Revue de direction ISO 27001 pour NIS2 et DORA

Il est 08 h 00, un lundi matin de février 2026. Maria, RSSI d’une fintech européenne en forte croissance, ouvre un courriel du directeur général dont l’objet est : « URGENT : préparation du conseil ». Le message contient un lien vers un article de presse relatif à une sanction de plusieurs millions d’euros au titre de NIS2, portant non seulement sur des contrôles défaillants, mais aussi sur la négligence de l’organe de direction.

La question du directeur général est brève et inconfortable :

« Pouvons-nous prouver que le conseil d’administration gouverne activement le risque de cybersécurité, et ne se contente pas de recevoir des points d’information informatiques ? »

À 08 h 30, le directeur financier a ajouté un questionnaire d’audit client. Le président du conseil souhaite une synthèse d’une page sur la responsabilité cyber avant la prochaine réunion du comité des risques. Le directeur technique demande si un incident fournisseur modifie le dossier probant DORA destiné aux clients. Pendant ce temps, Maria examine quatre sujets qui semblent opérationnels en apparence : une dérogation non résolue relative aux accès à privilèges, deux actions correctives en retard, l’échec d’un exercice sur table et une lacune contractuelle fournisseur.

Ce ne sont pas des problèmes distincts. Ce sont des problèmes de preuves de gouvernance.

En 2026, les organisations exposées à NIS2, DORA, GDPR, aux programmes d’assurance demandés par les clients et à l’examen de certification ISO/IEC 27001:2022 font face à une question plus exigeante que « disposons-nous de contrôles de sécurité ? »

La vraie question est la suivante :

La direction peut-elle prouver qu’elle a revu le risque de cybersécurité, compris les implications, pris des décisions, attribué des actions, financé la remédiation, accepté le risque résiduel lorsque cela était approprié et assuré le suivi ?

Cette preuve ne provient pas d’un simple PDF de politique. Elle provient d’une revue de direction rigoureuse au titre de la Clause 9.3 d’ISO/IEC 27001:2022, étayée par des données d’entrée, des comptes rendus, des décisions, des enregistrements d’acceptation du risque, des actions correctives et des pistes probantes.

Pourquoi la Clause 9.3 d’ISO 27001 constitue désormais une preuve pour le conseil

Une revue de direction faible se résume à un jeu de diapositives préparé dans l’urgence, quelques indicateurs et une signature. Une revue de direction robuste est un événement de gouvernance maîtrisé dans lequel les décisions de la direction deviennent des éléments probants.

La Clause 9.3 d’ISO/IEC 27001:2022 exige que la direction revoie le système de management de la sécurité de l’information à intervalles planifiés afin de s’assurer de sa pertinence, de son adéquation et de son efficacité continues. La revue doit prendre en compte les actions précédentes, les changements dans les enjeux internes et externes, les changements dans les besoins et attentes des parties intéressées, les retours sur la performance, les résultats d’audit, la performance au regard des objectifs, les résultats de l’appréciation des risques, l’état du traitement des risques et les opportunités d’amélioration continue.

Cette structure correspond exactement à ce que les conseils d’administration, les autorités de régulation, les clients et les auditeurs attendent désormais de la gouvernance de la cybersécurité.

Pour les entités essentielles et importantes relevant de NIS2, l’Article 20 impose aux organes de direction d’approuver les mesures de gestion des risques de cybersécurité, d’en superviser la mise en œuvre et de recevoir une formation. L’Article 21 exige des mesures techniques, opérationnelles et organisationnelles proportionnées, incluant l’analyse des risques, la gestion des incidents, la continuité d’activité, la sécurité de la chaîne d’approvisionnement, le développement sécurisé, l’évaluation de l’efficacité, l’hygiène cyber, la cryptographie, la sécurité RH, le contrôle d’accès, la gestion des actifs, l’authentification multifacteur lorsque cela est approprié et des actions correctives sans retard injustifié.

