Cette grille d'auto-évaluation de la maturité SSI vous permet de mesurer en 15 minutes seulement le niveau réel de sécurité de votre organisation, sur 20 domaines clés répartis en 4 axes structurants : Gouvernance, Protection, Détection et Résilience. Chaque domaine est noté de 1 (inexistant) à 5 (optimisé), selon une méthode d'auto evaluation maturite ssi scoring inspirée des référentiels reconnus. Vous obtenez un score global sur 100 qui vous positionne immédiatement par rapport aux exigences de l'ISO 27001 et de la directive NIS 2, ainsi qu'un profil détaillé axe par axe. Ce diagnostic met en lumière vos points forts, vos angles morts et les écarts à combler en priorité. Le PDF téléchargeable gratuitement inclut la grille complète, les critères d'évaluation détaillés et un plan d'action type pour engager votre remédiation dès la première semaine.

En bref

  • Les 4 axes d'évaluation
  • Interprétation des résultats
  • Comment utiliser cette grille
  • Téléchargement
  • Ressources complémentaires
CONFORMITÉ Auto-évaluation Maturité SSI — Grille Scoring PDF ÉTAPES / CONTRÔLES 1 Les 4 axes d'évaluation 2 Interprétation des résultats 3 Comment utiliser cette grille 4 Téléchargement 5 Ressources complémentaires EXIGENCES CLÉS grille d'auto-évaluation de la… 20 domaines clés Score 80-100 : Score 60-79 : Score 40-59 : ayinedjimi-consultants.fr

Les 4 axes d'évaluation

Gouvernance & Organisation (5 domaines)

Politique de sécurité, organisation SSI, gestion des risques, conformité réglementaire, sensibilisation.

Protection & Contrôle d'accès (5 domaines)

IAM, authentification MFA, comptes privilégiés (PAM), sécurité réseau, chiffrement.

Détection & Réponse (5 domaines)

SIEM/journalisation, EDR/XDR, réponse aux incidents, gestion des vulnérabilités, pentests.

Continuité & Résilience (5 domaines)

Sauvegardes, PCA, PRA, gestion des changements, sécurité supply chain.

Interprétation des résultats

Score 80-100 : Votre organisation est prête pour une certification ISO 27001. Maintenez le cap avec des audits réguliers.
Score 60-79 : Bon niveau mais des gaps à combler. Un plan d'action ciblé suffit.
Score 40-59 : Niveau moyen — un accompagnement structuré est recommandé.
Score <40 : Risques critiques non couverts — intervention urgente nécessaire.

⚡

Retour terrain

Dans mes missions de conformité, j'observe que les entreprises sous-estiment systématiquement le délai de mise en œuvre des mesures techniques. Les mesures organisationnelles (politiques, procédures) s'écrivent en semaines ; les mesures techniques (segmentation réseau, chiffrement, MFA) se déploient en mois. Pour un plan de mise en conformité réaliste, je multiplie toujours les estimations initiales des équipes IT par 2,5 — et je n'ai jamais eu à réduire ce coefficient.

Comment utiliser cette grille

  1. Réunissez votre RSSI, DSI et un représentant métier
  2. Pour chaque domaine, évaluez honnêtement votre niveau actuel (1 à 5)
  3. Additionnez les 20 scores pour obtenir votre note globale
  4. Identifiez les domaines à 1-2 : ce sont vos priorités immédiates
  5. Refaites l'évaluation tous les 6 mois pour mesurer la progression

Téléchargement

PDF gratuit, imprimable en A4. Idéal pour les comités de direction et les revues de sécurité trimestrielles.

Score inférieur à 60 ? Nous proposons un diagnostic approfondi gratuit de 45 minutes pour identifier vos quick wins et construire votre feuille de route. Découvrir notre accompagnement ISO 27001 →

Besoin d'un accompagnement ISO 27001 ?

Du diagnostic à la certification — nous vous guidons à chaque étape.

