--- id: CP-378 slug: nist-csf-2-cadre-cybersecurite lang: fr title: Le cadre NIST CSF 2.0 description: "Le NIST Cybersecurity Framework 2.0, publié en février 2024 : ses six fonctions et ce qu'il change pour les salariés et la direction." canonical_url: https://startbrain.io/cyberpedia/fr/articles/nist-csf-2-cadre-cybersecurite/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/nist-csf-2-cadre-cybersecurite.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Le cadre NIST CSF 2.0 », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/nist-csf-2-cadre-cybersecurite/ (CC BY 4.0) wing: 6 theme: safeguard_data reflex: cr-033 schema: G3 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/nist-csf-2-cadre-cybersecurite/ en: https://startbrain.io/cyberpedia/en/articles/nist-csf-2-cybersecurity-framework/ de: https://startbrain.io/cyberpedia/de/articles/nist-csf-2-cybersicherheit-rahmenwerk/ es: https://startbrain.io/cyberpedia/es/articles/nist-csf-2-marco-ciberseguridad/ sources: - "n": 1 title: NIST Releases Version 2.0 of Landmark Cybersecurity Framework publisher: NIST url: https://www.nist.gov/news-events/news/2024/02/nist-releases-version-20-landmark-cybersecurity-framework published: "2024-02-26" accessed: "2026-11-03" - "n": 2 title: The NIST Cybersecurity Framework (CSF) 2.0 publisher: NIST url: https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf published: "2024-02-26" accessed: "2026-11-03" - "n": 3 title: Getting Started with CSF 1.1 publisher: NIST url: https://www.nist.gov/cyberframework/getting-started-csf-11 published: "2018-02-05" accessed: "2026-11-03" - "n": 4 title: Les 10 mesures essentielles pour votre cybersécurité publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/10-mesures-essentielles-assurer-securite-numerique published: "2021-01-06" accessed: "2026-11-03" - "n": 5 title: National Online Informative References Program OLIR publisher: NIST url: https://csrc.nist.gov/projects/olir accessed: "2026-11-03" - "n": 6 title: Cyber Assessment Framework publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/cyber-assessment-framework accessed: "2026-11-03" - "n": 7 title: Cybersecurity Framework publisher: NIST url: https://www.nist.gov/cyberframework accessed: "2026-11-03" --- # Le cadre NIST CSF 2.0 Le NIST Cybersecurity Framework, souvent abrégé CSF, est un document de référence publié par le NIST, l'institut américain des normes et de la technologie. Il décrit les résultats qu'une organisation cherche à atteindre pour gérer ses risques de cybersécurité. Sa version 2.0 a été publiée le 26 février 2024 [1]. Un salarié n'a pas à le lire en entier. Il sert surtout à comprendre pourquoi une entreprise fixe des règles sur les mots de passe, les sauvegardes ou le signalement d'un incident : ces règles correspondent à des fonctions précises du cadre. Cette fiche en présente la structure et ce qu'il change, selon que l'on est salarié ou dirigeant. ## En 30 secondes - Ce que c'est : un cadre de référence en six fonctions (Gouverner, Identifier, Protéger, Détecter, Répondre, Récupérer), publié en version 2.0 le 26 février 2024 [1]. - Son statut : la version 1.1 est présentée comme un guide volontaire [3] ; la 2.0 « may be adopted voluntarily and through governmental policies and mandates » [2]. Le cadre ne dit pas comment atteindre les résultats [2]. - Pour la direction : la fonction Gouverner, ajoutée en version 2.0, place la cybersécurité parmi les risques de l'entreprise [1]. - Le réflexe : appliquer les consignes de sécurité de votre entreprise et signaler à l'équipe sécurité un message ou un comportement anormal. Le cadre prévoit de son côté la gestion, le signalement et la communication d'un incident, ainsi que le tri des rapports d'incident [2]. ## Questions directes ### Le CSF 2.0 est-il une loi ? Non, d'après les sources citées ici. Le NIST décrit la version 1.1 comme un guide volontaire, fondé sur des normes et des pratiques