Vos résultats, rapportés aux textes.

NIS2 exige des mesures « proportionnées » et, surtout, une gestion continue du risque — pas un audit annuel. C'est là que la mesure externe permanente a le plus de valeur.

DORA est un règlement, donc d'application directe, sans transposition. Son chapitre sur les prestataires tiers de services TIC est l'exigence la plus lourde à outiller : il faut suivre un portefeuille, en continu, et pouvoir le documenter.

C'est le référentiel le mieux couvert, parce qu'une grande partie de ce qui est contrôlé se constate depuis la page d'accueil — sans prévenir, et sans rien demander. C'est aussi ainsi qu'un contrôle commence.

C'est le référentiel le plus concret techniquement : là où NIS2 demande « une politique de cryptographie », l'ANSSI donne les versions et les suites acceptables. La correspondance est donc mécanique, presque contrôle par contrôle.

Attention au périmètre : le CRA porte sur le produit que vous mettez sur le marché, pas sur votre système d'information d'entreprise. La correspondance est donc réelle pour un logiciel en ligne ayant une surface publique, et marginale pour un équipement embarqué.

ISO 27001 certifie un système de management, pas un niveau de sécurité. numerIQ n'apporte donc rien sur le système lui-même, mais fournit la preuve d'efficacité de quelques mesures de l'annexe A — ce que l'auditeur demande justement au-delà des procédures.

Un rapport SOC 2 repose sur des contrôles que vous décrivez et qu'un auditeur teste sur une période. La mesure externe continue produit exactement le type de trace que cette période demande : datée, régulière, non déclarative.

PCI DSS est le référentiel le plus prescriptif de la liste, et celui où le périmètre compte le plus : seul l'environnement des données de cartes est concerné. La correspondance est donc étroite mais très nette là où elle existe.