Normes internationales pertinentes
- ISO/IEC 27001 - SMSI
- ISO/IEC 27002 - Mesures securite
- ISO/IEC 27035 - Gestion incidents
- ISO 22301 - Continuite d'activite
FIRE Auditor Platform
eIDAS
eIDAS - Services de confiance numerique
Reglement (UE) 910/2014 sur l'identite numerique et les services qualifies
Ce module couvre les exigences eIDAS liees a la confiance numerique: identite, signature, sceau, horodatage et gouvernance PKI.
Il aide a transformer les exigences juridiques en controles operationnels et en preuves auditable.
Mode
Questionnaire structure
Sortie
Score + plan + rapport IA
Integration
Compatible Gemma2 / Mistral
References issues du classeur Indicateurs.xlsx
Reglements et directives pertinents
- NIS2 - Directive (UE) 2022/2555
- eIDAS - Reglement (UE) 910/2014
- Cybersecurity Act - Reglement (UE) 2019/881
Segments strategiques associes
- Resilience technique - NIS2
- Resilience certification - Cybersecurity Act
Indicateurs transversaux de reference
25 indicateurs KPI/KRI rattaches a ce module. Ils sont convertis en questionnaires versionnes dans le catalogue FIRE.
KPI-001 - Couverture de la cartographie des actifs critiques
% d'actifs/processus critiques identifies, classes et proprietaires designes.
Calcul: (# actifs critiques cartographies / # actifs critiques estimes) * 100
Couvre: NIS2, DORA, CER, ISO/IEC 27001, ISO 22301
KPI-002 - Couverture de la cartographie des dependances (internes + tiers)
% des dependances critiques (cloud, OT, fournisseurs, SaaS) documentees.
Calcul: (# dependances critiques documentees / # dependances critiques) * 100
Couvre: NIS2, DORA, CER, CRA, ISO/IEC 27036, ISO 22301, ISO/IEC 27017
KPI-003 - Score de maturite gouvernance cyber/ICT
Existence et efficacite des roles, comites, politiques, reporting.
Calcul: Score 0-5 base sur grille d'audit.
Couvre: NIS2, DORA, ISO/IEC 27001, ISO 22316
KPI-004 - Couverture d'analyse de risques (perimetre)
% du perimetre soumis a une analyse de risques a jour.
Calcul: (# perimetre analyse <12 mois / perimetre total) * 100
Couvre: NIS2, DORA, CER, ISO/IEC 27005, ISO 31000
KPI-005 - Delai moyen de traitement des risques
Temps entre identification du risque et decision de traitement.
Calcul: Moyenne(date decision - date identification)
Couvre: NIS2, DORA, ISO/IEC 27001, ISO/IEC 27005, ISO 31000
KPI-006 - Taux de couverture des controles de securite
% des controles attendus effectivement implementes.
Calcul: (# controles en place / # controles requis) * 100
Couvre: ISO/IEC 27001, ISO/IEC 27002, NIS2, DORA
KPI-007 - MTTR (Mean Time To Recover/Respond)
Temps moyen pour restaurer un service apres incident.
Calcul: Moyenne(heure retour service - heure incident)
Couvre: NIS2, DORA, CER, ISO 22301, ISO/IEC 27035
KPI-008 - MTTD (Mean Time To Detect)
Temps moyen de detection d'un incident.
Calcul: Moyenne(heure detection - heure debut estime)
Couvre: NIS2, DORA, ISO/IEC 27035
KPI-009 - Taux d'incidents significatifs / trimestre
Volume d'incidents materiels selon seuils internes.
Calcul: # incidents significatifs / periode
Couvre: NIS2, DORA, RGPD, ISO/IEC 27035
KPI-010 - Conformite notification d'incident (timeliness)
% des incidents notifies dans les delais applicables.
Calcul: (# notifs dans delai / # notifs obligatoires) * 100
Couvre: NIS2, DORA, RGPD
KPI-011 - RTO/RPO atteints lors des tests
% de scenarios ou les objectifs de reprise sont atteints.
Calcul: (# tests conformes / # tests) * 100
Couvre: DORA, CER, ISO 22301, eIDAS
KPI-012 - Frequence et couverture des exercices de crise
Nombre d'exercices et % du perimetre couvert.
Calcul: # exercices/an + % perimetre
Couvre: CER, DORA, ISO 22301, ISO/IEC 27035
KPI-013 - Taux de sauvegardes restaurables (restore success rate)
% de restaurations reussies lors des tests.
Calcul: (# restores OK / # tests) * 100
Couvre: DORA, NIS2, ISO 22301, eIDAS
KPI-014 - Exposition aux vulnerabilites critiques
Nombre ou % de vulnerabilites critiques non corrigees.
Calcul: # CVSS>=9 ouvertes > X jours
Couvre: CRA, NIS2, DORA, ISO/IEC 27002
KPI-015 - Delai moyen de patching (critique/haut)
Temps moyen entre publication/identification d'une faille et correction.
