Un bon livrable NIS2 ne devrait pas être un rapport PDF isolé. À l’issue de la mission, la PME doit disposer d’un dossier permettant de comprendre son périmètre, retrouver les exigences évaluées et leurs preuves, identifier les écarts, arbitrer les priorités et suivre les remédiations sans dépendre du consultant. Le socle utile comprend une note de cadrage, une analyse d’applicabilité, une matrice d’évaluation, un registre de preuves, un plan d’action, une feuille de route et une synthèse pour la direction. Le consultant produit l’analyse et accompagne les décisions ; la responsabilité de la gouvernance et de la mise en œuvre reste du côté de l’organisation.
Une mission NIS2 se termine encore trop souvent par un document de plusieurs dizaines de pages contenant :
Le rapport peut être pertinent au moment de la restitution.
Le problème apparaît trois mois plus tard.
La PME doit alors retrouver :
Si toutes ces informations ne vivent que dans le rapport, la mission a produit une photographie mais pas un dispositif de pilotage.
La logique de NIS2 est pourtant continue. La directive impose aux entités concernées des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées à leurs risques. Elle prévoit également que les organes de direction approuvent les mesures de gestion des risques et supervisent leur mise en œuvre.
Le livrable doit donc permettre à l’organisation de passer :
diagnostic → décision → remédiation → preuve → suivi.
Le titre « mission NIS2 pour une PME » mérite une précision importante.
Toutes les PME ne relèvent pas automatiquement du champ d’application de NIS2.
La directive vise principalement les entités appartenant aux secteurs de ses annexes I et II qui atteignent au moins la catégorie des entreprises moyennes, avec différentes exceptions permettant d’intégrer certaines entités quelle que soit leur taille.
L’ANSSI rappelle de son côté qu’il appartient à l’organisation de déterminer si elle entre dans le champ d’application, en prenant notamment en compte son activité, son secteur et les critères de taille.
Le premier livrable d’une mission sérieuse ne devrait donc pas être une matrice de conformité.
Il devrait être une analyse expliquant :
Pourquoi cette organisation est-elle considérée comme concernée, potentiellement concernée ou hors champ ?
Cette distinction protège à la fois le consultant et son client.
Il faut également être prudent avec l’expression rapport conformité NIS2.
Une mission de conseil peut produire :
Elle ne doit pas devenir une « certification NIS2 » improvisée.
En France, au 20 août 2026, l’ANSSI indique toujours que la transposition nationale se poursuit. Elle met depuis le 17 mars 2026 à disposition le ReCyF, présenté à ce stade comme un document de travail regroupant les mesures recommandées pour atteindre les objectifs de sécurité de NIS2.
Il est donc préférable qu’un consultant écrive :
« Évaluation réalisée au regard de la version 2.5 du ReCyF du 17 mars 2026 sur le périmètre défini dans le présent rapport. »
plutôt que :
« La société est conforme NIS2 à 82 %. »
La première formulation est vérifiable.
La seconde mélange une obligation juridique, un périmètre et un scoring qui n’est pas défini par la directive.
Il n’est pas nécessaire de produire dix fichiers différents.
Plusieurs éléments peuvent être regroupés dans une même plateforme ou dans quelques documents cohérents.
Ce qui compte est que les dix fonctions restent couvertes.
La note de cadrage fixe le contrat méthodologique de la mission.
Elle doit préciser :
Objectif
Évaluer le niveau de préparation de l’organisation aux exigences de cybersécurité envisagées dans le cadre de NIS2 et construire un plan de remédiation.
Méthode
Entretiens, revue documentaire et examen d’éléments de preuve. Aucun test d’intrusion ni audit technique approfondi n’est inclus dans la mission.
Référentiel
ReCyF version 2.5 du 17 mars 2026.
Limite
Le diagnostic ne constitue ni une certification ni une décision de l’ANSSI concernant le statut ou la conformité de l’entité.
Cette page évite de nombreuses ambiguïtés lors de la restitution.
