Publié le 6 août 2026

Qu'est-ce qu'une notation de sécurité ?

Une note de sécurité traduit la situation d'une entreprise en matière de sécurité informatique en un indicateur unique et comparable. Cette évaluation est réalisée selon une perspective externe : elle analyse ce que les pirates peuvent voir et atteindre via Internet. Cet article explique comment sont élaborées les notations basées sur des indicateurs clés de performance (KPI), à quoi elles servent pour les entreprises, quelles sont leurs limites et en quoi elles diffèrent des audits et des tests d'intrusion.

Les notations de sécurité sont également appelées Notations en matière de cybersécurité ou Notations des risques cybernétiques désigné. En allemand, on trouve par ailleurs Évaluation de la sécurité informatique et Évaluation des risques cybernétiques courant. Un « Security Score » ne désigne souvent que la valeur numérique ou alphabétique qui en découle. La portée, la base de données et le modèle d'évaluation peuvent varier d'un fournisseur à l'autre.

L'essentiel en bref

• Une note de sécurité évalue la sécurité informatique d'une entreprise telle qu'elle est perçue de l'extérieur et la résume sous la forme d'un indicateur comparable.
• L'évaluation est réalisée sans recourir à des agents et sans accès aux systèmes internes, en se basant exclusivement sur des informations accessibles au public.
• Les domaines d'application typiques sont l'évaluation des fournisseurs, la cyberassurance, l'analyse comparative et le reporting à la direction et au conseil d'administration.
• Une évaluation ne remplace ni l'audit ni le test d'intrusion. Elle complète ces deux approches en apportant un regard externe continu et évolutif.
• Des réglementations telles que la directive NIS-2 et la directive DORA exigent la surveillance des risques liés aux prestataires de services. Les notations fournissent à cet effet une base de données fiable.

Définition : ce que révèle une notation de sécurité

Une note de sécurité est une évaluation, fondée sur des données, de la sécurité informatique d'une organisation, synthétisée sous la forme d'une valeur chiffrée ou d'une note. À l'instar d'une évaluation de solvabilité dans le domaine financier, elle répond à une question simple : dans quelle mesure une entreprise est-elle bien préparée à faire face aux cyberattaques, du point de vue d'un observateur extérieur ?.

Cette évaluation repose exclusivement sur des informations accessibles via Internet. Il s'agit notamment des noms de domaine, des adresses IP, des services accessibles, des certificats et des configurations de messagerie. Une notation ne nécessite donc ni agents logiciels sur les systèmes, ni accès aux réseaux internes. L'entreprise chargée de l'évaluation et celle évaluée n'ont même pas besoin d'être en contact.

C'est précisément cette caractéristique qui rend les évaluations évolutives. Alors qu'un audit nécessite des semaines de préparation, une évaluation externe peut être réalisée en parallèle pour des centaines de fournisseurs. LocateRisk fournit une telle analyse en 48 heures, sans installation et sans intervention sur les systèmes en service.

Remarque importante pour la mise en perspective : une note d'évaluation mesure la surface d'attaque visible et son état d'entretien. Elle ne mesure pas la qualité des processus internes. Une bonne note est un indicateur fort d'une gestion de la sécurité efficace, mais n'en constitue pas une preuve.

Comment est établie une notation de sécurité basée sur des indicateurs clés de performance (KPI)

La première étape consiste à recenser la surface d'attaque. À partir d'un domaine, l'analyse identifie les sous-domaines, les adresses IP, les serveurs et les services associés. Cette procédure correspond à l'approche du Gestion de la surface d'attaque externe (EASM). Ce n'est qu'une fois que l'on sait clairement quels sont les systèmes qui composent une organisation que l'on peut évaluer leur état.

Dans un deuxième temps, l'analyse examine des indicateurs de sécurité mesurables, notamment :

• Cryptage : versions des protocoles, durées de validité des certificats, suites de chiffrement faibles
• Services accessibles : ports ouverts, accès d'administration exposés, bases de données connectées au réseau
• Sécurité des e-mails : configuration des protocoles SPF, DKIM et DMARC
• Version logicielle : systèmes identifiables de l'extérieur et leurs informations de version
• Sécurité : configuration DNS, sous-domaines obsolètes ou oubliés

Ces résultats individuels sont synthétisés sous forme d'indicateurs, pondérés en fonction du risque, puis agrégés pour former une valeur globale. On obtient ainsi un score qui permet d'établir des comparaisons sur différentes périodes et entre différentes entreprises.

La transparence fait partie intégrante de la méthodologie : il est possible de voir clairement, de l'extérieur, quel logiciel un système utilise et comment il est configuré. Sans accès au système, il n'est pas toujours possible de déterminer avec certitude si la version concrètement installée est effectivement vulnérable. Les prestataires sérieux signalent ces constatations comme des éléments à vérifier.

