Plan de mise en conformité — NIS2 et ReCyF : conformité opérationnelle

Table des matières

Pourquoi un plan, et pas seulement une checklist

Les chapitres précédents ont détaillé les obligations de NIS2 et les exigences du référentiel ReCyF : gouvernance, gestion des risques, sécurité des systèmes, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement. Cette liste, aussi complète soit-elle, ne dit rien de l'ordre dans lequel agir, ni du temps et de l'argent nécessaires. Une entité qui aborde la conformité comme une checklist cochée dans le désordre finit généralement par financer en premier ce qui est visible ou rassurant — un audit, un outil de scan de vulnérabilités — plutôt que ce qui réduit réellement le risque ou débloque des exigences en cascade.

Un plan de mise en conformité répond à une question différente : compte tenu de la maturité actuelle, des ressources disponibles et des échéances réglementaires, quel est le chemin le plus efficace vers un niveau de conformité défendable ? Ce chemin se construit en quatre étapes : diagnostiquer les écarts, les prioriser, les séquencer dans le temps, et les budgétiser. C'est l'objet de ce chapitre.

Un plan de mise en conformité n'est pas un document unique figé à T0. C'est un artefact vivant, révisé au minimum une fois par an, et systématiquement après un incident, un changement de périmètre d'activité ou une évolution réglementaire. Le figer revient à garantir son obsolescence en moins de douze mois.

Étape 1 — Le gap analysis : diagnostiquer avant d'agir

Le gap analysis (analyse des écarts) consiste à comparer l'état réel des pratiques de l'organisation à un référentiel cible — ici, les mesures de l'article 21 de NIS2 et les exigences du référentiel ReCyF — puis à mesurer l'écart domaine par domaine.

La méthode la plus opérationnelle repose sur une grille de maturité à cinq niveaux, appliquée à chaque domaine de contrôle :

Niveau	Intitulé	Ce que cela signifie concrètement
0	Inexistant	Aucune pratique formalisée, aucune preuve
1	Initial	Pratique ad hoc, dépendante d'une personne, non documentée
2	Répétable	Pratique reproductible mais non standardisée ni supervisée
3	Défini	Procédure écrite, appliquée, avec responsable identifié
4	Piloté et mesuré	Procédure suivie par des indicateurs, revue périodiquement

Cette grille s'applique à chacun des grands domaines couverts par NIS2 et ReCyF : gouvernance et politique de sécurité, gestion des risques, gestion des actifs, contrôle d'accès, cryptographie, sécurité des ressources humaines, sécurité physique, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, acquisition et développement sécurisés, et enfin usage de l'authentification multifacteur et des communications sécurisées.

Le diagnostic ne doit pas reposer sur des déclarations d'intention. Chaque score attribué doit s'appuyer sur une preuve vérifiable : une politique signée, un ticket d'incident, un journal de sauvegarde, un contrat fournisseur intégrant des clauses de sécurité. C'est cette exigence de preuve qui distingue un gap analysis exploitable d'un exercice d'auto-évaluation complaisant.

Un ESN de 180 salariés, entité importante au sens de NIS2, réalise son gap analysis. Sur la gestion des accès, elle s'auto-évalue initialement au niveau 3 (« on a une politique de mots de passe »). En creusant les preuves, l'auditeur interne constate qu'aucun document écrit n'existe, que la politique n'est connue que du RSSI, et que le MFA n'est activé que sur 40 % des comptes à privilèges. Le score réel retombe à 1. Cet écart entre perception et preuve est la situation la plus fréquente en gap analysis — et la plus utile à documenter, car elle réoriente immédiatement les priorités.

Étape 2 — Prioriser : quick wins contre chantiers structurants

Une fois les écarts cartographiés, il faut les hiérarchiser. La méthode classique croise deux axes : l'effort de mise en œuvre (temps, budget, dépendances techniques) et l'impact sur la réduction du risque ou la conformité réglementaire. Cette matrice effort/impact fait apparaître deux catégories qui structurent la suite du plan.

