La politique de sécurité en vigueur est signée par la direction et datée de moins de 12 mois. Je peux la produire en 5 minutes.

Mon programme cyber est documenté, versé, et reflète la réalité de cette semaine — pas celle du dernier audit.

Un budget cyber dédié existe, est suivi, et peut être relié à des objectifs de réduction de risque.

Des revues de direction sont planifiées (a minima trimestrielles) avec des comptes-rendus archivés.

La direction peut répondre à « qui est responsable de la cybersécurité ? » — formellement, pas verbalement.

Une analyse de risque formalisée existe, avec une méthodologie documentée et une date de mise à jour récente.

Chaque risque ouvert a un propriétaire nommé et une date de remédiation engagée.

Les risques résiduels ont été revus et arbitrés par la direction dans les 12 derniers mois.

Je peux montrer l'état du plan de traitement des risques aujourd'hui — pas dans 3 jours.

Un programme de sensibilisation est en place avec des indicateurs de complétion traçables.

Les résultats des simulations de phishing et des formations sont documentés et archivés.

Une procédure de révocation des accès en cas de départ est appliquée et traçable.

Un inventaire des actifs critiques existe et a été mis à jour dans les 6 derniers mois.

Les vulnérabilités critiques sont suivies avec des délais de remédiation engagés.

Le patch management des systèmes critiques est suivi avec des indicateurs de couverture.

Une revue des accès privilégiés a été réalisée dans les 6 derniers mois avec documentation.

Les comptes inactifs ou orphelins sont identifiés et traités régulièrement.

La gestion des accès tiers est formalisée (prestataires, partenaires, fournisseurs cloud).

Les systèmes critiques génèrent des logs centralisés et conservés selon la réglementation.

Une supervision de sécurité est en place (SIEM ou équivalent) avec des processus de traitement des alertes.

Une procédure de gestion des incidents est formalisée, testée, avec des rôles attribués.

Je peux produire une alerte initiale en moins de 24h après détection d'un incident significatif.

Je peux produire un rapport détaillé en moins de 72h après détection.

Le dernier incident significatif dispose d'un retour d'expérience (REX) documenté.

Un PCA documenté couvre les systèmes et processus critiques, avec RTO/RPO définis.

Le PCA a été testé dans les 12 derniers mois — avec les résultats du test archivés.

Les écarts identifiés lors du dernier test ont des plans de remédiation associés.

Mes fournisseurs critiques sont identifiés dans un registre avec leur niveau de criticité.

Chaque fournisseur critique a été évalué (questionnaire ou audit) dans les 12 derniers mois.

Des clauses contractuelles cyber adaptées sont en place avec mes fournisseurs critiques.

L'état de ma conformité NIS2/ReCyF est visible et à jour — pas reconstruit avant chaque audit.

Les preuves documentaires (politiques, PV, rapports d'incident, évaluations fournisseurs) sont centralisées et exportables.

Une veille réglementaire est en place pour suivre les évolutions NIS2, DORA et ReCyF.