existantes [3]. La version 2.0 « may be adopted voluntarily and through governmental policies and mandates » : un État ou une organisation peut donc l'imposer par sa propre politique, mais le document lui-même ne crée pas d'obligation [2]. Les sources citées ici ne traitent pas du droit français : elles ne permettent pas de dire si une loi française s'y réfère. ### Qui est concerné ? Toutes les organisations. La version 2.0 vise des organisations de toute taille et de tout secteur, des plus petites écoles et associations aux plus grandes agences et entreprises [1]. La première version, publiée en 2014, visait d'abord les infrastructures critiques [1]. ### Quelles sont les six fonctions ? Gouverner, Identifier, Protéger, Détecter, Répondre et Récupérer. Elles sont détaillées plus bas. Le NIST les représente comme une roue : Gouverner est au centre, parce que cette fonction oriente la manière de mener les cinq autres [2]. ### Le CSF dit-il quoi faire, outil par outil ? Non. Le document décrit des résultats attendus et ne prescrit ni les résultats ni les moyens de les atteindre [2]. Les moyens sont décrits dans des ressources en ligne : références informatives, exemples de mise en œuvre, guides de démarrage rapide et profils [2]. ### Un salarié a-t-il un rôle dans le CSF ? Oui, indirectement. Les résultats de la fonction Protéger comprennent la sensibilisation et la formation ainsi que la sécurité des données, et ceux de la fonction Répondre incluent le signalement et la communication [2]. Les actions concrètes varient selon l'organisation, de même que la personne qui en est responsable [2]. ## Ce que ça change pour un salarié Le cadre s'adresse d'abord aux personnes qui conduisent un programme de cybersécurité [2]. Le salarié en voit les effets dans les règles internes. Trois fonctions le concernent au quotidien. - Protéger : les résultats attendus couvrent la gestion des identités, l'authentification et le contrôle d'accès, la sensibilisation et la formation, et la sécurité des données [2]. Dans la vie courante, cela rejoint les mesures de Cybermalveillance.gouv.fr : mots de passe longs et différents, double authentification, mises à jour dès qu'elles sont proposées, sauvegardes avec une copie hors de l'appareil [4]. - Détecter : le cadre vise la découverte rapide d'anomalies et d'événements qui peuvent indiquer une attaque [2]. Face à un message inattendu ou alarmiste, Cybermalveillance.gouv.fr conseille de demander confirmation à l'émetteur par un autre moyen [4]. - Répondre et Récupérer : la fonction Répondre couvre la gestion de l'incident, l'analyse, la limitation des effets, le signalement et la communication, et Récupérer la remise en état des actifs et des activités touchés [2]. Les actions à mener et les personnes qui les mènent dépendent de l'organisation [2]. En pratique, le salarié suit la procédure interne et prévient la bonne personne. La séparation des usages personnels et professionnels, autre mesure de Cybermalveillance.gouv.fr, évite que la compromission d'un accès personnel nuise à l'entreprise, et inversement [4]. ## Ce que ça change pour la direction Le CSF 2.0 ajoute la fonction Gouverner. Elle porte sur la stratégie, les attentes et la politique de gestion du risque cyber, qui doivent être établies, communiquées et suivies [2]. Elle couvre le contexte de l'organisation, la stratégie, la gestion du risque lié aux fournisseurs, les rôles, responsabilités et pouvoirs, la politique et la supervision [2]. Le NIST souligne que la cybersécurité est une source majeure de risque pour l'entreprise, que les dirigeants doivent considérer à côté d'autres risques comme les risques financiers et de réputation [1]. Le cadre prévoit aussi des profils : un profil actuel décrit les résultats atteints, un profil cible décrit ceux que l'organisation a choisis et classés par priorité [2]. Comparer les deux permet de repérer les écarts [2]. Des niveaux (Tiers) caractérisent la rigueur de la gouvernance et de la gestion des risques [2]. ## Ce que dit le texte Le document est organisé en trois composantes : le noyau (Core), qui regroupe fonctions, catégories et sous-catégories de résultats ; les profils d'organisation ; les niveaux (Tiers) [2]. Voici les six fonctions, telles que le NIST les définit. - Gouverner : la stratégie, les attentes et la politique de gestion du risque sont établies, communiquées et suivies [2]. - Identifier : les risques actuels sont compris, ce qui suppose de connaître les actifs (données, matériels, logiciels, systèmes, locaux, services, personnes) et les fournisseurs [2]. - Protéger : des mesures de protection sont mises en œuvre [2]. - Détecter : les attaques et compromissions possibles sont trouvées et analysées [2]. - Répondre : des actions sont menées face à un incident détecté [2]. - Récupérer : les actifs et les activités touchés par un incident sont restaurés [2]. Les résultats ne forment pas une liste de tâches : l'ordre et la taille des fonctions n'impliquent ni séquence ni importance [2]. Les fonctions se traitent en parallèle. Gouverner, Identifier, Protéger et Détecter se font en continu, Répondre et Récupérer doivent être prêtes à tout moment [2]. Le cadre s'applique à toutes les technologies de l'information et de la communication, y compris le cloud, le mobile et l'intelligence artificielle [2]. ## Où en est l'application Le CSF 2.0 est publié depuis le 26 février 2024 [1]. Le NIST a ajouté des guides de démarrage rapide pour des publics précis, dont les petites entreprises, ainsi qu'un catalogue de références qui relie le cadre à plus de 50 autres documents de cybersécurité [1]. Sa page d'accueil mentionne en 2026 une traduction en arabe et un anniversaire des deux ans le 24 février 2026 [7]. Sur le rapprochement avec d'autres textes, les sources citées ici disent peu. Le NIST indique que son travail avec l'ISO et l'IEC permet de bâtir des cadres de cybersécurité et d'organiser des mesures selon les fonctions du CSF [1]. Le programme OLIR du NIST publie des correspondances entre les éléments de documents tiers et ceux de documents du NIST [5]. Les sources citées ici ne mentionnent ni ISO 27001 ni NIS 2 par leur nom : cette fiche ne tranche donc pas sur ces deux textes. Un autre pays a bâti son propre cadre. Le Cyber Assessment Framework du NCSC britannique s'organise autour de quatre objectifs, dont la gestion du risque, la protection, la détection et la réduction de l'impact des incidents [6]. Il est utilisé dans les secteurs régulés au titre de la réglementation NIS britannique [6]. Ce cadre est distinct du CSF. ## Sources 1. NIST, « NIST Releases Version 2.0 of Landmark Cybersecurity Framework », 26 février 2024. https://www.nist.gov/news-events/news/2024/02/nist-releases-version-20-landmark-cybersecurity-framework (consulté le 3 novembre 2026) 2. NIST, « The NIST Cybersecurity Framework (CSF) 2.0 », 26 février 2024. https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf (consulté le 3 novembre 2026) 3. NIST, « Getting Started with CSF 1.1 », 5 février 2018. https://www.nist.gov/cyberframework/getting-started-csf-11 (consulté le 3 novembre 2026) 4. Cybermalveillance.gouv.fr, « Les 10 mesures essentielles pour votre cybersécurité », 6 janvier 2021. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/10-mesures-essentielles-assurer-securite-numerique (consulté le 3 novembre 2026) 5. NIST, « National Online Informative References Program OLIR ». https://csrc.nist.gov/projects/olir (consulté le 3 novembre 2026) 6. NCSC (Royaume-Uni), « Cyber Assessment Framework ». https://www.ncsc.gov.uk/collection/cyber-assessment-framework (consulté le 3 novembre 2026) 7. NIST, « Cybersecurity Framework ». https://www.nist.gov/cyberframework (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/nist-csf-2-cadre-cybersecurite/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.