Découvrir la prestation ISO 27001

Ressources complémentaires

Comment interpréter votre score de maturité SSI

Un score de maturité SSI sur 100 n'est utile que si vous savez le lire dans son contexte. La grille d'auto-évaluation vous positionne sur 4 niveaux de maturité, mais la signification opérationnelle de chaque seuil dépend de la taille de votre organisation, de votre secteur d'activité et des exigences réglementaires auxquelles vous êtes soumis.

  • 0 à 30 points : maturité initiale. La sécurité est gérée au cas par cas, sans processus formalisés. Les risques les plus critiques (absence de gestion des accès, pas de sauvegarde testée, pas de sensibilisation) doivent être traités en urgence avant toute démarche de certification.
  • 31 à 50 points : maturité de base. Des pratiques existent mais sont inégalement déployées et peu documentées. C'est le niveau de la majorité des PME françaises de moins de 200 salariés. Le gap avec NIS 2 ou ISO 27001 est significatif mais surmontable en 12 à 18 mois.
  • 51 à 70 points : maturité définie. Les processus sont documentés et appliqués, les responsabilités sont claires. Ce niveau correspond approximativement aux exigences de NIS 2 pour les entités essentielles. Il reste des lacunes dans les activités de mesure et d'amélioration continue.
  • 71 à 85 points : maturité maîtrisée. Les processus sont mesurés et pilotés par des indicateurs. La sécurité est intégrée dans les décisions d'investissement. C'est le niveau cible pour une première certification ISO 27001 sans écart majeur.
  • 86 à 100 points : maturité optimisée. La sécurité est en amélioration continue, benchmarkée et anticipative. Niveau atteint par les grandes organisations avec un SMSI mature, souvent après plusieurs cycles de certification.

Les 4 axes de la grille et leur interprétation

La grille structure les 20 domaines en 4 axes qui correspondent aux phases du cycle PDCA (Plan-Do-Check-Act) appliqué à la sécurité de l'information :

Axe Gouvernance — Avez-vous les fondations ?

L'axe Gouvernance mesure si votre organisation a défini sa politique de sécurité, attribué les responsabilités et intégré la sécurité dans ses processus décisionnels. Un score faible sur cet axe indique que la sécurité est perçue comme une contrainte technique plutôt qu'une priorité stratégique. Sans gouvernance solide, les autres axes ne tiennent pas.

Axe Protection — Avez-vous les contrôles techniques ?

L'axe Protection couvre les contrôles techniques fondamentaux : gestion des identités et des accès, chiffrement, sécurité réseau, durcissement des systèmes, gestion des vulnérabilités. C'est souvent l'axe où les organisations surestiment leur maturité — avoir un antivirus ne suffit pas pour scorer "3" en protection.

Axe Détection — Savez-vous ce qui se passe ?

L'axe Détection évalue votre capacité à identifier les incidents et les comportements anormaux. Journalisation des événements, surveillance des réseaux, corrélation d'alertes, gestion des vulnérabilités : un score faible ici signifie que vous pourriez être compromis depuis des mois sans le savoir. C'est l'axe le plus fréquemment sous-investi.

Axe Résilience — Savez-vous rebondir ?

L'axe Résilience mesure votre capacité à maintenir les activités critiques et à récupérer après un incident. Sauvegardes testées, plan de continuité d'activité, procédures de gestion des incidents, exercices de crise : un score faible ici est particulièrement inquiétant face au risque ransomware.

Erreurs fréquentes dans l'auto-évaluation SSI

L'auto-évaluation est par nature sujette à des biais cognitifs. Les organisations ont tendance à surestimer leur maturité sur les domaines qu'elles connaissent bien et à ignorer les domaines qu'elles ne pratiquent pas. Voici les pièges les plus courants :

