Votre conformité NIS 2 sera fausse dans trois mois
Un audit vous donne une photo. Trois salariés partent, deux serveurs changent, un prestataire arrive : la photo ne vaut plus rien. Ce produit ne photographie pas votre conformité, il la tient.
On ne part pas du référentiel, on part de vos gestes
Tout le marché pose la même question : « êtes-vous conforme à l'exigence 10.7 ? ». C'est la question d'un auditeur, posée à quelqu'un qui n'en est pas un. Nous posons l'autre : « quand quelqu'un quitte l'entreprise, qui coupe ses accès, et sous combien de temps ? » C'est la même exigence. Ce n'est pas le même objet.
On part de vos gestes
Une trentaine de questions sur ce que fait votre entreprise : les arrivées, les départs, les sauvegardes, les accès. Aucun vocabulaire réglementaire.
On calcule ce qui est atteint
Chaque geste remonte aux mesures du ReCyF qu'il couvre, et les mesures aux objectifs. Vous obtenez un état par objectif, pas un pourcentage trompeur.
On vous dit ce qui décroche
Une revue trimestrielle non faite, une preuve périmée, un départ non traité : l'état repasse au rouge tout seul. C'est là que se joue la conformité réelle.
Le référentiel, en clair et en accès libre
Le ReCyF compte 20 objectifs et 152 mesures. Une entité importante en applique 76. Nous les publions intégralement, texte officiel et traduction anglaise, sous Licence Ouverte Etalab.
Point important, et c'est ce qui rend notre approche possible : l'atteinte des objectifs est obligatoire, les mesures ne le sont pas. L'ANSSI parle de « moyens acceptables de conformité ». Obligation de résultat, liberté de moyens — le geste métier est un moyen.
Ce que l'audit gratuit vous donne
- Si vous êtes assujetti, et en quelle classe
- Le motif exact du classement, pas juste le verdict
- Vos objectifs atteints et ceux qui ne le sont pas
- Un rapport à l'écran et par email
Ce qu'il ne donne pas : un plan d'action, des modèles de documents, un suivi. C'est un diagnostic, pas un traitement.
Questions fréquentes
Suis-je concerné par NIS 2 ?
Cela dépend de votre secteur d'activité et de votre taille. Les secteurs sont listés aux annexes I et II de la directive ; les seuils sont ceux de l'entreprise moyenne (50 salariés, ou 10 M€ de chiffre d'affaires et de bilan). Certaines activités sont visées sans condition de taille. Faire le point en deux minutes.
Quelle différence entre entité importante et entité essentielle ?
Une entité importante applique 15 objectifs et 76 mesures. Une entité essentielle en applique 20 et 152 — les cinq objectifs supplémentaires sont les plus lourds : approche par les risques, audit des SI, durcissement des configurations, administration dédiée, supervision. Le classement dépend du secteur et de la taille.
C'est un audit au sens PASSI ?
Non, et nous le disons clairement : c'est une auto-évaluation déclarative. Nous ne scannons pas votre système d'information et nous ne certifions rien. Un audit PASSI est un autre métier, avec d'autres moyens.
Je ne suis pas assujetti. Ça me concerne quand même ?
Probablement, oui. Si vos clients le sont, l'objectif 3 du ReCyF les oblige à maîtriser leur écosystème : ils vont vous envoyer des questionnaires fournisseurs. Mieux vaut avoir une réponse prête qu'improviser dans l'urgence.
Pourquoi pas de score en pourcentage ?
Parce qu'il serait trompeur. « 78 % de conformité » ne veut rien dire face à une obligation de résultat : soit un objectif est atteint, soit il ne l'est pas. Nous affichons donc un état par objectif, et la liste nominative de ce qui décroche.
Commencez par savoir où vous en êtes
Gratuit, sans inscription, sans carte bancaire.