Versions des référentiels

Catalogues maîtres et versions

Les référentiels NIS2, DORA, RGPD et ISO 27001 sont des catalogues maîtres, maintenus par Conformitly et publiés par versions. Une version publiée n’est plus modifiée dès qu’une organisation l’a adoptée : toute correction passe par une nouvelle version.

Version	Publication	Contenu
1	version initiale	NIS2 23 contrôles, DORA 15, RGPD 12, ISO 27001 15
2	29 septembre 2026	NIS2 29, DORA 50, RGPD 38, ISO 27001 93 (édition 2022, codes renumérotés)
3	8 octobre 2026	revue des catalogues par un auditeur : NIS2 32, DORA 52, RGPD 40, ISO 27001 93

Chaque organisation est rattachée à une version de chaque référentiel. Les instantanés de score enregistrent cette version.

Mise à jour

Quand une nouvelle version est publiée, les organisations rattachées à une version antérieure voient une mise à jour disponible (« Mes frameworks »). L’écran de mise à jour présente les contrôles, questions d’écart et modèles de politique ajoutés, modifiés et supprimés. L’acceptation s’applique à toute l’organisation, dans une seule transaction ; elle est réservée aux Administrateurs et RSSI (un tel rôle sur n’importe quelle entité de l’organisation suffit) : un Contributeur ou un Auditeur peut consulter l’écran de mise à jour, pas l’accepter. Elle est bloquée tant qu’une surcharge de l’organisation (référence réglementaire personnalisée) est en conflit avec la nouvelle version.

Les contrôles sont rapprochés par leur code :

Cas	Effet
Code présent dans les deux versions	le contrôle est conservé avec son statut, son responsable, sa note et son échéance ; ses champs de catalogue (intitulé, criticité, poids…) prennent les valeurs de la nouvelle version
Code absent de la nouvelle version	le contrôle est archivé : il disparaît des écrans et du score, et reste en base
Nouveau code	un contrôle est créé en Non démarré sur chaque entité où le référentiel est actif
Contrôle personnalisé de l’organisation	inchangé

L’acceptation est tracée dans le journal d’audit (framework.upgrade.accepted, avec le nombre d’éléments ajoutés, modifiés et supprimés).

Effet sur le score

Les nouveaux contrôles « Non démarré » entrent au dénominateur, les contrôles archivés en sortent et les poids modifiés s’appliquent : le score change sans que la situation réelle ait changé. Un instantané est enregistré dès l’acceptation, avec la nouvelle version, pour chaque entité où le référentiel est actif. Ce score n’est jamais comparé à un score de l’ancienne version : la tendance est interrompue et le changement de version est signalé (voir Historique et tendances).

Passage d’ISO 27001 de la version 1 à la version 2

La version 2 d’ISO 27001 suit l’édition 2022 et renumérote tous les codes. Le rapprochement se faisant par code, accepter cette mise à jour archive les 15 contrôles de la version 1 et crée les 93 contrôles de la version 2 en « Non démarré » : les statuts de la version 1 ne sont pas reportés. NIS2, DORA et RGPD conservent leurs codes d’une version à l’autre, à une exception près : la version 3 de DORA retire le contrôle DORA-F-14 (répercussion contractuelle des redevances de supervision, que le règlement n’impose pas à l’entité). Accepter cette mise à jour archive donc ce contrôle sur chaque entité, avec son statut.

Référentiels personnalisés

Une organisation peut créer ses propres référentiels (ou en importer au format JSON), avec le même cycle de versions : brouillon, publiée, remplacée, archivée. La publication est irréversible et réservée aux rôles disposant de la publication des référentiels (Administrateur, RSSI). Les poids des contrôles de ces référentiels sont choisis par l’organisation (1 à 10).