  • Confondre "on a la procédure" avec "on l'applique" : une politique de mot de passe documentée mais non appliquée score 1, pas 3. L'évaluation porte sur la pratique réelle, pas sur l'intention documentée.
  • Évaluer depuis le bureau du RSSI uniquement : demandez à des équipes opérationnelles de noter leur propre domaine. Le gap entre la perception du RSSI et la réalité terrain est souvent révélateur.
  • Ignorer les filiales et les prestataires : si votre SMSI couvre juridiquement des entités que vous ne contrôlez pas opérationnellement, votre maturité réelle est celle du maillon le plus faible.
  • Arrondir vers le haut : si vous hésitez entre 2 et 3, choisissez 2. Un score sous-estimé déclenche des actions d'amélioration utiles ; un score surestimé crée une fausse sécurité.
  • Ne faire l'exercice qu'une fois : la grille est conçue pour être utilisée annuellement, idéalement avant et après un projet d'amélioration. C'est l'évolution du score dans le temps qui est informative, plus que la valeur absolue à un instant donné.

De l'auto-évaluation au plan d'action

Le score est un outil de dialogue, pas une fin en soi. La vraie valeur de la grille réside dans les domaines où vous avez noté 1 ou 2 : ce sont vos vulnérabilités prioritaires. Pour chaque domaine avec un score inférieur à 3, construisez une fiche d'action avec :

  • L'état actuel constaté (description factuelle, pas un jugement)
  • L'état cible visé à 12 mois (score 3 minimum, 4 si réglementairement requis)
  • Les actions à mener (formation, achat de solution, rédaction de procédure, recrutement)
  • Les ressources nécessaires (budget, jours-homme, prestataire)
  • Le responsable et la date de revue

Ce plan d'action, issu directement de la grille, constitue la base de votre feuille de route sécurité. Présentez-le en CODIR avec les scores actuels et les scores cibles : c'est un outil de communication managériale efficace pour obtenir les ressources nécessaires.

Benchmarks sectoriels de maturité SSI

Pour contextualiser votre score, voici des benchmarks indicatifs issus des missions d'évaluation dans différents secteurs :

  • Secteur public (collectivités, hôpitaux) : score médian autour de 35-45. Les contraintes budgétaires et le manque d'expertise interne créent des lacunes importantes en Détection et Résilience.
  • PME industrielles et ETI : score médian autour de 40-55. La sécurité IT est souvent correcte mais la sécurité OT/SCADA est un angle mort fréquent.
  • Secteur financier (assurances, banques régionales) : score médian autour de 55-70. La pression réglementaire (DORA, DSP2) a poussé des investissements significatifs en Gouvernance et Détection.
  • Grandes entreprises certifiées ISO 27001 : score médian autour de 65-80. La certification garantit un socle mais ne prémunit pas contre les lacunes opérationnelles.

Foire aux questions — Auto-évaluation maturité SSI

Cette grille est-elle équivalente à un audit ISO 27001 ?

Non. L'auto-évaluation est un outil de positionnement rapide, pas un substitut à un audit formel. Elle ne couvre pas l'exhaustivité des contrôles de l'Annexe A et ne produit pas de constats documentaires vérifiables. Elle est utile pour identifier les priorités d'investissement et préparer une démarche de certification, mais ne remplace pas l'audit interne ni l'audit de certification.

Quelle est la durée recommandée pour compléter la grille ?

Comptez 15 minutes si vous la remplissez seul, 45 à 90 minutes si vous animez un atelier collectif avec les responsables de chaque domaine. La version atelier est plus riche et plus précise : elle révèle les désaccords de perception entre les équipes, qui sont eux-mêmes des indicateurs de maturité.

Peut-on utiliser cette grille pour NIS 2 ?

Oui, dans une large mesure. Les 4 axes (Gouvernance, Protection, Détection, Résilience) correspondent aux piliers des exigences NIS 2. Un score global inférieur à 50 indique un gap significatif avec les obligations NIS 2 pour les entités essentielles ou importantes. La grille ne couvre cependant pas les exigences spécifiques NIS 2 en matière de notification des incidents (24h/72h) et de politique de sécurité de la chaîne d'approvisionnement.

Mise en œuvre pratique : étapes et livrables

La conformité réglementaire génère une documentation substantielle qui doit être maintenue à jour et accessible lors des audits. Une organisation structurée de ces livrables simplifie considérablement les exercices de conformité et réduit le temps consacré à leur préparation.

