Une société du groupe NowBrains
Rechercher Demander un échange

Évaluation de maturité et analyse d'écart

Mesurer votre niveau réel, au regard du référentiel qui compte pour vous.

Guide d'hygiène de l'ANSSI, ISO 27001, NIS 2 et son référentiel ReCyF, HDS : Veyan mesure votre niveau de sécurité domaine par domaine, au regard du référentiel qui s'applique à vous ou que vos clients exigent. L'analyse d'écart dit ce qui manque, et le plan d'actions dans quel ordre le traiter.

Demander un échange de 30 min ou appelez le 09 80 80 42 13

Vous êtes concerné si…

  • Vous ne savez pas quel référentiel s'applique à votre entreprise, ni où vous en êtes.
  • Un client, un assureur ou un appel d'offres vous demande de justifier votre niveau de sécurité.
  • Vous préparez une certification ISO 27001, HDS ou un label TISAX.
  • Vous voulez mesurer, d'une année sur l'autre, l'effet de vos investissements de sécurité.

Les référentiels que nous évaluons

Nous mesurons votre niveau au regard d'un seul référentiel ou de plusieurs à la fois, quand leurs exigences se recoupent.

  • Guide d'hygiène informatique de l'ANSSI

    Version de janvier 2017 ; socle minimum pour toute organisation

    42 mesures, publiées par l'Agence nationale de la sécurité des systèmes d'information

    En savoir plus

    Le point de départ le plus pragmatique : 42 mesures concrètes, de la connaissance de votre système d'information à la gestion des comptes, des mises à jour et des sauvegardes.

  • ISO/IEC 27001 et 27002

    Version 2022, certifiable ; transition des certificats achevée le 31 octobre 2025

    Système de management de la sécurité de l'information (SMSI) et 93 mesures de sécurité

    En savoir plus

    La référence internationale, attendue des grands comptes. L'évaluation mesure à la fois le système de management (ISO/IEC 27001) et les mesures de sécurité réparties en quatre thèmes (ISO/IEC 27002).

  • Directive NIS 2

    Loi française de transposition non adoptée au 29 septembre 2026

    Directive (UE) 2022/2555, article 21 : dix domaines de mesures minimales

    En savoir plus

    Gestion des risques, traitement des incidents, continuité, chaîne d'approvisionnement, contrôle des accès, chiffrement, formation : l'écart aux mesures attendues des entités essentielles et importantes.

  • ReCyF de l'ANSSI

    Version 2.5 du 17 mars 2026 ; document de travail jusqu'à la transposition de NIS 2

    Référentiel Cyber France : les mesures recommandées par l'ANSSI pour atteindre les objectifs de sécurité de NIS 2

    En savoir plus

    Il traduit les objectifs de la directive en mesures concrètes : nous évaluons vos pratiques au regard de chacune et en tirons les chantiers prioritaires de votre mise en conformité NIS 2.

  • DORA

    Applicable depuis le 17 janvier 2025

    Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier

    En savoir plus

    Banques, assurances, entreprises d'investissement, sociétés de gestion, et leurs prestataires informatiques : gestion du risque lié aux technologies, incidents, tests de résilience, risque lié aux prestataires.

  • RGPD

    Applicable depuis le 25 mai 2018

    Règlement (UE) 2016/679, article 32 : sécurité du traitement

    En savoir plus

    Les mesures techniques et organisationnelles qui protègent les données personnelles, adaptées au risque pour les personnes concernées.

  • HDS

    Nouveau référentiel publié le 16 mai 2024 ; transition achevée le 16 mai 2026

    Certification d'hébergeur de données de santé (code de la santé publique, article L.1111-8)

    En savoir plus

    Obligatoire pour héberger des données de santé pour le compte d'un tiers. Le référentiel de 2024 impose notamment un hébergement des données dans l'Espace économique européen.

  • PCI DSS

    Exigences de la version 4 obligatoires depuis le 31 mars 2025

    Norme de sécurité des données de cartes de paiement, version 4.0.1

    En savoir plus

    Toute entreprise qui accepte, traite ou stocke des données de cartes bancaires : commerce, hôtellerie, services en ligne.

  • TISAX

    Version 6 pour les évaluations commandées en 2026 ; version ISA2027, publiée le 1er juillet 2026, pour celles commandées à partir du 1er janvier 2027

    Évaluation de la sécurité de l'information de l'industrie automobile, fondée sur le référentiel VDA ISA

    En savoir plus

    Exigée par les constructeurs automobiles de leurs fournisseurs et sous-traitants ; l'évaluation vous prépare à l'audit qui délivre le label, selon la version du référentiel qui s'appliquera à votre commande.

  • NIST Cybersecurity Framework

    Version 2.0 publiée le 26 février 2024

    Cadre américain en six fonctions : gouverner, identifier, protéger, détecter, répondre, rétablir

    En savoir plus

    Répandu dans les groupes internationaux et chez les clients nord-américains, il se prête bien à une lecture par la direction.

  • CIS Controls

    Version 8.1 publiée en juin 2024

    18 mesures de sécurité classées par priorité, du Center for Internet Security

    En savoir plus

    Une liste priorisée, organisée en groupes de mise en œuvre selon la taille et les moyens de l'organisation.

