail. - **Des correspondances avec d’autres cadres.** Le NIST publie des références informatives, qui associent les résultats du CSF à d’autres normes, lignes directrices et règlements. Un même travail peut alors répondre à plusieurs demandes. - **Les clients le demandent.** Le NIST souligne que certaines entreprises exigent le CSF de leurs clients ou dans leur chaîne d’approvisionnement. Un profil actuel, expliqué plus bas, peut montrer votre travail de sécurité à un partenaire d’affaires ou à un client potentiel. Il existe aussi un point de départ canadien. Le Centre canadien pour la cybersécurité publie les Contrôles de cybersécurité de base pour les petites et moyennes organisations. Ce guide cite le cadre du NIST parmi les options plus complètes pour les organisations qui veulent aller au-delà de ces contrôles de base. ## Ce que le cadre demande Le noyau du CSF classe les résultats sur trois niveaux : les fonctions, les catégories et les sous-catégories. Le CSF 2.0 compte 6 fonctions, 22 catégories et 106 sous-catégories. L’ordre des résultats ne signifie pas que l’un compte plus que l’autre. ### Les six fonctions La traduction française officielle du NIST nomme les six fonctions ainsi : - **Gouverner (Govern) :** établir, communiquer et surveiller votre stratégie, vos attentes et votre politique de cybersécurité. Cette fonction couvre les rôles, les politiques, la supervision et le risque lié à la chaîne d’approvisionnement. Elle est nouvelle dans le CSF 2.0, et elle oriente la priorité que vous donnez aux cinq autres fonctions. - **Identifier (Identify) :** comprendre vos risques actuels de cybersécurité. Cela comprend vos actifs, comme les données, les équipements, les logiciels, les systèmes, les services et les personnes, ainsi que vos fournisseurs. - **Protéger (Protect) :** utiliser des mesures de protection pour gérer ces risques. Le contrôle d’accès, la sensibilisation, la sécurité des données et la sécurité des plateformes en sont des exemples. - **Détecter (Detect) :** repérer et analyser les attaques et les compromissions possibles. - **Répondre (Respond) :** agir sur un incident détecté. Cela couvre la gestion de l’incident, son analyse, son confinement, la déclaration et la communication. - **Récupérer (Recover) :** rétablir les actifs et les activités touchés par un incident. ### Les profils Un profil décrit votre posture de sécurité selon les résultats du noyau. Un profil actuel indique les résultats que vous atteignez aujourd’hui, et dans quelle mesure. Un profil cible indique les résultats que vous avez choisis et priorisés. L’écart entre les deux devient votre plan d’action. Le NIST publie aussi des profils communautaires. Un profil communautaire est une base commune pour un secteur, une technologie ou un type de menace. Vous pouvez vous en servir comme point de départ pour votre propre profil cible. ### Les niveaux Les niveaux décrivent la rigueur de vos pratiques de gouvernance et de gestion des risques de cybersécurité. Il y en a quatre : partiel (niveau 1), informé sur les risques (niveau 2), répétable (niveau 3) et adaptatif (niveau 4). Ils vont d’un travail informel, au cas par cas, à des pratiques qui s’adaptent au changement. Les niveaux sont facultatifs. Vous pouvez les utiliser pour éclairer vos profils actuel et cible. ## Comment aborder le sujet Le NIST a publié un guide de démarrage rapide pour les petites entreprises (NIST SP 1300) avec le CSF 2.0, en février 2024, et une traduction française officielle est offerte. Il vise les entreprises qui ont peu ou pas de plan de cybersécurité, et il complète le CSF sans le remplacer. Utilisez-le avec ces étapes. 1. Lisez le guide de démarrage rapide. Pour chaque fonction, il propose des actions à envisager et des questions à vous poser. 2. Commencez par la fonction Gouverner. Nommez la personne responsable de la cybersécurité. Dressez la liste de vos exigences légales, réglementaires et contractuelles. 3. Dressez l’inventaire de vos équipements, logiciels, systèmes et services. Notez les données que chacun contient. 