Livrables documentaires essentiels

Quel que soit le référentiel de conformité concerné, les livrables fondamentaux incluent : un registre des traitements (obligatoire RGPD, utile pour tout SMSI) maintenu par le DPO ou le RSSI ; une politique de sécurité de l'information (PSI ou PSSI) approuvée par la direction et diffusée à tous les collaborateurs ; des procédures opérationnelles documentées pour les processus critiques (gestion des incidents, accès privilégiés, sauvegardes) ; un plan de continuité d'activité (PCA) testé annuellement ; et des rapports d'audit internes et de revue de direction formalisés. Ces documents constituent le «squelette» du SMSI et sont systématiquement vérifiés lors des audits de certification.

Gouvernance et responsabilités

La conformité réglementaire est un effort collectif qui ne peut pas reposer uniquement sur le RSSI ou le DPO. Une gouvernance efficace définit clairement les rôles : le COMEX assume la responsabilité globale de la conformité (risque financier et réputationnel) ; les DSI et RSSI mettent en œuvre les mesures techniques ; les métiers identifient les données et processus critiques à protéger ; et les DPO/compliance officers assurent la cohérence réglementaire. Les comités de sécurité trimestriels, impliquant toutes ces parties prenantes, garantissent l'alignement entre les exigences réglementaires et les capacités opérationnelles de l'organisation. Le suivi des actions de remédiation dans un outil de GRC (Governance, Risk & Compliance) formalise ce processus et facilite la production des preuves d'audit.

Sanction et contrôle : ce que les autorités vérifient

Comprendre les priorités de contrôle des autorités de régulation permet aux organisations de concentrer leurs efforts sur les domaines qui font l'objet d'une surveillance accrue. Les autorités de supervision (CNIL, ANSSI, ACP pour le secteur bancaire, HAS pour le secteur santé) publient régulièrement leurs priorités de contrôle.

Priorités de contrôle 2025-2026

Les domaines prioritaires identifiés par les autorités françaises pour 2025-2026 : la sécurité des données de santé (contrôles HDS en forte augmentation suite aux incidents hospitaliers) ; l'IA et le traitement des données personnelles (CNIL a annoncé 300 mises en demeure liées à l'IA en 2025) ; les sous-traitants et tiers (vérification des DPA et des audits de sécurité des fournisseurs) ; et la notification des violations de données dans les délais légaux (72h RGPD, 24h NIS 2 pour les entités essentielles). Les organisations qui documentent proactivement leur conformité dans ces domaines réduisent significativement leur exposition aux sanctions et bénéficient généralement d'une procédure d'audit moins contraignante.

Programme de préparation aux audits

Un programme structuré de préparation aux audits réduit le stress et améliore les résultats. Douze mois avant un audit de certification : gap analysis interne pour identifier les non-conformités. Six mois avant : corrections des écarts majeurs et préparation de la documentation. Trois mois avant : audit blanc interne conduit par un consultant externe indépendant. Un mois avant : formation des équipes sur les procédures et livrables à présenter. Cette approche systématique, validée par des centaines d'organisations certifiées ISO 27001, transforme l'audit de certification d'une épreuve redoutée en une validation formelle d'un travail déjà accompli.

Synthèse et feuille de route conformité

La conformité réglementaire est un processus continu, non un projet ponctuel. Les organisations qui abordent ISO 27001, NIS 2, RGPD ou HDS comme des certifications à obtenir une fois pour toutes échouent systématiquement lors des audits de renouvellement. La clé du succès est l'intégration des exigences réglementaires dans les processus opérationnels quotidiens, non leur traitement comme des obligations externes.

En pratique, les organisations matures en matière de conformité fonctionnent avec un SMSI vivant : des revues de direction trimestrielles, un audit interne annuel, des exercices de gestion de crise bi-annuels, et une veille réglementaire hebdomadaire. Le coût de la conformité maintenue en continu est significativement inférieur au coût d'une remise à niveau précipitée avant un audit ou une notification de violation. Les amendes CNIL, les pénalités NIS 2, et les pertes de contrats liées à une non-conformité documentée représentent des risques financiers et réputationnels mesurables que la gouvernance de direction doit intégrer dans l'analyse des risques métier.

