11 audits ISO 27001 + NIS2 sur des PME françaises en 2025-2026 — voici les 8 étapes qui ont sauvé 6 certifications

— Pourquoi traiter ISO 27001 et NIS2 ensemble

La directive NIS2, transposée en droit français par la loi REN du 30 avril 2025 et entrée en phase de contrôle actif depuis janvier 2026, impose à environ 15 000 entités françaises — dont une majorité de PME — la mise en œuvre de 10 mesures de gestion des risques cyber (article 21), une obligation de notification d’incident 24 h / 72 h, et une responsabilité personnelle des dirigeants. La norme ISO/IEC 27001:2022, elle, reste la référence internationale du SMSI (système de management de la sécurité de l’information) avec ses 93 contrôles d’Annexe A.

Sur le terrain, traiter les deux référentiels séparément multiplie le coût total de mise en conformité par 1,7 à 2,1 dans nos retours d’expérience. Traiter les deux ensemble — c’est-à-dire bâtir un SMSI ISO 27001 dont le périmètre intègre dès l’origine les obligations NIS2 — permet de mutualiser 70 % des contrôles, de produire une seule documentation et de viser un seul audit annuel.

Sur les 11 missions menées entre janvier 2025 et avril 2026, six PME ont atteint la certification ISO 27001 dès le stage 2 (sans non-conformité majeure), trois ont obtenu la certification après remédiation d’écarts identifiés en stage 1, et deux ont échoué au stage 2 — toutes deux pour des raisons identiques que nous détaillons plus bas. La méthode présentée ici est celle qui a fait passer les 9 réussites.

— Les 8 étapes qui ont sauvé les 6 certifications

Étape 1 — Diagnostic d’écart (3-4 semaines)

Tout démarre par un gap analysis. L’objectif est de croiser deux référentiels — ISO 27001 Annexe A et les 10 mesures NIS2 article 21 (politique d’analyse des risques, gestion des incidents, continuité, sécurité de la chaîne d’approvisionnement, sécurité du développement, politiques d’efficacité, formation, cryptographie, contrôle d’accès, gestion des actifs et MFA). Sur les 11 missions, le score initial moyen était de 38 % de conformité documentaire et 46 % de conformité technique.

Livrables : matrice de couverture (Excel ou GRC), rapport d’écarts hiérarchisé, plan de remédiation pluriannuel avec budget estimé. Pour cadrer le périmètre NIS2, notre audit de périmètre NIS2 permet de qualifier l’organisation en « entité essentielle » ou « entité importante » avant tout chantier.

Étape 2 — Définir le périmètre du SMSI (2 semaines)

C’est l’erreur n°1 des échecs. Un périmètre trop large rend la mise en conformité ingérable ; un périmètre trop étroit fait perdre la valeur certificative et expose au refus d’organisme accrédité. Le bon réflexe : cibler la ou les lignes de service générant la majorité du chiffre d’affaires, du risque client ou de l’exposition NIS2, et exclure explicitement le reste avec justification documentée (statement of scope).

Sur une fintech PME (50 salariés, 4 lignes produit), nous avons retenu uniquement la plateforme de paiement B2B, excluant le produit historique en sunset. Résultat : SMSI de 35 personnes plutôt que 50, périmètre auditable en 4 jours plutôt que 7, et obtention de la certification au premier passage.

Étape 3 — Analyse de risques EBIOS RM (4-6 semaines)

ISO 27005 et l’article 21.2.a de NIS2 imposent une analyse de risque formelle. La méthode EBIOS Risk Manager de l’ANSSI est largement acceptée par les organismes certificateurs en France. Les ateliers (1 cadrage, 2 sources de risque, 3 scénarios stratégiques, 4 scénarios opérationnels, 5 traitement) doivent réunir direction générale, métiers et IT, pas seulement la DSI.

Piège fréquent : produire une analyse de risques copiée-collée d’un autre client ou d’un template générique. Les auditeurs COFRAC repèrent immédiatement ce type de livrable. Le minimum : 6 scénarios stratégiques différenciants pour le métier, 4 sources de risques nommées, et une cartographie d’écosystème (parties prenantes externes) à jour.

Étape 4 — PSSI, SoA et corpus documentaire (6-8 semaines)

La déclaration d’applicabilité (Statement of Applicability) est l’épine dorsale du SMSI. Elle liste les 93 contrôles d’Annexe A en distinguant « applicable mis en œuvre », « applicable planifié », « non applicable » (avec justification). Pour chaque contrôle applicable, lien vers la procédure ou la preuve technique. Pour NIS2, une matrice complémentaire mappe les 10 mesures sur le SMSI.

Documents minimaux exigés en stage 1 : PSSI (politique de sécurité), SoA, politique de gestion des risques, politique de classification, politique d’accès logique, politique cryptographie, politique de continuité, procédure de gestion des incidents (avec workflow NIS2 24 h/72 h), plan de formation, indicateurs SMSI. Notre page conformité ISO 27001 détaille les modèles utilisés.

Étape 5 — Mesures techniques structurantes (8-12 semaines)

Sur le volet technique, six chantiers reviennent systématiquement :

• •MFA généralisée — sur tous les comptes administrateurs, comptes à privilèges, accès cloud et VPN. Préférer FIDO2 ou TOTP, abandonner SMS.
• •EDR/XDR déployé à 100 % du parc utilisateur et serveurs. Pas un endpoint sans agent.
• •Centralisation des logs — SIEM ou plateforme équivalente, rétention minimale 12 mois pour les événements de sécurité.
• •Sauvegardes 3-2-1 — 3 copies, 2 supports, 1 hors site. Tests de restauration trimestriels documentés.
• •Segmentation réseau — VLAN ou microsegmentation entre zones utilisateurs, serveurs, DMZ, OT le cas échéant.
• •Gestion des vulnérabilités — scan hebdomadaire, MRC critique sous 14 jours, sous 72 h pour les CVE activement exploitées.

