Une norme vous dit quoi atteindre, rarement comment le prouver dans votre chaîne logicielle. Cette section fait le pont : pour chaque réglementation ou référentiel majeur (CRA, NIS2, DORA, SecNumCloud, PCI DSS, ISO 27001, HDS), une page explique ce que le texte exige, qui est concerné, et surtout comment SOCLE le traduit en exigences techniques auditables. Public visé : RSSI, lead DevSecOps et équipes plateforme qui doivent relier une obligation à des preuves concrètes.
Ce que vous allez apprendre
Section intitulée « Ce que vous allez apprendre »- Distinguer réglementation contraignante et référentiel volontaire
- Repérer les normes qui s'appliquent à votre contexte (secteur, données, marché)
- Relier chaque obligation aux domaines et exigences SOCLE
- Éviter le piège du « tampon de conformité » sans preuve technique
Réglementation ou référentiel : deux natures
Section intitulée « Réglementation ou référentiel : deux natures »Toutes les normes n'ont pas la même force. Les distinguer évite de confondre une obligation légale avec une bonne pratique volontaire.
| Nature | Exemples | Force |
|---|---|---|
| Réglementation UE/FR | CRA, NIS2, DORA | Contraignante, sanctions à la clé |
| Qualification / certification | SecNumCloud, HDS, PCI DSS, ISO 27001 | Volontaire mais souvent exigée par contrat ou secteur |
| Référentiel technique | SLSA, SSDF, OWASP, CIS | Volontaire, socle de bonnes pratiques |
SOCLE ne remplace aucune de ces normes : il les fédère en un profil unique, hiérarchisé (niveaux R1 à R3) et conçu pour être auditable, pour que la conformité se démontre par des preuves de pipeline plutôt que par des déclarations.
Les normes couvertes
Section intitulée « Les normes couvertes »Chaque page suit le même plan : définition, périmètre, exigences clés, puis le mapping vers SOCLE.
Déjà documentées ailleurs sur le site, et maillées à SOCLE :
À retenir
Section intitulée « À retenir »- Une réglementation contraint, une certification rassure un client, un référentiel outille : ne les confondez pas.
- La plupart de ces normes se recoupent sur la sécurité de la chaîne logicielle ; SOCLE consolide ce recoupement en exigences uniques.
- La conformité se démontre par des preuves (SBOM, attestations, journaux), pas par des intentions.
- Identifiez tôt les normes applicables : certaines imposent des délais stricts (CRA, DORA, NIS2).