Services de conformité NIST : évaluations CSF 2.0, SP 800-53, SP 800-171 et AI RMF
Un seul programme d'évaluation pour tous les référentiels NIST demandés par vos clients, vos contrats ou votre conseil d'administration. Nous testons le fonctionnement de vos contrôles sur des événements réels, rattachons les écarts à la bonne publication NIST et vous fournissons une feuille de route priorisée et des preuves. La plupart des programmes prennent 6–12 semaines.
Page revue le 28 septembre 2026 par l'équipe conformité d'Accredify Global.
Qu'est-ce que la conformité NIST ?
La conformité NIST signifie que votre programme de sécurité satisfait aux exigences de la publication NIST qui s'applique à vous, comme le Cybersecurity Framework (CSF) 2.0, la SP 800-53 ou la SP 800-171. Le NIST, l'institut national américain des normes et de la technologie, rédige ces référentiels. Il n'audite ni ne certifie les organisations par rapport à ceux-ci.
Le référentiel applicable dépend de celui qui le demande. Les agences fédérales et leurs fournisseurs cloud appliquent la SP 800-53. Les sous-traitants de la défense qui traitent des informations non classifiées contrôlées doivent respecter la SP 800-171, désormais imposée via le CMMC. Les entreprises clientes et les conseils d'administration utilisent souvent le CSF 2.0 comme langage commun pour le risque cyber, et les acheteurs de solutions d'IA posent de plus en plus de questions sur l'AI Risk Management Framework.
Accredify Global détermine quels référentiels s'appliquent, évalue vos contrôles au regard de ceux-ci et construit une feuille de route unique qui sert également pour l'ISO 27001 et le SOC 2. Nous travaillons avec des organisations américaines depuis notre siège de Dallas–Fort Worth (Texas).
Existe-t-il une certification NIST ? Ce qui a changé depuis 2024
Le NIST ne délivre pas de certificats, et il n'existe aucun statut officiel « certifié NIST ». Les organisations démontrent leur alignement sur le NIST au moyen d'évaluations, de preuves documentées et, pour les marchés fédéraux, du processus d'autorisation ou d'évaluation exigé par leur contrat. Ce qui se rapproche le plus d'une certification est le CMMC, le programme du ministère de la Défense qui vérifie les contrôles SP 800-171. Les évaluations de certification CMMC de niveau 2 sont réalisées uniquement par des organismes d'évaluation tiers CMMC autorisés (C3PAO). Accredify Global vous prépare à cette évaluation ; elle ne la réalise pas.
Plusieurs référentiels NIST ont récemment évolué. CSF 2.0, publié en février 2024, a ajouté une sixième fonction, Govern, et élargi le référentiel au-delà des infrastructures critiques. SP 800-171 Revision 3 a suivi en mai 2024, même si le niveau 2 de CMMC est toujours évalué au regard de la Revision 2. En août 2025, SP 800-53 Release 5.2.0 a ajouté des contrôles sur la sécurité des mises à jour logicielles et l'application des correctifs. Les exigences CMMC ont commencé à apparaître dans les contrats de défense à partir du 10 novembre 2025, et le calendrier des phases suivantes a évolué au cours de 2026 ; vérifiez donc votre appel d'offres.
Sources : NIST Cybersecurity Framework · NIST SP 800-53 Release 5.2.0 · NIST SP 800-171 Rev. 3 · CMMC dans le DFARS (EDUCAUSE)
De quel référentiel NIST avez-vous besoin ?
La plupart des organismes ont besoin d'un référentiel principal et d'une correspondance avec un ou deux autres. Nous évaluons par rapport à tous ces référentiels.
Gouverner, Identifier, Protéger, Détecter, Répondre et Rétablir. Le langage commun des conseils d'administration, des assureurs et des grandes entreprises clientes. NIST CSF ou ISO 27001
Le catalogue de contrôles de sécurité et de confidentialité pour les systèmes d'information fédéraux, et le socle de FedRAMP et de nombreux programmes des États.
Exigences de protection des informations non classifiées contrôlées dans les systèmes des sous-traitants, vérifiées par une auto-évaluation CMMC ou une certification C3PAO.
