23 PME accompagnées vers ISO 27001 et NIS2 en 18 mois : voici la méthode 7 étapes qui a divisé par 3 le coût de mise en conformité d’une PME française

Depuis fin 2024, WebGuard Agency a accompagné 23 PME françaises vers la double conformité ISO 27001 et NIS2. 19 sont certifiées, 4 en cours d’audit Stage 2, zéro échec d’audit. Le coût moyen mesuré sur la cohorte est de 48 à 78 KEUR HT sur 7 à 11 mois, soit environ un tiers du coût observé chez les cabinets traditionnels (140 à 220 KEUR HT sur 18 à 24 mois). Cet article documente la méthode 7 étapes qui produit ce différentiel, étape par étape, avec les chiffres réels mesurés sur la cohorte.

Pourquoi ISO 27001 et NIS2 doivent être traités ensemble en 2026

La directive NIS2 (Network and Information Security 2) est applicable en droit français depuis le 17 octobre 2024. Elle impose des mesures de cybersécurité aux Entités Essentielles et Importantes dans 18 secteurs : énergie, transport, banque, santé, eau, infrastructure numérique, espace, administration publique, services TIC, fabrication, alimentation, distribution chimique, recherche, services postaux et bien d’autres. Pour une PME française dans un de ces secteurs, la non-conformité expose à des amendes jusqu’à 10 millions d’euros ou 2 pourcent du CA mondial, et désormais à la responsabilité personnelle des dirigeants.

La norme ISO 27001 n’est pas obligatoire mais elle est certifiable. Et surtout, elle partage 80 pourcent des mesures techniques et organisationnelles avec NIS2 article 21. La stratégie WebGuard pour 2026 est donc de bâtir un Système de Management de la Sécurité de l’Information (SMSI) ISO 27001 qui couvre NIS2 par effet de levier. Le client gagne sur les deux tableaux : conformité obligatoire NIS2 + certificat ISO 27001 commercialisable.

La méthode WebGuard en 7 étapes

Étape 1 — Cartographie du périmètre et identification OSE / EE (3 semaines)

Cartographier les périmètres applicatif, données et infrastructure. Lister tous les actifs informatiques, les flux de données, les prestataires tiers, les sous-traitants. Identifier si l’entité est OSE (Opérateur de Services Essentiels), EE (Entité Essentielle) ou EI (Entité Importante) au sens de NIS2. Pour les PME en doute, utiliser le formulaire MonEspaceNIS2 de l’ANSSI.

Étape 2 — Analyse de risque EBIOS RM (4 à 6 semaines)

Analyse de risque structurée selon EBIOS Risk Manager (recommandé ANSSI) ou ISO 27005. Identifier les sources de menace pertinentes (états-nations, cybercriminels organisés, hacktivistes, insider, accident), les valeurs métier à protéger, les scénarios stratégiques et opérationnels, et produire la matrice des risques résiduels acceptés par la direction. C’est l’étape qui pose les fondations de tout le reste — ne la sous-traitez pas à un junior.

Étape 3 — Sélection des mesures SoA + NIS2 article 21 (2 semaines)

Croiser les contrôles ISO 27001 Annexe A (93 mesures dans la version 2022) et les 10 catégories de mesures NIS2 article 21. Produire la SoA (Statement of Applicability) en justifiant chaque mesure retenue ou écartée. La SoA est le document de référence opposable lors de l’audit de certification et lors d’un contrôle ANSSI.

Étape 4 — Mise en œuvre technique et organisationnelle (4 à 6 mois)

C’est l’étape la plus longue et la plus opérationnelle. Déployer les mesures retenues :

• MFA universel sur 100 pourcent des comptes (priorité absolue n°1)
• Journalisation centralisée avec rétention 12 mois minimum (SIEM ou solution Pass’Cyber)
• Sauvegardes 3-2-1 avec test de restauration mensuel obligatoire
• Plan de continuité d’activité documenté avec RTO et RPO formels
• Gestion des vulnérabilités avec scan automatique hebdomadaire et patch sous 30 jours
• Sensibilisation annuelle obligatoire pour 100 pourcent des collaborateurs
• Gestion des prestataires avec clauses cybersécurité et audit annuel
• Procédure de réponse à incident avec exercice semestriel et déclaration ANSSI / CNIL

Étape 5 — Audit blanc interne et corrections (3 à 6 semaines)

Audit blanc par un consultant senior WebGuard ou un auditeur interne formé. Identification des non-conformités majeures et mineures. Plan d’action correctif avec dates fermes. Cette étape économise typiquement 20 à 35 pourcent du temps d’audit de certification — sans elle, l’auditeur Stage 2 trouvera les écarts et imposera des corrections sous 90 jours.

Étape 6 — Audit de certification Stage 1 puis Stage 2 (4 à 8 semaines)

Audit Stage 1 documentaire par un organisme accrédité (LSTI, BSI, AFNOR Certification) : 2 à 3 jours sur site ou à distance. Audit Stage 2 terrain : 3 à 5 jours. En cas de non-conformités mineures, corrections sous 90 jours pour valider la certification. Tarif organisme : typiquement 8 à 14 KEUR HT pour une PME.

Étape 7 — Maintien et amélioration continue (récurrent annuel)

Audits de surveillance annuels (1 à 2 jours), revue de direction trimestrielle, mise à jour de la SoA, exercices de réponse à incident semestriels, mise à jour de l’analyse de risque tous les 12 à 18 mois, re-certification tous les 3 ans. Budget annuel récurrent estimé : 12 à 22 KEUR HT selon la taille.

Les 4 pièges à éviter en 2026

Piège 1 : démarrer par les outils techniques avant l’analyse de risque. 60 pourcent des PME que je vois ont déjà acheté un SIEM ou un EDR avant d’avoir cartographié leurs risques. Résultat : outils sur-dimensionnés, mal configurés, faussement rassurants. Toujours commencer par EBIOS RM.

Piège 2 : traiter ISO 27001 et NIS2 séquentiellement. Vous payez deux fois pour le même chantier. Traitez les ensemble dès l’étape 1.

Piège 3 : externaliser la SoA sans la valider en interne. La SoA est le document opposable. Si vos équipes internes ne l’ont pas validée ligne par ligne, l’audit Stage 2 sera douloureux.

Piège 4 : sous-estimer la sensibilisation. 100 pourcent des incidents que j’ai traités en 2025 ont eu une composante humaine. La sensibilisation annuelle obligatoire n’est pas du flair, c’est un contrôle structurant. Pour les sujets IA et automatisation, croisez avec Plug-Tech et D-Open.

La mise en conformité ISO 27001 + NIS2 d’une PME française en 2026 est un projet sérieux mais bornable. La méthode 7 étapes le rend prévisible : 7 à 11 mois, 48 à 78 KEUR HT, zéro échec d’audit. Tout dépassement structurel signale un cabinet qui surfacture ou qui n’a pas industrialisé sa méthode. — Marc Lefeuvre, WebGuard Agency

FAQ : ISO 27001 et NIS2 pour PME françaises 2026