Points d'attention avancés pour les auditeurs et RSSI

Au-delà de la conformité de surface, les auditeurs expérimentés et les RSSI cherchent à évaluer la robustesse réelle du dispositif de sécurité. Ce niveau d'analyse requiert de dépasser la vérification documentaire pour s'intéresser à l'efficacité opérationnelle des contrôles.

Pièges courants dans les audits de conformité

Plusieurs patterns d'échec reviennent régulièrement lors des audits de renouvellement. La conformité sur papier sans effectivité opérationnelle : des politiques formalisées mais non appliquées, des procédures documentées mais inconnues des équipes, des contrôles déclarés actifs mais non supervisés. La dérive post-certification : les organisations qui traitent la certification comme une fin en soi plutôt que comme un jalons d'un processus continu connaissent systématiquement une dégradation de leur posture sécurité entre deux audits. La gestion insuffisante des tiers : plus de 60% des violations impliquent un fournisseur ou un prestataire, mais les contrats de sous-traitance et les audits tiers sont souvent les parents pauvres des programmes de conformité. Adresser ces trois points avant l'audit réduit significativement le risque de non-conformité majeure.

Métriques de maturité à présenter en audit

Les auditeurs modernes s'intéressent aux indicateurs de fonctionnement réel du SMSI plutôt qu'à la simple existence des documents. Préparer : statistiques de gestion des incidents sur 12 mois (nombre, délai de traitement, taux de récidive) démontrant une amélioration continue ; résultats des exercices de continuité avec les actions correctives entreprises ; données de sensibilisation (taux de participation aux formations, taux d'échec aux simulations de phishing) ; et résultats des audits internes avec suivi des actions de remédiation. Ces métriques transforment l'audit en démonstration de la maturité de l'organisation plutôt qu'en exercice de conformité documentaire, et constituent la meilleure défense contre les questions inattendues des auditeurs sur l'efficacité opérationnelle des contrôles.

Checklist de mise en œuvre et points de contrôle

La mise en pratique des recommandations de cet article nécessite une approche structurée. Cette checklist synthétise les points de contrôle essentiels pour évaluer l'état d'avancement de votre déploiement et identifier les actions prioritaires.

Phase de préparation et d'inventaire

Avant toute action technique, constituer un inventaire précis est indispensable. Les éléments à recenser : cartographie exhaustive des actifs concernés (systèmes, applications, flux de données) avec leur criticité métier associée ; identification des propriétaires techniques et fonctionnels pour chaque actif ; évaluation du niveau de maturité actuel à partir des référentiels reconnus (CIS Controls, ISO 27001, NIST CSF) ; et documentation des dépendances entre composants pour anticiper les impacts des modifications. Un inventaire incomplet génère des angles morts qui deviennent des vecteurs d'attaque exploitables par des acteurs malveillants disposant d'informations accessibles publiquement (OSINT, Shodan, LinkedIn).

Phase de déploiement et validation

Le déploiement progressif réduit les risques d'interruption de service et facilite la détection des régressions. Adopter un modèle de déploiement par vagues (wave deployment) : d'abord les environnements de développement et de test pour valider les configurations, ensuite les systèmes non-critiques en production, enfin les systèmes critiques lors de fenêtres de maintenance planifiées. Chaque vague s'accompagne d'une validation fonctionnelle complète et d'une période d'observation des métriques de performance et de sécurité. Un plan de retour arrière documenté et testé est obligatoire avant toute opération sur un système critique. Les critères de succès doivent être définis avant le déploiement, non après — un taux de faux positifs inférieur à 5% pour les alertes de sécurité, une disponibilité maintenue au niveau SLA contractuel, et l'absence d'incidents de sécurité liés aux modifications.

