Bryan
Bryan
Expert delivery et équipes offshore — WebGuard Agency
| ·14 min de lecture

3 semaines perdues sur un périmètre faux — l’analyse d’écart ISO 27001 / NIS2 en 7 étapes que j’impose avant tout devis

Équipe de direction et responsable sécurité examinant une grille de conformité en réunion

TL;DR

  • L’analyse d’écart se mène avant le devis, jamais après. Sans elle, vous achetez un budget au hasard.
  • Le périmètre se délimite par les flux de données, pas par l’organigramme. C’est l’erreur qui coûte le plus cher.
  • Une grille unique pour ISO 27001 et NIS2, avec deux colonnes de correspondance : chaque preuve collectée une fois, utilisée deux fois.
  • Une exigence sans preuve datée est un écart, même si tout le monde sait que la mesure existe.
  • Cotez sur deux axes : effort de correction et exposition réelle. Sinon vous corrigez d’abord le plus facile, pas le plus dangereux.
  • Chiffrez en jours-homme internes et externes séparément, sinon la direction ne peut pas arbitrer.
  • Plan à 3 horizons — 30 jours, 6 mois, 18 mois — avec un responsable nommé par ligne.
Résumer cet article avec : ChatGPT Claude Perplexity

Le projet avait démarré sur un périmètre défini en réunion de direction : « le siège et l’ERP ». Trois semaines plus tard, on découvrait que la moitié des données clients transitait par un prestataire logistique jamais mentionné, et que le périmètre devait être refait. Ces trois semaines n’ont pas été perdues à cause d’un manque de compétence : elles ont été perdues parce que l’analyse d’écart avait été sautée.

Voici la méthode en sept étapes que nous appliquons désormais systématiquement, avant d’émettre le moindre devis de mise en conformité.

Pourquoi cette étape est sautée neuf fois sur dix

Parce qu’elle ressemble à du temps improductif. Le dirigeant veut savoir combien coûte la conformité, pas financer un état des lieux. Et beaucoup de prestataires acceptent volontiers de chiffrer sans, parce qu’un forfait vendu sur un périmètre flou se renégocie toujours en cours de route.

Le résultat est une constante : un budget initial sous-évalué, un avenant au bout de trois mois, et une direction qui perd confiance dans le chantier au pire moment. L’analyse d’écart ne ralentit pas le projet, elle en fixe le prix réel.

Notre avis d’expert

La question que je pose systématiquement avant de commencer est celle-ci : « si un auditeur arrivait lundi, quel document lui tendriez-vous en premier ? » Le silence qui suit dure en moyenne une dizaine de secondes, et il est plus informatif que la moitié des entretiens qui vont suivre. Il ne révèle pas une absence de sécurité — la plupart de ces entreprises ont des sauvegardes, des pare-feux, des mots de passe corrects. Il révèle que la sécurité existe dans les têtes et pas sur le papier. Or la conformité, qu’il s’agisse de NIS2 ou d’ISO 27001, ne mesure jamais ce que vous faites : elle mesure ce que vous pouvez prouver.

Étape 1 — Délimiter le périmètre par les flux, pas par l’organigramme

C’est l’étape qui décide du coût de toutes les autres, et c’est celle qu’on bâcle.

Un périmètre défini par l’organigramme produit des phrases du type « le siège et la production ». Un périmètre défini par les flux produit une carte : où entrent les données sensibles, par quels systèmes elles transitent, où elles sont stockées, qui y accède, et chez quels prestataires elles sortent.

Les deux ne donnent jamais le même résultat, et l’écart se loge presque toujours au même endroit : les prestataires. L’infogéreur qui détient un accès administrateur permanent, l’outil de paie hébergé ailleurs, le sous-traitant logistique qui reçoit un export client hebdomadaire. Aucun n’apparaît sur un organigramme, tous appartiennent au périmètre.

