12 prestations
Conformité cybersécurité : NIS 2, ISO 27001 et sensibilisation
La conformité cybersécurité consiste à prouver qu’une organisation applique les exigences qui lui sont opposables : directive NIS 2, norme ISO/IEC 27001, règlement DORA pour la finance, exigences de clients. Elle porte sur l’organisation, les processus et la formation autant que sur la technique. Reconmind propose 12 prestations dans cette famille, dont 3 avec un prix d’entrée publié, à partir de 490 € HT.
Que recouvre la conformité en cybersécurité ?
Un référentiel de conformité décrit ce qu’une organisation doit mettre en place : analyse des risques, gestion des incidents, continuité d’activité, sécurité des fournisseurs, contrôle d’accès, authentification multifacteur, formation. La conformité consiste à démontrer, preuves à l’appui, que ces mesures existent et fonctionnent. Selon l’activité, le texte applicable est la directive NIS 2, le règlement DORA, la norme ISO/IEC 27001, ou les clauses d’un contrat client.
Être conforme ne dit pas qu’on est protégé : un référentiel fixe un minimum, et les tests techniques restent nécessaires pour savoir si les mesures tiennent face à un attaquant. À l’inverse, une démarche de conformité bien menée donne un cadre aux corrections et aux arbitrages de budget. La sensibilisation des équipes en fait partie, parce qu’une procédure que personne ne connaît ne protège rien.
Cette famille s’articule avec la cybersécurité offensive, qui teste si les mesures tiennent face à une attaque, et avec la cybersécurité défensive, qui les met en œuvre. Un dossier de conformité sans test reste déclaratif.
Quelles prestations relèvent de la conformité cybersécurité ?
12 prestations, chacune avec son périmètre, ses livrables, sa durée et son prix d’entrée.
Conformité NIS 2
Analyse d’écarts, plan de mise en conformité et constitution du dossier de preuves pour NIS 2 ou un questionnaire de sécurité client. L’accompagnement ISO 27001 a sa propre page.
Sensibilisation
Formations courtes et concrètes, campagnes de hameçonnage mesurées, et exercices de crise pour les équipes de direction.
RSSI externalisé
Un RSSI externalisé quelques jours par mois : feuille de route, arbitrage des risques, pilotage des fournisseurs et des incidents, reporting à la direction. Le périmètre et les indicateurs sont écrits au contrat.
Accompagnement ISO 27001
Mise en place du SMSI selon ISO/IEC 27001:2022 : périmètre, analyse de risques, déclaration d’applicabilité, politiques, audit interne et préparation à l’audit de certification. La certification elle-même est délivrée par un organisme accrédité.
Conformité DORA
Analyse d’écarts et plan de mise en conformité au règlement (UE) 2022/2554 : gestion du risque TIC, déclaration des incidents, tests de résilience, registre des prestataires tiers et clauses contractuelles.
Sécurité RGPD
Évaluation des mesures de sécurité des traitements de données personnelles, volet sécurité des analyses d’impact (AIPD) et procédure de gestion des violations, prête pour la notification à la CNIL dans les 72 heures.
Analyse de risques EBIOS
Analyse de risques menée selon la méthode EBIOS Risk Manager de l’ANSSI : cinq ateliers avec les métiers et la DSI, scénarios stratégiques et opérationnels, plan de traitement priorisé.
PSSI et procédures
Rédaction de la politique de sécurité des systèmes d’information, de la charte d’usage et des procédures associées, reliées aux risques identifiés et à des responsables nommés.
Homologation de sécurité
Conduite de la démarche d’homologation de l’ANSSI pour un système d’information : stratégie, analyse de risques, mesures, audits, dossier pour la commission. La décision appartient à l’autorité d’homologation.
Questionnaires sécurité clients
Base de réponses vérifiées et dossier de preuves pour traiter les questionnaires de sécurité, les audits et les plans d’assurance sécurité (PAS) de vos clients, sans contradiction d’un client à l’autre.