La dynamique du paysage des menaces rend nécessaire une évaluation continue. Selon le rapport de situation 2025 du BSI, 119 nouvelles vulnérabilités en moyenne ont été identifiées chaque jour au cours de la période couverte par le rapport, de juillet 2024 à juin 2025. Une évaluation mise à jour chaque mois ou en continu permet de refléter ces évolutions. Un audit ponctuel ne peut pas offrir cette capacité.

Pour qu'une notation soit à jour, il est essentiel que les nouvelles informations relatives aux vulnérabilités soient intégrées le plus tôt possible. LocateRisk utilise Intelligence préemptive, afin de recouper les signalements provenant de plusieurs sources avec la surface d'attaque dès lors qu'aucune évaluation définitive du NVD n'est encore disponible. Cela permet de commencer plus tôt l'analyse technique ; un tel signalement reste toutefois une indication à vérifier et ne constitue pas automatiquement une vulnérabilité confirmée.

À quoi servent les notations de sécurité pour les entreprises ?

Les notations de sécurité se sont imposées dans quatre domaines d'application.

Évaluation des fournisseurs : Les cyberattaques touchent souvent les entreprises par l'intermédiaire de leurs prestataires et fournisseurs. Une entreprise qui gère des dizaines, voire des centaines de partenaires ne peut pas les auditer un par un. Les notations offrent une vue d'ensemble actualisée en permanence du niveau de sécurité de tous les partenaires et mettent en évidence les domaines dans lesquels des mesures supplémentaires sont nécessaires. Pour savoir comment mettre cela en place sur le plan organisationnel, consultez notre page consacrée à Gestion du risque vendeur. Pour les entreprises soumises à la directive NIS-2, il faut ajouter que la Sécurité de la chaîne d'approvisionnement fait expressément partie des mesures obligatoires.

Assurance cyber : Avant de souscrire une police d'assurance cyber, les assureurs évaluent le niveau de sécurité informatique, généralement à l'aide de questionnaires et d'exigences minimales. Une évaluation récente permet d’évaluer de manière réaliste sa propre situation avant la demande de souscription et de remédier au préalable aux faiblesses identifiées. Cela réduit le risque de demandes de précisions au cours du processus de souscription et de discussions sur la couverture en cas de sinistre.

Analyse comparative : Un score prend tout son sens lorsqu'il s'appuie sur un point de référence. La comparaison avec les concurrents ou avec la moyenne du secteur permet de déterminer si le niveau de sécurité de l'entreprise est supérieur ou inférieur à la norme et fournit des arguments pour les décisions budgétaires.

Rapports au directoire : La direction générale et le comité de direction ont besoin d'un indicateur compréhensible sans connaissances techniques préalables et dont l'évolution peut être suivie d'un trimestre à l'autre. C’est précisément ce qu’offre une notation : elle met en évidence les progrès et les reculs et atteste de l’efficacité des investissements en matière de sécurité. Cela revêt une importance croissante, car la directive NIS-2 oblige la direction à approuver les mesures de gestion des risques et à superviser leur mise en œuvre.

Les limites des notations de sécurité

Une notation évalue ce qui est visible de l'extérieur. Il en résulte des limites claires, que les prestataires sérieux indiquent ouvertement.

Premièrement, la situation interne reste invisible. Il est impossible, d'un point de vue externe, de déterminer si les sauvegardes fonctionnent, si les réseaux sont segmentés, si les collaborateurs savent reconnaître les tentatives d'hameçonnage ou s'il existe un plan d'urgence. Une très bonne notation peut coïncider avec des processus internes défaillants, et inversement.

Deuxièmement, la détection de version a ses limites. Il est possible de déterminer de l'extérieur quel logiciel est utilisé par un système. Il n'est toutefois pas toujours possible de déterminer avec certitude si la version concrètement installée est vulnérable sans avoir accès au système, par exemple lorsque les éditeurs rétroportent des correctifs de sécurité vers des versions antérieures. De tels résultats constituent des indications d'audit, et non des vulnérabilités confirmées.

Troisièmement, la pertinence de l'analyse dépend d'une attribution correcte. Si un système tiers est attribué à tort à l'entreprise, cela fausse le score. Les bons prestataires valident le périmètre de l'analyse en collaboration avec le client et corrigent les attributions.

Quatrièmement, une notation ne remplace pas un examen approfondi. Elle indique où les risques sont susceptibles de se présenter, mais ne permet pas de déterminer s'ils peuvent effectivement être exploités. Pour répondre à cette question, il faut un test de pénétration ; pour évaluer les processus, il faut un audit. La force de la notation réside dans son ampleur, sa rapidité et sa reproductibilité, et non dans la profondeur de chaque constatation.

Comparaison entre évaluation de la sécurité, audit et test d'intrusion

L'évaluation, l'audit et le test d'intrusion répondent à des questions différentes et ne s'excluent pas mutuellement. Un audit évalue si les processus de sécurité sont définis et mis en œuvre. Un test d'intrusion vérifie, sur des cibles concrètes, si des attaques sont techniquement réalisables. Une évaluation surveille l'ensemble de la surface d'exposition, de manière continue et sans effort pour l'organisation contrôlée. Le tableau suivant présente ces trois méthodes.

