Trois référentiels majeurs s’imposent en parallèle aux organisations françaises industrielles qui développent leurs produits : le Cyber Resilience Act pour les produits avec éléments numériques, NIS2 pour les systèmes d’information, l’AI Act pour les systèmes d’intelligence artificielle qu’elles intègrent. Pour les éditeurs SaaS, à ces trois textes s’ajoutent le RGPD pour les données personnelles, et selon les secteurs DORA pour le financier, HDS pour la santé, ou DSP3 pour les services de paiement.
La pratique majoritaire consiste à traiter ces référentiels en silos. Un consultant pour le RGPD, un autre pour NIS2, un troisième pour l’AI Act, parfois un quatrième pour le CRA. Cette fragmentation produit deux effets négatifs cumulatifs. Premier effet : la démultiplication des contrôles. Les mêmes mesures techniques (chiffrement, authentification, journalisation) sont déployées plusieurs fois au titre de plusieurs référentiels, et chaque projet finance son propre déploiement. Deuxième effet : la perte de la vision d’ensemble. Aucun acteur ne voit la couverture globale de l’organisation, et des trous de couverture peuvent subsister sans qu’aucun référentiel ne les rende visibles.
Une approche d’audit multi-référentielle unifiée résout ces deux problèmes. Elle suppose un investissement initial mais elle paie sur la durée.
La matrice de mapping — l’outil central
Le cœur d’une démarche multi-référentielle est la matrice de mapping qui relie chaque contrôle organisationnel aux exigences des différents référentiels qu’il sert. Cette matrice est l’objet le plus précieux du dispositif. Sa constitution représente typiquement trois à cinq jours de travail expert pour une organisation de taille moyenne. Une fois constituée, elle se maintient à coût marginal.
Voici quelques exemples de contrôles à mappings multiples. La mesure « chiffrement des données en transit » sert simultanément NIS2 (objectif 6 ReCyF), RGPD (article 32), ISO 27001 (Annexe A.10), CRA (exigence essentielle Annexe I.II §5), AI Act (article 15 cybersécurité). Implémentée une fois, elle contribue à cinq référentiels. La mesure « authentification multi-facteurs » sert NIS2 (objectif 7 ReCyF), RGPD article 32, ISO 27001 A.9, CRA (exigence essentielle Annexe I.II §4). La mesure « journalisation des accès aux données sensibles » sert NIS2 (objectif 11 ReCyF), RGPD article 30, ISO 27001 A.12, AI Act article 12, CRA (Annexe I.II §6).
Cette matrice se construit par déclinaison. Pour chaque mesure technique ou organisationnelle de l’organisation, on identifie systématiquement les exigences réglementaires qu’elle satisfait. Le résultat est un tableau croisé contrôles × référentiels qui permet de voir d’un seul regard la couverture totale.
Les contrôles communs — où se trouvent les mutualisations
L’analyse des contrôles communs aux différents référentiels révèle une réalité importante : la majorité des contrôles techniques de cybersécurité servent simultanément plusieurs référentiels. Concrètement, environ 60 à 70 % des contrôles d’un programme de cybersécurité bien conçu contribuent à la conformité à plus d’un référentiel.
Cette mutualisation est rarement explicitée dans les projets traités en silos. Chaque projet réinvente sa propre liste de contrôles, et la duplication d’effort passe inaperçue. Une démarche multi-référentielle unifiée explicite la mutualisation et permet de la financer une fois plutôt que trois ou quatre fois.
Pratiquement, dans une organisation qui implémente un programme cybersécurité couvrant simultanément NIS2, CRA, AI Act et RGPD, le surcoût marginal d’un référentiel supplémentaire est faible si le programme initial a été conçu sur une logique de contrôles communs. Le RGPD ajouté à un programme NIS2 bien fait coûte 10 à 20 % de plus, pas 100 %.
Les contrôles spécifiques — comment ne pas les oublier
À côté des contrôles communs, chaque référentiel porte des contrôles spécifiques qui ne servent que lui. Ces contrôles sont moins nombreux mais ils existent et ne doivent pas être oubliés.
Côté CRA, les contrôles spécifiques incluent la génération et la maintenance du SBOM, la notification des vulnérabilités à 24 heures à la Single Reporting Platform ENISA, la déclaration UE de conformité, le marquage CE. Aucun de ces contrôles n’est demandé par NIS2 ou l’AI Act.
Côté NIS2, les contrôles spécifiques incluent la notification d’incident à 72 heures à l’ANSSI, l’enregistrement dans MonEspaceNIS2, la documentation de la gouvernance cyber par l’organe de direction (article 20). Aucun de ces contrôles n’est demandé par CRA ou AI Act.