L’analyse d’applicabilité explique pourquoi NIS2 est étudiée pour cette organisation.
Elle peut prendre la forme d’une fiche synthétique :
| Critère | Analyse |
| Entité juridique | Société X |
| Activité principale | À documenter |
| Secteur NIS2 potentiel | Secteur / sous-secteur identifié |
| Implantation | France / UE |
| Effectif | Donnée validée par le client |
| CA / bilan | Données nécessaires à l’analyse |
| Relations capitalistiques | À prendre en compte selon la définition applicable |
| Cas particuliers | À documenter |
| Conclusion | Potentiellement EE / EI / hors champ / à confirmer |
| Source | Directive et ressources officielles utilisées |
| Hypothèses | Explicitement indiquées |
La conclusion doit être accompagnée des hypothèses qui la rendent valable.
Une organisation peut par exemple changer :
L’analyse n’est donc pas nécessairement valable indéfiniment.
La directive NIS2 applique notamment son champ aux entreprises moyennes des secteurs concernés ou aux entreprises dépassant les seuils correspondants, tout en prévoyant plusieurs exceptions indépendantes de la taille.
Un consultant ne devrait donc jamais utiliser :
« PME = NIS2 »
comme règle de qualification.
Une fois l’applicabilité étudiée, il faut déterminer sur quoi porteront les mesures.
Un périmètre NIS2 utile ne se résume pas à :
« Le SI de l’entreprise ».
Il doit identifier :
Le ReCyF 2.5 commence précisément par un objectif de recensement des activités, services et systèmes d’information qui les supportent. Il prévoit également que le périmètre soit maintenu dans le temps.
| Service | SI associés | Propriétaire | Prestataire | Criticité |
| Vente en ligne | Site, IAM, ERP | Direction commerciale | Hébergeur | Élevée |
| Facturation | ERP, sauvegarde | DAF | Intégrateur | Élevée |
| Messagerie | Microsoft 365 | DSI | Microsoft / MSP | Moyenne |
| RH | SIRH | DRH | Éditeur SaaS | Moyenne |
Ce tableau devient ensuite le point de référence permettant de comprendre à quoi correspondent les conclusions de l’audit.
C’est le cœur du diagnostic NIS2.
Elle doit permettre de remonter de chaque conclusion jusqu’à :
Une matrice minimale peut contenir :
| Champ | Utilité |
| Identifiant | Retrouver l’exigence |
| Objectif | Regrouper les mesures |
| Exigence | Critère évalué |
| Applicabilité | Oui / non / à confirmer |
| Périmètre | SI concerné |
| Observation | Situation constatée |
| Preuves | Éléments examinés |
| Conclusion | Conforme / écart / non évalué |
| Maturité | Indicateur interne éventuel |
| Recommandation | Résultat attendu |
| Action | Remédiation décidée |
Le ReCyF demande à l’entité de maintenir, pour chaque système d’information, une analyse de conformité identifiant les écarts entre les mesures mises en œuvre et les mesures du référentiel.
La matrice d’évaluation est donc beaucoup plus utile qu’une simple colonne :
Oui / Non / Partiel.
Une mission NIS2 devrait également produire un inventaire des éléments qui permettent de démontrer les pratiques observées.
La preuve peut être :
| ID preuve | Intitulé | Mesure | Date | Ce qu’elle démontre | Localisation | Statut |
| PR-001 | Export MFA | Gestion accès | 12/08/2026 | Couverture MFA du périmètre M365 | SharePoint client | Validée |
| PR-002 | Procédure incidents | Incidents | 2025 | Processus défini | GED | À revoir |
| PR-003 | Rapport restauration | Continuité | — | Non disponible | — | Manquante |
La dernière ligne est importante.
Le registre doit permettre de distinguer :
Centraliser toutes les pièces sensibles dans un nouvel outil n’est pas toujours la meilleure solution.
Une alternative consiste à conserver les documents dans les systèmes documentaires du client et à enregistrer seulement :
Cette approche limite les copies et permet au client de conserver sa gouvernance documentaire existante.
