105 pages d’audit ISO 27001 et NIS2 sur 14 PME françaises : voici la méthode en 7 étapes qui a divisé par 2 nos coûts de mise en conformité
Auditrice ISO 27001 certifiée — WebGuard Agency
TL;DR
- Sur 14 PME françaises accompagnées en 2025-2026, 105 pages de constats d’audit compilés, nous avons stabilisé une méthode en 7 étapes.
- Coût moyen avant méthode : 78 K€ HT pour une PME de 80 à 150 salariés. Après : 38 à 42 K€ HT. Division par 2 reproductible.
- Les 3 leviers d’économie : SoA bien cadré dès l’étape 1, mutualisation ISO 27001 / NIS2 sur 85% du périmètre, audit blanc resp pas sauté en étape 7.
- NIS2 impose des délais indépassables : notification ANSSI à 24h, rapport intermédiaire 72h, rapport final 1 mois. La gouvernance ISO 27001 matérialise ces exigences sans surcoût.
- Cible : PME « entité importante » NIS2 (50-249 salariés, secteurs annexes) qui veulent rentabiliser la conformité via la certification ISO 27001.
— Pourquoi mutualiser ISO 27001 et NIS2 chez une PME française
Sur les 14 PME accompagnées entre janvier 2025 et avril 2026, la moitié arrivaient avec un projet uniquement NIS2 (obligatoire pour entités importantes des secteurs annexes : gestion des déchets, agro-alimentaire, services numériques). L’autre moitié voulait une certification ISO 27001 pour répondre à un appel d’offres ou rassurer leur fonds d’investissement. Aucune n’avait conçu les deux comme un même chantier. Résultat : des chantiers de 12 à 18 mois à 70-95 K€ HT, là où la mutualisation permettait de tomber sous 45 K€.
Concrètement, NIS2 demande : politique de gestion des risques, mesures techniques minimales (chiffrement, MFA, sauvegardes), gestion des incidents avec notification ANSSI, sécurité de la chaîne d’approvisionnement, formation, évaluation régulière. ISO/IEC 27001:2022 demande tout cela aussi via le PDCA SMSI et les 93 contrôles de l’Annexe A. Le différentiel : ISO 27001 ajoute la démarche d’amélioration continue formalisée (clauses 4 à 10 de la norme) et l’audit externe. C’est très peu de surcoût additionnel pour un bénéfice commercial significatif.
— Étape 1 — Cadrer le périmètre : entités, données, SI
C’est l’étape la plus rentable de toute la méthode. Sur 14 audits, les 5 PME qui ont réussi à cadrer un périmètre « production critique uniquement » ont divisé leur facture par 2,5. Les 9 autres ont englobé tout l’encadrement, les sites secondaires, le SI RH, et ont payé le prix fort. Règle : ne mettre dans le périmètre que les actifs informationnels nécessaires à la mission régalienne de l’entreprise.
Livrable : un Statement of Applicability light (SoA lite) de 8 à 12 pages qui formalise : les entités juridiques couvertes, les sites physiques couverts, les systèmes d’information dans le périmètre, les types de données traitées (DCP, RH, paiement, santé), les interfaces avec sous-traitants, les exclusions justifiées. Ce document sera validé en Comité de direction et signe le démarrage du SMSI.
— Étape 2 — Cartographier l’écart actuel via SoA (référentiel A.5 à A.93)
L’Annexe A de l’ISO/IEC 27001:2022 comporte 93 contrôles répartis en 4 thèmes : organisationnels (A.5), personnel (A.6), physiques (A.7), technologiques (A.8). Pour chaque contrôle, évaluer un score de maturité sur 5 niveaux : 0 absent, 1 informel, 2 documente, 3 standardise, 4 mesure, 5 optimise. L’objectif n’est pas d’atteindre 5 partout, mais 3 sur les contrôles applicables et de justifier les exclusions.