Les quick wins sont des actions à faible effort et fort impact, généralement réalisables en quelques semaines, sans dépendance à un budget d'investissement lourd :

Activation du MFA sur les comptes à privilèges et les accès distants
Inventaire minimal des actifs numériques critiques (même sous forme de tableur structuré)
Vérification et test effectif de restauration des sauvegardes existantes
Durcissement des règles de mots de passe et désactivation des comptes dormants
Première session de sensibilisation du personnel au phishing et à l'ingénierie sociale
Formalisation écrite d'une procédure minimale de remontée d'incident

Les chantiers structurants demandent un budget dédié, une gouvernance de projet, et s'étalent sur plusieurs mois à plus d'un an :

Mise en place d'une capacité de supervision (SOC interne ou externalisé, SIEM)
Formalisation et test d'un plan de continuité et de reprise d'activité (PCA/PRA)
Programme de gestion des risques fournisseurs et clauses contractuelles de sécurité
Politique de sécurité des systèmes d'information (PSSI) complète et gestion des identités
Procédures et outillage de notification d'incident conformes aux délais NIS2 (alerte précoce à 24h, notification à 72h, rapport final à un mois)

Ne traitez jamais les quick wins comme une fin en soi. Ils servent à réduire l'exposition immédiate et à démontrer une dynamique auprès de la direction — ce qui facilite l'obtention du budget pour les chantiers structurants. Un plan qui s'arrête aux quick wins laisse les risques les plus sérieux — indisponibilité prolongée, compromission de la chaîne d'approvisionnement — sans réponse.

Étape 3 — Séquencer sur 12 à 24 mois

Séquencement type d'un plan de mise en conformité NIS2/ReCyF : diagnostic (M0-M2), quick wins (M2-M6), chantiers structurants (M6-M18), consolidation et audit (M18-M24).

Le séquencement sur 12 à 24 mois n'est pas arbitraire : il reflète la dépendance logique entre les actions. On ne peut pas dimensionner une capacité de supervision avant d'avoir un inventaire des actifs à superviser ; on ne peut pas tester un PRA avant d'avoir identifié les processus métier critiques lors du diagnostic.

Le séquencement type comporte quatre phases :

Mois 0 à 2 — Diagnostic. Gap analysis complet, cartographie des actifs, restitution formelle à la direction avec une évaluation chiffrée du niveau de risque résiduel.
Mois 2 à 6 — Quick wins. Déploiement des mesures à faible effort identifiées en étape 2, en parallèle du lancement des chantiers structurants les plus longs à mettre en place (appels d'offres, recrutement).
Mois 6 à 18 — Chantiers structurants. C'est la phase la plus longue et la plus coûteuse. Elle inclut généralement la mise en place d'une supervision de sécurité, la formalisation et le premier test du PCA/PRA, et la structuration de la gestion des tiers.
Mois 18 à 24 — Consolidation et audit. Audit blanc (interne ou par un tiers), correction des derniers écarts, mise en place du cycle d'amélioration continue (PDCA : Plan-Do-Check-Act) qui prendra le relais du plan initial.

Douze mois est un plancher réaliste uniquement pour une entité déjà dotée d'une gouvernance de sécurité minimale. Pour une structure partant d'un niveau de maturité proche de zéro sur la majorité des domaines, viser moins de 18 mois pour les chantiers structurants revient presque systématiquement à sacrifier la qualité de mise en œuvre — PCA jamais testé, procédures écrites mais non appropriées par les équipes — au profit du seul respect du calendrier.

Étape 4 — Budgétiser le plan

La budgétisation est l'étape où un plan techniquement solide échoue le plus souvent, faute d'être présenté dans un langage compréhensible par une direction générale ou un comité financier. Deux approches se combinent.

L'approche par référence sectorielle consiste à situer l'effort budgétaire dans une fourchette observée chez des pairs. Pour une entité soumise à NIS2, un budget cybersécurité représentant entre 5 % et 10 % du budget informatique global constitue un ordre de grandeur communément cité dans les retours d'expérience d'entités régulées comparables — à ajuster selon le niveau de maturité de départ et la criticité du secteur d'activité.

L'approche par coût évité consiste à mettre en regard le coût du plan et le coût de la non-conformité ou de l'incident non maîtrisé : sanctions administratives (jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, selon le montant le plus élevé), coût de remédiation post-incident, perte de contrats conditionnés à la conformité, et responsabilité personnelle des organes de direction prévue par NIS2 en cas de manquement grave.