Pour les entités financières, DORA place la gouvernance des risques liés aux TIC directement sous la responsabilité de l’organe de direction. L’Article 5 de DORA exige que l’organe de direction définisse, approuve, supervise et demeure responsable du cadre de gestion des risques liés aux TIC. Cela inclut la tolérance au risque TIC, les plans de continuité et de rétablissement, les plans d’audit, le budget, la formation, les politiques relatives aux prestataires tiers de services TIC, les canaux de signalement des incidents majeurs et les mesures correctives. L’Article 6 exige un cadre documenté de gestion des risques liés aux TIC, revu au moins une fois par an et après des incidents majeurs liés aux TIC, des instructions de supervision, des tests, des audits ou des changements significatifs.

GDPR ajoute la couche de responsabilité. L’Article 5(2) exige que les responsables du traitement soient responsables du respect des principes de protection des données et capables de le démontrer. L’Article 32(1)(d) attend un processus permettant de tester, d’analyser et d’évaluer régulièrement l’efficacité des mesures techniques et organisationnelles.

Une revue de direction correctement conçue est le point de convergence de ces obligations.

La pression réglementaire derrière l’ordre du jour de la revue

NIS2 et DORA n’utilisent pas une terminologie identique. DORA constitue également l’acte juridique sectoriel de l’UE applicable aux entités financières couvertes lorsque des obligations de cybersécurité et de notification se recoupent. Mais les deux textes poursuivent le même résultat de gouvernance : la direction doit approuver, superviser, doter en ressources et corriger la gestion du risque cyber.

NIS2 s’applique largement aux entités de taille moyenne et grande dans les secteurs couverts, et dans certains cas indépendamment de la taille. L’Annexe I inclut des fournisseurs d’infrastructures numériques tels que les prestataires de services d’informatique en nuage, les prestataires de services de centres de données, les fournisseurs de réseaux de diffusion de contenu, les prestataires de services de confiance, les fournisseurs de réseaux publics de communications électroniques, les prestataires de services managés et les prestataires de services de sécurité managés. Les États membres devaient établir les listes des entités essentielles et importantes au plus tard le 17 avril 2025.

Les enjeux de mise en application sont significatifs. Pour les manquements liés aux mesures de gestion des risques de cybersécurité prévues à l’Article 21 ou au signalement des incidents prévu à l’Article 23, les amendes administratives maximales peuvent atteindre au moins 10 000 000 EUR ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, et au moins 7 000 000 EUR ou 1,4 % du chiffre d’affaires annuel mondial pour les entités importantes, le montant le plus élevé étant retenu.

DORA s’applique depuis le 17 janvier 2025 et couvre un large écosystème du secteur financier, notamment les établissements de crédit, les établissements de paiement, les établissements de monnaie électronique, les entreprises d’investissement, les prestataires de services sur crypto-actifs, les assureurs, les réassureurs, les plates-formes de négociation, les agences de notation de crédit, les prestataires de services de financement participatif, les référentiels de titrisation et les prestataires tiers de services TIC. DORA est proportionné, mais proportionné ne signifie pas informel. Même les entités financières de plus petite taille doivent disposer d’enregistrements montrant que la gouvernance des risques liés aux TIC est adaptée à leur échelle, intentionnelle, documentée et revue.

C’est pourquoi la revue de direction ne peut plus rester une formalité de certification. Elle est devenue l’un des mécanismes les plus pratiques pour produire des preuves relatives à la responsabilité NIS2, à la gouvernance des risques liés aux TIC selon DORA, à la responsabilité GDPR et aux diligences raisonnables demandées par les clients.

L’ossature des politiques Clarysec pour discipliner la revue

Clarysec traite la revue de direction comme un dossier probant pour le conseil d’administration, et non comme une réunion annuelle cérémonielle.

La Politique de sécurité de l’information rend explicite la revue de direction ISO 27001 :

Les activités de revue de direction (conformément à la Clause 9.3 d’ISO/IEC 27001) doivent être menées au moins une fois par an et doivent inclure :

Extrait de la section « Exigences de gouvernance », clause de politique 5.3.

La même politique définit les attentes en matière d’éléments probants :

Revue des indicateurs clés de performance de la sécurité (KPI), des incidents, des constats d’audit et du statut des risques

Extrait de la section « Exigences de gouvernance », clause de politique 5.3.2.