  • IEC 62443

    Série de normes sur la cybersécurité des systèmes d'automatisation et de contrôle industriels

    En savoir plus

    Pour les sites de production : cloisonnement en zones, niveaux de sécurité, exigences pour les intégrateurs et les fournisseurs d'équipements.

  • Référentiel général de sécurité (RGS)

    Version 2.0 du 13 juin 2014

    Administrations et autorités administratives, et leurs échanges électroniques avec les usagers

    En savoir plus

    Le cadre de l'homologation de sécurité des systèmes d'information du secteur public.

  • ISO 22301

    Version 2019, certifiable

    Système de management de la continuité d'activité

    En savoir plus

    La capacité à maintenir ou reprendre les activités vitales après un incident, en complément de la gestion de crise.

  • ISO/IEC 42001

    Publiée en 2023, certifiable

    Système de management de l'intelligence artificielle

    En savoir plus

    Le pendant de l'ISO/IEC 27001 pour l'intelligence artificielle : politique, rôles, appréciation des risques et amélioration continue.

Ce que vous obtenez

  • Un score par domaine

    Votre niveau domaine par domaine, au regard du référentiel retenu, pour suivre vos progrès d'une évaluation à l'autre.

  • Une analyse d'écart

    Chaque exigence non couverte ou partiellement couverte, avec son importance pour votre activité.

  • Un plan d'actions pour la direction

    Les actions rapides à fort effet à engager dans les semaines qui suivent, puis les autres priorités, présentées sans jargon pour arbitrer les budgets.

Notre démarche

Durées indicatives, précisées au cadrage selon votre périmètre.

  1. Cadrage

    1 semaine

    Choix du ou des référentiels, selon vos obligations et les attentes de vos clients, et du périmètre.

  2. Évaluation

    2 à 3 semaines

    Ateliers avec vos équipes et revue des pratiques et des documents, domaine par domaine.

  3. Restitution

    1 semaine

    Rapport, analyse d'écart, plan d'actions et présentation à la direction.

Cas clients

Pourquoi Veyan

Ce qui fait la différence

  • Des auditeurs certifiés

    Nos consultants sont certifiés ISO/IEC 27001 Lead Auditor et Lead Implementer, et ISO/IEC 27005 pour l'appréciation des risques.

  • Des progrès mesurés dans le temps

    Dans un groupe agroalimentaire évalué chaque année selon la même méthode, le score de sécurité de l'annuaire d'entreprise est passé de 83 % en 2024 à 89 % en 2025.

  • Des référentiels pratiqués en mission

    ISO 27002 pour un établissement public ; NIS 2 pour un groupe industriel européen, dont 77 % des mesures attendues étaient déjà en place en mars 2025.

Secteurs où nous la pratiquons

Sources : ANSSI, guide d'hygiène informatique ; directive (UE) 2022/2555 (NIS 2) ; ANSSI, NIS 2 et ReCyF ; règlement (UE) 2022/2554 (DORA) ; Agence du numérique en santé, référentiel HDS ; PCI Security Standards Council, PCI DSS v4.0.1 ; ENX, TISAX ; ENX, VDA ISA2027 ; NIST, Cybersecurity Framework 2.0 ; CIS Controls v8.1. Consultées le 2 octobre 2026.

Questions fréquentes

Comment évaluer le niveau de cybersécurité d'une PME ?

En la mesurant à un référentiel reconnu, domaine par domaine : le guide d'hygiène informatique de l'ANSSI pour une première mesure, ISO 27001 ou NIS 2, avec le ReCyF de l'ANSSI, selon vos obligations. Notre évaluation dure quatre à cinq semaines : cadrage, ateliers avec vos équipes et revue des documents, puis restitution d'un score par domaine, d'une analyse d'écart et d'un plan d'actions pour la direction.

Quel référentiel choisir ?

Celui qui s'impose à vous d'abord : NIS 2 si votre entreprise est concernée (mesurée au ReCyF, le référentiel de l'ANSSI qui en détaille les mesures), DORA dans la finance, HDS pour l'hébergement de données de santé. Sinon, le guide d'hygiène de l'ANSSI pour une première mesure, ISO 27001 si vous visez une certification ou travaillez avec de grands comptes.

Peut-on évaluer plusieurs référentiels à la fois ?

Oui. Beaucoup d'exigences se recoupent, par exemple entre la norme ISO/IEC 27002 et les mesures de NIS 2 : une même évaluation peut en couvrir plusieurs, avec une lecture par référentiel.

Cette évaluation vaut-elle certification ?

Une certification est délivrée par un organisme accrédité. Notre évaluation mesure votre niveau et vous prépare à cet audit, si vous le souhaitez.

À quelle fréquence faut-il recommencer ?

À un rythme régulier, souvent chaque année, pour mesurer l'effet de vos actions avec la même méthode.

Expertises complémentaires

Parlons de votre situation

Un échange de 30 minutes avec un consultant senior pour faire le point sur vos enjeux et vos priorités.

Demander un échange de 30 min ou appelez le 09 80 80 42 13