Dossier de diligence raisonnable du RSSI : éléments probants ISO 27001 pour 2026

Il est 08 h 17 un lundi matin. Maria, RSSI d’un fournisseur SaaS fintech en forte croissance, ouvre un courriel du directeur général : « Demande de l’autorité de régulation. Il nous faut d’ici vendredi les éléments probants montrant que nous avons fait remonter le risque fournisseur avant l’interruption de service, que le conseil d’administration avait compris le risque résiduel et que notre décision de notification de l’incident a été documentée. »

Six semaines plus tôt, un fournisseur de services cloud critique a subi une dégradation régionale. Aucun fonds client n’a été perdu. Aucune exfiltration de données à caractère personnel n’a été confirmée. Mais les clients ont perdu l’accès aux tableaux de bord pendant plusieurs heures, les tickets de support ont fortement augmenté, et un client entreprise exige désormais la preuve que la société a respecté NIS2, DORA et les obligations de sécurité prévues à l’Article 32 du GDPR.

Maria sait que l’équipe a agi de manière responsable. Elle a alerté la direction sur le risque de concentration. Elle a ouvert une exception lorsque les tests de la région de secours ont pris du retard. Elle a classé l’événement, consulté le service juridique, informé les clients et ouvert des actions correctives. Mais en 2026, la question n’est plus seulement de savoir si la fonction sécurité a agi de manière responsable.

La question est de savoir si le RSSI peut démontrer, au moyen d’éléments probants horodatés, que les risques ont été identifiés, communiqués, suivis, acceptés par le bon propriétaire et traités jusqu’à leur clôture.

Cette preuve est le dossier de diligence raisonnable du RSSI.

Pour les RSSI, responsables conformité, auditeurs et dirigeants, le dossier de diligence raisonnable n’est pas une réserve privée de documents. Il constitue la couche opérationnelle d’éléments probants qui relie ISO/IEC 27001:2022, la responsabilité de la direction au titre de NIS2, la gouvernance DORA et la gestion des risques liés aux TIC, ainsi que la sécurité du traitement prévue à l’Article 32 du GDPR, dans un récit cohérent. Bien construit, il montre que le responsable sécurité a donné des avis clairs, que la direction a pris des décisions éclairées et que les contrôles de l’organisation n’ont pas seulement été déclarés, mais exploités, revus et améliorés.

Pourquoi la diligence raisonnable du RSSI compte en 2026

Le paysage réglementaire est passé des déclarations de politique à une responsabilité démontrable. Les assurances vagues ne suffisent plus. Les autorités de régulation, les conseils d’administration, les clients et les assureurs demandent de plus en plus des éléments probants de gouvernance.

NIS2 attribue une responsabilité explicite aux organes de direction. L’Article 20 impose aux organes de direction des entités essentielles et importantes d’approuver les mesures de gestion des risques de cybersécurité, d’en superviser la mise en œuvre et de suivre une formation en cybersécurité. L’Article 21 attend ensuite des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées, notamment l’analyse des risques, la gestion des incidents, la continuité d’activité, la sécurité de la chaîne d’approvisionnement, le développement sécurisé, l’évaluation de l’efficacité, l’hygiène cyber, la formation, la cryptographie, le contrôle d’accès, la gestion des actifs et l’authentification.

Pour les entités financières couvertes, DORA élève encore le niveau d’exigence. L’Article 5 rend l’organe de direction responsable en dernier ressort de la gestion des risques liés aux TIC. L’Article 6 exige un cadre de gestion des risques liés aux TIC solide, complet et bien documenté. DORA impose également la classification et la notification des incidents, les tests de résilience opérationnelle numérique, l’audit interne pour les entités autres que les microentreprises, le suivi des remédiations et la gouvernance des prestataires tiers de services TIC. DORA s’applique depuis le 17 janvier 2025 et, pour les entités financières couvertes, constitue l’acte juridique sectoriel de l’Union pour les obligations de gestion des risques et de notification qui recoupent NIS2.

Le GDPR ajoute un prisme de responsabilité distinct mais lié. L’Article 5(2) impose aux responsables du traitement d’être responsables du respect des principes de protection des données et en mesure de le démontrer. L’Article 32 exige des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Pour les organisations SaaS, fintech et de services managés qui traitent des données à caractère personnel de l’UE, cela signifie que les éléments probants doivent montrer comment les risques pesant sur la confidentialité, l’intégrité, la disponibilité et la résilience ont été évalués et traités.