Gouverner, Cartographier, Mesurer et Gérer les risques liés à l'IA, avec un profil dédié à l'IA générative (NIST AI 600-1). Se combine bien avec l'ISO 42001.
Gérer le risque lié à la vie privée parallèlement au risque cyber. Utile avec HIPAA, le GDPR ou les lois des États américains sur la protection de la vie privée.
Pratiques de développement logiciel sécurisé, souvent exigées dans les attestations logicielles destinées aux clients fédéraux.
Qui a besoin d'une évaluation NIST, et quand ?
Les travaux NIST démarrent généralement avec une clause contractuelle, un questionnaire client ou un conseil d'administration qui demande une vision honnête du risque cyber.
Fournisseurs qui traitent des informations de contrats fédéraux ou des CUI et doivent s'auto-évaluer dans le SPRS ou se préparer à une évaluation CMMC de niveau 2.
Fournisseurs qui vendent à des agences attendant des contrôles SP 800-53, un parcours FedRAMP ou une attestation de logiciel sécurisé.
Entreprises dont les clients leur demandent de faire correspondre leur programme de sécurité avec le NIST CSF dans les questionnaires et les contrats.
Équipes de l'énergie, de la santé, de la finance et de l'industrie qui utilisent le CSF 2.0 pour structurer leur gouvernance et rendre compte aux autorités de réglementation et aux conseils d'administration.
Organisations qui développent ou déploient de l'IA et doivent démontrer à leurs acheteurs une approche structurée des risques liés à l'IA.
Équipes de direction qui souhaitent une vision indépendante, fondée sur un référentiel, de leur maturité cyber avant des renouvellements ou des décisions majeures.
Comment fonctionne notre évaluation de conformité NIST
Une revue gratuite du périmètre, puis cinq phases. L'objectif est une gouvernance cyber reproductible, et non un document ponctuel.
Pourriez-vous restaurer la sauvegarde de la nuit dernière dans le respect de votre objectif de reprise, ou montrer qui l'approuve lors d'une attaque par rançongiciel ? Une revue gratuite du périmètre vous indique par où commencer.
Réserver une revue gratuite du périmètre NISTCe qui distingue nos évaluations NIST
Les questions que les acheteurs posent le plus souvent lorsqu'ils comparent des prestataires de conformité NIST, avec les réponses d'emblée.
Nous restaurons une sauvegarde sélectionnée, retraçons les accès d'un salarié parti dans tous les systèmes et suivons une alerte du week-end à travers les tickets et les enregistrements d'escalade. C'est là qu'apparaissent les écarts entre la politique et la pratique.
Une seule évaluation couvre le CSF 2.0 ainsi que celui des référentiels SP 800-53, SP 800-171, AI RMF ou Privacy Framework qui s'applique, de sorte que les contrôles communs ne sont testés qu'une fois.
Votre feuille de route indique également où chaque correction soutient l'ISO 27001 ou SOC 2, afin que les preuves répondent à plus d'une exigence client.
Nous évaluons et préparons. Nous ne vendons pas de « certificat NIST » et, pour le CMMC, nous vous préparons pour le C3PAO autorisé qui réalise l'évaluation de certification.
Ce qu'évalue notre évaluation NIST CSF 2.0
Nous organisons les constats selon les six fonctions du CSF 2.0, puis mettons chacun en correspondance avec SP 800-53 ou SP 800-171 lorsque ceux-ci s'appliquent.
Gouverner
Stratégie en matière de risques cyber, rôles, politique et supervision des fournisseurs et des tiers, avec la responsabilité de la direction.
Identifier
Inventaire des actifs, flux de données et une évaluation des risques à jour reflétant vos systèmes et fournisseurs réels.
Protéger
Identités et accès, y compris le retrait des accès sur chaque système lors des départs, ainsi que la sécurité des données, la formation et la configuration sécurisée.
Détecter
Une surveillance et des alertes qui atteignent les bonnes personnes, y compris en dehors des heures ouvrées et par l'intermédiaire des prestataires de services gérés.