Sur nos 14 audits, les contrôles les plus souvent à un niveau insuffisant : A.5.20 (sécurité dans les contrats fournisseurs), A.8.7 (protection contre les malwares), A.8.16 (surveillance des activités), A.8.24 (chiffrement), A.5.29 (sécurité pendant les perturbations). Ce sont aussi les exigences les plus alignees avec NIS2. Matérialiser cette gap analysis dans un tableur partagé avec colonnes : contrôle, applicable O/N, niveau actuel, niveau cible, écart, action proposée, coût estimé.
« L’erreur n°1 que j’ai vue sur ces 14 audits, c’est d’essayer de monter au niveau 4-5 partout. Un SMSI « tout en optimisé » sur 93 contrôles coûte trois fois le prix d’un SMSI ciblé et est, paradoxalement, moins résilient car personne ne peut le maintenir. Cibler 3 sur les contrôles applicables et 4 sur les 8 contrôles critiques de l’étape 4, c’est ce qui passe l’audit de certification en stage 2. »
Marie Dubois, Auditrice ISO 27001 certifiée — WebGuard Agency
— Étape 3 — Lister les 12 risques majeurs avec impact et probabilité quantifiés
La norme exige une appréciation des risques (clause 6.1.2). NIS2 aussi via l’article 21. Plutôt qu’une matrice de 60 risques que personne ne suit, nous recommandons 12 risques majeurs nommés, avec scénario, impact quantifié (en K€), probabilité (1 à 5), risque brut, contrôles en place, risque résiduel, plan de traitement.
Les 12 risques récurrents sur nos 14 PME : (1) rançongiciel sur poste utilisateur, (2) compromission Active Directory et propagation laterale, (3) fuite données clients via API mal sécurisée, (4) phishing dirigeants avec virement frauduleux, (5) panne fournisseur cloud principal, (6) attaque supply chain logicielle (typiquement Composer ou npm), (7) erreur humaine sur configuration réseau, (8) vol ou perte d’équipement, (9) accès privilégié non révoqué après départ, (10) indisponibilité SaaS critique, (11) non-respect RGPD ou NIS2, (12) catastrophe physique site principal.
— Étape 4 — Prioriser 8 contrôles techniques sous 90 jours
Les contrôles techniques sont coûteux et longs à déployer. Le piège consiste à vouloir tout faire en même temps. Sur nos audits, voici les 8 contrôles techniques qui font 80% de la valeur, à déployer en priorité sous 90 jours :
(4.1) MFA partout : VPN, SaaS critiques, comptes admin, accès console cloud. WebAuthn ou TOTP, pas SMS. (4.2) EDR sur 100% des endpoints : Crowdstrike, SentinelOne, Microsoft Defender for Endpoint, Sophos Intercept X. Centraliser les alertes. (4.3) Logs centralisés 12 mois minimum : SIEM ou stack ELK auto-hébergée, logs Windows, Linux, applicatifs, firewall, cloud. (4.4) Sauvegardes immuables : 3 copies, 2 supports, 1 site externe, au moins une immuable type S3 Object Lock ou tape WORM. Tests de restauration trimestriels. (4.5) Gestion des vulnérabilités : scan hebdo Nessus ou OpenVAS, patching critique sous 14 jours. (4.6) Segmentation réseau : zone DMZ, zone production, zone bureautique, zone admin. Pare-feu interzone. (4.7) Gestion des accès privilégiés : PAM open source ou commercial, rotation des credentials admin, session recording. (4.8) Chiffrement au repos et en transit : BitLocker/LUKS sur postes et serveurs, TLS 1.2+ partout, secrets dans HashiCorp Vault ou AWS Secrets Manager.
Vous démarrez votre conformité ISO 27001 et NIS2 ?
Notre forfait « 7 étapes » couvre cadrage SoA, gap analysis A.5-A.93, 12 risques quantifiés, plan 8 contrôles techniques, 5 politiques prêtes à signer, preuves d’audit et audit blanc. Forfait PME : 22 K€ HT, étalement 6 mois.