Livrable de l’étape : une carte des flux sur une page, validée par la direction générale et pas seulement par l’informatique. Si vous voulez la version détaillée de cet exercice, nous la décrivons dans notre page sur l’audit de périmètre NIS2.

DEUX FACONS DE DELIMITER UN PERIMETRE, DEUX BUDGETS PAR L ORGANIGRAMME Le siege La production Le service informatique Angle mort : tout ce qui sort de l entreprise PAR LES FLUX DE DONNEES Ou entrent les donnees sensibles Par quels systemes elles transitent Chez quels prestataires elles sortent Fait apparaitre l infogerant et les sous-traitants L ECART ENTRE LES DEUX EST LA PREMIERE CAUSE DE DEPASSEMENT BUDGETAIRE. Livrable : une carte des flux sur une page, validee par la direction generale.

Étape 2 — Déterminer ce qui s’applique réellement

Avant de mesurer un écart, il faut savoir par rapport à quoi.

Pour NIS2, la question est binaire et souvent mal tranchée : l’entité est-elle concernée, et à quel titre — entité essentielle ou entité importante ? Les obligations et le régime de contrôle diffèrent. Beaucoup de PME se croient hors champ parce qu’elles sont petites, alors qu’elles y entrent par leur secteur ou par leur rôle dans la chaîne d’approvisionnement d’une entité concernée.

Pour ISO 27001, la question est différente : s’agit-il d’une exigence client explicite, avec une échéance contractuelle, ou d’un choix interne ? La réponse change tout, parce qu’une certification demandée par un client a une date, et une démarche interne peut être étalée.

Nous détaillons ce qui distingue les deux dispositifs dans notre comparatif NIS2 et ISO 27001. Retenez ici la conséquence pratique : une grille unique, deux colonnes de correspondance. Chaque preuve est collectée une fois et sert aux deux référentiels.

Étape 3 — Construire la grille en une seule feuille

Une ligne par exigence. Six colonnes, pas davantage :

  • Exigence — formulée en une phrase compréhensible par un non-spécialiste.
  • Correspondance — NIS2, ISO 27001, ou les deux.
  • Preuve attendue — le document précis qu’un auditeur demanderait.
  • Preuve existante — ce qui existe réellement, avec sa date.
  • Responsable — une personne nommée, jamais un service.
  • Écart — conforme, partiel, absent.

La contrainte de la feuille unique n’est pas cosmétique : un document que la direction peut parcourir en dix minutes sera lu et arbitré. Un rapport de quatre-vingts pages ne le sera pas, et c’est le sort de la plupart des livrables de conformité.

Vous voulez la grille d’écart prête à remplir ?

Nous menons l’analyse d’écart ISO 27001 / NIS2 sur votre périmètre réel et vous remettons la grille, la cotation et le budget chiffré. Lancez-vous : le cadrage se fait en un échange.

Étape 4 — Collecter des preuves, pas des déclarations

C’est l’étape où l’analyse devient utile ou devient un théâtre.

La règle est unique et non négociable : pour chaque exigence, on demande le document, la capture d’écran ou l’export, jamais une réponse orale. « Oui, on sauvegarde tous les soirs » n’est pas une preuve. Le rapport de la dernière restauration testée, daté, en est une.

Cette règle produit toujours le même effet, et il faut le préparer : elle est vécue comme de la défiance. Annoncez-la à l’avance, expliquez qu’un auditeur appliquera exactement la même règle, et qu’il vaut mieux découvrir l’absence de preuve maintenant. La formulation qui désamorce le mieux : « je ne vérifie pas si vous le faites, je vérifie si vous pouvez le montrer ».

Sur la constitution et la tenue de ce dossier de preuves, nous détaillons la méthode dans notre guide dédié au dossier de preuves pour un audit ISO 27001 et NIS2.

Étape 5 — Coter chaque écart sur deux axes

Une liste d’écarts non cotée est inexploitable : elle sera traitée dans l’ordre de facilité, c’est-à-dire dans le pire ordre possible.