La préoccupation personnelle des RSSI est compréhensible. Si la responsabilité de la direction, l’examen par les autorités de régulation, la diligence raisonnable des clients et l’exposition contentieuse convergent après une interruption de service ou une violation, un registre des risques ne suffira pas. Le RSSI doit disposer d’un dossier structuré d’éléments probants montrant le jugement professionnel, les escalades en temps utile, les recommandations claires, les désaccords le cas échéant, les risques acceptés et l’assurance des contrôles.

Le dossier de diligence raisonnable n’est pas un SMSI parallèle

Une erreur d’audit fréquente consiste à traiter le dossier de diligence raisonnable du RSSI comme une archive privée séparée du SMSI. Cela crée deux risques. Premièrement, les éléments probants deviennent incohérents. Deuxièmement, cela peut donner l’impression que le RSSI connaissait les risques sans les intégrer dans la gouvernance.

L’approche de Clarysec est différente. Le dossier de diligence raisonnable du RSSI est une vue organisée des éléments probants du SMSI pertinents pour la responsabilité de la direction. Il ne remplace pas le registre des risques, la Déclaration d’applicabilité, le registre des incidents, le registre des fournisseurs, les rapports d’audit ou les comptes rendus de revue de direction. Il les indexe, les relie et les rend défendables.

Le Zenith Blueprint : feuille de route en 30 étapes pour auditeur fournit le socle pratique. Dans la phase Fondations et leadership du SMSI, l’étape 4 souligne que le responsable du SMSI ou le responsable sécurité coordonne la mise en œuvre, les audits et la sensibilisation, et « doit avoir un accès direct à la haute direction pour escalader les problèmes ». Elle indique également que des propriétaires du risque doivent être désignés pour les risques majeurs et que l’organisation doit définir qui valide les décisions de traitement des risques.

C’est le premier principe de la diligence raisonnable du RSSI : le responsable sécurité conseille et escalade, mais la propriété du risque et son acceptation doivent être explicites.

Dans la phase de gestion des risques, l’étape 13 de Zenith Blueprint rend ce principe opérationnel :

Les décisions de traitement des risques et la SoA doivent être revues et approuvées par la haute direction. Cela se fait souvent en réunion ou au minimum par validation formelle. Veillez à informer la direction sur :

✓ les principaux risques et les traitements proposés, ✓ les risques dont vous recommandez l’acceptation (ils doivent être formellement acceptés), ✓ la liste des contrôles que vous prévoyez de mettre en œuvre (points clés de la SoA). L’approbation de la direction montre que l’organisation a connaissance des actions nécessaires et s’engage à les réaliser (ce sera également un élément probant documenté pour l’audit).

Pour un RSSI, ces indications ne relèvent pas seulement de la préparation à l’audit ISO. Elles constituent l’architecture de la diligence raisonnable. Si un risque élevé est accepté, différé ou sous-financé, le dossier doit montrer le risque, la recommandation, la décision métier, le rôle approbateur, la référence à l’appétence au risque et la date de revue.

ISO 27001:2022 est le moteur de production des éléments probants

ISO 27001 est plus qu’un objectif de certification. C’est un modèle opérationnel pour la gouvernance, le traitement des risques, l’assurance et l’amélioration continue. La clause 0.1 indique qu’un SMSI est destiné à être intégré aux processus de l’organisation et à sa structure globale de management. Cette intégration transforme le travail courant de sécurité en moteur fiable de production d’éléments probants.

