Auto-évaluation NIS 2 sur Excel : les questions à se poser et comment noter
Une auto-évaluation NIS 2 sur Excel est un questionnaire fermé, classé par domaine, noté sur une échelle courte et résumé en un score par domaine. Elle situe l'entreprise, avant tout audit, par rapport aux dix mesures de l'article 21 de la directive (UE) 2022/2555 du 14 décembre 2022, et désigne les cinq écarts à traiter en premier. Un modèle gratuit de 20 questions, formules en place, est proposé en fin d'article.
À quoi sert une auto-évaluation avant un audit
Un audit arrive trop tôt si l'entreprise ne sait pas encore ce qu'elle a. L'auto-évaluation donne en une séance une photographie partagée, sert de base au plan d'action et fournit un support lisible à la direction, que la directive charge d'approuver les mesures de gestion des risques et d'en superviser la mise en œuvre (article 20, paragraphe 1, EUR-Lex, consulté le 19 octobre 2026). Sa limite s'écrit en haut du classeur : le score mesure une maturité déclarée, pas une conformité. Chaque question indique donc la preuve qui la vérifierait.
Les domaines à couvrir : les dix mesures de l'article 21
L'article 21, paragraphe 2, énumère dix familles de mesures que les entités doivent « au moins » couvrir. Chacune devient un domaine, ou une partie de domaine, du questionnaire :
| Mesure (art. 21, § 2) | Exemple de question | Preuve possible |
|---|---|---|
| a) Analyse des risques, politique de sécurité | L'analyse des risques est-elle mise à jour chaque année ? | Analyse datée |
| b) Gestion des incidents | Une procédure d'incident existe-t-elle, avec des rôles nommés ? | Procédure, astreinte |
| c) Continuité, sauvegardes, crises | Les sauvegardes incluent-elles une copie hors ligne testée ? | Tests de restauration |
| d) Chaîne d'approvisionnement | Les contrats des prestataires critiques prévoient-ils notification et audit ? | Clauses contractuelles |
| e) Acquisition, développement, maintenance, vulnérabilités | Les correctifs sont-ils appliqués dans un délai défini ? | Politique de correctifs |
| f) Évaluation de l'efficacité | L'efficacité des mesures est-elle évaluée (audit, test, indicateurs) ? | Rapport d'audit |
| g) Cyberhygiène et formation | Le personnel est-il sensibilisé chaque année ? | Feuilles de présence |
| h) Cryptographie, chiffrement | Une politique définit-elle quand et comment chiffrer ? | Politique de chiffrement |
| i) Ressources humaines, contrôle d'accès, actifs | Les droits sont-ils revus, et retirés au départ des personnes ? | Revue des droits datée |
| j) Authentification à plusieurs facteurs, communications sécurisées | L'authentification multifacteur couvre-t-elle les accès distants, la messagerie et les comptes à privilèges ? | Configuration |
Deux domaines s'ajoutent : la gouvernance (approbation, supervision et formation des dirigeants, article 20) et la notification des incidents importants (article 23, paragraphe 4 : alerte précoce dans les 24 heures et notification dans les 72 heures après en avoir eu connaissance, rapport final au plus tard un mois après la notification). Pour des questions plus techniques, le guide d'hygiène informatique de l'ANSSI (42 mesures, publié le 23 janvier 2017) et l'annexe A de la norme ISO/IEC 27001:2022 (édition 3, octobre 2022) servent de réservoir, sans remplacer la structure de l'article 21.
L'échelle de notation et ses pièges
Trois niveaux suffisent, chacun défini par une preuve : Oui (2 points) quand la mesure existe, est écrite et peut être montrée ; Partiellement (1 point) quand elle n'existe qu'en partie, sans preuve écrite ou sans mise à jour récente ; Non (0 point) quand elle n'existe pas. Une quatrième réponse, Je ne sais pas, vaut aussi 0 point : ne pas savoir est déjà un constat, qui désigne la personne à interroger.
- L'échelle trop fine. Entre un 6 et un 7 sur 10, le débat n'en finit pas ; trois niveaux définis par une preuve se tranchent vite.
- Le « Partiellement » fourre-tout. Sans définition, tout finit à 1 point ; c'est la preuve datée qui sépare « Partiellement » de « Oui ».
- La pondération précoce. Au premier passage, gardez des poids égaux.
- Le questionnaire inachevé. Un domaine à moitié rempli donne un score trompeur ; affichez « À compléter » tant qu'il manque une réponse.
