Rapports

L’écran Analyse › Rapports réunit deux types de rapports :

• les rapports de veille : un PDF qui fait le point sur une période (exposition, menaces, traitement), pour un projet ou pour tous vos projets ;
• la preuve de remédiation : les éléments qu’un auditeur, un contrôle de l’ANSSI ou un assureur demandent (délais de correction, échéances tenues, exceptions, cadence des contrôles), reliés à NIS2 et au ReCyF ;
• la revue trimestrielle client, pour un infogérant : un PDF à sa marque pour la direction de chaque client ;
• le pack de preuves : le journal du devoir de conseil et le questionnaire d’assureur, scellés par une empreinte, en PDF, Excel ou CSV ;
• les rapports de conformité NIS2 pour la direction de l’organisation, quand NIS2 est en service.

1. Les onglets Veille et Conformité NIS2. Le second n’apparaît que si NIS2 est activé sur au moins un projet de l’organisation, que l’offre le permet et que vous en êtes membre.
2. Nouveau rapport de veille (ou Nouveau rapport NIS2 dans l’autre onglet).
3. Rechercher un rapport, par titre.
4. La liste : titre, date de génération et auteur (« Généré le … par … »), période.
5. Le téléchargement du PDF : PDF dans la langue de l’interface, et l’autre langue (EN ou FR) à côté.

La liste ne montre que les rapports du projet actif, choisi dans le sélecteur Projet actif en haut du menu (Contexte pour l’équipe d’un partenaire) : changez-le là pour voir ceux d’un autre projet. Sous la liste, le nombre de rapports et la profondeur d’historique permise par votre offre.

Qui voit quels rapports

Le rapport de veille d’un projet appartient à l’équipe : tous les membres qui ont le droit de voir les dossiers (« Voir les dossiers ») le trouvent dans leur liste, avec le nom de son auteur. Le télécharger demande le droit « Générer / exporter », le supprimer le droit « Supprimer un rapport ».

Générer un rapport

1. Cliquez sur Nouveau rapport. Un panneau s’ouvre à droite.
2. Choisissez le Modèle : Rapport de veille, Preuve de remédiation, en mode partenaire Revue trimestrielle client, puis le pack de preuves : Journal du devoir de conseil ou Questionnaire d’assureur (voir plus bas).
3. Choisissez la Période : 30 derniers jours, Mois dernier, Trimestre dernier ou Période personnalisée. Sous chaque choix, les dates exactes.
4. Vérifiez le Périmètre : le rapport de veille porte sur le projet actif (sélecteur Projet actif, en haut du menu) ; la preuve de remédiation, sur ce projet ou sur toute l’organisation ; la revue trimestrielle, toujours sur l’organisation. Pour un autre projet, changez-le là avant de générer.
5. Relisez le Titre du rapport : il est proposé d’après la période (« Rapport de veille — 27 août – 25 septembre 2026 ») et reste modifiable ; il apparaît sur la couverture du PDF.
6. Cliquez sur Générer le rapport. Le rapport s’ajoute à la liste et son aperçu s’ouvre.

Pour une Période personnalisée, un calendrier s’ouvre : cliquez la date de début, puis la date de fin.

Les règles appliquées :

• la période fait 13 mois au plus (400 jours) et ne dépasse pas aujourd’hui ;
• elle ne remonte pas au-delà de l’historique de votre offre : 12 mois avec Team, 36 mois avec Pro, sans limite avec Business. Ce sont des mois calendaires : avec 12 mois, le 26 septembre 2026, la période peut commencer au 26 septembre 2025 ; un jour qui n’existe pas dans le mois de départ est ramené à la fin de ce mois (31 mai moins 3 mois donne le 28 ou le 29 février). Au-delà, le formulaire l’indique et la génération est refusée ; le formulaire et le serveur appliquent exactement la même borne ;
• les chiffres sont calculés au moment de la génération puis conservés : un rapport ne change plus ensuite, même si les données évoluent. Pour une photo à jour, générez-en un nouveau.

