// MÉTHODOLOGIE //
Une méthodologie transparente et déterministe, alignée sur ISO 27001, NIS2, DORA et DORA-ICT (pour les prestataires ICT tiers). Mêmes réponses → même notation, à chaque fois.
Score agrégé sur 3 référentiels de cybersécurité.
// VUE D'ENSEMBLE //
Finnovia évalue les organisations selon quatre référentiels de cybersécurité : FR-Basic (aligné sur ISO 27001), FR-NIS2, FR-DORA et FR-ICT (pour les prestataires ICT tiers fournissant des entités financières régulées par DORA). Chaque évaluation repose sur un questionnaire structuré, organisé par domaines, où les réponses sont converties en scores pondérés pour produire une notation FR-Cyber.
Notre méthodologie est conçue pour être transparente, reproductible et alignée sur les exigences réglementaires européennes. Les pondérations reflètent les priorités de chaque référentiel.
FR-Basic
Management de la sécurité de l'information
56 questions · 10 domaines
FR-NIS2
Sécurité des réseaux et de l'information
37 questions · 7 domaines
FR-DORA
Résilience opérationnelle numérique
38 questions · 7 domaines
FR-ICT
Prestataires tiers de services TIC — DORA art. 30
16 questions · 6 domaines
FR-ICT
Mesure la capacité d'un prestataire TIC à satisfaire les exigences contractuelles et opérationnelles que ses clients soumis à DORA doivent lui imposer au titre de l'article 30 : clauses contractuelles, sécurité des données, notification des incidents, continuité et réversibilité, sous-traitance, audits indépendants. 6 domaines, 14 questions. L'exigence découle de la relation avec le client : un prestataire établi hors de l'Union européenne est évalué exactement comme un prestataire européen.
// Catégories //
Toutes les organisations ne sont pas évaluées sur tous les référentiels. Finnovia détermine automatiquement les référentiels applicables à partir des informations factuelles recueillies lors de l'inscription : une organisation n'a jamais à se déclarer elle-même entité DORA, NIS2 ou TIC.
Les banques et les infrastructures de marchés financiers qui atteignent également les seuils de taille moyenne ou grande de NIS2.
Évaluées sur : FR-DORA · FR-NIS2 · FR-Basic
Les autres entités financières soumises à DORA — assureurs, entreprises d'investissement, sociétés de gestion, établissements de paiement et de monnaie électronique, prestataires de services sur crypto-actifs, entre autres — quelle que soit leur taille, ainsi que les banques et les infrastructures de marchés financiers sous les seuils de taille de NIS2.
Évaluées sur : FR-DORA · FR-Basic
Toute organisation qui fournit des produits ou des services TIC à une entité financière soumise à DORA, quels que soient son pays, sa taille ou son secteur. Un prestataire établi hors de l'Union européenne est évalué exactement comme un prestataire européen : l'exigence découle de la relation avec le client, et non du statut réglementaire du prestataire. L'appartenance à la catégorie 3 repose sur une question unique et directe posée lors de l'inscription : l'organisation fournit-elle au moins une entité financière soumise à DORA ? Elle n'est jamais déduite du secteur, de la taille ou du pays. Une organisation n'entre en catégorie 3 que si elle le confirme elle-même. Un prestataire qui relève lui-même de NIS2 appartient à la catégorie 4 et est évalué en plus sur FR-ICT.
Évalués sur : FR-ICT · FR-Basic
Les organisations des secteurs couverts par NIS2 (énergie, transports, santé, infrastructures numériques, entre autres) qui atteignent les seuils de taille de NIS2, ou qui en relèvent quelle que soit leur taille, comme les fournisseurs de services DNS ou de services de confiance.
Évaluées sur : FR-NIS2 · FR-Basic — + FR-ICT si l'organisation fournit aussi des produits ou des services TIC à une entité financière soumise à DORA.
Les organisations sans lien avec DORA ni NIS2, y compris celles établies hors de l'Union européenne qui n'ont aucun client soumis à DORA.
Évaluées sur : FR-Basic (le socle universel)
// FONCTIONNEMENT //
Pour chaque domaine, le score est la moyenne des réponses fournies, convertie en pourcentage. Les réponses « Non applicable » sont exclues. Un domaine où toutes les questions obtiennent le niveau 3 (Géré) aura un score de 75 %.
