Méthodologie de notation

Ce qui vient de l'ANSSI, et ce qui vient de nous

La distinction est importante et nous la posons d'emblée, parce qu'elle change ce que le score prouve :

• De l'ANSSI : les 20 objectifs, leurs intitulés, leur répartition en quatre piliers (Gouvernance, Protection, Défense, Résilience) et le périmètre EI/EE — référentiel ReCyF v2.5 du 17/03/2026. Ce document porte la mention « document de travail » : aucune version définitive ne sera publiée avant l'achèvement de la transposition NIS 2. Nous parlons donc de préparation, jamais de conformité à un standard figé.
• De nous: l'échelle de maturité 0–4, le seuil attendu par objectif, la formule ci-dessous, et le texte explicatif affiché sous chaque objectif — l'ANSSI publie des « moyens acceptables de conformité » que nous ne reproduisons pas, nos descriptions sont une reformulation à destination du consultant. ReCyF ne définit aucune échelle de maturité — le mot n'y figure pas. La proportionnalité y passe uniquement par les objectifs 16 à 20 réservés aux entités essentielles et par le marquage EI/EE de chaque moyen de conformité. Notre échelle est un outil de pilotage et de priorisation ; elle n'a aucune valeur réglementaire.

L'échelle de maturité

• 0 — Inexistant : rien en place.
• 1 — Initial : pratiques informelles, non documentées, dépendantes des personnes.
• 2 — En cours : démarche engagée, couverture partielle.
• 3 — Défini : pratique documentée, appliquée et vérifiable.
• 4 — Maîtrisé / optimisé : pratique mesurée et améliorée dans la durée.

Le périmètre : quels objectifs comptent

Seuls les objectifs applicables à la catégorie NIS 2 du client entrent dans le calcul :

• Entité essentielle (EE) : les 20 objectifs.
• Entité importante (EI) : le socle de 15 objectifs (les objectifs 16 à 20 sont réservés aux EE).
• Hors périmètre : le socle de 15 objectifs est tout de même évalué, pour donner une base de travail — sans que cela emporte la moindre obligation réglementaire.

Un objectif non applicable ne pénalise pas le score : il en est retiré, numérateur et dénominateur compris.

La formule

Pour chaque objectif applicable, on compare le niveau atteint au seuil attendu, en plafonnant au seuil :

score = Σ min(niveau, seuil) ÷ Σ seuil × 100

Deux conséquences à connaître :

• Dépasser un seuil ne rapporte rien.Un objectif au niveau 4 quand 3 est attendu compte comme 3. Le score mesure la couverture des attendus, pas l'excellence — on ne peut pas compenser une lacune bloquante par un point fort ailleurs.
• Les seuils sont pondérés de fait.Un objectif dont le seuil attendu est 3 pèse davantage qu'un objectif à 2, puisque les deux entrent au dénominateur à hauteur de leur seuil. Il n'y a pas d'autre pondération cachée.

Ce qui compte comme niveau atteint

Dans l'ordre de priorité : le niveau validé par le consultant, à défaut le niveau déclarépar le client. En l'absence des deux, l'objectif compte comme 0.

Une proposition — IA ou remontée automatiquement par un connecteur — n'entre jamais dans le score officiel. C'est une règle de gouvernance, pas un détail d'implémentation : un rapport présenté à un client ou à un auditeur ne doit reposer que sur des éléments qu'un humain a validés. Une proposition non validée reste visible, marquée « à valider », et alimente uniquement le score projeté.

Score projeté

Le score projeté applique la même formule, mais comble les objectifs sans niveau humain par la proposition en attente. Il répond à la question « où en serions-nous si je validais tout en l'état ? ». Il est toujours supérieur ou égal au score officiel, et lui est égal lorsqu'il n'y a aucune proposition en attente. Lorsque des propositions sont en attente, il apparaît sur la page de synthèse du rapport client, explicitement présenté comme conditionnel (« score projeté si N propositions étaient validées ») : il ne se substitue jamais au score officiel, qui reste le chiffre affiché.

Le radar par pilier

Chaque pilier affiche la moyenne arithmétiquedes niveaux atteints sur ses objectifs applicables, comparée à la moyenne des seuils. C'est une moyenne simple, sans pondération : elle sert à lire une silhouette, pas à produire un classement.

Écarts et plan d'actions

Un objectif est en écartdès lors qu'il est applicable et que son niveau atteint est strictement inférieur au seuil attendu. Cette détection est déterministe.

Le plan d'actionsse construit à partir de cette liste, et la manière dont il est construit dépend d'un réglage qu'il faut connaître pour pouvoir le défendre :

• Assistance IA désactivée(réglage par défaut) : chaque écart produit une action, et sa priorité découle de l'ampleur de l'écart au seuil. Entièrement déterministe.
• Assistance IA activée : les écarts sont transmis au modèle, qui propose la formulation, le découpage et la priorité de chaque action. Ce sont des propositions— vous les modifiez et les chiffrez — mais la priorité affichée n'est alors pas une règle mécanique, et il serait faux de la présenter comme telle à un client.

Dans les deux cas, le plan d'actions n'entre pas dans le calcul du score : il en découle.

Ce que le score ne dit pas

• Il ne constate pasune conformité NIS 2. La conformité s'apprécie au regard des textes de transposition et, le cas échéant, d'un contrôle de l'autorité compétente.
• Il ne remplace pasun audit. Il s'appuie sur du déclaratif validé par un consultant, complété quand c'est possible par des relevés techniques issus des connecteurs.
• Il n'a pas vocation à comparer deux entités entre elles : les seuils sont les mêmes, mais les périmètres et les contextes ne le sont pas.

Reproductibilité

La formule est déterministe : à réponses identiques, score identique. Aucun modèle d'intelligence artificielle n'intervient dans le calcul — l'IA, lorsqu'elle est activée, ne fait que proposer des niveaux qu'un humain doit valider avant qu'ils ne comptent.