Répondre
Plans de réponse aux incidents avec des décideurs nommément désignés, des circuits d'escalade et des étapes de communication qui ont été testés.
Rétablir
Des sauvegardes qui se restaurent dans le respect de vos objectifs de reprise, et des plans de reprise réellement mis à l'épreuve.
Vérifications de préparation SP 800-171 et CMMC
- Cadrage — où se trouvent les CUI et les informations relatives aux contrats fédéraux, et quels actifs sont dans le périmètre
- Plan de sécurité du système — chaque exigence décrite comme mise en œuvre, et non prévue
- Score SPRS — un score d'autoévaluation défendable selon la méthodologie d'évaluation du DoD
- POA&M — points ouverts suivis avec responsables et échéances
- Preuves — les éléments qu'un C3PAO demandera pour chaque exigence
Vérifications SP 800-53, AI RMF et Privacy Framework
- SP 800-53 — la bonne référence de base pour votre système, la mise en œuvre des contrôles et la surveillance continue
- AI RMF — inventaire de l'IA, cartographie, mesure et gestion des risques tout au long du cycle de vie de l'IA
- Privacy Framework — inventaire des traitements de données, évaluation des risques pour la vie privée et gouvernance
- SSDF — les pratiques de développement sécurisé qui sous-tendent vos attestations logicielles
Ce que les clients ont découvert lors de leur évaluation NIST
Trois clients américains décrivent un écart révélé par l'évaluation et ce qu'ils ont changé en conséquence.
« Nous affirmions à nos clients que nous sauvegardions leurs fichiers de projet chaque nuit. Lors de l'évaluation NIST CSF, Accredify Global nous a demandé de restaurer un fichier sélectionné et de montrer qui prendrait cette décision lors d'un incident de rançongiciel. La sauvegarde existait, mais la restauration a pris beaucoup plus de temps que l'objectif de reprise prévu dans notre contrat client. C'était inconfortable à découvrir, mais cela a donné à notre équipe informatique un problème précis à corriger et à tester à nouveau. »
« Notre système RH indiquait que le compte d'un salarié sur le départ avait été fermé. Accredify Global a retracé les accès de cette même personne via notre VPN, notre stockage cloud et le portail d'un fournisseur. Le compte chez le fournisseur était toujours actif, car sa suppression relevait d'une autre équipe. Nous avons modifié le transfert de responsabilités lors des départs et vérifié les autres départs récents. Cet exemple nous en a appris davantage sur nos contrôles d'accès qu'une nouvelle revue des politiques ne l'aurait fait. »
« Nous avions mis en place une surveillance et supposions que notre prestataire de services managés nous appellerait en cas d'alerte grave. Les évaluateurs ont sélectionné une alerte survenue un samedi et ont suivi le ticket, la notification et les enregistrements d'escalade. Il s'est avéré que le prestataire avait ouvert un ticket, mais que notre équipe ne l'avait vu que le lundi, car la liste des contacts du week-end n'était pas à jour. Nous avons corrigé le circuit d'escalade et l'avons testé avec le prestataire la semaine suivante. »
Coût et calendrier d'une évaluation de conformité NIST
Une évaluation NIST n'a pas de prix catalogue. L'effort dépend des référentiels applicables, du nombre de systèmes et de sites dans le périmètre, et de la quantité de preuves déjà disponibles. Une revue gratuite du périmètre vous permet d'obtenir une proposition sur mesure pour votre périmètre réel.
Ce qui détermine le périmètre (et les honoraires)
- Les référentiels applicables : le CSF 2.0 seul, ou avec la SP 800-53, la SP 800-171, l'AI RMF ou le Privacy Framework
- Nombre de systèmes, d'environnements cloud et de sites dans le périmètre
- Pour la SP 800-171, dans quelle mesure les CUI peuvent être nettement séparées du reste de votre environnement
- Nombre de fournisseurs de services gérés et de fournisseurs critiques
- Preuves existantes issues de l'ISO 27001, du SOC 2 ou d'une évaluation antérieure
Calendrier type d'un programme
| Évaluation initiale et feuille de route | 6–12 semaines |
|---|---|
| Plutôt vers le bas de la fourchette | CSF 2.0 uniquement, un seul environnement, preuves ISO 27001 ou SOC 2 existantes |
| Plutôt vers le haut de la fourchette | Périmètre SP 800-53 ou SP 800-171, plusieurs environnements ou de nombreux prestataires |
Le délai dépend du périmètre, de la maturité des contrôles et de la rapidité avec laquelle les preuves sont disponibles. Nous le confirmons dans votre proposition.
