Conformité cybersécurité pour les PME : savoir ce qui s’applique, puis y répondre.

Cela dépend de votre secteur, de votre taille, et des données et flux financiers que vous traitez. NIS2 s'applique généralement aux organisations de 50 salariés ou plus, ou dont le chiffre d'affaires et le bilan dépassent tous deux 10 M€, dans l'un des 18 secteurs. DORA s'applique à toutes les entités financières européennes et à leurs prestataires TIC critiques. Le RGPD s'applique à pratiquement toute organisation traitant des données personnelles européennes. PCI DSS s'applique dès lors que vous acceptez des paiements par carte. La voie la plus rapide vers une réponse claire, c'est l'appel découverte — nous arrivons en général à une décision de cadrage défendable en moins d'une heure.

Cela dépend de votre point de départ et du cadre. Pour une PME partant d'un faible niveau initial : la certification ISO 27001 prend généralement entre 6 et 12 mois, de l'analyse d'écarts à l'audit de certification. La mise en conformité NIS2 pour une organisation disposant de peu de contrôles atteint généralement une position défendable en 3 à 6 mois. Les délais DORA dépendent fortement de la complexité des contrats TIC tiers. Nous vous donnons un calendrier réaliste — pas un calendrier commercial — à la fin de l'analyse d'écarts.

Une analyse d'écarts est prospective et prescriptive : où en êtes-vous aujourd'hui par rapport à où le cadre exige que vous soyez, et quel est le chemin le plus court pour combler l'écart. Un audit de sécurité est rétrospectif et évaluatif : quelle est l'efficacité des contrôles déjà en place. Deux outils différents pour deux étapes différentes — l'analyse d'écarts pour démarrer un programme de conformité, l'audit pour vérifier un programme existant.

Oui — et c'est le cas de la plupart des missions. ISO 27001 et NIS2 partagent un fort recouvrement de contrôles ; ISO 27001 et ISO 27701 sont conçues pour s'intégrer ; les contrôles RGPD sous-tendent la plupart des exigences de gouvernance NIS2. Mener les programmes ensemble est plus rapide, moins cher et moins perturbant que de les enchaîner. Nous cartographions le recouvrement pendant l'analyse d'écarts pour ne construire chaque contrôle qu'une seule fois.

Vous êtes légalement tenu de désigner un Délégué à la Protection des Données sous l'article 37 du RGPD si vous êtes une autorité publique, si vos activités principales impliquent un suivi systématique à grande échelle des personnes, ou si elles impliquent un traitement à grande échelle de données sensibles. Si oui et que vous n'êtes pas assez grand pour justifier un poste à temps plein, notre service DPO externalisé assure le rôle à temps partagé, par un DPO certifié.

Un certificat est un instantané — votre véritable obligation est la conformité continue, plus les audits de surveillance (ISO 27001), le reporting réglementaire (NIS2/DORA) et l'évolution inévitable des réglementations elles-mêmes. Notre gestion continue de la conformité couvre tout cela : revues mensuelles, veille réglementaire, maintien des preuves et briefings de direction — pour que le certificat tienne et que l'autorité de contrôle reste satisfaite.

Un forfait fixe pour le projet de conformité (phases 01–03 : analyse d'écarts, mise en œuvre, préparation à l'audit), facturé jalon par jalon à la fin de chaque phase. Optionnellement suivi d'un forfait mensuel de maintien (phase 04) — revue de posture continue, veille réglementaire, accompagnement aux audits de surveillance — que la plupart des clients gardent en place pour conserver leur statut de conformité au-delà de la première année. Tous les montants sont fixés et communiqués dans la proposition après le premier entretien. Pas de mauvaise surprise, pas de facturation horaire.