Le budget doit distinguer clairement les postes récurrents (OPEX — abonnements SIEM, contrats de supervision, formation continue) des investissements ponctuels (CAPEX — outillage, prestations d'audit initial, refonte d'infrastructure). Cette distinction conditionne directement la manière dont le budget sera arbitré en interne, les CAPEX relevant souvent d'un circuit de validation différent des OPEX récurrents.

Un budget présenté sans hypothèses explicites de périmètre est systématiquement contesté ou réduit. Documentez toujours ce qui est inclus (nombre de postes couverts, périmètre géographique, niveau de service visé) et ce qui ne l'est pas — cela évite les négociations a posteriori sur un budget déjà voté à la baisse.

Gouvernance du plan : ne pas le laisser vivre seul

Un plan sans gouvernance de suivi se délite en quelques mois. La pratique consiste à instaurer un comité de pilotage réunissant a minima le RSSI ou référent sécurité, un représentant de la direction générale, et les responsables des chantiers structurants en cours. Ce comité se réunit selon une fréquence adaptée à la phase — mensuelle en phase de diagnostic et de quick wins, trimestrielle en phase de chantiers structurants — et suit un nombre restreint d'indicateurs : taux d'avancement par chantier, budget consommé versus budget alloué, nombre d'écarts corrigés versus écarts identifiés.

Ce suivi s'inscrit dans une logique de cycle PDCA (Plan-Do-Check-Act), qui ne s'arrête pas à la fin des 24 mois : une fois le plan initial soldé, le cycle continue sous une forme allégée, avec une revue annuelle de maturité qui rejoue une version réduite du gap analysis initial.

Pièges fréquents

Gap analysis sans preuve. Un score de maturité fondé sur des déclarations orales plutôt que sur des artefacts vérifiables masque le risque réel et invalide le plan qui en découle.
Quick wins isolés du reste du plan. Traiter les gains rapides comme une fin en soi, sans les relier aux chantiers structurants qu'ils préparent, produit une accumulation de mesures ponctuelles sans cohérence d'ensemble.
Sous-estimation de la conduite du changement. Le budget d'un chantier structurant inclut rarement, à tort, le temps de formation et d'appropriation par les équipes opérationnelles — c'est pourtant souvent ce facteur qui détermine si une procédure est réellement suivie.
Absence de propriétaire budgétaire identifié. Un plan approuvé « en principe » sans ligne budgétaire nominative dans le budget annuel de l'entité ne survit pas au premier arbitrage financier concurrent.
Plan traité comme un projet fini. Considérer que la conformité est acquise à l'issue des 24 mois, sans processus de révision, expose l'entité au même niveau de risque un ou deux ans plus tard, une fois les mesures initiales devenues obsolètes.

Checklist opérationnelle de lancement

Gap analysis réalisé avec preuves documentées pour chaque domaine évalué
Restitution formelle du niveau de risque résiduel à la direction, avec validation écrite
Liste des quick wins identifiée, priorisée et affectée à des responsables nommés
Feuille de route 12-24 mois formalisée avec jalons datés et dépendances explicites
Budget décomposé en CAPEX et OPEX, avec hypothèses de périmètre documentées
Comité de pilotage constitué avec fréquence de suivi définie
Indicateurs de suivi choisis (avancement, budget consommé, écarts corrigés)
Date de revue annuelle du plan et de mise à jour du gap analysis fixée

Ce qu'il faut retenir

Un plan de mise en conformité n'a de valeur que s'il transforme un référentiel abstrait en actions datées, budgétées et suivies. Le gap analysis fournit le diagnostic factuel ; la matrice effort/impact hiérarchise les actions entre gains rapides et chantiers de fond ; le séquencement sur 12 à 24 mois respecte les dépendances réelles entre les chantiers ; la budgétisation, documentée et argumentée, sécurise les ressources nécessaires dans la durée. Le chapitre suivant aborde la manière de démontrer cette conformité lors d'un contrôle ou d'un audit externe.