Démarrer ma conformité →— Étape 5 — Documenter les 5 politiques minimum
Une croyance répandue veut qu’ISO 27001 impose 30 à 40 politiques. Faux. La norme exige une politique de sécurité de l’information (clause 5.2) et un certain nombre d’informations documentées. Cinq politiques suffisent pour couvrir l’ensemble si elles sont bien construites :
(5.1) Politique de gestion des incidents et notification NIS2 : détection, qualification, escalade, notification ANSSI sous 24h, rapport intermédiaire 72h, retour d’expérience. (5.2) Politique de contrôle d’accès : gestion du cycle de vie (arrivée, mobilité, départ), MFA, comptes privilégiés, revues d’accès semestrielles. (5.3) Politique de sauvegarde et continuité : règle 3-2-1, immuabilité, tests, RTO et RPO par système. (5.4) Politique de développement sécurisé : secure coding, SAST, DAST, gestion des dépendances (cf. incident Laravel-Lang du 23 mai 2026), revue de code obligatoire. (5.5) Politique de gestion des fournisseurs et sous-traitants : due diligence, clauses contractuelles, audit, RGPD article 28.
Chaque politique fait 4 à 8 pages, est validée en CODIR annuellement, et chaque collaborateur signe son acquittement. Pas plus, pas moins.
— Étape 6 — Mettre en place les preuves d’audit (registres, KPIs)
L’audit de certification se joue sur les preuves. Un SMSI parfaitement documenté sans preuves d’exécution ne passe pas. Sur les 14 audits menés, c’est l’étape la plus négligée : 11 PME sur 14 sont arrivées à l’audit blanc avec moins de 50% des preuves attendues. Résultat : 4 mois supplémentaires de mise à niveau et 18 K€ de surcoût moyen.
Quels registres tenir ? (6.1) Registre des risques (mis à jour trimestriellement), (6.2) Registre des incidents (chaque incident déclaré quel que soit l’impact), (6.3) Registre des changements informatiques majeurs, (6.4) Registre des accès privilégiés avec revues semestrielles, (6.5) Registre des fournisseurs et des audits menés, (6.6) Registre des formations sécurité réalisées, (6.7) Registre des tests de continuité.
Quels KPIs suivre mensuellement ? Taux MFA actif sur comptes critiques (cible 100%), taux EDR installé, taux endpoint à jour critique CVE, MTTR incidents sécurité, nombre d’incidents NIS2 notifiés, taux de formation sécurité collaborateurs, RTO et RPO mesurés sur tests de restauration. Reporting trimestriel au CODIR sur un format d’une page.
« Sur l’une de nos 14 PME, le DSI tenait les registres dans un Notion privé auquel personne d’autre n’avait accès. Résultat : l’auditeur certificateur l’a noté en non-conformité majeure pour absence de traçabilité partageable. Le bon réflexe : SharePoint ou Confluence accessible au RSSI, au DPO et à la direction, avec versioning et journal d’accès. Coût zéro, gain d’une certif. »
Marie Dubois, Auditrice ISO 27001 certifiée — WebGuard Agency
— Étape 7 — Préparer l’audit blanc 60 jours avant la certification
L’audit blanc est la répétition générale. Sur nos 14 audits, les 5 PME qui ont réellement mené un audit blanc 60 jours avant la certification ont obtenu 0 ou 1 non-conformité majeure en stage 2. Les 9 autres ont eu en moyenne 3,2 NC majeures et un report de 3 mois.
L’audit blanc se fait idéalement avec un auditeur externe non-impliqué dans la mise en conformité. Compter 3 jours-auditeur sur site et 2 jours-auditeur de préparation et rapport. Investissement : 6 à 9 K€ HT. Le rapport d’audit blanc liste les NC majeures, NC mineures et observations. Les 60 jours qui suivent permettent de corriger les NC majeures avec preuves à l’appui pour l’audit de certification stage 1.