La liste elle-même ne montre que les rapports générés dans la profondeur d’historique de votre offre, les plus récents d’abord, 200 au plus.

L’aperçu

Cliquez sur une ligne pour ouvrir l’aperçu : c’est, à l’écran, le contenu de la première page utile du PDF.

• Niveau d’exposition : Faible, Modéré, Élevé ou Critique, avec ses raisons. Il se calcule sur les vulnérabilités encore ouvertes à la date de génération :

  • Critique : une vulnérabilité exploitée de gravité critique reste ouverte, ou au moins 5 critiques ;
  • Élevé : une vulnérabilité exploitée ou une critique reste ouverte ;
  • Modéré : une vulnérabilité de gravité élevée, ou au moins 5 de gravité moyenne, restent ouvertes ;
  • Faible : sinon.

  Pour un rapport plus ancien que ce suivi, le niveau est estimé sur le flux d’alertes, et l’aperçu le précise.

• Quatre indicateurs : Alertes reçues, Alertes critiques, Alertes exploitées (comparées à la période précédente de même durée), et Dossiers clôturés (résolus, acceptés ou non applicables, sur l’ensemble des dossiers).

• À retenir : trois à cinq phrases rédigées d’après les chiffres (évolution du volume, alertes exploitées, part des critiques, respect des délais de votre politique de remédiation, dossiers anciens, éditeur le plus représenté).

• Plan d’action : jusqu’à 5 vulnérabilités encore ouvertes à traiter en premier, les exploitées d’abord, puis dans l’ordre de la politique de priorisation.

• Gravité des alertes, Alertes par semaine (avec le pic), Éditeurs les plus concernés (5 premiers).

En pied de panneau : Supprimer (un second clic sur Confirmer la suppression est demandé) et Télécharger le PDF, avec l’autre langue à côté.

Le PDF

Le PDF se télécharge en français ou en anglais, quelle que soit la langue de l’interface. Il complète l’aperçu :

Partie	Contenu
Couverture	titre, périmètre, période, auteur, date d’édition, référence, mention « Confidentiel »
Sommaire	avec une note « À propos de ce rapport »
1. Synthèse	niveau d’exposition, indicateurs, à retenir, puis le Plan d’action
2. Exposition et menaces	gravité des alertes, évolution hebdomadaire, signaux d’exploitation, éditeurs et produits les plus concernés
3. Traitement des vulnérabilités	délais par sévérité et respect des engagements de la politique de remédiation, ancienneté des dossiers ouverts, nature des clôtures, état des dossiers de la période, activité par membre
A. Détail des vulnérabilités	la liste détaillée
B. Méthode et définitions	comment chaque chiffre est calculé, et les sources

Marque blanche

Sur la couverture et en tête de page figure le logo de TechWatchAlert. Pour une organisation partenaire, ou l’un de ses clients, qui a un logo (le sien ou, pour un client, celui de son partenaire), ce logo remplace celui de la plateforme sur tous ses PDF : rapports de veille, rapports NIS2, registres. Selon le nombre de clients du partenaire, il peut être suivi de la mention « via TechWatchAlert ». Le logo du partenaire se dépose dans l’Espace partenaire : voir Équipe, facturation et marque.

Preuve de remédiation

Pour un auditeur, un contrôle de l’ANSSI ou un assureur : ce que l’organisation peut montrer sur sa façon de corriger, sur une période. Choisissez le modèle Preuve de remédiation, la période (le Trimestre dernier est proposé) et le périmètre : le projet actif ou toute l’organisation (les projets de l’organisation dont vous pouvez exporter les rapports).

L’aperçu reprend la première page du PDF : Délai médian, critiques, Clôtures dans la cible, Exploitées corrigées à l’échéance, Exceptions en cours, Semaines avec un scan, et les points à retenir.