L'essentiel à retenir

Ce chapitre transforme les obligations NIS2 et le référentiel ReCyF, vus dans les chapitres précédents, en un plan d'action concret et daté. Il détaille la méthode de gap analysis pour scorer la maturité par domaine, puis la logique de priorisation entre quick wins et chantiers structurants. Il propose un séquencement type sur 12 à 24 mois avec jalons et une méthode de budgétisation défendable devant une direction. Il se termine par les pièges qui font échouer un plan par ailleurs techniquement correct.

Questions fréquentes

Combien de temps prend concrètement un gap analysis pour une PME d'une centaine de salariés ?

Pour une structure de cette taille, un gap analysis mené sérieusement, avec collecte de preuves domaine par domaine, prend généralement entre trois et six semaines : entretiens avec les responsables métier, revue documentaire, vérification d'échantillons de preuves (tickets, journaux, contrats), puis synthèse et restitution. Ce délai peut s'allonger si l'organisation ne dispose d'aucun inventaire des actifs au départ, car cet inventaire devient un prérequis du diagnostic lui-même.

Quelle est la vraie différence entre un quick win et un chantier structurant, au-delà du budget ?

La différence principale porte sur les dépendances. Un quick win peut être décidé et exécuté par une équipe restreinte, sans dépendre d'un appel d'offres, d'un recrutement ou d'une refonte d'architecture. Un chantier structurant, lui, engage plusieurs parties prenantes, s'étale sur plusieurs mois et touche souvent à l'organisation elle-même (nouveaux processus, nouveaux rôles), pas seulement à un outil ou un réglage technique.

Comment estimer un budget de mise en conformité quand on n'a jamais eu de ligne budgétaire cybersécurité dédiée ?

Deux points de départ combinables : une fourchette sectorielle (souvent 5 à 10 % du budget informatique global pour une entité régulée par NIS2, à ajuster selon la maturité de départ) et une estimation par coût évité, en chiffrant l'exposition aux sanctions et au coût de remédiation post-incident. Documenter explicitement le périmètre couvert par ce budget est indispensable pour qu'il résiste aux arbitrages internes.

Que faire si la direction refuse ou réduit fortement le budget demandé pour les chantiers structurants ?

Revenir à la matrice effort/impact et proposer un séquencement révisé plutôt qu'un abandon des chantiers : étaler certains investissements sur une période plus longue, ou externaliser temporairement une brique coûteuse (supervision en mode managé plutôt qu'internalisée, par exemple) pour lisser le CAPEX en OPEX. Documenter formellement le risque résiduel accepté par la direction du fait de ce choix protège l'équipe sécurité en cas de contrôle ultérieur.

Faut-il prioriser les domaines où le score de maturité est le plus bas, ou ceux à plus fort impact réglementaire ?

Ni l'un ni l'autre isolément : la priorisation croise le score de maturité, l'impact sur la réduction du risque, et les délais réglementaires spécifiques à NIS2 (notamment les obligations de notification d'incident, dont les délais sont contraignants dès l'entrée en vigueur du statut d'entité régulée). Un domaine à faible maturité mais à faible impact opérationnel peut attendre ; un domaine à impact réglementaire direct, même partiellement mature, mérite d'être traité tôt.

Un audit externe est-il obligatoire avant la fin des 24 mois, ou peut-on s'appuyer uniquement sur un audit interne ?

Le chapitre suivant détaille les modalités précises de démonstration de conformité, mais en phase de consolidation, un audit blanc — interne ou réalisé par un tiers — reste fortement recommandé avant tout contrôle réglementaire effectif, car il permet de corriger les derniers écarts dans un cadre non contraignant plutôt que de les découvrir lors d'un contrôle officiel.

Le plan de mise en conformité doit-il être communiqué à l'ensemble du personnel, ou reste-t-il un document de pilotage interne à la direction et au RSSI ?

Le plan complet, avec ses aspects budgétaires et ses écarts détaillés, reste un document de pilotage restreint au comité concerné. En revanche, les actions qui impliquent les équipes opérationnelles — sensibilisation, nouvelles procédures, MFA — doivent être communiquées de façon ciblée à mesure de leur déploiement, avec la justification de leur nécessité, pour favoriser leur adoption réelle.

Progression sauvegardée dans votre navigateur.

Quiz de validation

Quiz indisponible (données invalides).

Besoin d'un accompagnement complet ? De la gap analysis à la certification — nos experts vous guident.

Devis gratuit