Et elle relie la revue aux décisions de la direction :

Décisions relatives aux mises à jour du champ d’application, des contrôles et de l’allocation des ressources

Extrait de la section « Exigences de gouvernance », clause de politique 5.3.3.

Ce dernier point est essentiel. Une revue de direction n’est pas une présentation. C’est une instance de décision.

La Politique relative aux rôles et responsabilités de gouvernance ajoute la règle de traçabilité :

La gouvernance doit soutenir l’intégration avec d’autres disciplines (par exemple, risques, juridique, informatique, RH), et les décisions relatives au SMSI doivent être traçables jusqu’à leur source (par exemple, enregistrements d’audit, journaux de revue, comptes rendus de réunion).

Extrait de la section « Exigences de gouvernance », clause de politique 5.5.

Elle attribue également les responsabilités d’escalade :

Participe aux revues de direction du SMSI et escalade les décisions nécessitant une approbation au niveau du conseil d’administration.

Extrait de la section « Rôles et responsabilités », clause de politique 4.1.3.

Pour les organisations de plus petite taille, la même logique de gouvernance doit être adaptée, et non ignorée. La Politique relative aux rôles et responsabilités de gouvernance - PME précise :

Toutes les décisions de sécurité significatives, les exceptions et les escalades doivent être enregistrées et traçables.

Extrait de la section « Exigences de gouvernance », clause de politique 5.5.

La Politique d’audit et de surveillance de la conformité - PME garantit que les constats d’assurance atteignent la direction :

Les constats d’audit et les mises à jour de statut doivent être inclus dans le processus de revue de direction du SMSI.

Extrait de la section « Exigences de gouvernance », clause de politique 5.4.3.

Et la Politique de gestion des risques - PME fixe une cadence pour les risques élevés :

Revoit chaque trimestre les risques les plus élevés avec le Coordinateur des risques.

Extrait de la section « Rôles et responsabilités », clause de politique 4.1.3.

Il en résulte un rythme pratique : revue trimestrielle des risques les plus élevés, revue de direction annuelle ou planifiée au titre de la Clause 9.3, et revues déclenchées après des incidents majeurs, audits, tests de résilience, défaillances de fournisseurs, évolutions réglementaires ou changements métier majeurs.

Construire le dossier probant pour le conseil avant la réunion

Le Zenith Blueprint : feuille de route en 30 étapes pour auditeurs traite de la revue de direction dans la phase Audit, revue et amélioration, étape 28 : revue de direction. Il demande aux équipes de préparer les données d’entrée requises avant la réunion :

ISO 27001 précise plusieurs données d’entrée requises pour la revue de direction. Préparez un bref rapport
ou une présentation couvrant ces points :

Extrait de la phase Audit, revue et amélioration, étape 28 : revue de direction.

Le Blueprint met l’accent sur les actions précédentes, les changements dans les enjeux externes et internes, la performance et l’efficacité du SMSI, les résultats d’audit, les résultats de surveillance et de mesure, les objectifs de sécurité, les incidents, les non-conformités, les opportunités d’amélioration, les besoins en ressources et le suivi des décisions antérieures.

Il rappelle également que la revue doit déboucher sur des actions :

Décisions et actions : ce point est crucial – la revue de direction n’est pas une simple présentation ;
elle vise à prendre des décisions.

Extrait de la phase Audit, revue et amélioration, étape 28 : revue de direction.

Un dossier probant prêt pour le conseil doit être suffisamment concis pour les dirigeants, mais suffisamment détaillé pour les auditeurs.

Transformer les données d’entrée ISO en éléments probants NIS2 et DORA

La fintech de Maria a besoin d’un ordre du jour unique capable de satisfaire les auditeurs de certification ISO, les clients alignés sur DORA, les questions de cadrage NIS2 et les attentes de supervision du conseil. La manière la plus simple d’y parvenir consiste à convertir chaque donnée d’entrée de la Clause 9.3 en question de gouvernance.

La dernière ligne ne remplace pas les données d’entrée requises par ISO 27001. Il s’agit de l’extension pratique proposée par Clarysec pour la gouvernance 2026, car DORA, NIS2 et une responsabilité réelle du conseil exigent des preuves montrant que la direction a examiné si la sécurité disposait de suffisamment de personnes, de budget, d’outils et d’autorité.

