NIST CSF 2.0 : les guides publiés en 2026, en pratique

Le CSF 2.0 du NIST a été publié le 26 février 2024. Depuis, le NIST l'enrichit par petites publications plutôt que par une nouvelle version. En 2026, quatre d'entre elles changent la façon de l'utiliser : un guide de démarrage rapide sur le risque d'entreprise et la main-d'œuvre (SP 1308, final en mars), la révision 5 du SP 800-70 sur les listes de contrôle de configuration (finale le 8 mai), un guide sur les références informatives (SP 1347, final en août) et une ébauche sur l'usage de l'IA pour l'analyse CSF (SP 1353, commentaires fermés le 15 octobre 2026).

Ce que disent les sources

Le cadre lui-même. Le CSF 2.0 organise ses résultats en profils. Un profil actuel « specifies the Core outcomes that an organization is currently achieving », un profil cible précise les résultats choisis et priorisés. Le document propose cinq étapes : délimiter le profil, rassembler l'information, le créer, analyser les écarts et bâtir un plan d'action, puis l'exécuter et mettre le profil à jour. Il définit aussi les références informatives comme des correspondances entre le noyau du CSF et d'autres normes, lignes directrices ou règlements.

SP 1308, final en mars 2026. Ce guide relie la gestion du risque d'entreprise, la gestion du risque de cybersécurité et la gestion de la main-d'œuvre. Son but déclaré est d'aider les organisations à « improve communication about cybersecurity risks » et à planifier les décisions de personnel selon le risque réel et les réponses prévues.

SP 800-70 Rev. 5, final le 8 mai 2026. Le programme national de listes de contrôle du NIST ajoute, selon l'annonce, des « enhanced mapping concepts between checklist settings, NIST Cybersecurity Framework (CSF) 2.0 outcomes, SP 800-53 controls » et les identifiants CCE, pour une automatisation et des rapports prêts pour la preuve.

SP 1347, final en août 2026. Le guide explique ce que sont les références informatives et les outils du NIST pour les consulter : téléchargement direct, CSF 2.0 Reference Tool et le programme OLIR (Online Informative References). La page du NIST sur les références informatives liste notamment ISO/IEC 27001:2022, PCI DSS 4.0.1, CIS Controls 8.1, le Cloud Controls Matrix 4.0 et le SP 800-53 Rev. 5. Le NIST précise : « NIST does not conduct correctness testing on non-NIST submitted mappings ».

SP 1353, ébauche du 19 août 2026. Ce guide illustre comment l'IA pourrait servir à analyser, planifier et suivre les résultats du CSF, avec des requêtes structurées et trois cas d'usage théoriques. La période de commentaires s'est terminée le 15 octobre 2026.

Pourquoi ça compte

La plupart des organisations n'adoptent pas le CSF à partir de zéro. Elles ont déjà un système de management ISO 27001, un rapport SOC 2 ou les deux, et un client, un assureur ou un conseil d'administration leur demande maintenant « où en êtes-vous par rapport au NIST CSF ? ». Les publications de 2026 répondent à cette situation : la référence ISO/IEC 27001:2022 vers le CSF 2.0 permet de réutiliser les mesures déjà en place, et le SP 800-70 relie les paramètres de configuration techniques aux mêmes résultats.

Pour SOC 2, la situation est moins nette. L'AICPA publie une correspondance entre les critères des services de confiance de 2017 et le NIST CSF, datée du 4 mai 2018, donc antérieure au CSF 2.0 et à sa fonction Gouverner. Elle reste utile comme point de départ, mais demande une vérification manuelle, surtout pour la gouvernance et la chaîne d'approvisionnement.

Le SP 1308 rappelle enfin qu'un profil n'est pas qu'un tableau technique : il sert à parler de risque à la direction et à décider qui fait quoi.

Ce que nous en pensons chez Sentrix

1. Partir d'un profil délimité, pas de toute l'organisation. Le CSF 2.0 le permet explicitement : un profil peut couvrir un seul système ou une seule menace. Commencez par le périmètre que vos clients questionnent. Notre page NIST CSF décrit les fonctions et le découpage.
2. Réutiliser la référence ISO 27001 plutôt que de refaire la cartographie. Si votre ISO 27001 est en place, la référence informative listée par le NIST donne un premier profil actuel. Relisez-la : le NIST ne teste pas les correspondances soumises par des tiers.
3. Traiter la correspondance SOC 2 comme une ébauche. Elle précède le CSF 2.0 ; vérifiez chaque lien, surtout dans Gouverner. Voir aussi SOC 2.
4. Relier la preuve aux résultats, une seule fois. Une preuve collectée pour une mesure ISO doit nourrir le résultat CSF correspondant sans double saisie. C'est le rôle de l'automatisation de la conformité.
5. Lire le SP 1353 comme une ébauche. Ses requêtes peuvent accélérer une revue, mais un profil reste une décision humaine, signée par quelqu'un qui en répond.

La prochaine étape

Choisissez un périmètre, prenez votre déclaration d'applicabilité ISO 27001 et la référence informative du NIST, et produisez un premier profil actuel. Les résultats du CSF sans mesure correspondante, notamment dans Gouverner, forment votre liste d'écarts. Si vous voulez faire cet exercice avec nous, contactez-nous.