Un client important vient de renvoyer sa signature de contrat avec une pièce jointe inattendue : un questionnaire de sécurité, et une phrase qui reste en travers de la gorge de Sophie B. — « Sur quel framework vous appuyez-vous ? » Associée gérante d'une fiduciaire, elle protège chaque jour des données comptables et salariales très sensibles. Mais ces trois lettres, NIST, ISO, CIS, ne lui disent rien de précis. Faut-il vraiment choisir ? Et lequel ?
Choisir un framework de cybersécurité sans se tromper de montagne
Commençons par le mot qui intimide. Un framework de cybersécurité (« cadre » en français) n'est ni un logiciel, ni une certification : c'est une carte. Une liste organisée de bonnes pratiques qui vous dit quoi regarder, dans quel ordre, pour protéger votre entreprise. Rien de plus. On peut s'en servir comme d'une boussole sans jamais viser un tampon officiel — et on n'a pas besoin d'être informaticien pour en tirer profit.
Trois noms reviennent presque toujours dans la conversation. La bonne nouvelle, c'est qu'ils ne s'opposent pas : ils répondent à trois besoins différents.
NIST CSF 2.0 — la boussole pour comprendre
Le NIST CSF 2.0 (Cybersecurity Framework, publié par l'agence américaine de standardisation NIST) est le plus pédagogique des trois. Il range toute la sécurité en six fonctions simples : Gouverner, Identifier, Protéger, Détecter, Répondre, Rétablir. Autrement dit : qui décide, ce que vous possédez, comment vous vous protégez, comment vous repérez un problème, comment vous réagissez, comment vous repartez. Il est volontaire, souple, et se lit sans bagage technique. Pour Sophie B., c'est l'outil idéal pour poser à plat « où en sommes-nous, vraiment ? » sans se noyer dans le détail.
ISO/IEC 27001:2022 — la langue des donneurs d'ordre
L'ISO/IEC 27001:2022 est une norme internationale qui décrit comment mettre en place un système de management de la sécurité de l'information (SMSI) — en clair, une organisation durable pour piloter la sécurité, pas seulement une liste de mesures ponctuelles. Sa particularité : elle peut donner lieu à une certification reconnue partout, délivrée par un organisme indépendant. C'est la référence que parlent les grands groupes et les auditeurs. Elle demande un engagement dans la durée et ne se décrète pas en une semaine. Mais même sans viser le certificat, elle sert de repère utile : « est-ce que nous couvrons ce que ce référentiel juge important ? »
CIS Controls — la caisse à outils qui agit vite
Les CIS Controls (publiés par le Center for Internet Security, une organisation à but non lucratif) sont les plus concrets des trois. C'est une liste de mesures priorisées, de la plus utile à la plus fine, avec — bonne nouvelle — un premier groupe pensé pour les petites structures. On commence par les gestes qui réduisent le plus le risque : savoir ce qu'on possède, protéger les accès, sauvegarder correctement. Pour une PME sans informaticien à demeure, c'est souvent le meilleur point de départ, avant même de parler de norme ou de certificat.
Et pour une PME de services, concrètement ?
Une fiduciaire comme celle de Sophie B. n'a pas de service informatique interne et manie des données extrêmement sensibles. Dans ce cas de figure, la trajectoire la plus réaliste ressemble à ceci : commencer par les gestes prioritaires façon CIS pour réduire vite le risque, utiliser le NIST CSF 2.0 comme carte pour organiser la réflexion et répondre aux clients, et garder l'ISO 27001 comme cap à moyen terme — le jour où un donneur d'ordre en fait une condition. Ce qui ne change jamais : la loi suisse reste la référence de base, quel que soit le cadre choisi.
Ce qu'il faut retenir
Trois idées à garder en tête si vous êtes à la place de Sophie B.
- Un framework n'est pas un examen, c'est une carte. Aucun des trois ne « certifie » que vous êtes en sécurité. Ils vous montrent le chemin ; c'est vous qui avancez. Cyber Passport le formule de la même manière : on structure une auto-évaluation, on ne délivre pas un label.
- Vous n'avez pas à choisir « le bon » une fois pour toutes. Les trois se combinent très bien : CIS pour agir vite, NIST CSF pour organiser et parler « posture », ISO 27001 le jour où un client l'exige. Beaucoup de PME suisses commencent par les gestes CIS et gardent l'ISO comme horizon.
- En Suisse, le premier cadre n'est ni américain ni ISO : c'est la loi. La nLPD (nouvelle loi fédérale sur la protection des données, en vigueur depuis septembre 2023) attend de vous une sécurité « appropriée » aux données que vous détenez. Pour une fiduciaire, c'est la boussole numéro un. Le RGPD européen ne s'ajoute que si vous traitez des données de personnes dans l'Union européenne.
Les gestes à installer cette semaine
1. Poser le « pourquoi » avant le « lequel »
Avant de comparer des acronymes, écrivez en une phrase pourquoi la question se pose. Un client qui vous audite ? Une inquiétude nLPD sur les données que vous conservez ? Une envie, simplement, de dormir tranquille ? La réponse oriente le cadre bien mieux qu'un tableau comparatif. Un besoin « rassurer un client » penche vers le vocabulaire ISO 27001 ; un besoin « mettre de l'ordre » penche vers le NIST CSF ; un besoin « agir tout de suite » penche vers CIS.
2. Faire un premier tour des mesures qui comptent le plus
Sans dérouler un plan d'action complet, offrez-vous une demi-heure pour cocher mentalement les fondamentaux, dans l'esprit des premières mesures CIS. Savez-vous quels outils et quels comptes existent réellement chez vous ? La double authentification (une deuxième preuve en plus du mot de passe, par exemple un code reçu sur le téléphone) est-elle active partout où elle compte ? Vos sauvegardes ont-elles déjà été testées en restauration ? Ce sont aussi les gestes que met en avant l'OFCS (l'Office fédéral de la cybersécurité, la référence suisse pour les PME) : commencer par le concret plutôt que par la théorie. Trois « oui » solides valent mieux qu'une norme affichée.
3. Apprendre à parler la même langue que vos clients
Quand un donneur d'ordre demande « votre framework », il cherche surtout à être rassuré. Notez, dans ses termes à lui, ce que vous faites déjà : contrôle des accès, protection des postes, gestion des incidents. Le NIST CSF 2.0 fournit pour cela un vocabulaire gratuit et lisible ; l'ISO 27001 sert de repère pour vérifier que rien d'important ne manque. Vous n'avez pas besoin d'un certificat pour répondre honnêtement — vous avez besoin d'un état des lieux clair.
Où en êtes-vous vraiment ?
Choisir un framework de cybersécurité, c'est moins une question de « lequel » que de « où en suis-je, et face à quelles exigences ? ». C'est exactement le travail d'une auto-évaluation multi-référentiel : elle regarde votre organisation à travers plusieurs cadres à la fois — la nLPD, l'ISO 27001, le NIST CSF — et vous montre, question par question, ce qui est solide et ce qui repose encore sur la confiance.
Cyber Passport ne certifie rien et ne promet aucune conformité : la plateforme produit une auto-évaluation structurée, partageable avec un client ou un auditeur, qui traduit ces trois lettres intimidantes en décisions concrètes. Le blueprint associé vous aide ensuite à prioriser — quoi, qui, quel effort — sans jargon.
C'est souvent le vrai premier pas, et le plus rassurant : il ne s'agit pas de choisir la bonne montagne du premier coup, mais de savoir sur quel versant vous vous tenez déjà, et quel chemin monte le plus vite. Le framework viendra ensuite, presque de lui-même.