Les clauses clés d’ISO 27001:2022 qui alimentent le dossier de diligence raisonnable du RSSI sont les suivantes :

• Clauses 4.1 à 4.2, contexte et parties intéressées, qui documentent les obligations légales, réglementaires, contractuelles et des parties prenantes.
• Clause 4.3, domaine d’application du SMSI, qui définit les services, sites, systèmes et frontières couverts.
• Clause 5.1, leadership et engagement, qui impose à la haute direction de soutenir le SMSI et de s’assurer qu’il atteint les résultats attendus.
• Clause 5.3, rôles, responsabilités et autorités au sein de l’organisation, qui soutient une propriété du risque claire et des circuits d’escalade définis.
• Clauses 6.1.2 et 6.1.3, appréciation des risques de sécurité de l’information et traitement des risques, qui exigent des critères de risque cohérents, l’approbation du propriétaire du risque, des plans de traitement, l’acceptation du risque résiduel et la Déclaration d’applicabilité.
• Clause 8.1, planification et maîtrise opérationnelles, qui impose à l’organisation de planifier, mettre en œuvre et maîtriser les processus nécessaires pour satisfaire aux exigences du SMSI.
• Clauses 9.2 et 9.3, audit interne et revue de direction, qui produisent des éléments probants d’assurance indépendante et de supervision par la direction.
• Clause 10.1, amélioration continue, et clause 10.2, non-conformité et action corrective, qui démontrent le suivi effectif.

Cette approche systématique garantit que les éléments probants demandés par le directeur général de Maria ne sont pas créés dans l’urgence. Ils existent déjà, si le SMSI a été conçu pour produire et conserver des enregistrements adaptés à la prise de décision.

Ce que doit contenir un dossier de diligence raisonnable du RSSI

Un bon dossier de diligence raisonnable répond à sept questions qu’un auditeur, une autorité de régulation, un membre du conseil d’administration ou un client peut poser après une perturbation :

1. Que savait le RSSI ?
2. Quand l’a-t-il su ?
3. Quel avis a-t-il donné ?
4. Qui était propriétaire du risque ?
5. Qu’a approuvé, rejeté, différé ou accepté la direction ?
6. Comment les contrôles ont-ils été testés ou surveillés ?
7. Qu’est-ce qui a changé après des incidents, des audits, des alertes fournisseurs ou des exceptions ?

La structure suivante convient aux fournisseurs SaaS, fintechs, prestataires de services managés, prestataires de services de sécurité managés, opérateurs d’infrastructures numériques et fournisseurs technologiques au service de clients réglementés.

Ce dossier est particulièrement important pour les secteurs NIS2 tels que les services d’informatique en nuage, les centres de données, les réseaux de diffusion de contenu, les prestataires de services managés, les prestataires de services de sécurité managés, les fournisseurs de communications publiques et certaines entités d’infrastructure financière. Le champ d’application de NIS2 dépend du secteur, du type d’entité et de la taille, les États membres étant tenus d’établir des listes d’entités essentielles et importantes. Même les organisations hors champ direct peuvent être soumises à des obligations contractuelles répercutées par des clients entrant dans le champ.

Pour DORA, le dossier doit distinguer si l’organisation est l’entité financière réglementée, un prestataire tiers de services TIC, ou les deux selon les relations. Les entités financières doivent maintenir une gouvernance, une gestion des risques liés aux TIC, une notification des incidents, des tests de résilience et des contrôles des risques liés aux tiers. Les prestataires TIC seront de plus en plus sollicités pour fournir des éléments probants, soutenir les droits d’audit, l’assistance en cas d’incident, les tests et la planification de sortie.

L’ossature des politiques Clarysec pour des enregistrements défendables

La valeur du dossier de diligence raisonnable dépend de la qualité des enregistrements. Les politiques Clarysec sont rédigées pour faire de cette piste d’enregistrement une pratique normale de l’organisation, et non une réponse d’urgence à un courrier de l’autorité de régulation.

Pour les PME, [P02S] Politique relative aux rôles et responsabilités de gouvernance - PME indique à la clause 5.5 :

Toutes les décisions de sécurité significatives, exceptions et escalades doivent être enregistrées et traçables.

Pour les entreprises, [P02] Politique relative aux rôles et responsabilités de gouvernance indique à la clause 6.5 :

Toutes les escalades doivent être journalisées et suivies, avec des éléments probants de résolution ou d’acceptation formelle.

Ensemble, ces clauses définissent la norme probatoire. Une vulnérabilité significative, une dépendance fournisseur, un retard de contrôle ou une exception répétée ne doit pas exister uniquement dans des messages instantanés ou dans la mémoire des personnes. L’élément doit être enregistré, attribué, suivi et clôturé par résolution ou acceptation formelle.

L’acceptation du risque exige la même discipline. [P06S] Politique de gestion des risques - PME exige à la clause 5.1.2 :

Chaque entrée de risque doit comprendre : description, vraisemblance, impact, score, propriétaire et plan de traitement des risques.