Calcul: Moyenne(date patch - date detection)
Couvre: CRA, NIS2, DORA, ISO/IEC 27002
KPI-016 - Couverture EDR/MFA/Chiffrement (controles cles)
% des utilisateurs/systemes couverts par controle cle.
Calcul: (# couverts / # total) * 100
Couvre: NIS2, DORA, ISO/IEC 27002, RGPD, ISO/IEC 27017
KPI-017 - Indice de concentration fournisseurs ICT
Mesure de dependance a 1-3 fournisseurs critiques.
Calcul: Part % du top-1 / top-3 sur services critiques
Couvre: DORA, NIS2, CER, ISO/IEC 27036
KPI-018 - Couverture d'evaluation securite des tiers
% des tiers critiques evalues/audites.
Calcul: (# tiers evalues / # tiers critiques) * 100
Couvre: DORA, NIS2, ISO/IEC 27036, ISO/IEC 27001
KPI-019 - Exit readiness cloud / reversibilite
Capacite prouvee a migrer ou basculer un service.
Calcul: Score 0-5 + preuve de test
Couvre: Data Act, DORA, NIS2, ISO 22301, ISO/IEC 27017
KPI-020 - Couverture SBOM / gestion composants
% produits/systemes avec SBOM maintenu.
Calcul: (# avec SBOM / # produits concernes) * 100
Couvre: CRA, ISO/IEC 27002, Cybersecurity Act
KPI-021 - Taux de secure by design (revues, S-SDLC)
% projets avec gates securite design/review/test.
Calcul: (# projets conformes / # projets) * 100
Couvre: CRA, NIS2, ISO/IEC 27001, ISO/IEC 27002
KPI-024 - Qualite des logs (coverage + retention)
% systemes critiques logues + duree de retention.
Calcul: % coverage + jours retention
Couvre: NIS2, DORA, ISO/IEC 27002
KPI-025 - Indicateur assurance via certification
% perimetre couvert par certifications/schemas.
Calcul: (# systemes certifies / # cible) * 100
Couvre: Cybersecurity Act, ISO/IEC 27001, Data Governance Act, eIDAS
KPI-026 - IA - taux de conformite high-risk controls
% systemes IA haut risque avec mesures requises (gouv, logs, tests, monitoring).
Calcul: (# IA conformes / # IA haut risque) * 100
Couvre: AI Act, ISO/IEC 27001, ISO 22301
KPI-027 - IA - incidents de performance/securite post-deploiement
Nombre d'incidents IA (derive, erreurs critiques, abus).
Calcul: # incidents / periode + gravite
Couvre: AI Act, NIS2, ISO/IEC 27035
Piliers d'evaluation
Identite et authentification
Maitriser le cycle de vie des identites et des moyens d'authentification.
- Processus d'enrollement/verification fiable
- Gestion du cycle de vie des identites
- Controle des habilitations sensibles
Services de confiance
Securiser signature, sceau, horodatage et certificats.
- Politique de certification et de renouvellement
- Disponibilite des services critiques
- Journalisation des operations sensibles
Continuite et supervision
Garantir la robustesse et la tracabilite des services.
- Plan de continuite cible
- Supervision temps reel des services
- Processus de gestion d'incident etabli
Impacts attendus
Impact confiance client
Amelioration de la credibilite des transactions numeriques.
- Preuves numeriques plus fiables
- Reduction du risque de contestation
- Meilleure experience utilisateur securisee
Impact operationnel
Stabilisation des processus d'identite et de signature.
- Moins d'interruptions des services de confiance
- Gestion plus saine des certificats
- Detection plus rapide des anomalies
Impact conformite
Preuves eIDAS mieux structurees pour audits.
- Tracabilite des operations sensibles
- Dossier de controle consolidable
- Meilleure articulation avec NIS2 et CSA
Structure du questionnaire
Structure questionnaire eIDAS
4 domaines: identite, services, operations, conformite.
- Questions de maturite avec evidence technique
- Notation 0..3 et seuils critiques
- Commentaires obligatoires sur ecarts majeurs
Sous-jacents normatifs
Normes et cadres complemetaires pour robustesse.
- ISO 27001 et ISO 27002 pour controles de securite
- NIS2 pour resilience cyber transversale
- Cybersecurity Act pour logique de confiance UE
Sortie rapport et IA
Sortie rapport eIDAS
Vue management et exploitation.
- Score readiness services de confiance
- Ecarts majeurs sur identite/certification
- Plan d'action priorise par criticite service
Roadmap d'implementation
Phase 1 - Baseline
- Cadrer perimetre des services de confiance
- Lancer premiere evaluation eIDAS
- Identifier preuves manquantes critiques
Phase 2 - Renforcement
- Durcir supervision et runbooks incidents
- Standardiser processus certificats
- Relier scores eIDAS au reporting FIRE
Prochaine etape: transformer ces blocs de contenu en banques de questions versionnees, puis lancer les campagnes dans le dashboard FIRE.