Côté AI Act, les contrôles spécifiques incluent l’analyse d’impact sur les droits fondamentaux pour les déployeurs, l’enregistrement dans la base de données européenne EU AI Act (article 71), le dossier technique Annexe IV pour les fournisseurs de systèmes à haut risque. Aucun de ces contrôles n’est demandé par NIS2 ou CRA.
Une démarche d’audit unifié liste explicitement ces contrôles spécifiques par référentiel pour s’assurer qu’aucun n’est oublié par effet de bord de la mutualisation.
Le plan d’audit annuel intégré
Une fois la matrice constituée, le plan d’audit annuel peut être structuré pour optimiser les journées-homme mobilisées.
Logique de structuration : on regroupe les contrôles par famille (gouvernance, gestion des accès, chiffrement, journalisation, gestion des incidents, gestion des vulnérabilités, gestion des tiers, etc.) et on audite chaque famille en une journée ou demi-journée, en vérifiant simultanément les exigences de tous les référentiels concernés.
Un programme d’audit unifié qui couvrirait simultanément CRA + NIS2 + AI Act + RGPD pour une ETI de 80 salariés peut typiquement se conduire en quinze à vingt jours-homme étalés sur l’année, là où le même programme en silos demanderait probablement trente à quarante jours-homme.
La preuve unique multi-finalité
L’optimisation va plus loin : un même élément de preuve peut servir simultanément plusieurs audits. Un rapport de scan de vulnérabilités sert le programme de gestion des vulnérabilités CRA, la mesure de durcissement NIS2, et l’évaluation de cybersécurité AI Act article 15. Un manuel d’utilisation produit pour CRA peut alimenter les exigences de transparence AI Act article 13. Un registre de traitement RGPD peut alimenter la cartographie des actifs NIS2.
Cette logique de preuve unique multi-finalité demande une discipline d’organisation. Il faut produire les éléments de preuve avec en tête tous les usages prévus, et tagger chaque pièce avec les références réglementaires qu’elle alimente. Cette discipline représente un effort initial mais elle économise un travail considérable en cumul sur trois à cinq ans.
Le pilotage par dashboard multi-référentiel
L’aboutissement d’une démarche multi-référentielle est le dashboard de pilotage qui présente, dans une vue unifiée, la couverture de l’organisation sur l’ensemble des référentiels. J’ai consacré un article dédié à cet outil (article 6.1 de la phase 2). Je rappelle simplement ici qu’il transforme la conformité d’un coût subi en un actif piloté, en donnant à la direction une visibilité chiffrée mensuelle de sa situation réglementaire.
Mise en œuvre concrète
Pour une organisation qui veut basculer d’une approche en silos vers une approche multi-référentielle, le chantier initial est de trois à six mois. Première étape, cartographie des référentiels applicables et de leurs exigences (1 mois). Deuxième étape, inventaire des contrôles existants et constitution de la matrice de mapping (1 à 2 mois). Troisième étape, identification des trous de couverture et plan de comblement (1 à 2 mois). Quatrième étape, déploiement du dashboard de pilotage et de la routine d’audit (1 mois).
Le coût total de ce chantier initial se situe typiquement entre 20 et 50 k€ pour une ETI selon sa taille et sa complexité. Le retour sur investissement intervient dès la deuxième année par économie sur les budgets de conformité en silos qui sont remplacés par un budget unifié.
En conclusion
La conformité multi-référentielle bien organisée n’est pas plus coûteuse que la conformité mono-référentielle. C’est probablement le sujet de gouvernance le plus structurant pour les ETI françaises en 2026, parce que l’empilement des référentiels va continuer (DORA, NIS3 à terme, possible Cybersecurity Resilience Act sectoriel) et qu’une démarche silotée devient rapidement insoutenable économiquement.
Pour les RSSI et directions juridiques qui pilotent ces sujets, l’investissement initial dans la matrice de mapping et le dashboard multi-référentiel est rentable au-delà de toute discussion. Il transforme une charge réglementaire croissante en un actif piloté qui résiste aux ajouts ultérieurs.
Sources : règlement (UE) 2024/2847 (CRA) ; directive (UE) 2022/2555 (NIS2) ; règlement (UE) 2024/1689 (AI Act) ; règlement (UE) 2016/679 (RGPD) ; ISO/IEC 27001:2022 ; Référentiel Cyber France v2.5 de l’ANSSI.
Commentaires récents