Partie du PDF	Contenu
1. Synthèse	les tuiles, les points à retenir et la politique de correction appliquée (délai par sévérité, plafond pour une faille exploitée, escalade)
2. Délais de correction	par sévérité, de la détection à la clôture : dossiers clos, médiane, p90, cible et part dans la cible ; nature des clôtures (corrigées, non applicables, risque accepté) et réouvertures ; échéances de toutes les failles
3. Failles exploitées	celles corrigées sur la période, à l’échéance ou non, et celles encore ouvertes au-delà de leur échéance
4. Exceptions en cours	les risques acceptés (approuvés ou en attente) avec leur date de revue et leurs mesures compensatoires
5. Cadence des imports	scans importés par projet (outil, écart médian et maximal entre deux imports, dernier scan), semaines couvertes, connecteurs d’inventaire, correctifs démentis par le dernier scan
6. Failles ouvertes les plus anciennes	les douze plus anciennes, avec leur âge, leur échéance et leur état
7. Correspondance avec les textes	chaque élément relié aux références NIS2 (directive (UE) 2022/2555, règlement d’exécution (UE) 2024/2690, § 6.6 et § 6.10) et aux thèmes du ReCyF v2.5 de l’ANSSI, avec la page où le vérifier
A. Méthode et définitions	détection, clôture, délai, cible, échéance, faille ouverte, faille exploitée

Des éléments de preuve, pas une attestation

Le document rassemble des éléments à l’appui des exigences citées ; il ne dit pas que l’organisation est conforme, et sa dernière page le rappelle. Les thèmes du ReCyF sont formulés par TechWatchAlert, sans numéro de mesure : les intitulés et la numérotation officiels sont ceux du référentiel publié par l’ANSSI.

Les exceptions datées viennent du registre des risques acceptés de l’espace Conformité NIS2 (offre Pro). Sans lui, la section le dit et compte les dossiers marqués « Risque accepté » sans justification.

Revue trimestrielle client

Pour un infogérant (organisation partenaire) et ses clients : un PDF à la marque du partenaire pour la direction d’un client. Le modèle Revue trimestrielle client n’apparaît qu’en mode partenaire (votre organisation est partenaire, ou cliente d’un partenaire) et porte toujours sur l’organisation du projet actif.

• Résumé exécutif : niveau d’exposition (mêmes règles que le rapport de veille), quatre chiffres comparés à la période précédente (Nouvelles failles, Failles traitées, Failles ouvertes, Délai médian de correction) et l’essentiel en quelques phrases ;
• Évolution sur le trimestre : failles détectées et traitées mois par mois, par gravité, délais de correction ;
• Actions recommandées : corriger les failles exploitées, mettre à jour les composants qui ferment le plus de failles, rattraper les corrections en retard, planifier la sortie des logiciels hors support ;
• Fins de vie à venir : logiciels en fin de support ou à moins de six mois de l’être.

La couverture, les filets et les numéros prennent la couleur de la marque du partenaire, réglée avec son logo (voir Équipe, facturation et marque) ; les couleurs de gravité ne changent pas. L’équipe du partenaire peut aussi produire la revue d’un client, ou de tous en une archive, depuis l’Espace partenaire (voir Alertes et rapports).

Rapports d'organisation

Une preuve sur toute l’organisation et une revue trimestrielle n’ont pas de projet : elles ne sont visibles que de leur auteur, dans la liste du projet actif quand il appartient à cette organisation, avec la mention « Organisation … ».

Pack de preuves

Deux modèles pour montrer, pièces à l’appui, comment les alertes ont été suivies. Ils s’adressent d’abord aux infogérants (un prestataire répond d’un devoir de conseil envers son client) et à toute organisation qui remplit le questionnaire de son assureur cyber. Comme la preuve de remédiation, ils portent sur le projet actif ou sur toute l’organisation.