La même politique PME ajoute à la clause 7.2.1 :

Toute décision d’accepter ou de différer le traitement d’un risque élevé ou moyen doit être documentée dans le registre des risques. Cette documentation doit inclure :

Pour les organisations plus importantes, [P06] Politique de gestion des risques indique à la clause 6.3.4 :

Les risques acceptés sans traitement doivent être justifiés par écrit, liés à l’appétence au risque de l’organisation et approuvés au niveau approprié.

Dans un contexte NIS2 ou DORA, cela importe parce que les organes de direction sont censés approuver, superviser et comprendre les décisions relatives à la cybersécurité et aux risques liés aux TIC. Dans un contexte Article 32 du GDPR, cela contribue à démontrer que les mesures de sécurité ont été sélectionnées, différées ou ajustées selon un processus documenté fondé sur les risques.

Les éléments probants relatifs aux incidents doivent être tout aussi structurés. [P30S] Politique de réponse aux incidents - PME exige :

Toutes les investigations d’incident, tous les constats et toutes les actions correctives doivent être enregistrés dans un registre des incidents tenu par le Directeur général.

[P30] Politique de réponse aux incidents exige :

Tous les incidents doivent être enregistrés dans le système de gestion des incidents de sécurité (SIMS), notamment :

Ces clauses soutiennent la notification par étapes prévue par NIS2 et la gouvernance des incidents TIC prévue par DORA. NIS2 exige une alerte précoce dans les 24 heures pour les incidents significatifs, une notification dans les 72 heures et un rapport final dans le mois suivant la notification de l’incident. DORA exige une gestion formelle des incidents TIC, une classification par gravité et criticité du service affecté, une escalade à la haute direction, l’information de l’organe de direction, la communication aux clients lorsque nécessaire et une notification par étapes des incidents majeurs liés aux TIC.

Les éléments probants d’audit doivent également présenter une intégrité suffisante. [P33S] Politique d’audit et de surveillance de la conformité - PME indique :

Les métadonnées (par exemple, qui les a collectées, quand et à partir de quel système) doivent être documentées.

[P33] Politique d’audit et de surveillance de la conformité indique :

Toutes les activités d’audit doivent être documentées et conservées dans le référentiel du SMSI.

Enfin, [P01] Politique de sécurité de l’information donne un cadre pratique à la remontée d’informations vers la direction. La clause 4.2.4 indique :

Rend compte du statut du SMSI, des incidents, des résultats d’audit et des indicateurs à la haute direction.

Cette clause soutient le principe de diligence raisonnable selon lequel le statut des incidents, les indicateurs, les résultats d’audit et les risques non résolus doivent parvenir à la haute direction sous une forme permettant la supervision.

Zenith Controls comme boussole de conformité croisée

Zenith Controls : le guide de conformité croisée de Clarysec aide les RSSI à relier les contrôles ISO/IEC 27002:2022 à des attentes de conformité plus larges. Il ne s’agit pas d’un cadre de contrôle distinct. C’est le guide de conformité croisée de Clarysec pour comprendre comment l’Annexe A d’ISO/IEC 27001:2022 et les contrôles ISO/IEC 27002:2022 soutiennent d’autres obligations, audits et demandes d’éléments probants.

Pour le dossier de diligence raisonnable du RSSI, trois domaines de contrôle sont centraux.

Le contrôle ISO/IEC 27002:2022 5.4, Responsabilités de la direction, est un contrôle préventif de gouvernance qui soutient la confidentialité, l’intégrité et la disponibilité. Zenith Controls le place dans le concept Identify, avec la gouvernance comme capacité opérationnelle et la gouvernance plus l’écosystème comme domaines de sécurité. Le message pratique est clair : la responsabilité de la direction n’est pas symbolique. Elle exige des rôles attribués, des ressources, un pilotage des politiques, une supervision et un suivi.

Zenith Controls relie directement 5.4 à 5.2 Rôles et responsabilités en matière de sécurité de l’information, 5.1 Politiques de sécurité de l’information, 5.35 Revue indépendante de la sécurité de l’information, 5.36 Conformité aux politiques, règles et normes de sécurité de l’information, et 5.8 Sécurité de l’information dans la gestion de projet. Un dossier de diligence raisonnable qui contient des escalades mais aucun élément probant d’attribution des rôles, d’approbation des politiques, de revue indépendante ou d’intégration projet paraîtra incomplet.