Pour certains secteurs numériques directement concernés par le règlement d’exécution européen 2024/2690, l’ENISA fournit d’ailleurs depuis 2025 des orientations techniques comprenant des exemples d’éléments de preuve. Cette guidance est utile, mais son périmètre sectoriel ne doit pas être généralisé à toutes les entités NIS2.
Un bon diagnostic sépare les preuves des écarts.
Chaque constat peut contenir :
Critère
L’organisation doit disposer d’un processus permettant de gérer les incidents de sécurité.
Observation
Une intervention du prestataire IT est organisée lorsqu’un incident survient. Aucun processus interne n’identifie cependant les rôles, les niveaux d’escalade ou les modalités de documentation.
Preuves
Écart
La gestion existe opérationnellement, mais n’est pas suffisamment structurée pour garantir une réponse homogène et une traçabilité dans le temps.
Recommandation
Formaliser le processus, les responsabilités et un registre minimal des incidents.
Cette formulation est plus exploitable que :
« Incident management : 40 % ».
Toutes les non-conformités ne doivent pas être traitées dans l’ordre du référentiel.
La directive demande des mesures appropriées et proportionnées au risque, en prenant notamment en compte :
Le consultant doit donc transformer la liste des écarts en priorités de sécurisation.
Une grille simple peut être :
| Priorité | Logique |
| P1 | Risque significatif, exposition importante ou prérequis essentiel |
| P2 | Écart significatif à traiter dans la feuille de route proche |
| P3 | Formalisation ou amélioration pouvant être programmée après les sujets prioritaires |
La priorité ne doit pas être calculée exclusivement depuis le score de maturité.
Un processus informel à faible risque peut être moins urgent qu’un accès administrateur exposé sans MFA.
La feuille de route transforme les recommandations en engagements pilotables.
Pour chaque action :
| Champ | Exemple |
| ID | NIS2-ACT-014 |
| Écart d’origine | Gestion des privilèges |
| Action | Généraliser le MFA aux comptes administrateurs |
| Priorité | P1 |
| Responsable | Responsable infrastructure |
| Contributeurs | MSP |
| Échéance | À valider |
| Effort | 3 JH estimés |
| Budget | À chiffrer |
| Dépendance | Inventaire des comptes |
| Statut | À faire |
| Preuve de clôture | Export de la couverture MFA |
| Contrôle | Revue des comptes privilégiés |
Le ReCyF 2.5 prévoit explicitement un plan d’action maintenu dans le temps pour corriger les écarts. Il demande au minimum une échéance raisonnable et un responsable pour chaque action.
Une PME comprend mieux :
« Structurer les identités et les accès »
que dix-sept petites actions IAM indépendantes.
Regroupez donc les remédiations en chantiers :
Conservez néanmoins les liens avec chaque exigence.
Le regroupement simplifie le pilotage sans perdre la traçabilité.
Le dirigeant ne devrait pas avoir à lire la matrice complète pour prendre une décision.
La synthèse peut tenir sur deux à quatre pages.
Elle doit répondre à sept questions :
Cette restitution est particulièrement importante dans NIS2.
L’article 20 de la directive prévoit que les organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques prises au titre de l’article 21 et supervisent leur mise en œuvre.
La direction ne doit donc pas recevoir uniquement une note de maturité.
Elle doit recevoir des décisions à prendre.
Situation
68 mesures analysées sur le périmètre retenu. Plusieurs dispositifs techniques existent mais leur gouvernance et leur démonstration restent hétérogènes.
Priorités
Décisions demandées
Les chiffres sont illustratifs et ne représentent pas un benchmark NIS2.
C’est probablement le livrable le plus souvent oublié.
La fin de la mission doit préciser :
Que se passe-t-il à partir de lundi prochain ?
Le plan de suivi devrait définir :
Mensuel
Trimestriel
Annuel ou selon besoin
Ces fréquences sont une proposition de gouvernance et non des délais NIS2 génériques.
Le ReCyF demande précisément que l’analyse de conformité soit maintenue à jour et que le plan d’action soit suivi dans la durée.
