Le projet avait démarré sur un périmètre défini en réunion de direction : « le siège et l’ERP ». Trois semaines plus tard, on découvrait que la moitié des données clients transitait par un prestataire logistique jamais mentionné, et que le périmètre devait être refait. Ces trois semaines n’ont pas été perdues à cause d’un manque de compétence : elles ont été perdues parce que l’analyse d’écart avait été sautée.
Voici la méthode en sept étapes que nous appliquons désormais systématiquement, avant d’émettre le moindre devis de mise en conformité.
Pourquoi cette étape est sautée neuf fois sur dix
Parce qu’elle ressemble à du temps improductif. Le dirigeant veut savoir combien coûte la conformité, pas financer un état des lieux. Et beaucoup de prestataires acceptent volontiers de chiffrer sans, parce qu’un forfait vendu sur un périmètre flou se renégocie toujours en cours de route.
Le résultat est une constante : un budget initial sous-évalué, un avenant au bout de trois mois, et une direction qui perd confiance dans le chantier au pire moment. L’analyse d’écart ne ralentit pas le projet, elle en fixe le prix réel.
Notre avis d’expert
La question que je pose systématiquement avant de commencer est celle-ci : « si un auditeur arrivait lundi, quel document lui tendriez-vous en premier ? » Le silence qui suit dure en moyenne une dizaine de secondes, et il est plus informatif que la moitié des entretiens qui vont suivre. Il ne révèle pas une absence de sécurité — la plupart de ces entreprises ont des sauvegardes, des pare-feux, des mots de passe corrects. Il révèle que la sécurité existe dans les têtes et pas sur le papier. Or la conformité, qu’il s’agisse de NIS2 ou d’ISO 27001, ne mesure jamais ce que vous faites : elle mesure ce que vous pouvez prouver.
Étape 1 — Délimiter le périmètre par les flux, pas par l’organigramme
C’est l’étape qui décide du coût de toutes les autres, et c’est celle qu’on bâcle.
Un périmètre défini par l’organigramme produit des phrases du type « le siège et la production ». Un périmètre défini par les flux produit une carte : où entrent les données sensibles, par quels systèmes elles transitent, où elles sont stockées, qui y accède, et chez quels prestataires elles sortent.
Les deux ne donnent jamais le même résultat, et l’écart se loge presque toujours au même endroit : les prestataires. L’infogéreur qui détient un accès administrateur permanent, l’outil de paie hébergé ailleurs, le sous-traitant logistique qui reçoit un export client hebdomadaire. Aucun n’apparaît sur un organigramme, tous appartiennent au périmètre.
Livrable de l’étape : une carte des flux sur une page, validée par la direction générale et pas seulement par l’informatique. Si vous voulez la version détaillée de cet exercice, nous la décrivons dans notre page sur l’audit de périmètre NIS2.
Étape 2 — Déterminer ce qui s’applique réellement
Avant de mesurer un écart, il faut savoir par rapport à quoi.
Pour NIS2, la question est binaire et souvent mal tranchée : l’entité est-elle concernée, et à quel titre — entité essentielle ou entité importante ? Les obligations et le régime de contrôle diffèrent. Beaucoup de PME se croient hors champ parce qu’elles sont petites, alors qu’elles y entrent par leur secteur ou par leur rôle dans la chaîne d’approvisionnement d’une entité concernée.
Pour ISO 27001, la question est différente : s’agit-il d’une exigence client explicite, avec une échéance contractuelle, ou d’un choix interne ? La réponse change tout, parce qu’une certification demandée par un client a une date, et une démarche interne peut être étalée.
Nous détaillons ce qui distingue les deux dispositifs dans notre comparatif NIS2 et ISO 27001. Retenez ici la conséquence pratique : une grille unique, deux colonnes de correspondance. Chaque preuve est collectée une fois et sert aux deux référentiels.
Étape 3 — Construire la grille en une seule feuille
Une ligne par exigence. Six colonnes, pas davantage :
- Exigence — formulée en une phrase compréhensible par un non-spécialiste.
- Correspondance — NIS2, ISO 27001, ou les deux.
- Preuve attendue — le document précis qu’un auditeur demanderait.
- Preuve existante — ce qui existe réellement, avec sa date.
- Responsable — une personne nommée, jamais un service.
