Méthode
Méthode, sources et limites du diagnostic
Un diagnostic n’est utile que si l’on comprend comment il est construit. Cette page explique le calcul du score, la façon de lire le résultat, ce qui garantit la neutralité de l’outil et ce qu’il ne fait pas.
Pourquoi cet outil
Les TPE et PME utilisent aujourd’hui de nombreux outils numériques : messagerie, cloud, logiciels de gestion, IA générative, sites internet, prestataires. Le problème n’est pas de les interdire, mais de savoir ce qui est utilisé, quelles données circulent, où elles sont hébergées, ce qui est protégé et ce qui se passe en cas d’incident. Les audits classiques sont souvent trop coûteux pour une petite structure ; EDN donne une première photographie fiable et un plan d’action concret, pour un coût limité.
Comment le score est calculé
Le score de maîtrise, sur 100, résume vos réponses : plus il est élevé, mieux les risques paraissent maîtrisés. Une seule échelle s’applique au score global et à chaque domaine :
| Score | Niveau | Signification |
|---|---|---|
| 80 et plus | Solide | Les protections essentielles sont en place ; il reste à les entretenir. |
| 65 à 79 | À consolider | La base est saine ; quelques réglages et preuves restent à compléter. |
| 45 à 64 | Fragile | Des points importants sont à corriger dans les prochaines semaines. |
| Moins de 45 | Critique | Plusieurs failles exposent directement l’entreprise. |
- Domaines. Chaque réponse pèse sur un ou plusieurs domaines : données personnelles, localisation et transferts, cybersécurité, dépendance aux fournisseurs, gouvernance et preuves, budget, IA, garanties non vérifiées. Le score global est la moyenne pondérée des domaines.
- Gravité. Une réponse partielle empêche un domaine d’être « solide » ; une réponse grave (aucune protection, jamais testé, inconnu) le rend « fragile » ou « critique ».
- Plafonds. Une faille grave ne se compense pas par de bons points ailleurs : le score global ne peut pas dépasser 79 s’il reste une alerte majeure, 64 à partir de trois alertes majeures, 54 en présence d’une alerte critique et 44 à partir de deux alertes critiques. Le rapport indique le plafond appliqué.
- « Je ne sais pas ». Cette réponse ne compte pas comme un « non » : elle crée un point à vérifier dans le plan d’action, empêche le domaine concerné d’être « solide » et baisse le niveau de confiance.
Repères de calibrage. La méthode est vérifiée sur des profils types avant chaque version. En septembre 2026 : une entreprise exemplaire (tout est en place, testé et documenté) obtient plus de 90 ; une TPE bien tenue (double authentification partout, sauvegarde testée chaque année, registre et contrats partiels) obtient autour de 70 ; une TPE perfectible (double authentification réservée aux administrateurs, simple synchronisation cloud, comptes partagés) autour de 50 ; une entreprise exposée (pas de sauvegarde testée, pas de règle sur les RIB ni sur l’IA) moins de 35.
Lire le résultat
- Commencez par les alertes critiques et majeures : ce sont elles qui exposent l’entreprise.
- Faites les gains rapides : trois actions de moins d’une heure, souvent gratuites.
- Suivez le plan d’action par délai (cette semaine, 30 jours, 90 jours) et conservez les preuves indiquées.
- Refaites le diagnostic après trois mois pour mesurer les progrès.
Le score n’est pas une note de conformité : deux entreprises au même score peuvent avoir des priorités très différentes. C’est le plan d’action qui compte.
Niveau de confiance
Le rapport indique un niveau de confiance (élevée, correcte, limitée ou faible). Il tient compte de la part de questions renseignées, du nombre de « je ne sais pas » et, dans le parcours Approfondi, du niveau de preuve déclaré (documents disponibles ou simples déclarations). Une confiance limitée signifie que le rapport oriente, mais que plusieurs réponses doivent être vérifiées avant de décider.
Neutralité
- EDN est financé par les parcours payants et les packs partenaires : ni publicité, ni revente de données, ni commission versée par un fournisseur.
- Le rapport recommande une famille de solutions, pas un fournisseur. Microsoft 365, Google Workspace ou une solution européenne peuvent tous convenir s’ils sont bien réglés : le score dépend des réglages, des preuves et des garanties, pas de la marque.
- Certaines offres citées (AxiorHub) sont proposées par l’éditeur d’EDN : elles portent la mention « offre de l’éditeur », n’apparaissent que si votre profil s’y prête et n’influencent jamais le score.
Sources
- Recommandations de la CNIL (RGPD, sous-traitance, sécurité des données, IA) et de l’ANSSI (hygiène informatique).
- Fiches de Cybermalveillance.gouv.fr (sauvegardes, mots de passe, réflexes en cas d’attaque).
- Textes : règlement général sur la protection des données, règlement européen sur l’IA, code général des impôts et documentation de l’administration fiscale pour la facturation électronique.
- Prix : pages officielles des éditeurs ou revendeurs, relevées et datées ; ordres de grandeur signalés comme tels. Ils sont à confirmer avant tout engagement.
Les liens sont regroupés dans la page Guides et ressources.
Limites
EDN est un outil d’aide à la décision. Il repose sur vos seules déclarations, sans vérification sur pièces ni contrôle technique. Il ne constitue ni une certification, ni un audit, ni une attestation de conformité, ni une garantie d’assurabilité, ni une consultation juridique. Les recommandations sont à adapter à votre situation, aux outils réellement utilisés et aux obligations de votre secteur.
Outil d’aide à la décision conçu et supervisé par Timo RAINIO, avocat au Barreau de Lyon : ni certification, ni audit, ni consultation juridique. Vos réponses restent dans votre navigateur.