NIST CSF face à SP 800-53, SP 800-171, ISO 27001 et SOC 2
Les acheteurs demandent souvent plusieurs de ces éléments. Voici ce que chacun représente, qui le demande et ce que vous pouvez présenter à la fin.
| Référentiel | Qui l'exige généralement | Ce que vous pouvez démontrer |
|---|---|---|
| NIST CSF 2.0 | Conseils d'administration, assureurs, grandes entreprises clientes, infrastructures critiques | Un rapport d'évaluation et un profil de maturité ; pas de certificat |
| NIST SP 800-53 | Agences fédérales, FedRAMP, programmes des gouvernements des États | Preuves d'évaluation pour une autorisation d'agence ou FedRAMP |
| NIST SP 800-171 | Contrats du Département de la Défense et autres contrats fédéraux impliquant des CUI | Un score SPRS et, lorsque requis, une certification CMMC par un C3PAO |
| ISO 27001 | Clients internationaux et grands comptes | Un certificat accrédité ; correspondance étroite avec le CSF 2.0 |
| SOC 2 | Clients américains du SaaS et des prestataires de services | Un rapport d'attestation d'un CPA |
Comment choisir un prestataire de services de conformité NIST
Les questions à poser à tout prestataire NIST avant de signer, et les réponses d'Accredify Global.
| Question à poser | La réponse d'Accredify Global |
|---|---|
| Obtiendrons-nous un certificat NIST ? | Non. Le NIST ne certifie pas les organisations. Vous recevez un rapport d'évaluation, une feuille de route et des preuves. Méfiez-vous de quiconque vend un « certificat NIST ». |
| Pouvez-vous réaliser notre certification CMMC ? | Non. Les évaluations de certification CMMC de niveau 2 sont réalisées par des C3PAO autorisés. Nous vous préparons, vous et vos preuves, à cette évaluation. |
| Quels référentiels NIST couvrez-vous ? | CSF 2.0, SP 800-53, SP 800-171, AI RMF, le Privacy Framework et le SSDF, dans un programme unique. |
| Testez-vous les contrôles ou examinez-vous seulement les documents ? | Nous testons des événements réels : restaurations de sauvegardes, départs de salariés, escalade des alertes et décisions en cas d'incident. |
| Cela aidera-t-il pour l'ISO 27001 ou SOC 2 ? | Oui. La feuille de route rattache chaque action à l'ISO 27001 et à SOC 2 lorsqu'ils se recoupent. |
| Comment le prix est-il établi ? | Selon le périmètre, après une revue gratuite du périmètre. Vous recevez une proposition sur mesure avec des indications de calendrier. |
| Combien de temps cela prendra-t-il ? | La plupart des évaluations initiales et des feuilles de route prennent 6–12 semaines. |
Ce que vous recevez
Votre situation actuelle au regard de chaque référentiel NIST applicable, avec un profil CSF 2.0.
Remédiation classée selon l'impact sur l'activité, la probabilité et la faisabilité, avec les dépendances.
Qui est responsable de chaque mesure et qui est responsable de ses preuves.
Où elle s'applique : revue du plan de sécurité du système, score SPRS et POA&M.
Un ensemble de rapports que votre équipe sécurité peut continuer à mettre à jour.
Une vision des cyberrisques, des progrès et du risque résiduel qui permet de prendre des décisions.
Foire aux questions sur la conformité NIST
Des réponses claires sur la certification, CMMC, les référentiels, le coût et les délais.
Qu'est-ce que la conformité NIST ?
La conformité NIST consiste à respecter les exigences de la publication NIST qui s'applique à votre organisation, comme le Cybersecurity Framework (CSF) 2.0, la SP 800-53 ou la SP 800-171. Le NIST, l'institut national américain des normes et de la technologie, publie ces référentiels. Il n'audite ni ne certifie les organisations par rapport à ceux-ci.