Le contrôle 5.35, Revue indépendante de la sécurité de l’information, est également central. Zenith Controls le décrit comme préventif et correctif, lié à l’assurance de la sécurité de l’information. Il se rattache à 5.36 surveillance de la conformité, 5.4 responsabilités de la direction, 5.27 enseignements tirés des incidents de sécurité de l’information, 5.33 protection des enregistrements, ainsi qu’à des éléments probants techniques tels que 8.15 journalisation et 8.16 activités de surveillance. En matière de diligence raisonnable, la revue indépendante prouve que la direction ne s’est pas appuyée uniquement sur une auto-attestation de l’équipe sécurité.

Le contrôle 5.36, Conformité aux politiques, règles et normes de sécurité de l’information, fournit la couche de mise en application. Zenith Controls le relie aux politiques, au processus disciplinaire, à la revue indépendante, aux rôles, à l’évaluation des événements, à la journalisation, à la surveillance, à la protection des enregistrements et aux contacts avec des groupes d’intérêt spécialisés. Pour un RSSI, cela signifie que le dossier ne doit pas seulement montrer qu’une politique existe. Il doit montrer la surveillance du respect de la politique, le signalement des non-conformités et l’action corrective.

Cartographie de conformité croisée : un dossier probatoire, plusieurs prismes

Le dossier de diligence raisonnable le plus efficace relie les mêmes éléments probants à plusieurs obligations. Cela évite les programmes de conformité redondants et réduit le risque de récits contradictoires.

NIST CSF 2.0 est utile car il fournit un langage commun pour la gouvernance, le risque lié à la chaîne d’approvisionnement, la résilience opérationnelle, la gestion des incidents et le rétablissement. Sa fonction GOVERN couvre le contexte organisationnel, les obligations légales et réglementaires, l’appétence au risque, les rôles, les politiques et la supervision. Sa méthode de profils CSF soutient l’évaluation de l’état actuel, la définition de l’état cible, l’analyse des écarts et la planification priorisée des actions. Cela s’aligne naturellement avec l’approche de diligence raisonnable de Clarysec : définir le périmètre du dossier, collecter les éléments probants, cartographier les obligations, identifier les écarts, mettre en œuvre les actions et mettre à jour en continu.

Un dossier pratique d’escalade des risques

Prenons l’exemple d’un fournisseur SaaS dont le service d’authentification dépend d’un fournisseur d’identité cloud unique. Le RSSI identifie un risque à fort impact sur la disponibilité et le contrôle d’accès : si le fournisseur d’identité subit une panne majeure, les clients ne peuvent pas se connecter, les workflows d’accès à privilèges peuvent être retardés et la réponse aux incidents peut être compromise.

Un dossier d’escalade des risques défendable doit contenir cinq parties.

Premièrement, créer l’entrée de risque. Utilisez l’exigence de la Politique de gestion des risques - PME selon laquelle chaque entrée de risque doit comprendre la description, la vraisemblance, l’impact, le score, le propriétaire et le plan de traitement des risques. L’entrée doit identifier les actifs et services affectés, notamment le portail client, la console d’administration, les outils de support et le processus d’accès d’urgence. Elle doit enregistrer l’impact CIA, la vraisemblance, l’impact, le score de risque, le propriétaire du risque, le traitement proposé, le risque résiduel, la date cible et le budget.

Deuxièmement, lier le traitement à la Déclaration d’applicabilité. Les contrôles pertinents peuvent inclure la sécurité des fournisseurs, la gestion des services cloud, la gestion des identités et des accès, l’accès à privilèges, la surveillance, la planification des incidents, la préparation à la continuité d’activité, la sauvegarde et la journalisation. Cela suit l’étape 13 de Zenith Blueprint, dans laquelle les décisions de traitement des risques et la SoA sont revues et approuvées par la haute direction.

Troisièmement, préparer la note d’avis du RSSI. La note doit répondre aux questions suivantes : ce qui peut se produire, quels services réglementés ou engagements clients peuvent être affectés, quelles sont les implications NIS2, DORA et GDPR, quel traitement est recommandé, quels sont le coût et le calendrier, et quel risque résiduel demeure si la direction diffère la décision.