Étape 6 — Formation et sensibilisation (en continu)

L’article 21.2.g de NIS2 et le contrôle A.6.3 ISO 27001:2022 imposent un plan de formation et de sensibilisation. En pratique : module e-learning annuel obligatoire (90 min minimum), tests de phishing mensuels avec suivi de taux de clic, formation spécifique pour les profils à risque (administrateurs, développeurs, dirigeants), et briefing intégration des nouveaux arrivants. La direction générale doit aussi suivre une formation cyber dédiée — c’est explicite dans NIS2.

Indicateur clé à présenter en audit : taux de complétion de la formation annuelle (cible 100 %), taux de clic phishing en tendance (cible < 5 % après 6 mois). Conserver les preuves d’exécution (export LMS, screenshots des campagnes).

Étape 7 — Audit interne et revue de direction (4 semaines)

Avant le passage COFRAC, un audit blanc interne — idéalement réalisé par un auditeur externe non impliqué dans la mise en place — permet de détecter les écarts résiduels et de produire les preuves d’efficacité du SMSI. La revue de direction (clause 9.3 ISO 27001) doit être documentée avec ordre du jour, présents, décisions et plan d’actions.

Sur les 11 missions, l’audit interne a permis de remonter en moyenne 23 écarts mineurs et 2,1 écarts majeurs avant le stage 2, qui auraient sinon été des non-conformités auditeur. Coût : 5 à 8 jours-homme ; ROI : indispensable.

Étape 8 — Stage 1, stage 2 et certification (6 semaines)

Choix de l’organisme certificateur : privilégier un organisme accrédité COFRAC pour ISO 27001 (Bureau Veritas, AFNOR, LRQA, DNV, SGS, BSI, etc.). Le stage 1 est une revue documentaire d’une à deux journées, sur site ou à distance. Il valide la maturité documentaire et identifie les non-conformités à corriger avant le stage 2. Délai recommandé entre les deux : 6 à 8 semaines.

Le stage 2 est l’audit sur site (3 à 7 jours selon périmètre), avec interviews, observation, échantillonnage de preuves. À l’issue, le rapport est revu par le comité de certification de l’organisme et le certificat émis si aucune non-conformité majeure ne subsiste. La certification dure 3 ans, avec un audit de surveillance annuel et une recertification au terme.

— Les 3 causes communes des 2 échecs au stage 2

Sur les 11 missions, deux ont échoué au stage 2 (non-conformité majeure entraînant un nouveau passage). Les trois causes systématiques :

1. A
   Engagement direction de surface

   PSSI signée mais aucune revue de direction tenue, aucun budget formalisé, aucun KPI cyber au comité exécutif. L’auditeur identifie l’écart en 30 minutes d’entretien avec le DG.

2. B
   Documentation sans preuves d’exécution

   Procédures écrites mais aucun ticket, aucun rapport, aucun journal pour démontrer qu’elles tournent. Une politique de revue trimestrielle des accès doit pouvoir produire 4 PV par an.

3. C
   Gestion fournisseurs négligée

   NIS2 article 21.2.d et A.5.19-23 ISO 27001 imposent une diligence cyber documentée sur les fournisseurs critiques. Beaucoup de PME découvrent en stage 2 qu’elles n’ont aucun DPA, aucune clause cyber dans les contrats clés, et que la qualification fournisseurs reste à faire.

Pour aller plus loin sur le volet supply chain — particulièrement sensible depuis les incidents SaaS de 2024-2026 — voir l’analyse cyber-supply chain de Plug Tech et la grille open source publiée par D-Open.

— Budget et calendrier réalistes pour une PME

Sur le panel de 11 PME (effectifs de 25 à 220 salariés, CA 5 à 60 M€), le budget total observé pour atteindre la double certification ISO 27001 + conformité NIS2 documentée se situe entre 85 000 € (PME 30 salariés, périmètre serré, maturité initiale 40 %) et 320 000 € (ETI 220 salariés, périmètre groupe, maturité initiale 20 %). Ce budget inclut l’accompagnement consultant, les outils GRC/SIEM/EDR sur 12 mois et les frais d’audit COFRAC (entre 8 000 et 18 000 € selon périmètre).

Côté calendrier, le scénario moyen sur les 6 réussites au stage 2 : 6 semaines de cadrage et diagnostic, 8 semaines de remédiation documentaire et lancement chantiers techniques, 12 semaines de stabilisation, 4 semaines de pré-audit et stage 1, 6 semaines entre stage 1 et stage 2. Soit 7,5 mois calendaires en moyenne, avec un effort équivalent à 0,5 à 1 ETP interne pendant toute la durée.

Conclusion

ISO 27001 + NIS2 n’est pas un projet documentaire, c’est un projet d’organisation. Les six PME qui ont obtenu leur certification au premier passage avaient toutes en commun un sponsor de direction nommément engagé, un périmètre raisonnable, des preuves d’exécution dès la première itération, et un audit blanc externe avant le stage 2. Les deux qui ont échoué n’avaient aucun de ces quatre éléments.

Pour une PME française qui démarre aujourd’hui, le bon timing est de viser un stage 1 entre octobre 2026 et février 2027, ce qui demande de lancer la phase 1 (diagnostic d’écart) dès le mois de mai-juin 2026. Au-delà, la pression réglementaire NIS2 (premières sanctions attendues T4 2026) et la concurrence sur les appels d’offres exigeant ISO 27001 rendront l’attente coûteuse.