4. Rédigez un court profil actuel. Pour chaque fonction, notez ce que vous faites déjà et avec quelle efficacité. Une case vide est une information utile. 5. Choisissez un profil cible. Retenez les résultats qui comptent le plus pour vos risques et vos clients. Vous n’avez pas besoin des 106 sous-catégories. 6. Transformez l’écart en plan d’action, avec un responsable et une date pour chaque élément. Le guide suggère des premières actions comme l’authentification multifactorielle (MFA) sur chaque compte qui l’offre, des mises à jour régulières, des sauvegardes testées et un plan de base de réponse aux incidents. 7. Recommencez le cycle. Mettez vos profils à jour quand votre entreprise, vos outils ou vos risques changent. ## Erreurs courantes - Dire que vous êtes « certifié NIST ». Le NIST n’offre aucune certification pour le CSF. Dites que vous utilisez le cadre, et montrez vos profils et vos preuves. - Traiter les sous-catégories comme une liste à cocher. Le NIST décrit des résultats, et vous choisissez comment les atteindre. - Viser tous les résultats d’un seul coup. Choisissez une cible adaptée à vos risques et à vos ressources. - Sauter la fonction Gouverner. Sans responsable ni politique, les autres fonctions dérivent. - Rédiger un profil cible sans plan d’action, sans responsables et sans dates. - Considérer le CSF comme un substitut à la loi. Un cadre ne prouve pas, à lui seul, que vous respectez la Loi 25 ou la LPRPDE. **Bon à savoir :** Cet article présente une information générale, et non un avis professionnel. Pour votre situation, consultez un conseiller qualifié en sécurité ou en droit. ## Comment NextIT vous aide NextIT suit votre progression selon les cadres qui comptent pour votre entreprise, dont le NIST CSF. L’évaluation de conformité affiche votre score pour chaque cadre que vous suivez. `Gestion des contrôles` et `Référentiel de preuves` gardent chaque contrôle avec la preuve qui le soutient, et le registre des incidents suit chaque incident du premier signalement jusqu’à la revue. Le [rapport de conformité](https://nextit.tech/fr/docs/rapport-de-conformite/) couvre un seul cadre à la fois et s’exporte en PDF. Pour voir comment cela s’applique à votre entreprise, [réservez une démonstration](https://nextit.tech/fr/reserver-une-demo/). Rapport de posture gratuit ### Votre PME est-elle exposée? Sachez-le en 5 minutes. Entrez votre domaine. Confirmez la propriété par courriel, puis obtenez gratuitement votre rapport de posture de sécurité et de conformité. [Réserver une rencontre stratégique](https://nextit.tech/fr/reserver-une-demo/) - Aucune carte requise - Hébergé au Canada Équipe Sécurité NextIT Sécurité, conformité à la loi 25 et gouvernance informatique pour les PME. ### À propos de l’auteur L’équipe Sécurité NextIT exécute les analyses de domaine et le calcul de la posture, et écrit sur les correctifs qui font le plus bouger un score de sécurité. ### Plus d’articles de NextIT - [La Loi 25 expliquée : ce que la loi québécoise exige des PME 27 oct. 2026](https://nextit.tech/fr/blogue/la-loi-25-expliquee-ce-que-la-loi-quebecoise-exige-des-pme/) - [Le RGPD pour les PME canadiennes : quand il s’applique et ce qu’il exige 27 oct. 2026](https://nextit.tech/fr/blogue/le-rgpd-pour-les-pme-canadiennes-quand-il-s-applique-et-ce-qu-il-exige/) - [SOC 2 expliqué aux PME : ce que couvre le rapport et comment s’y préparer 27 oct. 2026](https://nextit.tech/fr/blogue/soc-2-explique-aux-pme/) - [Ce que coûte vraiment la non-conformité 15 oct. 2026](https://nextit.tech/fr/blogue/ce-que-coute-vraiment-la-non-conformite/) - [Conformité 101 pour les PME : cadres, contrôles et preuves en termes simples 15 oct. 2026](https://nextit.tech/fr/blogue/conformite-101-cadres-controles-et-preuves/) ## Scannez votre entreprise. Ou parlons stratégie. Obtenez votre rapport de posture gratuit en 5 minutes — ou réservez une rencontre stratégique avec notre équipe. [Réserver une rencontre stratégique](https://nextit.tech/fr/reserver-une-demo/) Aucune carte requise · Bilingue FR / EN · Hébergé au Canada