Quatrièmement, enregistrer la décision de la direction. Si la direction approuve le traitement, conservez la décision signée, l’approbation budgétaire et le plan de mise en œuvre. Si la direction diffère le traitement, la Politique de gestion des risques applicable aux entreprises exige une justification écrite liée à l’appétence au risque et une approbation au niveau approprié. Le dossier doit présenter la recommandation du RSSI et la décision de la direction comme des éléments probants distincts.

Cinquièmement, ajouter les éléments probants d’assurance. Incluez les résultats des tests de comptes administrateur d’urgence, le plan de communication en cas d’incident fournisseur, la revue contractuelle, les éléments probants relatifs aux SLA, les tests d’alertes de surveillance, les notes d’exercice sur table, les actions correctives et les constats d’audit interne. À l’étape 23 de Zenith Blueprint, Clarysec recommande de valider les capacités de gestion des incidents en sélectionnant un événement récent ou en réalisant un exercice sur table, en capturant et journalisant les décisions, rôles et communications, en mettant à jour le plan avec les enseignements tirés et en confirmant les procédures de conservation des éléments probants forensiques. C’est exactement le type d’éléments probants que le dossier doit conserver.

Décisions relatives aux incidents : démontrer le pourquoi des choix de notification

Après un cyberévénement, le point le plus contesté n’est souvent pas la chronologie technique. C’est la décision de notification.

L’incident était-il significatif au titre de NIS2 ? Était-il majeur au titre de DORA ? Constituait-il une violation de données à caractère personnel au titre du GDPR ? Les clients ou destinataires ont-ils été informés ? Qui a décidé ? Sur la base de quels faits ?

Le dossier de diligence raisonnable du RSSI doit inclure un enregistrement de décision d’incident pour chaque événement significatif, même si la décision finale est « non notifiable ». Cet enregistrement doit inclure :

• Date et heure de prise de connaissance.
• Résumé de l’événement et systèmes affectés.
• Gravité initiale et impact métier.
• Cause malveillante connue ou suspectée.
• Indicateurs d’impact transfrontalier.
• Évaluation des données à caractère personnel.
• Impact sur les clients ou destinataires du service.
• Analyse des critères DORA d’incident majeur, le cas échéant.
• Analyse des critères NIS2 d’incident significatif, le cas échéant.
• Participants juridique, DPO, conformité et direction.
• Décision, justification et approbation.
• Déclencheurs de suivi si les faits évoluent.

NIS2 définit les incidents significatifs par une perturbation opérationnelle grave, une perte financière ou un dommage matériel ou immatériel considérable causé à d’autres personnes. DORA impose aux entités financières d’enregistrer les incidents liés aux TIC et les cybermenaces significatives, de classer les incidents selon des critères tels que les clients affectés, l’indisponibilité, l’étendue géographique, la perte de données, la criticité et l’impact économique, et d’escalader les incidents majeurs à la haute direction tout en informant l’organe de direction.

Le dossier de diligence raisonnable doit conserver à la fois les faits connus au moment de la décision et la justification de l’action ou de la non-notification. Si les faits changent ultérieurement, le dossier doit montrer la réévaluation.

Les alertes fournisseurs sont le test de la diligence

Les éléments probants relatifs à la chaîne d’approvisionnement deviennent l’une des sections les plus importantes du dossier du RSSI. L’Article 21 de NIS2 exige la sécurité de la chaîne d’approvisionnement et attend des organisations qu’elles tiennent compte des vulnérabilités propres aux fournisseurs, de la qualité des produits, des pratiques de cybersécurité et des procédures de développement sécurisé. Les considérants encouragent les mesures de gestion des risques de cybersécurité dans les contrats avec les fournisseurs directs et les prestataires de services.

DORA est plus prescriptif pour les entités financières. Le risque lié aux tiers TIC doit faire partie du cadre de risque TIC. Les organisations doivent tenir un registre des arrangements contractuels, réaliser des diligences précontractuelles, apprécier le risque de concentration, tenir compte des chaînes de sous-traitance et des dépendances vis-à-vis de pays tiers, inclure des droits d’audit et d’accès, définir l’assistance en cas d’incident, tester les stratégies de sortie et maintenir des droits de résiliation.

