Délimiter le sujet
La démarche dépend du droit national applicable, des activités et des dépendances du SI.
Noter les exclusions et les hypothèses avec la même précision que les éléments inclus. Un périmètre limité peut être pertinent, à condition de ne pas présenter ses conclusions comme valables pour toute l’organisation.
Consulter l’ANSSI et les textes nationaux en vigueur pour le statut de transposition, le champ et les modalités. Cette fiche ne certifie pas l’assujettissement d’une entité.
Application à votre contexte
Consignez les inclusions et les exclusions. Lorsqu'une activité dépend d'un partenaire ou d'un service transverse, documentez cette limite au lieu de supposer que la responsabilité s'arrête au contrat ou à l'organigramme.
Commencez par qualifier l'activité, les données, les acteurs et le rôle de l'organisation. Les obligations ne s'appliquent pas toutes de la même façon à tous les services. Reliez les exigences retenues à des mesures et à des preuves plutôt que de collectionner des textes.