Les termes de la conformité,
expliqués simplement.

Décision délibérée des responsables d’assumer un risque résiduel. Elle doit être documentée et justifiée.

Confirmation formelle qu’un organisme de certification ou d’audit travaille avec compétence et en toute indépendance. Seule l’accréditation assure la reconnaissance internationale d’un certificat.

Tout ce qui a de la valeur pour l’organisation et doit être protégé : informations, systèmes, applications, locaux, mais aussi le savoir des personnes. L’inventaire des actifs est la base de toute appréciation des risques.

Mesure qui élimine la cause d’une non-conformité afin qu’elle ne se reproduise pas. Elle va au-delà de la simple correction du symptôme.

Mesure qui empêche une non-conformité potentielle avant qu’elle ne survienne. Dans les normes ISO actuelles, cette idée a été intégrée à l’approche par les risques.

Principe fondamental de toutes les normes de systèmes de management : planifier, mettre en œuvre, vérifier, améliorer. Un système de management n’est jamais terminé.

Évaluation préalable d’un traitement susceptible d’engendrer un risque élevé pour les personnes concernées. Elle décrit la finalité, la nécessité, les risques et les mesures pour y faire face.

Comparaison de la situation actuelle avec les exigences d’un framework. Elle montre où des améliorations sont nécessaires et constitue généralement la première étape d’un projet.

Identification, analyse et évaluation des risques selon leur probabilité et leur impact. Elle détermine les mesures nécessaires.

Disposition du Code social allemand, livre V (SGB V), relative à la sécurité informatique dans les soins médicaux et dentaires conventionnés, anciennement § 75b. Une directive fixe les exigences que les cabinets doivent respecter selon leur taille.

Opinion d’un auditeur indépendant (expert-comptable) sur un système audité, par exemple selon le BSI C5. Contrairement à un certificat, elle n’est pas délivrée par un organisme de certification.

Vérification systématique et indépendante du respect des exigences. On distingue les audits internes, les audits fournisseurs et les audits de certification menés par un organisme externe.

Première partie de l’audit de certification. L’auditeur examine la documentation, le domaine d’application et l’état de préparation avant de contrôler la mise en œuvre proprement dite.

Seconde partie de l’audit de certification. L’auditeur vérifie sur place ou à distance si le système de management est mis en œuvre efficacement au quotidien.

Audit réalisé à la fin de la validité de trois ans d’un certificat. Il réexamine l’ensemble du système de management et ouvre un nouveau cycle.

Audit annuel entre la certification initiale et le renouvellement. Il examine certaines parties du système de management et vérifie qu’il reste efficace.

Vérification du système de management par des personnes indépendantes de l’entreprise ou par des intervenants externes mandatés. Pour les certifications ISO, au moins un audit interne par cycle est obligatoire.

Connexion avec au moins deux facteurs indépendants, par exemple un mot de passe et un code à usage unique. NIS2 la cite expressément comme mesure, et de nombreux catalogues de contrôles l’exigent pour les administrateurs.

Estimation du niveau de protection requis pour la confidentialité, l’intégrité et la disponibilité d’une information ou d’un système. Les mesures appropriées en découlent.

Loi allemande relative à l’Office fédéral de la sécurité des technologies de l’information (BSI). Avec la transposition de NIS2, elle détermine quelles entités sont soumises à quelles obligations de sécurité, de notification et d’enregistrement.

Étape du processus dans la démarche HACCP où un danger pour la sécurité des aliments doit être maîtrisé efficacement, par exemple lors de la cuisson ou du refroidissement. Chaque CCP a des limites critiques, une surveillance et des actions correctives.

Attestation délivrée par un organisme de certification accrédité, confirmant qu’un système de management satisfait aux exigences d’une norme. Il est en règle générale valable trois ans, avec des audits de surveillance annuels.

Résultat d’un audit pour une exigence : conformité, non-conformité, observation ou piste d’amélioration. Les constats sont consignés dans le rapport d’audit.

Exigence ou mesure de protection individuelle d’un framework, par exemple le contrôle d’accès ou la sauvegarde des données. Les contrôles sont évalués, mis en œuvre et étayés par des preuves.