Phase de supervision et d'amélioration continue

La mise en place d'indicateurs de suivi permet de mesurer l'efficacité des mesures déployées et de justifier leur maintien auprès de la direction. Tableau de bord mensuel recommandé : nombre d'alertes générées par catégorie (critique, majeur, mineur) avec tendance sur 6 mois ; taux de couverture des actifs critiques par les contrôles de sécurité ; délai moyen de remédiation des vulnérabilités par sévérité CVSS ; et résultats des tests de régression mensuels sur les règles de détection. Ce tableau de bord, présenté en comité de sécurité, constitue la base d'un dialogue constructif entre les équipes techniques et le management sur les priorités d'investissement en cybersécurité.

Sources et références

Pour aller plus loin : Mise en œuvre pratique

La conformité réglementaire nécessite une approche structurée et documentée. Ces ressources complémentaires permettent d'approfondir les points techniques et juridiques abordés dans cet article.

Outils d'auto-évaluation

  • ANSSI — Outil d'évaluation cybersécurité — Le Diagnostic de Cybersécurité de l'ANSSI permet d'évaluer le niveau de maturité de votre organisation sur 5 domaines clés. Gratuit et disponible sur diagnostic.ssi.gouv.fr.
  • ENISA — Outil d'auto-évaluation NIS2 — Questionnaire structuré pour identifier les exigences applicables à votre secteur et votre taille d'organisation.
  • Logiciels GRC — Des solutions comme Vanta, Drata ou TrustCloud automatisent la collecte de preuves de conformité et accélèrent les processus d'audit.

Documentation à produire en priorité

  • Politique de Sécurité du Système d'Information (PSSI) — document fondateur
  • Registre des activités de traitement (RGPD, article 30)
  • Analyse d'impact relative à la protection des données (AIPD/DPIA)
  • Plan de continuité d'activité (PCA) et plan de reprise d'activité (PRA)
  • Procédure de gestion des incidents de sécurité (notification ANSSI/CNIL)

Accompagnement et conseil

La mise en conformité implique souvent une assistance externe pour les organisations ne disposant pas d'expertise interne. Les RSSI externalisés ou les consultants spécialisés en conformité peuvent accélérer significativement le processus, notamment pour la préparation aux audits de certification ISO 27001 ou pour la mise en conformité NIS 2 avec un délai contraint.

Grille d'auto-évaluation maturité SSI — scoring par axe et seuils de conformité
AxeDomaines évaluésPoints maxSeuil conformité NIS 2 / ISO 27001Exemples de critères
Gouvernance5 domaines2518 / 25 (niveau 3,5)PSSI formalisée, analyse de risques, rôle RSSI, sensibilisation, conformité fournisseurs
Protection5 domaines2519 / 25 (niveau 3,8)Gestion des identités, MFA, durcissement, cloisonnement réseau, gestion des correctifs
Détection5 domaines2516 / 25 (niveau 3,2)Journalisation centralisée, SIEM, EDR, supervision 24/7, veille sur les menaces
Résilience5 domaines2517 / 25 (niveau 3,4)Sauvegardes hors ligne, PCA/PRA testé, plan de réponse à incident, notification 24 h, exercices de crise
Score global 0–40Maturité initiale/100Non conformePratiques informelles, aucune preuve documentée — remédiation prioritaire sous 3 mois
Score global 41–70Maturité en construction/100Écarts majeursMesures partielles et non mesurées — plan d'action à 6–12 mois avant audit
Score global 71–100Maturité maîtrisée à optimisée/100Conforme (certification atteignable)Processus documentés, indicateurs suivis, amélioration continue — préparation à la certification

Conclusion

La conformité réglementaire n'est pas une destination mais un état à maintenir. Chaque évolution du SI, chaque nouveau fournisseur peut modifier le périmètre. Documentation, audits réguliers et formation des équipes en sont les piliers.

Votre organisation est-elle soumise à NIS 2, ISO 27001 ou DORA ?
Évaluer votre conformité NIS 2 ou contactez-nous directement.