Une revue de direction de 90 minutes pour un fournisseur fintech SaaS

Prenons l’entreprise de Maria : un fournisseur fintech SaaS ayant des clients dans l’UE. Il fournit des services de surveillance des transactions, utilise un grand fournisseur cloud, s’appuie sur un SOC externalisé, traite des données à caractère personnel et a récemment intégré deux nouveaux clients du secteur des paiements. Il se prépare à une surveillance ISO/IEC 27001:2022, à une revue client alignée sur DORA et à une appréciation du champ d’application NIS2.

Une revue de direction ciblée de 90 minutes pourrait se dérouler comme suit.

1. Commencer par les obligations et les changements de contexte

Pour les PME, la Politique de conformité juridique et réglementaire - PME fournit un point de départ simple :

Le DG doit maintenir un registre de conformité simple et structuré recensant :

Extrait de la section « Exigences de gouvernance », clause de politique 5.1.1.

Le dossier de revue doit résumer si l’organisation entre dans le champ d’application de NIS2, si DORA s’applique directement ou par répercussion contractuelle client, si le traitement GDPR a changé et si les obligations contractuelles de sécurité ont évolué.

Exemples :

• Un nouveau contrat client dans l’UE exige la notification des incidents de sécurité aux clients dans un délai de 72 heures.
• Une demande de diligence raisonnable client alignée sur DORA demande des registres de prestataires tiers de services TIC, des preuves de stratégie de sortie et des enregistrements d’escalade des incidents.
• Une évaluation NIS2 identifie un risque de classification possible parce qu’un service soutient des activités de sécurité managée dans un État membre.
• Une nouvelle fonctionnalité d’analyse modifie le registre d’inventaire des données GDPR parce qu’elle traite des identifiants en ligne.

Les décisions de direction doivent approuver la mise à jour du registre de conformité, attribuer au juridique et à la GRC la validation de la classification NIS2 avec un conseil juridique local, et exiger un dossier probant DORA destiné aux clients pour le trimestre suivant.

2. Présenter les décisions relatives aux risques et à la Déclaration d’applicabilité

La phase Gestion des risques du Zenith Blueprint, étape 13 : planification du traitement des risques et Déclaration d’applicabilité, souligne l’importance de l’approbation par la direction :

Les décisions de traitement des risques et la SoA doivent être revues et approuvées par la haute direction.

Extrait de la phase Gestion des risques, étape 13 : planification du traitement des risques et Déclaration d’applicabilité.

La revue ne doit pas submerger le conseil avec chaque risque. Elle doit présenter les principaux risques, le statut du traitement, les exceptions, les actions en retard et les risques résiduels nécessitant une approbation.

Cela crée une chaîne traçable depuis l’appréciation des risques jusqu’au traitement et à la décision de direction.

3. Revoir les incidents, les quasi-incidents et l’aptitude à notifier

L’Article 23 de NIS2 exige un signalement échelonné des incidents significatifs, comprenant une alerte précoce dans les 24 heures, une notification dans les 72 heures et un rapport final dans le mois suivant la notification de l’incident, avec des rapports d’avancement pour les incidents en cours. Les Articles 17 à 19 de DORA exigent la détection, la classification, l’escalade, la communication, le reporting, l’analyse de la cause racine et l’amélioration pour les incidents liés aux TIC.

La revue de direction doit inclure les incidents significatifs, les quasi-incidents, les résultats de classification, les causes racines, le délai de détection, le délai d’escalade, le délai de rétablissement, l’aptitude à notifier les clients, l’aptitude à informer les autorités, les enseignements tirés et les actions correctives.

Le Zenith Blueprint, dans la phase Contrôles en action, étape 16 : contrôles relatifs aux personnes II, explique pourquoi les signalements des employés doivent alimenter la gouvernance :

Enfin, la Mesure 6.8 doit alimenter le cycle d’amélioration continue du SMSI. Les signalements
générés par le personnel doivent être revus lors de la revue de direction (Clause 9.3) et
utilisés pour identifier les défaillances dans les politiques, telles que les départs, la restitution des actifs ou les violations de NDA.