Existe-t-il une certification NIST ?
Non. Le NIST ne certifie pas les organisations, et il n'existe pas de statut officiel « certifié NIST ». Les organisations démontrent leur alignement sur le NIST au moyen d'évaluations indépendantes et de preuves. L'équivalent le plus proche est le CMMC, où des C3PAO autorisés certifient les sous-traitants de la défense selon les exigences de la SP 800-171.
La conformité NIST est-elle obligatoire ?
Cela dépend de vos contrats. La SP 800-53 s'applique aux systèmes d'information fédéraux et aux services cloud qui demandent une autorisation FedRAMP. La SP 800-171 est exigée dans de nombreux contrats du ministère de la Défense et fédéraux impliquant des informations non classifiées contrôlées. Le NIST CSF 2.0 et l'AI RMF sont volontaires, bien que les clients, les assureurs et les régulateurs les attendent souvent.
Qu'est-ce que le NIST CSF 2.0 ?
Le NIST CSF 2.0 est la version du Cybersecurity Framework publiée en février 2024. Il organise les résultats de cybersécurité en six fonctions : Govern, Identify, Protect, Detect, Respond et Recover. La fonction Govern est apparue dans la version 2.0, et le référentiel s'applique désormais aux organisations de toute taille et de tout secteur, et pas seulement aux infrastructures critiques.
Quelle est la différence entre NIST 800-53 et NIST 800-171 ?
SP 800-53 est un vaste catalogue de contrôles de sécurité et de protection de la vie privée, répartis en 20 familles, destiné aux systèmes d'information fédéraux. SP 800-171 est un ensemble plus restreint d'exigences, dérivé de 800-53, pour la protection des informations non classifiées contrôlées dans les systèmes des sous-traitants. Le niveau 2 de CMMC repose sur les 110 exigences de SP 800-171 Revision 2.
Quelle est la différence entre NIST CSF et NIST 800-53 ?
Le NIST CSF 2.0 décrit des résultats de cybersécurité de haut niveau que toute organisation peut utiliser pour gérer les risques. La SP 800-53 énumère les contrôles détaillés nécessaires pour atteindre ces résultats dans les systèmes fédéraux. De nombreuses organisations utilisent le CSF pour structurer leur programme et la 800-53 comme bibliothèque de contrôles sous-jacente.
Accredify Global peut-il réaliser notre certification CMMC ?
Non. Les évaluations de certification CMMC de niveau 2 ne peuvent être réalisées que par des organismes d'évaluation tiers CMMC autorisés (C3PAO). Accredify Global vous prépare à cette évaluation : définition du périmètre, revue du plan de sécurité du système, score SPRS défendable, plan d'action et preuves que l'évaluateur demandera à voir.
Quand le CMMC a-t-il commencé à apparaître dans les contrats ?
Les exigences CMMC ont commencé à figurer dans les appels d'offres et les contrats du Département de la Défense à partir du 10 novembre 2025, en commençant par les auto-évaluations. Le calendrier des phases suivantes, notamment le moment où la certification par un C3PAO deviendra une condition standard d'attribution, a évolué en 2026 ; vérifiez donc l'exigence dans votre appel d'offres spécifique.
Que comprend une évaluation NIST ?
L'évaluation NIST d'Accredify Global cadre vos systèmes et votre contexte de risque, teste les contrôles actuels au regard de chaque référentiel applicable et met les constats en correspondance avec les fonctions du CSF 2.0 et les exigences SP 800-53 ou SP 800-171. Elle se conclut par une feuille de route classée par risque, une matrice des responsabilités sur les contrôles et une synthèse pour la direction.
Combien coûte une évaluation NIST ?
Il n'existe pas de prix fixe, car l'effort dépend du périmètre. Les principaux facteurs sont les cadres applicables, le nombre de systèmes, d'environnements cloud et de sites, la facilité à isoler les CUI, le nombre de prestataires de services gérés et les preuves ISO 27001 ou SOC 2 existantes. Accredify Global examine gratuitement votre périmètre et vous envoie une proposition sur mesure.