Règles et moyens techniques garantissant que seules les personnes autorisées accèdent aux systèmes et aux données. L’un des contrôles les plus fréquemment vérifiés.

Partie facultative du catalogue BSI C5 pour les clients ayant un besoin de protection accru. Ils sont audités en plus des critères de base.

Catalogue de critères du BSI pour des services cloud sécurisés. Un auditeur indépendant (expert-comptable) contrôle leur mise en œuvre et délivre une attestation de type 1 (pertinence) ou de type 2 (efficacité sur une période).

Partie obligatoire du catalogue BSI C5, que tout fournisseur cloud disposant d’une attestation C5 doit satisfaire. Ils sont complétés par des critères additionnels pour un besoin de protection plus élevé.

Utilisation du chiffrement et de signatures pour protéger les données en transit et au repos. Les frameworks exigent une politique couvrant les algorithmes et la gestion des clés.

Attitude et comportements partagés dans l’entreprise qui portent la sécurité des aliments au quotidien. Le droit européen de l’hygiène alimentaire exige que les entreprises la favorisent et en apportent la preuve.

Organisme national d’accréditation en Allemagne. Il accrédite notamment les organismes de certification pour l’ISO 27001 et l’ISO 9001.

Document central d’un SMSI selon l’ISO 27001. Elle liste toutes les mesures de l’annexe A, justifie leur sélection ou leur exclusion et indique leur niveau de mise en œuvre.

Les incidents de sécurité importants doivent être notifiés par étapes : une alerte précoce dans les 24 heures, une notification avec une première évaluation dans les 72 heures et un rapport final au plus tard un mois après.

Personne qui conseille une entreprise sur les questions de protection des données et contrôle le respect du RGPD. Elle peut être désignée en interne ou mandatée à l’extérieur.

Les trois objectifs classiques de la sécurité de l’information. Chaque mesure sert au moins l’un d’entre eux.

Définition des sites, processus, systèmes et unités organisationnelles couverts par un système de management. Un périmètre trop étroit affaiblit la portée du certificat.

Règlement européen sur la résilience opérationnelle numérique du secteur financier, applicable depuis janvier 2025. Il encadre la gestion du risque lié aux TIC, la notification des incidents, les tests de résilience et la relation avec les prestataires tiers de services TIC.

Règlement européen sur l’intelligence artificielle. Il classe les systèmes d’IA selon leur risque et y associe des obligations graduées pour les fournisseurs et les déployeurs.

Recueil structuré du niveau de mise en œuvre des exigences, contrôle par contrôle. Le résultat donne une image claire de ce qui est satisfait et de ce qui manque.

Terme générique désignant les normes, lois et catalogues de critères sur lesquels une entreprise s’aligne, par exemple ISO 27001, NIS2 ou SOC 2.

Référentiel d’exigences défini par l’entreprise elle-même, par exemple des directives de groupe ou des exigences clients, et géré comme une norme avec contrôles, preuves et évaluations.

Planification permettant aux processus métier critiques de se poursuivre ou d’être rapidement rétablis en cas de défaillance. Elle comprend les plans d’urgence, les délais de reprise et des exercices réguliers.

Préparation et réaction en cas de perturbation grave, avec alerte, cellule de crise et plans de reprise. Elle fait partie de la gestion de la continuité d’activité.

Processus continu visant à détecter, évaluer et corriger dans les délais les vulnérabilités des systèmes. Un thème central de NIS2, de DORA et de l’ISO 27001.

Cadre de stratégies, de politiques et d’outils permettant à une entité financière d’identifier les risques liés aux technologies de l’information et de la communication, de s’en protéger, de les surveiller et d’y remédier. Chapitre central de DORA.

Articulation entre le pilotage de l’entreprise (gouvernance), la gestion des risques et le respect des lois, des normes et des règles internes (conformité). Un logiciel GRC, souvent appelé outil GRC, regroupe ces tâches en un seul endroit : exigences, risques, mesures, preuves et audits. Sightadel est une plateforme GRC pour ISO 27001, ISO 9001, NIS2, DORA et d’autres frameworks.

Démarche d’analyse des dangers dans la production et la transformation des denrées alimentaires. Les entreprises du secteur alimentaire de l’UE sont tenues de l’appliquer.