Le score composite est calculé comme la somme pondérée des scores de chaque domaine. Chaque domaine contribue proportionnellement à son poids, qui reflète son importance dans le référentiel.
Le score composite est converti en notation FR-Cyber selon une échelle fixe à 8 niveaux, de FR-Cyber F (score inférieur à 20 %) à FR-Cyber A (score supérieur ou égal à 90 %). Chaque niveau de notation est déterminé par des seuils prédéfinis, intégrés à la méthodologie, et n’est jamais ajusté a posteriori.
// ÉCHELLE DE MATURITÉ //
Chaque question est évaluée sur une échelle de maturité à 5 niveaux, de 0 (aucune mesure en place) à 4 (processus optimisé et en amélioration continue).
| Niveau | Maturité | Score |
|---|---|---|
| 0 | Aucun | 0% |
| 1 | Initial | 25% |
| 2 | Défini | 50% |
| 3 | Géré | 75% |
| 4 | Optimisé | 100% |
| N/A | Non applicable | excluded |
// ÉCHELLE FR RATING //
La notation FR-Cyber convertit le score global en une note comparable selon l’échelle de notation FR. Elle permet une lecture immédiate du niveau de maturité en matière de conformité.
// BANDES DE RISQUE FR-CYBER //
Les 8 niveaux de la Notation FR-Cyber sont regroupés en trois bandes de risque pour le reporting de haut niveau et le benchmarking — définies dans le Methodology Book §5.1.
≥ 70 %
FR-Cyber A · FR-Cyber A- · FR-Cyber B+
Posture cybersécurité solide, avec des contrôles mesurés, documentés et appliqués de manière constante.
50 – 69 %
FR-Cyber B · FR-Cyber B-
Posture satisfaisante avec des axes d'amélioration identifiés et des risques résiduels connus.
< 50 %
FR-Cyber C · FR-Cyber D · FR-Cyber F
Lacunes significatives nécessitant une attention immédiate ; contrôles partiels, ad hoc ou absents.
// PONDÉRATIONS DES DOMAINES //
Chaque référentiel attribue des poids différents à ses domaines, reflétant les priorités réglementaires. Les domaines à fort poids ont un impact plus important sur la notation finale.
56 questions · 10 domaines
37 questions · 7 domaines
38 questions · 7 domaines
16 questions · 6 domaines
// VALIDITÉ //
Chaque notation est assortie d'une fenêtre de validité fixe. Une fois expirée, elle ne compte plus comme un justificatif courant et n'apparaît plus sur la page publique des notations.
12 mois
À compter de la date de soumission
Reflète les réponses soumises par l'organisation. Aucune revue analyste à ce stade.
24 mois
À compter de la date de signature analyste
Audité contrôle par contrôle par un analyste Finnovia. Seules les notations vérifiées sont publiées.
La revue automatisée de Finnovia contrôle la cohérence et la plausibilité des réponses au regard des preuves fournies — par exemple en signalant une réponse notée « Optimisé » sans aucun document justificatif, ou une preuve qui ne correspond pas au niveau de maturité déclaré. Il s'agit d'un contrôle de cohérence, et non d'un audit indépendant : il renforce la confiance dans la cohérence interne de la note auto-déclarée, mais ne vérifie pas les preuves elles-mêmes au regard de la réalité.
Trois niveaux d'assurance : l'auto-évaluation, la revue automatique par IA et la notation vérifiée par un analyste Finnovia.
// NOS ENGAGEMENTS //
La méthodologie Finnovia repose sur des principes de transparence et de rigueur :
Pondérations publiques — les poids de chaque domaine sont communiqués ouvertement.
Calcul déterministe — à réponses identiques, score identique. Aucun facteur subjectif n'intervient.
Alignement réglementaire — les questionnaires couvrent exhaustivement les exigences de chaque référentiel.
Vérification indépendante — les évaluations soumises peuvent être vérifiées par un analyste Finnovia avant publication.
// PRÊT À OBTENIR VOTRE NOTATION //
Commencez avec le niveau Discovery gratuit. Passez à une notation vérifiée dès que vous êtes prêt.