Pour le RSSI, les alertes fournisseurs doivent être documentées avant la défaillance du fournisseur. Le dossier doit inclure :

• Inventaire des fournisseurs critiques et cartographie des services.
• Cotation du risque fournisseur et justification.
• Questionnaires de sécurité et revues des éléments probants.
• Analyse des écarts contractuels couvrant les droits d’audit, la notification des incidents, la localisation des données, la sous-traitance et la sortie.
• Évaluation du risque de concentration.
• Vulnérabilités connues ou avis publics affectant le fournisseur.
• Recommandations du RSSI aux fonctions juridique, achats et direction.
• Écarts acceptés et contrôles compensatoires.
• Éléments probants des tests de stratégie de sortie pour les fournisseurs critiques.

Cela s’aligne étroitement avec NIST CSF 2.0 GV.SC, qui couvre la stratégie de gestion des risques liés à la chaîne d’approvisionnement, les rôles des fournisseurs, la priorisation par criticité, les exigences contractuelles, les diligences raisonnables, la surveillance continue, la planification des incidents et les activités de fin de relation.

Comment les auditeurs et autorités de régulation liront le dossier

Les différents examinateurs abordent les mêmes éléments probants sous des angles différents. Un dossier de diligence raisonnable solide anticipe ces angles.

Un auditeur ISO 27001 portera une attention particulière aux informations documentées soutenant le processus d’appréciation des risques et de traitement des risques. Les clauses 6.1.2 et 6.1.3 exigent des critères d’acceptation du risque, des évaluations cohérentes, des propriétaires du risque, des niveaux de risque, une priorisation, des plans de traitement, la comparaison avec la SoA et l’acceptation du risque résiduel. Les clauses 8.1 à 8.3 exigent la maîtrise opérationnelle, la réévaluation planifiée des risques ou la réévaluation après des changements significatifs, et la conservation des résultats.

Une autorité NIS2 ou un évaluateur client examinera la responsabilité de la direction et la proportionnalité. Il demandera si les mesures étaient appropriées au regard de l’exposition au risque, de la taille, de la vraisemblance, de la gravité, de l’impact sociétal ou économique, de l’état de l’art et des normes applicables.

Un examinateur axé sur DORA recherchera la traçabilité de la gouvernance. L’organe de direction a-t-il défini la tolérance au risque TIC ? A-t-il approuvé les plans de continuité et de réponse ? Les incidents majeurs ont-ils été escaladés ? Les tests de résilience étaient-ils fondés sur les risques et ont-ils donné lieu à remédiation ? Les contrats avec les tiers TIC et les risques de concentration ont-ils été gérés ?

Une autorité GDPR se concentrera sur la responsabilité et la sécurité du traitement. Elle demandera si les données à caractère personnel ont été classifiées, si les rôles de traitement étaient compris, si des mesures techniques et organisationnelles appropriées ont été mises en œuvre et si les décisions relatives aux violations étaient fondées sur des éléments probants.

Les indicateurs qui protègent l’organisation et le RSSI

Les indicateurs ne sont pas décoratifs. Dans un dossier de diligence raisonnable, ils montrent si le RSSI a donné à la direction une visibilité suffisante pour agir.

Les indicateurs utiles incluent :

• Risques élevés et moyens acceptés, en retard ou sans propriétaire.
• Vulnérabilités critiques hors SLA.
• Exceptions par ancienneté, unité métier et rôle approbateur.
• Risques fournisseurs par criticité et écarts contractuels non résolus.
• Délais moyens de détection, de réponse et de rétablissement des incidents.
• Évaluations de la notifiabilité achevées dans les fenêtres de décision requises.
• Taux de réussite des tests de sauvegarde et de reprise.
• Achèvement des revues d’accès et exceptions d’accès à privilèges.
• Constats d’audit interne par gravité et actions correctives en retard.
• Achèvement de la sensibilisation à la sécurité pour la direction et le personnel.

Ces indicateurs soutiennent la communication à la direction exigée par ISO 27001, la formation et la supervision NIS2, la remontée d’informations sur les risques TIC DORA et la responsabilité GDPR. Ils protègent également le RSSI en montrant si les contraintes de ressources, les exceptions non résolues ou les défaillances répétées des contrôles étaient visibles par la direction.