Systèmes d’IA que l’EU AI Act encadre de manière particulièrement stricte en raison de leurs effets possibles sur la santé, la sécurité ou les droits fondamentaux, par exemple dans le recrutement, l’octroi de crédits ou les infrastructures critiques. Ils sont soumis à une gestion des risques et à des exigences de qualité des données, de documentation et de contrôle humain.

Association internationale des organismes d’accréditation. Grâce à sa reconnaissance mutuelle, les certificats délivrés par des organismes accrédités sont également reconnus dans les autres États membres.

Événement qui porte ou pourrait porter atteinte à la confidentialité, à l’intégrité ou à la disponibilité des informations. Les incidents sont enregistrés, évalués, traités et analysés.

Norme internationale pour les missions d’assurance qui ne portent pas sur des informations financières. Elle sert notamment de base aux attestations C5 et aux contrôles internes des prestataires de services.

Norme internationale pour les systèmes de management de la qualité. Elle exige des processus maîtrisés et orientés client ainsi qu’une amélioration continue.

Norme fixant les exigences applicables aux organismes qui auditent et certifient des systèmes de management. Elle interdit notamment à un organisme de certification de conseiller la même organisation.

Norme internationale pour les systèmes de management de la sécurité de l’information. Elle est certifiable et constitue en Europe la preuve la plus importante en matière de sécurité de l’information.

Norme internationale pour les systèmes de management de l’intelligence artificielle. Elle aide à développer et à utiliser l’IA de manière responsable et est certifiable.

Enregistrement complet de qui a modifié quoi et quand dans le système. Les auditeurs s’en servent pour vérifier que les processus sont réellement appliqués.

Terme allemand désignant les infrastructures critiques, c’est-à-dire les installations dont la défaillance aurait des conséquences graves pour la collectivité, par exemple dans l’énergie, l’eau, la santé ou la finance. En Allemagne, leurs exploitants sont soumis à des obligations renforcées de sécurité et de preuve.

Projet préparé de politique, de processus ou de réponse, que l’on adapte à sa propre entreprise. Un modèle n’est utile que s’il est réellement adapté et non simplement repris.

Directive européenne visant un niveau élevé commun de cybersécurité. Elle élargit nettement le cercle des entreprises concernées et exige des mesures de gestion des risques, des notifications et la responsabilité de la direction.

Cadre du National Institute of Standards and Technology américain. Dans sa version 2.0, il structure la cybersécurité en six fonctions : Govern, Identify, Protect, Detect, Respond et Recover.

L’EU AI Act distingue les pratiques interdites, les systèmes à haut risque, les systèmes soumis à des obligations de transparence et les systèmes à risque minimal. Plus le niveau est élevé, plus les obligations sont strictes.

Exigence non satisfaite. Lors de l’audit de certification, on distingue les non-conformités majeures et mineures ; les non-conformités majeures doivent être levées avant la délivrance du certificat.

Organisation accréditée qui audite des systèmes de management et délivre des certificats. Il doit rester indépendant de toute activité de conseil.

Liste de mesures concrètes, avec responsables et échéances, qui permet de combler un écart, de traiter un risque ou de corriger une non-conformité.

Règle interne contraignante, par exemple sur l’utilisation des mots de passe ou la sauvegarde des données. Les politiques sont approuvées par la direction, communiquées et revues régulièrement.

Règles documentées définissant qui peut accéder à quels systèmes et données et dans quelle mesure, y compris l’attribution, la revue et le retrait des droits. Les auditeurs exigent presque toujours la preuve d’une revue régulière des droits.

État dans lequel toutes les exigences sont mises en œuvre, les preuves sont à jour, et l’audit interne comme la revue de direction sont achevés. L’audit externe peut alors commencer sans mauvaise surprise.

Au sens de DORA, tout prestataire qui fournit des services numériques ou de données à une entité financière, par exemple cloud, logiciel ou centre de données. Des exigences particulières s’appliquent aux contrats, à la surveillance et aux stratégies de sortie.

Justificatif attestant qu’un contrôle est mis en œuvre, par exemple un document, une capture d’écran, un journal ou un export. Une bonne preuve a une version et une date d’expiration.