Cotez donc chaque ligne sur deux axes de 1 à 3 :

  • Effort de correction : rédiger une procédure absente n’a rien à voir avec segmenter un réseau.
  • Exposition réelle : quelle est la conséquence concrète si cet écart est exploité ou constaté ?

Le croisement fait apparaître quatre familles, et c’est le seul tableau que la direction regardera vraiment : effort faible et exposition forte (à faire cette semaine, sans discussion), effort fort et exposition forte (le vrai budget du projet), effort faible et exposition faible (à grouper en lot), effort fort et exposition faible (à assumer et documenter comme risque accepté).

Cette dernière famille mérite une attention particulière : accepter formellement un risque est une décision de conformité valide, à condition qu’elle soit écrite, datée et signée par la direction. Ne pas en parler ne l’est pas.

MATRICE DE COTATION : EFFORT CONTRE EXPOSITION EXPOSITION FORTE A FAIRE CETTE SEMAINE Effort faible, exposition forte Aucune discussion budgetaire necessaire LE VRAI BUDGET DU PROJET Effort fort, exposition forte C est ce chiffre que la direction doit arbitrer EXPOSITION FAIBLE A GROUPER EN LOT Effort faible, exposition faible Traiter en une seule campagne, pas au fil de l eau RISQUE ACCEPTE ET DOCUMENTE Effort fort, exposition faible Ecrit, date et signe par la direction EFFORT FAIBLE EFFORT FORT Sans cette matrice, les ecarts sont traites dans l ordre de facilite, c est-a-dire dans le pire ordre possible.

Étape 6 — Chiffrer en jours-homme internes et externes

Un chiffrage global en euros ne permet aucun arbitrage. Séparez systématiquement ce qui se règle en interne — rédaction de procédures, mise à jour d’inventaires, revue d’habilitations — de ce qui exige un prestataire — test d’intrusion, audit technique, accompagnement à la certification.

Cette séparation transforme la conversation avec la direction. Elle ne se demande plus « combien coûte la conformité », question à laquelle personne ne peut répondre honnêtement, mais « combien de jours de nos équipes, sur quelle période, et quelle dépense externe ». La seconde question se tranche ; la première se reporte.

Un repère utile pour une PME de trente à deux cents personnes : la part interne est presque toujours sous-estimée, et c’est elle qui fait déraper les calendriers, parce que les personnes concernées ont déjà un travail à plein temps.

Étape 7 — Sortir un plan à trois horizons et le faire signer

Le livrable final tient en trois blocs :

30 jours — les écarts à effort faible et exposition forte. Rien d’autre. C’est le bloc qui prouve que le chantier avance et qui achète la patience de la direction pour la suite.

6 mois — les chantiers structurants : gouvernance, gestion des incidents, encadrement des prestataires, continuité.

18 mois — ce qui relève d’un cycle d’investissement : refonte d’architecture, certification, outillage lourd.

Chaque ligne porte un responsable nommé et une date de revue. Puis le plan est signé par la direction générale. La signature n’est pas un formalisme : c’est ce qui transforme une recommandation technique en engagement d’entreprise, et c’est exactement ce qu’un auditeur cherchera à voir en premier. La suite opérationnelle est la même que celle décrite dans notre plan de remédiation en 7 étapes, et le cadrage complet de la démarche NIS2 est détaillé dans notre guide de mise en conformité NIS2 en 8 étapes.

Notre avis d’expert

Un mot sur les entités financières, parce que la confusion revient souvent : si votre entreprise relève aussi de DORA, n’ouvrez pas un troisième chantier. Les exigences de gestion des risques liés aux tiers et de notification d’incidents se recouvrent largement avec NIS2, et la même grille supporte une colonne de plus. Le principe vaut d’ailleurs bien au-delà de notre secteur — les acteurs des actifs numériques appliquent exactement cette logique de recouvrement pour leur propre mise en conformité DORA. Ce qui coûte cher en conformité, ce n’est jamais le nombre de référentiels, c’est le nombre de fois où l’on collecte la même preuve.