Le rapport ne disparaît pas.
Il devient simplement l’un des éléments du dossier.
Une structure efficace peut être :
| Partie | Contenu |
| 1 | Identification de l’organisation et de la mission |
| 2 | Analyse d’applicabilité |
| 3 | Périmètre |
| 4 | Méthode et limites |
| 5 | Synthèse exécutive |
| 6 | Résultats consolidés |
| 7 | Principaux constats |
| 8 | Priorités |
| 9 | Feuille de route |
| 10 | Prochaines étapes |
| Annexes | Matrice, preuves, détails méthodologiques |
Le rapport doit rester lisible par un dirigeant.
La matrice détaillée peut contenir plusieurs dizaines ou centaines de lignes sans être reproduite intégralement dans le corps du document.
Une PME peut apprécier un score synthétique.
Mais celui-ci ne devrait pas masquer :
Un score interne de maturité peut être utile.
Il doit être présenté comme un indicateur de pilotage, pas comme un pourcentage officiel de conformité NIS2.
Le consultant doit transmettre une méthode que le client pourra maintenir.
Une arborescence possible :
Mais l’arborescence ne suffit pas.
Chaque preuve doit rester reliée à l’exigence qu’elle démontre.
Il faut pouvoir répondre à :
Pour la mesure X, quelles preuves avons-nous ?
et inversement :
Cette procédure permet de démontrer quelles mesures ?
C’est cette relation qui devient difficile à maintenir lorsqu’une PME accumule les documents sans registre structuré.
La mauvaise méthode consiste à copier chaque recommandation dans un planning.
La bonne méthode commence par identifier les causes communes.
Le diagnostic identifie :
Au lieu de cinq chantiers :
Étape 1 — Inventaire
Recenser comptes, propriétaires et usages.
Étape 2 — Politique
Définir les règles d’attribution et de séparation.
Étape 3 — Protection
Déployer MFA et restrictions adaptées.
Étape 4 — Cycle de vie
Formaliser création, modification et suppression.
Étape 5 — Contrôle
Mettre en place une revue périodique.
La feuille de route devient compréhensible par la direction tout en conservant les correspondances avec les exigences initiales.
Le comité de restitution ne devrait pas commencer par :
« Voici les 21 objectifs du référentiel. »
Commencez par :
Voici les cinq décisions qui conditionnent notre trajectoire.
Une restitution dirigeant peut comporter cinq écrans ou pages.
Cette dernière page est la plus importante.
L’article 20 de NIS2 replace explicitement les organes de direction dans la gouvernance des mesures de cybersécurité.
Un bon test consiste à imaginer que le consultant disparaît de la mission le lendemain de la restitution.
L’organisation doit encore pouvoir retrouver :
Elle doit également pouvoir modifier ces données sans détruire l’historique.
La qualité d’une mission peut presque être évaluée avec cette seule checklist.
C’est une distinction importante pour éviter de créer une dépendance artificielle.
Selon son mandat, il doit notamment :
Il ne devrait pas :
Le client doit notamment :
Pour les entités concernées, NIS2 place explicitement les organes de direction dans l’approbation et la supervision des mesures de gestion des risques.
Le consultant accompagne la gouvernance.
Il ne doit pas s’y substituer.
| Élément | Consultant | Client |
| Méthode d’évaluation | Produit / propose | Valide le cadre |
| Analyse d’applicabilité | Analyse et documente | Fournit les informations et prend conseil juridique si nécessaire |
| Périmètre | Challenge | Valide |
| Collecte de preuves | Examine | Fournit |
| Constat | Rédige | Peut apporter des faits contradictoires |
| Recommandation | Propose | Arbitre |
| Priorité | Recommande | Valide |
| Responsable d’action | Propose / facilite | Désigne |
| Budget | Peut estimer | Décide |
| Acceptation du risque | Conseille | Décide |
| Mise en œuvre | Peut accompagner | Reste responsable |
| Suivi | Peut animer | Doit assurer la continuité |
Prenons une PME industrielle potentiellement concernée par NIS2.