Calculer un score par domaine dans Excel
Deux feuilles suffisent. « Autodiagnostic » compte une ligne par question : numéro (A), domaine (B), question (C), référence (D), réponse (E), points (F), puis preuve, notes et priorité ; la réponse se choisit dans une liste déroulante (Données, Validation des données) limitée aux quatre valeurs. « Synthèse » compte une ligne par domaine : nom (A12), questions (B12), réponses saisies (C12), points (D12), maximum (E12), score (F12), niveau (G12). Les plages sont nommées (Formules, Gestionnaire de noms). Formules natives, sans macro, en français avec le nom anglais entre parenthèses :
- Points, en F8 :
=SI(E8="Oui";2;SI(E8="Partiellement";1;0))(IF) ; « Non », « Je ne sais pas » et la cellule vide valent 0. - Questions du domaine, en B12 :
=NB.SI(plage_domaines;A12)(COUNTIF). - Points obtenus, en D12 :
=SOMME.SI(plage_domaines;A12;plage_points)(SUMIF) ; maximum, en E12 :=2*B12. - Score, en F12 :
=SI(E12=0;0;D12/E12), affiché en pourcentage. - Niveau, en G12 :
=SI(C12<B12;"À compléter";SI(F12>=0,8;"Avancé";SI(F12>=0,5;"Intermédiaire";"Initial"))). Les paliers de 80 % et 50 % sont ceux du modèle gratuit : des conventions de lecture, pas des seuils de la directive.
Le score global divise le total des points par 40, soit 20 questions à 2 points ; un graphique en barres par domaine suffit pour la direction.
Lire les écarts et choisir cinq priorités
Le score dit où l'on en est ; la liste des écarts dit par quoi commencer. Règle de tri : les « Non » et les « Je ne sais pas » d'abord, puis les « Partiellement », dans l'ordre des questions. Une colonne « Clé de tri » calcule =SI(OU(E8="";E8="Oui");0;(2-F8)*100+(21-A8)) ; GRANDE.VALEUR (LARGE) donne les clés de rang 1 à 5, puis INDEX et EQUIV (MATCH) retrouvent la question. La colonne Priorité marque « Priorité 1 » les « Non » et « Je ne sais pas », « Priorité 2 » les « Partiellement ».
Exemple fictif : une entreprise industrielle imaginaire de 140 salariés obtient 16 points sur 40, niveau « Initial » ; « Incidents et notification » et « Continuité et crise » n'obtiennent qu'un point sur six chacun. Ses cinq premiers écarts : formation des dirigeants, délais de notification inconnus, consultation des journaux non vérifiée, pas de plan de continuité testé, pas d'organisation de crise. Ces deux domaines conditionnent la réponse à un incident : ce sont les premiers chantiers.
De l'auto-évaluation au plan d'action
Chaque écart de priorité 1 devient une ligne de plan d'action : action, responsable, échéance, preuve attendue. La direction approuve ce plan et ses membres se forment, comme le prévoit l'article 20 : voir NIS 2 : ce que les dirigeants doivent faire, et ce qu'ils risquent. Le calendrier semaine par semaine figure dans Plan d'action NIS 2 pour une PME : exemple sur 90 jours ; si la question du périmètre reste à « Non », commencez par NIS 2 : comment savoir si votre entreprise est concernée. Six mois plus tard, rejouez le même questionnaire, sans changer les questions ni le barème, pour comparer deux scores.
Questions fréquentes
Combien de questions faut-il ?
Vingt questions couvrent les dix mesures, la gouvernance et la notification : c'est le format du modèle gratuit. Pour piloter les actions, il faut plusieurs points de contrôle par mesure ; le kit de démarrage en compte 56.
Un bon score signifie-t-il que l'entreprise est conforme ?
Non. Le score mesure une maturité déclarée. Il ne devient un argument que si chaque « Oui » s'appuie sur une preuve datée, et il ne remplace ni l'avis de l'ANSSI, ni celui d'un conseil, ni un audit.
Excel suffit-il, ou faut-il un logiciel spécialisé ?
Pour une PME qui démarre, un classeur sans macro suffit et se relit en comité de direction. Un outil spécialisé se justifie quand plusieurs entités, plusieurs référentiels ou des centaines de points de contrôle sont suivis en parallèle.
Sources
- Directive (UE) 2022/2555 du 14 décembre 2022, articles 20, 21 et 23, EUR-Lex, consultée le 19 octobre 2026.
- ANSSI, Guide d'hygiène informatique, 42 mesures, publié le 23 janvier 2017, consulté le 19 octobre 2026.
- ISO/IEC 27001:2022, édition 3, octobre 2022, iso.org, consulté le 19 octobre 2026.