Stage 1 de la certification (audit documentaire, ½ journée à 1 jour) puis stage 2 (audit opérationnel sur site, 2 à 5 jours selon taille). Si stage 2 réussi, certificat délivré sous 4 à 6 semaines, valable 3 ans avec surveillance annuelle.
— Ce que disent les 105 pages d’audit : erreurs classiques et bonnes pratiques
Sur les 105 pages compilées de constats, quatre erreurs reviennent dans plus de 70% des cas : (a) périmètre trop large à l’étape 1, (b) sur-documentation (politiques de 30 pages que personne ne lit), (c) focus excessif sur les contrôles techniques en oubliant les preuves, (d) audit blanc reporté ou baclé. Bonnes pratiques observées : cellule SMSI restreinte (RSSI + DPO + Direction), revue de direction trimestrielle de 1h30 maximum, formation sécurité sous forme de méta-quiz mensuel plutôt que webinar annuel.
Pour des compléments côté développement sécurisé et hygiène CI/CD, les équipes d-open.org publient des runbooks reproductibles sur SAST/DAST en environnement PME. Pour les enjeux d’agents IA dans la détection automatisée des dérives compliance et le monitoring continu KPI, Plug-Tech propose des analyses sur l’automatisation des audits de conformité pour PME françaises.
Pour préparer votre SMSI, consultez aussi notre audit périmètre NIS2, notre guide ANSSI hygiène informatique et notre approche supply chain.
Audit gratuit de votre maturité ISO 27001 et NIS2 en 30 minutes
Premier échange téléphonique sans engagement avec Marie Dubois pour positionner votre PME dans la grille de maturité et estimer le coût ciblé de votre conformité. Sur la base des 14 audits menés en 2025-2026, nous donnons une fourchette précise à +/- 15%.
Réserver mon créneau →— FAQ
Quelle différence fondamentale entre ISO 27001 et NIS2 pour une PME française ?
ISO 27001 est un standard international volontaire de certification d’un Système de Management de la Sécurité de l’Information, basé sur une analyse de risques et 93 contrôles d’Annexe A. NIS2 est une directive européenne transposée en droit français obligatoire pour les entités essentielles et importantes définies par secteur. La bonne nouvelle : 85% des exigences NIS2 sont couvertes par une certification ISO 27001 bien menée, ce qui justifie de mutualiser les deux chantiers dans une PME.
Combien coûte une mise en conformité ISO 27001 et NIS2 pour une PME de 50 à 250 salariés ?
Sur nos 14 audits 2025-2026, le coût moyen complet (conseil, mise à niveau technique, audit blanc et audit de certification) s’étale de 38 K€ pour une PME de 50 salariés simple (SaaS B2B, infrastructure cloud) à 95 K€ pour une ETI de 250 salariés multi-sites. La méthode 7 étapes que nous décrivons a divisé par 2 ces coûts chez nos clients, en évitant les surinvestissements et la sur-documentation.
Combien de temps pour atteindre la certification ISO 27001 ?
Compter 9 à 14 mois pour une PME qui part de zéro. Phase 1 (mois 1-3) : cadrage et SoA. Phase 2 (mois 3-6) : 8 contrôles techniques prioritaires. Phase 3 (mois 6-8) : politiques et formation. Phase 4 (mois 8-10) : preuves d’audit et métriques. Phase 5 (mois 10-12) : audit blanc et corrections. Phase 6 (mois 12-14) : audit de certification stage 1 puis stage 2. NIS2 peut être attestée en parallèle dès le mois 6 si le périmètre coïncide.
Quelles sont les erreurs les plus coûteuses observées sur ces 14 audits ?
Quatre erreurs récurrentes. Un, périmètre trop large dès le départ. Deux, sur-documentation : écriture de 40 politiques quand 5 suffisent. Trois, focus sur les contrôles techniques en oubliant les preuves d’audit (logs, registres, KPIs). Quatre, audit blanc reporté ou bâclé. La méthode 7 étapes corrige ces 4 écueils dès le cadrage.