- Écart — conforme, partiel, absent.
La contrainte de la feuille unique n’est pas cosmétique : un document que la direction peut parcourir en dix minutes sera lu et arbitré. Un rapport de quatre-vingts pages ne le sera pas, et c’est le sort de la plupart des livrables de conformité.
Vous voulez la grille d’écart prête à remplir ?
Nous menons l’analyse d’écart ISO 27001 / NIS2 sur votre périmètre réel et vous remettons la grille, la cotation et le budget chiffré. Lancez-vous : le cadrage se fait en un échange.
Étape 4 — Collecter des preuves, pas des déclarations
C’est l’étape où l’analyse devient utile ou devient un théâtre.
La règle est unique et non négociable : pour chaque exigence, on demande le document, la capture d’écran ou l’export, jamais une réponse orale. « Oui, on sauvegarde tous les soirs » n’est pas une preuve. Le rapport de la dernière restauration testée, daté, en est une.
Cette règle produit toujours le même effet, et il faut le préparer : elle est vécue comme de la défiance. Annoncez-la à l’avance, expliquez qu’un auditeur appliquera exactement la même règle, et qu’il vaut mieux découvrir l’absence de preuve maintenant. La formulation qui désamorce le mieux : « je ne vérifie pas si vous le faites, je vérifie si vous pouvez le montrer ».
Sur la constitution et la tenue de ce dossier de preuves, nous détaillons la méthode dans notre guide dédié au dossier de preuves pour un audit ISO 27001 et NIS2.
Étape 5 — Coter chaque écart sur deux axes
Une liste d’écarts non cotée est inexploitable : elle sera traitée dans l’ordre de facilité, c’est-à-dire dans le pire ordre possible.
Cotez donc chaque ligne sur deux axes de 1 à 3 :
- Effort de correction : rédiger une procédure absente n’a rien à voir avec segmenter un réseau.
- Exposition réelle : quelle est la conséquence concrète si cet écart est exploité ou constaté ?
Le croisement fait apparaître quatre familles, et c’est le seul tableau que la direction regardera vraiment : effort faible et exposition forte (à faire cette semaine, sans discussion), effort fort et exposition forte (le vrai budget du projet), effort faible et exposition faible (à grouper en lot), effort fort et exposition faible (à assumer et documenter comme risque accepté).
Cette dernière famille mérite une attention particulière : accepter formellement un risque est une décision de conformité valide, à condition qu’elle soit écrite, datée et signée par la direction. Ne pas en parler ne l’est pas.
Étape 6 — Chiffrer en jours-homme internes et externes
Un chiffrage global en euros ne permet aucun arbitrage. Séparez systématiquement ce qui se règle en interne — rédaction de procédures, mise à jour d’inventaires, revue d’habilitations — de ce qui exige un prestataire — test d’intrusion, audit technique, accompagnement à la certification.
Cette séparation transforme la conversation avec la direction. Elle ne se demande plus « combien coûte la conformité », question à laquelle personne ne peut répondre honnêtement, mais « combien de jours de nos équipes, sur quelle période, et quelle dépense externe ». La seconde question se tranche ; la première se reporte.
Un repère utile pour une PME de trente à deux cents personnes : la part interne est presque toujours sous-estimée, et c’est elle qui fait déraper les calendriers, parce que les personnes concernées ont déjà un travail à plein temps.
Étape 7 — Sortir un plan à trois horizons et le faire signer
Le livrable final tient en trois blocs :
30 jours — les écarts à effort faible et exposition forte. Rien d’autre. C’est le bloc qui prouve que le chantier avance et qui achète la patience de la direction pour la suite.
6 mois — les chantiers structurants : gouvernance, gestion des incidents, encadrement des prestataires, continuité.
18 mois — ce qui relève d’un cycle d’investissement : refonte d’architecture, certification, outillage lourd.
Chaque ligne porte un responsable nommé et une date de revue. Puis le plan est signé par la direction générale. La signature n’est pas un formalisme : c’est ce qui transforme une recommandation technique en engagement d’entreprise, et c’est exactement ce qu’un auditeur cherchera à voir en premier. La suite opérationnelle est la même que celle décrite dans notre plan de remédiation en 7 étapes, et le cadrage complet de la démarche NIS2 est détaillé dans notre guide de mise en conformité NIS2 en 8 étapes.