Registre de tous les accords contractuels d’une entité financière avec des prestataires tiers de services TIC. Il est tenu dans un format prescrit et transmis à l’autorité de surveillance.

Vue d’ensemble de tous les traitements de données personnelles avec finalité, catégories, destinataires, durées de conservation et mesures de protection. Le RGPD l’exige de presque toutes les entreprises.

Selon NIS2 et DORA, la direction est responsable de la mise en œuvre et de la surveillance des mesures de gestion des risques. Elle doit suivre régulièrement une formation à cet effet.

Personne responsable de la mise en place, de l’exploitation et de l’évolution du SMSI. Elle rend compte à la direction et coordonne risques, mesures et incidents.

Évaluation régulière du système de management par la direction, sur la base d’indicateurs, de résultats d’audit et de risques. Elle débouche sur des décisions concernant les ressources et les améliorations.

Règlement européen sur la protection des données personnelles. Il exige notamment des bases légales, de la transparence, le respect des droits des personnes concernées, des mesures techniques et organisationnelles ainsi que la responsabilité.

Risque provenant des prestataires et fournisseurs, par exemple en cas de défaillance ou de fuite de données. Il est piloté au moyen d’évaluations, de questionnaires et de contrats.

Accès destiné aux auditeurs externes, qui affiche tout ce qui est pertinent pour l’audit, sans permettre de modification. L’audit reste ainsi indépendant et traçable.

Copie régulière des données et des systèmes afin de pouvoir les restaurer après une perte. Les auditeurs vérifient surtout que la restauration a été testée, et pas seulement la sauvegarde.

Indicateur qui synthétise le niveau de mise en œuvre des contrôles sur l’ensemble des frameworks. Il montre d’un coup d’œil où en est une entreprise et comment elle évolue.

Formations et mesures qui font prendre conscience des risques de sécurité aux collaborateurs. Presque tous les frameworks l’exigent de manière régulière et démontrable.

Ensemble des règles, processus, rôles et mesures par lesquels une entreprise planifie, met en œuvre, surveille et améliore la sécurité de l’information. L’ISO 27001 en fixe les exigences.

Rapport d’audit selon une norme américaine sur les contrôles d’un prestataire de services, établi par un cabinet d’expertise comptable. Le type I porte sur une date donnée, le type II sur une période.

Lorsqu’un prestataire traite des données personnelles pour le compte d’une entreprise, l’art. 28 du RGPD exige un contrat définissant ses obligations. Il encadre notamment les instructions, les sous-traitants ultérieurs et les mesures techniques de protection.

Système de management qui oriente les processus vers une qualité constante et la satisfaction des clients. Le référentiel le plus connu est l’ISO 9001.

Tentative d’attaque ciblée et autorisée contre des systèmes afin d’y trouver des vulnérabilités. De nombreux frameworks attendent des tests réguliers et la correction des résultats.

Procédure d’évaluation et d’échange en matière de sécurité de l’information dans l’industrie automobile. Elle repose sur un catalogue de questions propre au secteur.

Test d’intrusion fondé sur la menace prévu par DORA, qui imite des attaquants réels et inclut les systèmes de production. Certaines entités financières désignées doivent le réaliser régulièrement.

Mesures de protection au sens du RGPD, par exemple le chiffrement, le contrôle d’accès ou la formation. Elles doivent être adaptées au risque et sont généralement documentées dans une vue d’ensemble.

Décision sur la manière de traiter un risque évalué : l’éviter, le réduire, le transférer ou l’accepter. Il en découle le plan de traitement des risques avec ses mesures.

Page publique ou protégée sur laquelle une entreprise présente à ses clients ses preuves de sécurité et de conformité. Elle répond à de nombreux questionnaires avant même qu’ils ne soient envoyés.

Critères selon lesquels les rapports SOC 2 sont établis : sécurité, disponibilité, intégrité du traitement, confidentialité et protection de la vie privée. La sécurité est toujours obligatoire, les autres critères sont choisis.

Preuve qu’une mesure n’existe pas seulement, mais atteint son objectif, par exemple au moyen d’indicateurs, d’échantillons ou de tests.

Incident au cours duquel des données personnelles sont perdues, divulguées ou modifiées. Elle doit en général être notifiée à l’autorité de contrôle dans les 72 heures.