Le consultant réalise six semaines de diagnostic.
À la fin de la mission, le client ne reçoit pas simplement :
Rapport_NIS2_VFINAL2_def.pdf
Il reçoit un véritable dossier de pilotage.
5 pages.
Elle explique :
2 à 4 pages.
Elle documente :
Une matrice des services, systèmes et responsables.
Chaque mesure contient :
82 éléments sont par exemple référencés.
Le nombre est fictif et n’a aucune valeur de benchmark.
28 actions sont regroupées en 8 chantiers :
10 slides ou quelques pages :
Le client sait :
À partir de ce moment, le rapport n’est plus la fin de la mission.
Il devient le point de départ de la trajectoire de sécurisation.
Le client ne peut pas facilement suivre les actions, modifier les responsables ou maintenir les preuves.
Remettez également les données opérationnelles.
Une entreprise peut être « probablement concernée » sans que le consultant dispose de toutes les informations nécessaires pour le confirmer.
Documentez les hypothèses.
Une conclusion n’a de sens que pour :
Une note de 73 % ne dit pas :
Un score peut compléter l’analyse, pas la remplacer.
Une politique démontre qu’une règle est définie.
Elle ne démontre pas automatiquement qu’elle est appliquée.
Recherchez lorsque nécessaire :
formalisation → mise en œuvre → contrôle → historique.
Le ReCyF prévoit précisément un responsable et une échéance raisonnable pour les actions de traitement des écarts.
Une action sans propriétaire reste une suggestion.
Les mesures de NIS2 doivent être proportionnées.
Le risque, la taille, l’exposition et le contexte doivent être pris en compte.
Une feuille de route copiée d’une mission précédente ne répond pas à ce principe.
Si le client ne peut plus retrouver ses preuves, comprendre ses scores ou maintenir son plan d’action après votre départ, la mission est mal transférée.
Une mission récurrente doit être achetée parce qu’elle apporte de la valeur, pas parce que les données sont inutilisables sans le prestataire.
Il n’existe pas de durée standard d’une mission NIS2.
L’effort dépend notamment :
Pour piloter la production, il est néanmoins utile de réserver explicitement une partie de la charge à la formalisation et au transfert.
Exemple de décomposition indicative :
| Activité | Part indicative |
| Cadrage et applicabilité | 10 à 15 % |
| Entretiens et collecte | 25 à 30 % |
| Analyse et qualification | 25 à 30 % |
| Construction de la feuille de route | 15 à 20 % |
| Rapport et restitution | 10 à 15 % |
| Transfert et mise en place du suivi | 5 à 10 % |
Ces pourcentages sont une proposition de planification, pas un benchmark ANSSI.
Le point important est d’éviter de consommer 90 % de la mission dans les entretiens puis de fabriquer le rapport à la dernière minute.
Une mission NIS2 produit beaucoup d’informations reliées entre elles :
référentiel → mesure → audit → preuve → constat → action → responsable → échéance → rapport.
CompliKey permet de conserver cette continuité dans un même environnement de pilotage.
Les mesures sont organisées dans le référentiel applicable.
Le consultant peut ensuite conduire une évaluation structurée avec :
Le référentiel et la version utilisés doivent toujours rester identifiables dans la méthodologie de la mission.
Les éléments de preuve peuvent être référencés directement au niveau des mesures.
Cela évite de maintenir :
CompliKey référence les preuves par lien : il ne nécessite donc pas de centraliser automatiquement tous les documents sensibles dans la plateforme.
Les constats peuvent alimenter directement les remédiations et les actions suivies.
Le consultant conserve ainsi la relation :
Pourquoi cette action existe-t-elle ?
et peut remonter jusqu’à l’audit ayant identifié l’écart.
Les rôles disponibles permettent de distinguer les utilisateurs consultants, administrateurs, contributeurs et lecteurs.
Une PME peut ainsi participer au suivi de ses actions tout en conservant un cadre structuré.