Notre avis d’expert
Un mot sur les entités financières, parce que la confusion revient souvent : si votre entreprise relève aussi de DORA, n’ouvrez pas un troisième chantier. Les exigences de gestion des risques liés aux tiers et de notification d’incidents se recouvrent largement avec NIS2, et la même grille supporte une colonne de plus. Le principe vaut d’ailleurs bien au-delà de notre secteur — les acteurs des actifs numériques appliquent exactement cette logique de recouvrement pour leur propre mise en conformité DORA. Ce qui coûte cher en conformité, ce n’est jamais le nombre de référentiels, c’est le nombre de fois où l’on collecte la même preuve.
Les trois erreurs qui reviennent le plus
Confier l’analyse à celui qui a mis en place les mesures. La cotation dérive vers l’indulgence, sans mauvaise foi : on note plus favorablement ce qu’on a construit. Séparez les deux rôles, même en interne.
Chercher l’exhaustivité avant la priorisation. Une grille complète à 60 % mais cotée est infiniment plus utile qu’une grille complète à 100 % livrée trois mois plus tard.
Oublier de dater les preuves. Une procédure de gestion des incidents rédigée en 2023 et jamais revue depuis n’est pas une preuve de conformité : c’est un écart avec un document dessus.
Questions fréquentes
Qu’est-ce qu’une analyse d’écart en conformité ISO 27001 et NIS2 ?
C’est l’état des lieux qui compare ce que le référentiel exige à ce que l’entreprise fait réellement, exigence par exigence, preuve par preuve. Elle se mène avant tout projet de mise en conformité et avant tout devis, parce qu’elle seule permet de savoir ce qu’il reste à faire. Son livrable n’est pas un rapport de constat mais une grille exploitable : une ligne par exigence, la preuve attendue, la preuve existante, le responsable, l’effort estimé et l’exposition associée. Une analyse d’écart réussie se reconnaît à un signe simple : elle produit un budget que la direction peut valider, pas une liste de recommandations générales.
Combien de temps prend une analyse d’écart dans une PME ?
Pour une PME de trente à deux cents personnes avec un périmètre correctement délimité, comptez dix à quinze jours calendaires, dont environ cinq à huit jours-homme de travail effectif. La variable qui fait exploser ce délai n’est presque jamais le nombre d’exigences : c’est la disponibilité des interlocuteurs et l’état des preuves. Une entreprise qui dispose déjà d’un inventaire de ses actifs et de ses prestataires ira vite. Une entreprise qui doit reconstituer la liste de ses sous-traitants et de ses accès pendant l’exercice y passera trois semaines, et c’est en soi un résultat de l’analyse.
Faut-il traiter ISO 27001 et NIS2 séparément ?
Non, et les traiter séparément est la première source de travail inutile. Les deux référentiels ne poursuivent pas le même but — NIS2 est une obligation réglementaire, ISO 27001 une norme certifiable souvent demandée par les clients — mais leurs exigences se recouvrent largement sur la gouvernance, la gestion des risques, la sécurité de la chaîne d’approvisionnement, la gestion des incidents et la continuité. Une grille unique avec deux colonnes de correspondance permet de collecter chaque preuve une seule fois et de l’utiliser deux fois. Les entreprises qui mènent deux chantiers parallèles paient deux fois la même collecte.
Peut-on mener une analyse d’écart en interne ?
Oui, à deux conditions. La première est que la personne qui la mène ne soit pas celle qui a mis en place les mesures évaluées, sans quoi la cotation dérive naturellement vers l’indulgence, sans mauvaise foi de la part de quiconque. La seconde est d’accepter la règle de la preuve : une exigence sans document daté est un écart, y compris quand tout le monde sait que la mesure existe. Un regard externe apporte surtout deux choses difficiles à obtenir en interne, le point de comparaison avec d’autres entreprises de taille similaire et la capacité de dire à un dirigeant que son dispositif est insuffisant.
Commencez par l’analyse d’écart, pas par le devis
Nous cadrons le périmètre réel, collectons les preuves, cotons les écarts et vous remettons un plan à trois horizons chiffré. Vous saurez ce que coûte votre conformité avant de vous engager.