Extrait de la phase Contrôles en action, étape 16 : contrôles relatifs aux personnes II.

Si le compte d’un ancien employé est resté actif après son départ, le conseil ne doit pas le traiter comme un simple ticket. Il s’agit d’une preuve d’une possible faiblesse concernant les RH, l’informatique, le contrôle d’accès, la gestion des actifs, la surveillance et les actions correctives.

4. Revoir les fournisseurs, le cloud et la préparation à la sortie

L’Article 28 de DORA intègre le risque lié aux prestataires tiers de services TIC dans le cadre de gestion des risques liés aux TIC. Les entités financières demeurent pleinement responsables de la conformité lorsque des services TIC sont externalisés. Elles doivent maintenir un registre à jour des accords contractuels TIC, distinguer les fonctions critiques ou importantes, réaliser des diligences raisonnables, gérer le risque de concentration, sécuriser les droits d’audit et d’inspection, et maintenir des stratégies de sortie.

L’Article 21 de NIS2 exige également la sécurité de la chaîne d’approvisionnement, y compris la sécurité des relations fournisseurs, les vulnérabilités propres aux fournisseurs, les pratiques de cybersécurité des fournisseurs et les mesures correctives.

Pour la revue de direction, le reporting fournisseur ne peut pas être une annexe des achats. Il doit constituer un élément probant pour le conseil.

Incluez les changements concernant les fournisseurs critiques, le statut des diligences raisonnables, les lacunes contractuelles, la revue du modèle de responsabilité partagée cloud, le risque de concentration, les résultats de stratégie de sortie, la coopération des fournisseurs en cas d’incident et les actions correctives issues des évaluations fournisseurs. Si la direction approuve la poursuite de l’utilisation d’un prestataire à haut risque, le compte rendu doit consigner la justification, les contrôles compensatoires, la date de revue et le propriétaire responsable.

Le conseil de Maria reçoit un sujet fournisseur concret : un prestataire de plateforme clé a subi un incident mineur, non notifiable. Aucune donnée client n’a été affectée, mais l’événement a révélé un risque de concentration. Le directeur général charge le directeur technique de réaliser une étude de faisabilité d’un fournisseur secondaire d’ici le trimestre suivant et alloue 25 000 EUR à cette évaluation. Cette décision documentée unique démontre la supervision du risque lié à la chaîne d’approvisionnement, l’allocation de ressources et le suivi.

Comment Zenith Controls relie les éléments probants

Le Zenith Controls : guide de conformité croisée de Clarysec aide les équipes à expliquer pourquoi les éléments probants liés aux contrôles ISO sont pertinents dans plusieurs référentiels.

Pour la revue de direction, le contrôle ISO/IEC 27002:2022 5.4, responsabilités de la direction, constitue un point d’ancrage de gouvernance. Il soutient l’orientation par la direction, la responsabilité, la dotation en ressources et la supervision. Zenith Controls relie le contrôle 5.4 aux contrôles de soutien ISO/IEC 27002:2022 qui apparaissent couramment dans les preuves de revue de direction.

Cet ensemble de contrôles donne à Maria un récit de conformité croisée. Ses éléments probants de revue de direction peuvent soutenir la certification ISO/IEC 27001:2022, la supervision prévue par l’Article 20 de NIS2, les mesures de gestion des risques prévues par l’Article 21 de NIS2, la gouvernance TIC prévue par l’Article 5 de DORA, la revue du cadre de gestion des risques liés aux TIC prévue par l’Article 6 de DORA, les tests de résilience opérationnelle numérique prévus par les Articles 24 à 27 de DORA, l’Article 32(1)(d) de GDPR, les résultats GOVERN du NIST CSF 2.0 et les objectifs de gouvernance COBIT 2019.