Pour un consultant multi-client, chaque organisation reste gérée dans son espace propre.
L’audit, les scores, les constats, les preuves et les remédiations peuvent être utilisés pour produire une restitution cohérente sans reconstruire le rapport depuis plusieurs fichiers.
C’est le point le plus important.
CompliKey ne doit pas servir uniquement à fabriquer le diagnostic.
L’espace peut continuer à être utilisé pour :
CompliKey ne décide pas si une entreprise est juridiquement assujettie à NIS2.
Il ne remplace pas :
Il structure les données et le pilotage de la mission.
La conclusion d’applicabilité, l’évaluation des preuves et les arbitrages restent des décisions humaines.
Le meilleur livrable NIS2 n’est pas le rapport le plus long.
C’est celui qui laisse la PME capable de poursuivre sa démarche après la mission.
Elle doit récupérer :
Cette organisation correspond davantage à l’esprit de NIS2 qu’une note ponctuelle : la directive demande une gouvernance et des mesures de sécurité maintenues dans le temps, tandis que le ReCyF 2.5 prévoit une analyse de conformité actualisée et un plan d’action suivi.
La question à poser au moment de clôturer la mission est donc simple :
Si le consultant ne revenait plus demain, la PME saurait-elle exactement ce qu’elle doit faire, pourquoi, qui doit le faire et comment démontrer les progrès ?
Si la réponse est oui, le livrable est exploitable.
Un diagnostic NIS2 devrait au minimum laisser une note de cadrage, une analyse d’applicabilité, un périmètre, une matrice d’évaluation, un registre de preuves, une liste d’écarts et un plan de remédiation. Pour rendre la démarche durable, ajoutez une synthèse destinée à la direction et un calendrier de suivi. Ces éléments peuvent être regroupés dans une plateforme plutôt que répartis dans plusieurs fichiers indépendants.
Une mission de conseil ou un diagnostic ne doit pas être présenté comme une certification NIS2 improvisée. Le consultant peut documenter la situation observée par rapport à un référentiel et à un périmètre définis, identifier les écarts et construire une trajectoire. En France, l’ANSSI présente toujours en août 2026 le ReCyF comme un document de travail dans le contexte de la transposition nationale.
Non. La directive vise notamment les entités des secteurs de ses annexes I et II qui atteignent la taille d’une entreprise moyenne ou la dépassent, mais prévoit également plusieurs cas dans lesquels une organisation peut être concernée indépendamment de sa taille. L’applicabilité dépend donc du secteur, de l’activité, de la taille et de situations particulières. L’analyse d’applicabilité doit précéder le diagnostic.
Chaque action devrait être reliée à l’écart qui l’a déclenchée et contenir au minimum un responsable, une échéance et un statut. Il est utile d’ajouter la priorité, l’effort, le coût, les dépendances et la preuve permettant de vérifier la clôture. Le ReCyF 2.5 prévoit explicitement un plan d’action suivi dans la durée et demande au minimum une échéance raisonnable et un responsable pour chaque action.
Le consultant est responsable de la qualité et du périmètre de sa prestation. Il peut évaluer, conseiller, proposer des actions et accompagner leur mise en œuvre. La gouvernance de la cybersécurité reste toutefois du côté de l’organisation. L’article 20 de NIS2 prévoit notamment que les organes de direction des entités concernées approuvent les mesures de gestion des risques et supervisent leur mise en œuvre.
Pas nécessairement. Certaines preuves peuvent contenir des informations techniques, personnelles ou confidentielles qu’il est préférable de conserver dans les systèmes du client. Le consultant peut examiner ces éléments puis enregistrer leur référence, leur date, leur propriétaire et ce qu’ils démontrent. L’objectif est de conserver la traçabilité entre exigence et preuve sans créer inutilement une deuxième copie de toutes les informations sensibles.
Regroupez le référentiel, les évaluations, les preuves, les écarts, les responsables et les remédiations dans un espace de pilotage partagé avec votre client.
Structurer une mission NIS2 complète avec CompliKey