Formation développeurs
Formation pratique au développement sécurisé, adaptée à votre pile : contrôle d’accès, injections, secrets, dépendances, revue de code et tests de sécurité dans l’intégration continue.
Audit organisationnel
Évaluation de la gouvernance, des rôles, des processus et des pratiques de sécurité à partir d’entretiens et de preuves : niveau de maturité par domaine et feuille de route chiffrée.
Dans quels cas faut-il engager une démarche de conformité ?
Ces situations déclenchent typiquement une démarche de conformité.
- Votre secteur ou celui de vos clients entre dans le champ de la directive NIS 2, et vous ne savez pas où vous en êtes.
- Un appel d’offres, un grand compte ou un assureur demande une certification ou un plan d’actions daté.
- Votre direction doit approuver des mesures de sécurité et en répondre, et veut un état des lieux lisible.
- Vos équipes ont reçu une campagne d’hameçonnage ou un incident, et vous voulez les former avant le suivant.
Combien coûte un accompagnement de conformité cybersécurité ?
3 des 12 prestations ont un prix d’entrée publié, de 490 € à 1 900 € HT ; les autres sont établies sur devis. Un état des lieux se chiffre au nombre d’entités et de référentiels visés. Le cadrage est gratuit et indique le périmètre le plus utile.
Quelles lectures aident à préparer une démarche de conformité ?
Articles
- ConformitéRépondre à un questionnaire de sécurité client : méthode et piègesPourquoi vos clients vous envoient des questionnaires de sécurité, comment bâtir une base de réponses vérifiées, que répondre quand une mesure manque et quoi transmettre.
- Achat & budgetRSSI externalisé : missions, coût et limites du temps partagéCe que fait un RSSI à temps partagé, ce qui fait varier son coût, quand il vaut mieux embaucher, et les limites à écrire dans le contrat avant de signer.
- ConformitéNIS 2 : qui est concerné, et par où commencer sans tout bureaucratiserLes critères d’assujettissement, les cinq chantiers qui bloquent souvent, et l’ordre dans lequel les traiter pour que la conformité produise de la sécurité réelle.
- MéthodeQue faire en cas de cyberattaque ou de rançongiciel : la première heureLes gestes à faire et à ne pas faire dans la première heure d’une cyberattaque ou d’un rançongiciel : isoler, préserver, alerter, notifier, et à quel moment faire appel à un prestataire.
- MéthodeSimulation de phishing : mode d’emploi d’une campagne utileComment mener une campagne de simulation de phishing qui mesure sans piéger : objectifs, scénarios, indicateurs utiles, cadre juridique à vérifier et erreurs qui détruisent la confiance.
- ConformitéDORA : ce que le règlement impose en tests de sécurité et de résilienceLe règlement DORA exige des tests de résilience numérique réguliers, dont des tests d’intrusion fondés sur la menace. Ce que disent les articles 24 à 27, qui est concerné et comment s’y préparer.
- VulnérabilitésOWASP Top 10 : les dix risques expliqués pour décideurs et développeursLes dix catégories de risques de l’OWASP Top 10:2025 expliquées simplement : ce que chacune recouvre, comment un test d’intrusion la vérifie et ce que le classement ne dit pas.
- Achat & budgetChoisir un prestataire de test d’intrusion : PASSI et les bonnes questionsPASSI, certifications, références, assurance, méthode : les questions à poser à un prestataire de test d’intrusion avant de signer, et ce que chaque réponse doit vous dire.
Comparatifs
- ComparatifNIS 2 ou ISO 27001 : quelle démarche pour quelle situation ?NIS 2 est une obligation légale, ISO 27001 une norme certifiable : l’une ne remplace pas l’autre. Ce que chacune exige, ce qui se recoupe, le coût d’une analyse d’écarts et par où commencer.