La revue indépendante et la surveillance de la conformité méritent une attention particulière. Une revue de direction sans éléments probants indépendants devient de l’auto-déclaration. Le contrôle ISO/IEC 27002:2022 5.35 fournit au conseil une assurance objective au moyen d’audits internes, d’évaluations externes, de synthèses de tests d’intrusion, d’observations d’audit de certification et de revues d’efficacité des contrôles. Le contrôle 5.36 transforme « nous avons une politique » en « nous savons si les personnes et les systèmes respectent la politique ».

Comment les auditeurs testeront votre revue de direction

La revue de direction prévue par la Clause 9.3 est l’un des premiers éléments examinés par les auditeurs lorsqu’ils évaluent si la gouvernance est réelle. Les auditeurs posent des questions différentes, mais tous recherchent la traçabilité.

L’échec fréquent n’est pas l’absence de réunion. C’est le fait que la réunion n’a rien changé. Les auditeurs veulent voir des décisions, des propriétaires, des échéances, les preuves attendues et les enregistrements de clôture.

Les livrables qui prouvent la supervision de la direction

Les données d’entrée créent la revue. Les livrables prouvent la gouvernance.

Au minimum, l’enregistrement de la revue de direction doit inclure :

1. Décisions approuvées
   Exemples : approbation de la préparation à la certification, mise à jour du domaine d’application du SMSI, révision des processus de signalement des incidents, exigence de remédiation contractuelle fournisseur ou acceptation du risque résiduel jusqu’à une date définie.

2. Actions attribuées
   Chaque action doit avoir un propriétaire, une date d’échéance, une priorité, les preuves attendues et une cadence de revue.

3. Enregistrements d’acceptation du risque
   Les risques acceptés doivent identifier le propriétaire du risque, la justification, le niveau de risque résiduel, les contrôles compensatoires, la date d’expiration et le seuil d’escalade.

4. Décisions relatives aux ressources
   Enregistrez le budget, les effectifs, les outils, la formation, le support d’audit externe, l’évaluation juridique, les exercices sur table ou les activités d’assurance fournisseur.

5. Mises à jour des politiques et des contrôles
   Consignez les changements concernant le contrôle d’accès, la réponse aux incidents, la continuité d’activité, la gestion des fournisseurs, le chiffrement, le développement sécurisé, la journalisation, la gestion des vulnérabilités ou la conservation des données.

6. Approbations des actions correctives
   Les non-conformités et les constats d’audit doivent devenir des actions correctives avec propriété, calendrier et attentes en matière de preuves.

7. Mécanisme de suivi
   La revue suivante doit commencer par le statut de ces décisions.

Pour les PME, la Politique de sécurité de l’information - PME renforce la nécessité de relier certification, réglementation et changement métier :

Cette politique doit être revue par le Directeur général (DG) au moins une fois par an afin d’assurer la conformité continue aux exigences de certification ISO/IEC 27001, aux évolutions réglementaires (telles que GDPR, NIS2 et DORA) et aux besoins métier en évolution.

Extrait de la section « Exigences de revue et de mise à jour », clause de politique 9.1.1.

Cette phrase résume la réalité de 2026. La revue de direction doit relier le SMSI, les évolutions réglementaires, les clients, les fournisseurs, les incidents, les risques, les ressources et la stratégie métier dans une même boucle de gouvernance.

Échecs courants des revues de direction en 2026

Les échecs les plus fréquents sont prévisibles.

Premièrement, la revue est trop technique. Les dirigeants reçoivent des volumes de vulnérabilités et d’alertes, mais pas de risque métier, d’exposition réglementaire, d’impact client ni d’options de décision.

Deuxièmement, il n’existe pas de journal des décisions. Les comptes rendus indiquent « risque fournisseur discuté », mais ne précisent pas si la direction a accepté le risque, exigé une remédiation, approuvé un budget ou attribué une échéance.

Troisièmement, l’acceptation du risque résiduel est informelle. Un risque reste ouvert pendant des mois parce que « le métier est au courant », mais il n’existe pas d’approbation par un propriétaire, de justification, de date d’expiration ni de déclencheur de revue.

Quatrièmement, les constats d’audit n’atteignent pas la direction. Les rapports d’audit interne restent dans des dossiers GRC alors que la direction ne voit qu’une synthèse de statut verte.