Combien de temps dure une évaluation NIST ?
La plupart des évaluations NIST initiales et des feuilles de route d'Accredify Global prennent 6 à 12 semaines. Une évaluation CSF 2.0 d'un seul environnement disposant déjà de preuves ISO 27001 ou SOC 2 se situe vers le bas de la fourchette. Les périmètres SP 800-53 ou SP 800-171 comportant plusieurs environnements se situent vers le haut de la fourchette.
Qu'est-ce que le NIST AI Risk Management Framework ?
Le NIST AI Risk Management Framework (AI RMF 1.0), publié en janvier 2023, est un cadre volontaire de gestion des risques liés à l'IA, organisé en quatre fonctions : Govern, Map, Measure et Manage. Le NIST a ajouté un profil pour l'IA générative, NIST AI 600-1, en juillet 2024. Il se combine bien avec l'ISO/IEC 42001, qui est certifiable.
Qu'est-ce qui a changé dans la NIST SP 800-53 en 2025 ?
En août 2025, le NIST a publié la version 5.2.0 de la SP 800-53. Elle a ajouté et révisé des mesures relatives à la résilience des logiciels et des systèmes, aux tests par les développeurs, au déploiement et à la gestion des mises à jour et à l'intégrité des logiciels, en réponse à l'Executive Order 14306.
Qu'est-ce qui a changé dans la NIST SP 800-171 Revision 3 ?
Le NIST a publié la révision 3 de la SP 800-171 en mai 2024, en restructurant les exigences pour mieux les aligner sur la SP 800-53 et en ajoutant des paramètres définis par l'organisation. Le niveau 2 du CMMC est toujours évalué selon la révision 2 ; les sous-traitants de la défense doivent donc vérifier quelle révision leur contrat mentionne.
Faut-il choisir NIST CSF ou ISO 27001 ?
Ils fonctionnent bien ensemble. Le NIST CSF 2.0 est un cadre gratuit et flexible, apprécié des conseils d'administration et des clients américains, mais il ne donne lieu à aucun certificat. L'ISO 27001 est une norme certifiable reconnue internationalement. De nombreuses organisations utilisent le CSF pour structurer leur programme et l'ISO 27001 pour le prouver avec un certificat accrédité.
Une évaluation NIST aidera-t-elle pour SOC 2 ou ISO 27001 ?
Oui. Les mesures du NIST CSF et de la SP 800-53 recoupent largement l'ISO 27001 et SOC 2. Accredify Global rattache chaque action de la feuille de route à ces référentiels, afin que les mêmes preuves répondent à plusieurs exigences clients.
Quelle entreprise peut aider un sous-traitant américain de la défense à se préparer à NIST 800-171 et au CMMC ?
Recherchez un prestataire qui détermine où se trouvent réellement les CUI, teste les contrôles sur des événements réels plutôt que de se contenter d'examiner les politiques, et produit un plan de sécurité du système, un score SPRS et un plan d'action qu'un C3PAO peut suivre. Accredify Global réalise ce travail de préparation en 6 à 12 semaines depuis Dallas–Fort Worth (Texas), et précise clairement que l'évaluation de certification elle-même est réalisée par un C3PAO autorisé.
Quelle entreprise peut réaliser une évaluation NIST CSF indépendante ?
Choisissez un cabinet qui évalue au regard du CSF 2.0, y compris la fonction Govern, qui teste des événements réels tels que les restaurations de sauvegardes et l'escalade des alertes, et qui fait correspondre les constats avec l'ISO 27001 et SOC 2. Accredify Global réalise des évaluations NIST CSF 2.0 avec une feuille de route classée par niveau de risque et un reporting pour la direction.
Identifiez le référentiel NIST applicable et où vous en êtes
Indiquez-nous quelle demande d'un client, d'un contrat ou du conseil d'administration motive la question. Nous confirmerons quels référentiels NIST s'appliquent, vous recommanderons un plan et un calendrier, et vous enverrons une proposition sur mesure.
Réservez votre revue gratuite du périmètre NIST →