- ComparatifTester sa sécurité en interne ou faire appel à un prestataire externe ?Faire tester par l’équipe qui a construit le système, ou par un tiers. Le biais de l’équipe constructrice, le coût réel d’un recrutement offensif, et les cas où une équipe interne suffit.
- ComparatifConformité ou sécurité technique : ISO 27001, NIS 2 ou test d’intrusion ?On peut être conforme et vulnérable, solide et non conforme. Ce que couvre une démarche de conformité (ISO 27001, NIS 2), ce que mesure une démarche technique, et dans quel ordre les mener.
Termes du glossaire
- DéfinitionAIPD : définition
- DéfinitionEBIOS Risk Manager : définition
- DéfinitionHomologation de sécurité : définition
- DéfinitionISO 27001 : définition
- DéfinitionPSSI : définition
- DéfinitionRSSI : définition
- DéfinitionSMSI : définition
- DéfinitionDéveloppement sécurisé : définition
- DéfinitionDivulgation responsable : définition
- DéfinitionDORA : définition
- DéfinitionHameçonnage : définition
- DéfinitionIngénierie sociale : définition
- DéfinitionNIS 2 : définition
- DéfinitionOWASP Top 10 : définition
- DéfinitionSimulation de phishing : définition
- DéfinitionTLPT : définition
Les autres familles de prestations
- Famille de prestationsCybersécurité offensiveTests d’intrusion et audits menés du point de vue de l’attaquant, avec une preuve pour chaque constat.
- Famille de prestationsCybersécurité défensiveDurcissement, détection et réponse à incident : ce qui transforme un constat en risque effectivement réduit.
- CatalogueCatalogue complet des prestationsToutes les prestations, avec leur durée et leur prix d’entrée.
- CabinetCybersécurité à ParisLe cabinet est à Paris 3e : ce qui se fait sur site, ce qui se fait à distance, et comment prendre rendez-vous.
Quelles questions se pose-t-on sur la conformité cybersécurité ?
Que recouvre la conformité en cybersécurité pour une entreprise ?
Elle recouvre les exigences opposables à l’entreprise, selon son secteur et ses clients : directive NIS 2, règlement DORA pour la finance, norme ISO/IEC 27001, clauses contractuelles. Dans tous les cas, il faut identifier ce qui s’applique, mesurer l’écart avec l’existant, planifier les actions et conserver les preuves. La première étape est donc de savoir quels textes vous concernent.
Combien de temps faut-il pour se préparer à une exigence de conformité ?
Cela dépend de l’écart de départ, et aucune durée annoncée avant un état des lieux n’est fiable. L’analyse d’écarts vient d’abord et donne le calendrier : certaines mesures se mettent en place vite (authentification multifacteur, sauvegardes isolées), d’autres demandent de la gouvernance et des arbitrages. Un plan d’actions daté vaut mieux qu’une promesse de délai.
Qui doit porter la conformité dans l’entreprise ?
La direction. NIS 2 engage la responsabilité des organes de direction, qui doivent approuver les mesures de gestion des risques et se former. Un responsable de la sécurité ou un prestataire prépare et suit le dossier, mais la décision et la responsabilité restent à la direction. Un projet porté seulement par l’informatique manque en général de budget et d’arbitrage.
La sensibilisation des salariés compte-t-elle comme mesure de conformité ?
Oui. La formation et les pratiques d’hygiène numérique figurent parmi les familles de mesures que NIS 2 demande de prévoir, et un client qui audite un fournisseur la réclame souvent. Les preuves attendues sont la liste des sessions, le contenu, la participation et les résultats agrégés des campagnes. Une formation sans suivi ne démontre rien.
Réponse à toute demande sous 24 h ouvrées
Une exigence de conformité à préparer ?
Trente minutes de cadrage suffisent à savoir quels textes vous concernent, par où commencer, et ce qu’un accompagnement coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début