Analyse d'écart NIS2 :
méthode pas à pas

Qu'est-ce qu'une analyse d'écart NIS2 ?

L'analyse d'écart (ou gap analysis) est l'étape qui suit l'état des lieux. Elle consiste à mesurer précisément la distance entre votre posture actuelle et les exigences NIS2, domaine par domaine. Le résultat est un document structuré que vous pouvez présenter à votre direction, avec un plan d'action priorisé et budgétisé.

C'est le livrable le plus attendu par les comités de direction et les auditeurs. Sans lui, vous ne pouvez pas construire de roadmap crédible ni obtenir les budgets nécessaires.

La méthode en 5 étapes

Étape 1 — Définir le périmètre

Avant de mesurer quoi que ce soit, vous devez savoir ce que vous mesurez. Identifiez les systèmes, services et entités juridiques concernés par NIS2 dans votre organisation. Un périmètre mal défini fausse toute l'analyse.

Étape 2 — Inventorier vos mesures existantes

Pour chacun des 10 domaines NIS2, listez ce qui existe déjà : documents, procédures, outils, contrôles techniques. Soyez exhaustif mais objectif — une mesure non documentée n'existe pas aux yeux d'un auditeur.

Étape 3 — Évaluer le niveau de maturité

Pour chaque domaine, attribuez un niveau de maturité sur une échelle simple : Inexistant / Partiel / Défini / Mesuré / Optimisé. Cette notation vous permet de prioriser les chantiers et de visualiser votre progression dans le temps.

Étape 4 — Identifier les écarts prioritaires

Tous les écarts ne se valent pas. Priorisez en croisant deux dimensions : le niveau d'obligation réglementaire (certains domaines font l'objet de contrôles prioritaires) et votre niveau d'exposition opérationnelle (quels systèmes sont les plus critiques pour votre activité).

Étape 5 — Formaliser le rapport et le plan d'action

Le rapport d'analyse d'écart doit contenir : un résumé exécutif pour la direction, le détail par domaine, une matrice de risques, et un plan d'action avec jalons, responsables et budget estimé. C'est ce document qui vous permettra d'obtenir les arbitrages nécessaires.

Combien de temps ça prend ?

Pour une ETI ou une collectivité de taille moyenne, comptez 2 à 3 semaines en mobilisant 1 à 2 personnes à mi-temps. C'est le rythme réaliste si vous partez de zéro avec une bonne méthode et les bons templates. Sans méthode, certaines organisations y passent plusieurs mois — et produisent un document inutilisable.

Ce que la formation vous apporte sur ce sujet

Le module III de ConformNIS2 est entièrement dédié à l'analyse d'écart. Il inclut un template Excel préformaté avec les 10 domaines, les critères d'évaluation, la matrice de priorisation et la structure du rapport direction. Vous repartez avec un fichier que vous adaptez à votre contexte en quelques heures.