Dans la pratique, cette combinaison fait ses preuves : la notation offre une vue d'ensemble continue et permet d'établir des priorités. Les audits et les tests d'intrusion interviennent là où une analyse approfondie s'impose. Notamment lorsqu'il s'agit d'évaluer un grand nombre de tiers, la notation est souvent la seule méthode qui puisse être appliquée de manière rentable à l'ensemble du portefeuille.

Cadre réglementaire : NIS-2 et DORA

Deux réglementations européennes rendent obligatoire la surveillance des risques liés aux prestataires de services (à compter d'août 2026).

NIS-2 : Selon le BSI, la loi allemande transposant la directive NIS 2 est entrée en vigueur le 6 décembre 2025. Selon les estimations issues de la procédure législative, environ 29 500 entreprises et établissements sont soumis aux nouvelles obligations prévues par la loi sur le BSI. Celles-ci comprennent des mesures de gestion des risques, des obligations de déclaration et, expressément, la sécurité de la chaîne d'approvisionnement. Notre Aperçu de la directive NIS 2.

DORA : Depuis le 17 janvier 2025, le secteur financier est soumis au règlement (UE) 2022/2554, dit « DORA ». Selon la BaFin, celui-ci oblige les banques, les assureurs et autres entreprises financières à mettre en place une gestion structurée des risques liés aux technologies de l'information et de la communication (TIC), y compris les risques découlant des contrats conclus avec des prestataires de services TIC. Vous trouverez plus de détails à ce sujet dans notre article consacré à Risque lié aux tiers dans le domaine des TIC dans le cadre de la directive DORA.

Dans les deux cas, il convient de noter qu’une notation de sécurité ne suffit pas à elle seule à satisfaire à ces obligations. Les contrats, les stratégies de sortie et les processus internes restent indispensables. Les notations fournissent toutefois une base de données continue et objective qui permet de mettre en œuvre de manière pratique la surveillance requise des prestataires de services, même dans le cas de portefeuilles de grande envergure.

Questions fréquentes

---

Une évaluation de sécurité, c'est la même chose qu'un scan de vulnérabilités ?

Non. Un scan de vulnérabilités répertorie les résultats techniques individuels d'un système. Une note de sécurité va deux pas plus loin : elle identifie les systèmes accessibles depuis l'extérieur, puis synthétise les résultats sous forme d'indicateurs pondérés et d'une note globale. Cela permet d'établir des comparaisons dans le temps et entre les organisations.

---

Dans quel délai obtient-on une note de sécurité ?

Avec LocateRisk, les premiers résultats d'analyse sont disponibles sous 48 heures. Il suffit simplement d'indiquer le nom de domaine principal de l'entreprise. Aucune installation ni intervention du service informatique n'est nécessaire, car l'évaluation s'effectue exclusivement d'un point de vue externe.

---

Une note de sécurité peut-elle remplacer un test d'intrusion ?

Non. Un test d'intrusion vérifie en profondeur si des vulnérabilités concrètes peuvent être exploitées et permet également de détecter des erreurs logiques dans les applications. Une évaluation fournit quant à elle une vue d'ensemble : elle surveille en permanence l'ensemble de la surface d'attaque et hiérarchise les points où un examen approfondi s'avère utile. Combinées, ces deux méthodes se complètent.

---

Les entreprises ont-elles le droit d'évaluer leurs fournisseurs sans leur accord ?

Les évaluations s'appuient exclusivement sur des informations déjà accessibles sur Internet. Elles ne contournent aucune restriction d'accès et ne modifient en rien les systèmes. De nombreuses entreprises informent néanmoins activement leurs fournisseurs des résultats de ces évaluations, car la transparence facilite la résolution conjointe des problèmes identifiés et renforce la relation commerciale.

---

Quel rôle joue la protection des données dans les notations de sécurité ?

L'analyse s'appuyant sur des informations techniques accessibles au public, elle ne génère pratiquement aucune donnée à caractère personnel. LocateRisk traite toutes les données d'analyse dans le respect du RGPD et héberge la plateforme dans des centres de données allemands certifiés. Il s'agit là d'un critère de sélection important pour les entreprises soumises à des exigences strictes en matière de conformité.

Conclusion : le moyen le plus rapide d'obtenir son propre indicateur

Une note de sécurité vous permet de voir rapidement comment votre entreprise est perçue du point de vue d'un pirate informatique et fournit un indicateur grâce auquel vous pouvez piloter votre sécurité informatique et en rendre compte à la direction, aux assureurs et aux clients. Le point de départ le plus simple consiste à examiner votre propre organisation : LocateRisk vous fournit un Évaluation gratuite de la sécurité Votre surface d'attaque visible depuis l'extérieur, sans installation et en moins de 48 heures. Vous voyez ainsi ce que voient les attaquants avant même qu'ils ne passent à l'action.