Les trois erreurs qui reviennent le plus

Confier l’analyse à celui qui a mis en place les mesures. La cotation dérive vers l’indulgence, sans mauvaise foi : on note plus favorablement ce qu’on a construit. Séparez les deux rôles, même en interne.

Chercher l’exhaustivité avant la priorisation. Une grille complète à 60 % mais cotée est infiniment plus utile qu’une grille complète à 100 % livrée trois mois plus tard.

Oublier de dater les preuves. Une procédure de gestion des incidents rédigée en 2023 et jamais revue depuis n’est pas une preuve de conformité : c’est un écart avec un document dessus.

Questions fréquentes

Qu’est-ce qu’une analyse d’écart en conformité ISO 27001 et NIS2 ?

C’est l’état des lieux qui compare ce que le référentiel exige à ce que l’entreprise fait réellement, exigence par exigence, preuve par preuve. Elle se mène avant tout projet de mise en conformité et avant tout devis, parce qu’elle seule permet de savoir ce qu’il reste à faire. Son livrable n’est pas un rapport de constat mais une grille exploitable : une ligne par exigence, la preuve attendue, la preuve existante, le responsable, l’effort estimé et l’exposition associée. Une analyse d’écart réussie se reconnaît à un signe simple : elle produit un budget que la direction peut valider, pas une liste de recommandations générales.

Combien de temps prend une analyse d’écart dans une PME ?

Pour une PME de trente à deux cents personnes avec un périmètre correctement délimité, comptez dix à quinze jours calendaires, dont environ cinq à huit jours-homme de travail effectif. La variable qui fait exploser ce délai n’est presque jamais le nombre d’exigences : c’est la disponibilité des interlocuteurs et l’état des preuves. Une entreprise qui dispose déjà d’un inventaire de ses actifs et de ses prestataires ira vite. Une entreprise qui doit reconstituer la liste de ses sous-traitants et de ses accès pendant l’exercice y passera trois semaines, et c’est en soi un résultat de l’analyse.

Faut-il traiter ISO 27001 et NIS2 séparément ?

Non, et les traiter séparément est la première source de travail inutile. Les deux référentiels ne poursuivent pas le même but — NIS2 est une obligation réglementaire, ISO 27001 une norme certifiable souvent demandée par les clients — mais leurs exigences se recouvrent largement sur la gouvernance, la gestion des risques, la sécurité de la chaîne d’approvisionnement, la gestion des incidents et la continuité. Une grille unique avec deux colonnes de correspondance permet de collecter chaque preuve une seule fois et de l’utiliser deux fois. Les entreprises qui mènent deux chantiers parallèles paient deux fois la même collecte.

Peut-on mener une analyse d’écart en interne ?

Oui, à deux conditions. La première est que la personne qui la mène ne soit pas celle qui a mis en place les mesures évaluées, sans quoi la cotation dérive naturellement vers l’indulgence, sans mauvaise foi de la part de quiconque. La seconde est d’accepter la règle de la preuve : une exigence sans document daté est un écart, y compris quand tout le monde sait que la mesure existe. Un regard externe apporte surtout deux choses difficiles à obtenir en interne, le point de comparaison avec d’autres entreprises de taille similaire et la capacité de dire à un dirigeant que son dispositif est insuffisant.

Commencez par l’analyse d’écart, pas par le devis

Nous cadrons le périmètre réel, collectons les preuves, cotons les écarts et vous remettons un plan à trois horizons chiffré. Vous saurez ce que coûte votre conformité avant de vous engager.

🛡️ Audit de sécurité gratuit — réponse en 24h, sans engagement

Obtenir mon audit gratuit →