Cinquièmement, les fournisseurs et les prestataires cloud sont traités séparément de la performance du SMSI. Au titre de DORA et NIS2, le risque lié aux prestataires tiers de services TIC constitue une preuve centrale de la gouvernance.

Sixièmement, les incidents sont signalés comme des événements opérationnels, mais ne sont pas revus sous l’angle de l’amélioration systémique. Les causes racines, les enseignements tirés et les actions correctives doivent alimenter la revue de direction.

Septièmement, le suivi des actions antérieures est absent. Les auditeurs demanderont ce qu’il est advenu des décisions de l’an dernier. Si la réponse est dispersée entre courriels et tickets, le récit de gouvernance s’affaiblit.

Une boucle de gouvernance, de nombreuses obligations

Le modèle pratique de Clarysec est simple :

1. Champ d’application et obligations
   Utilisez le domaine d’application du SMSI, les parties intéressées, le registre de conformité, les obligations clients et les dépendances fournisseurs pour définir ce que la revue doit couvrir.

2. Éléments probants relatifs aux risques et aux contrôles
   Utilisez le registre des risques, la Déclaration d’applicabilité, les preuves de mise en œuvre des contrôles, les KPI et la surveillance de la conformité.

3. Données d’assurance
   Intégrez les audits internes, les revues indépendantes, les tests d’intrusion, les évaluations fournisseurs, les audits clients et les constats de certification.

4. Données de résilience opérationnelle
   Incluez les incidents, les quasi-incidents, les tests de continuité d’activité, les résultats de sauvegarde, les exercices de reprise après sinistre, les enseignements de gestion de crise et l’aptitude au reporting.

5. Décisions de direction
   Enregistrez l’acceptation du risque, l’allocation des ressources, les changements de champ d’application, les changements de contrôles, les décisions fournisseurs, les actions correctives et les objectifs stratégiques.

6. Conservation des preuves
   Stockez les comptes rendus, les dossiers, les approbations, les suivis d’actions et les preuves de clôture dans un référentiel contrôlé.

7. Cadence de suivi
   Revoyez les risques élevés chaque trimestre, tenez les revues de direction planifiées au titre de la Clause 9.3 et déclenchez des revues supplémentaires après des incidents majeurs, des changements fournisseurs, des audits, des tests ou des évolutions réglementaires.

C’est ainsi qu’une seule revue de direction peut servir la certification ISO/IEC 27001:2022, la responsabilité de l’organe de direction au titre de NIS2, la gouvernance des risques liés aux TIC selon DORA, la responsabilité GDPR, la revue GOVERN du NIST CSF, la supervision du conseil selon COBIT 2019 et les diligences raisonnables demandées par les clients.

Rendez votre prochaine revue de direction prête pour l’audit

Le conseil de Maria n’avait pas besoin d’un autre tableau de bord technique. Il avait besoin de preuves défendables montrant que le risque de cybersécurité avait été revu, compris, décidé, financé et amélioré.

Votre organisation a besoin de la même chose.

Commencez ce mois-ci :

• Construisez un dossier probant Clause 9.3.
• Faites correspondre chaque point de l’ordre du jour à un risque, une obligation, un KPI, un constat d’audit, un incident, un problème fournisseur ou une action corrective.
• Enregistrez chaque décision avec un propriétaire, une date d’échéance, une justification et les preuves attendues.
• Utilisez le suivi des actions antérieures comme premier point de l’ordre du jour de la revue suivante.
• Conservez les comptes rendus, les approbations, les acceptations de risques et les enregistrements de clôture dans un référentiel contrôlé.

Clarysec peut vous aider à mettre cela en œuvre rapidement grâce au Zenith Blueprint, à la suite de politiques Clarysec et à Zenith Controls comme boussole de conformité croisée pour ISO/IEC 27001:2022, NIS2, DORA, GDPR, NIST CSF, COBIT 2019 et la préparation à l’audit.

Si votre revue de direction reste une corvée de conformité, il est temps d’en faire un actif stratégique de gouvernance. Téléchargez les kits d’outils Clarysec, préparez votre dossier probant pour le conseil d’administration et faites de votre prochaine revue la preuve que la direction gouverne le risque de cybersécurité.