Le dossier de diligence raisonnable doit conserver des instantanés mensuels ou trimestriels. N’écrasez pas les anciens tableaux de bord sans conserver d’éléments probants. Si la direction a vu un indicateur rouge et différé le traitement, cette décision doit figurer dans le dossier.

De la boîte à outils prête pour audit aux éléments probants prêts pour le RSSI

Dans la phase Audit, revue et amélioration, l’étape 30 de Zenith Blueprint recommande de constituer une boîte à outils prête pour audit :

Rassemblez tous les documents et enregistrements clés du SMSI dans un référentiel ou un dossier unique. Cela facilite, pendant l’audit de certification, la récupération rapide de tout élément demandé par l’auditeur.

La liste de contrôle comprend la déclaration du domaine d’application du SMSI, les politiques, le rapport d’appréciation des risques, le registre des risques, le plan de traitement des risques, la Déclaration d’applicabilité, l’inventaire des actifs, les enregistrements de formation, les enregistrements opérationnels tels que les journaux d’incidents et les demandes d’accès, les rapports d’audit interne, les comptes rendus de revue de direction, les actions correctives et les enregistrements des obligations de conformité.

Le dossier de diligence raisonnable du RSSI est une couche spécialisée à l’intérieur de cette boîte à outils. Il ne doit pas tout dupliquer. Il doit indexer les éléments probants les plus pertinents pour le jugement professionnel et la responsabilité de la direction.

Une structure de dossiers pratique est la suivante :

• 00 Lisez-moi et index des éléments probants.
• 01 Rôle, autorité et ligne de reporting.
• 02 Obligations de conformité et domaine d’application.
• 03 Rapports à la direction et avis.
• 04 Acceptations des risques et exceptions.
• 05 Décisions relatives aux incidents et communications.
• 06 Alertes fournisseurs et risques contractuels.
• 07 Assurance des contrôles et revues indépendantes.
• 08 Indicateurs et points non résolus.
• 09 Revue de direction et suivi CAPA.
• 10 Conservation pour litige, intégrité des éléments probants et métadonnées.

Chaque entrée doit comporter un propriétaire, une date, un système source, un identifiant de risque associé, un contrôle associé, un statut de décision et une exigence de conservation. Cela met en œuvre le principe de preuve Clarysec issu de la Politique d’audit et de surveillance de la conformité - PME : les métadonnées comptent.

Commencer avant le prochain incident

Un dossier de diligence raisonnable du RSSI a le plus de valeur lorsqu’il existe avant l’interruption de service, la violation, l’audit ou le courrier de l’autorité de régulation. Commencez par trois actions cette semaine.

Premièrement, créez un index des éléments probants de diligence raisonnable du RSSI et reliez-le à votre registre des risques ISO 27001, à la SoA, au registre des incidents, au registre des fournisseurs et au dossier de revue de direction.

Deuxièmement, revoyez vos trois derniers risques élevés ou moyens. Confirmez que chacun dispose d’un propriétaire, d’un plan de traitement des risques, d’une décision sur le risque résiduel, d’une référence à l’appétence au risque et d’éléments probants d’approbation. À défaut, rouvrez l’enregistrement de gouvernance.

Troisièmement, organisez un exercice sur table de 90 minutes autour d’une interruption de service fournisseur ou d’une violation de données suspectée. Utilisez l’étape 23 de Zenith Blueprint pour capturer les décisions, les rôles, les communications et les enseignements tirés, puis classez les éléments probants dans votre section relative aux décisions d’incident.

Clarysec peut vous aider à rendre cela opérationnel rapidement. Notre méthode de mise en œuvre en 30 étapes, notre suite de politiques et la cartographie de conformité croisée Zenith Controls vous donnent une structure défendable, prête pour audit, pour les éléments probants ISO 27001, la responsabilité de la direction au titre de NIS2, la gouvernance DORA et la responsabilité en matière de sécurité prévue à l’Article 32 du GDPR.

Pour constituer votre dossier de diligence raisonnable du RSSI avec confiance, commencez par le Zenith Blueprint, alignez vos enregistrements de gouvernance et de risques sur les politiques Clarysec, et utilisez Zenith Controls comme boussole de conformité croisée.