Journal du devoir de conseil

Pour chaque CVE alertée pendant la période (une ligne par projet et par CVE), le journal reprend, horodaté :

Entrée	Ce qui est repris
Alerte	la date de l’alerte ; « rattrapage d’historique » quand la CVE était déjà publiée à l’ajout du composant (alerte créée sans notification)
Notification	chaque notification réellement remise : canal (application, e-mail, webhook), destinataire, date, issue (remise ou en échec)
Conseil	les commentaires du dossier avec leur auteur, la note du dossier, et les mesures provisoires et versions corrigées publiées (telles que connues à la génération)
Décision	les changements de statut avec leur auteur et leur date (« Automatique » pour un workflow ou l’échéance d’une exception), l’atténuation ou le risque accepté en cours avec son échéance, les demandes et décisions du registre des risques
Clôture	la date du passage au statut final

Ce qui n’a pas été enregistré n’est jamais déduit :

• Non tracé : l’alerte est antérieure à l’enregistrement durable des notifications et rien n’en subsiste. Cela ne veut pas dire que rien n’est parti ;
• Aucune notification envoyée : l’alerte est postérieure à cet enregistrement et personne n’a été notifié (préférences des destinataires, workflow).

La date de mise en service de cet enregistrement figure dans la synthèse. Depuis, chaque notification d’alerte remise est conservée sans le contenu du message, au-delà de la purge des journaux techniques (30 jours pour les e-mails envoyés). Au-delà de 1 500 alertes sur la période, les plus graves sont reprises et le document indique combien il en omet.

Questionnaire d’assureur

Des réponses factuelles aux questions types, chacune avec l’écran où la vérifier :

• politique de correctifs : les délais cibles de votre politique de remédiation, par sévérité, et le plafond d’une faille exploitée ;
• respect des délais sur la période (douze derniers mois proposés), par sévérité et pour les failles exploitées (catalogue KEV, EUVD, CERT-FR) : mêmes règles que l’écran Échéances ;
• délai moyen et médian de correction, de la détection à la clôture, en jours ;
• failles exploitées encore ouvertes, dont les critiques, et leur ancienneté ;
• exceptions en cours (risques acceptés du registre, dossiers atténués) avec leur échéance ;
• composants hors support et leur plan de sortie ;
• date du dernier scan importé, projet par projet ;
• sources de veille synchronisées par la plateforme et leur dernière synchronisation réussie.

Des faits, pas une attestation

Ni le journal ni le questionnaire ne disent que l’organisation est conforme : ils reproduisent ce que montrent ses registres, et le disent en couverture comme en dernière page.

Empreinte et exports

À la génération, le contenu du rapport est scellé : son empreinte SHA-256 est calculée, figure dans l’aperçu, en couverture et au pied de chaque page du PDF (en entier en annexe), sur la feuille Intégrité du classeur et sur la dernière ligne du CSV. Elle est inscrite au journal d’audit de l’organisation, de même qu’à chaque export l’empreinte du fichier remis.

• Dans le pied du panneau d’aperçu, Excel et CSV s’ajoutent à PDF ;
• Vérifier l’empreinte recalcule l’empreinte du contenu, confirme qu’il est intact et compte les exports journalisés. Pour un fichier transmis, comparez son empreinte SHA-256 à celles du journal d’audit.

Un infogérant produit aussi ces deux documents pour chacun de ses clients depuis l’Espace partenaire (voir Alertes et rapports).

Planification

Les rapports de veille se génèrent à la demande : il n’existe pas d’envoi programmé. Les rapports NIS2, eux, peuvent être produits automatiquement (voir ci-dessous).

Rapports de conformité NIS2

L’onglet Conformité NIS2 liste les rapports pour la direction de l’organisation, les mêmes que dans l’espace Conformité.

1. La périodicité du rapport automatique (« Rapport automatique : trimestriel »). Le lien ouvre le réglage dans l’espace Conformité.
2. L’historique : période couverte, origine (À la demande, Mensuel, Trimestriel), date et auteur, une pastille par obligation (son statut à la date du rapport), et le téléchargement PDF dans la langue du rapport ou dans l’autre.

Nouveau rapport NIS2 ouvre le panneau de génération : Période couverte (Trimestre écoulé, Mois écoulé ou Personnalisée, 366 jours au plus) et Langue. Un rapport fige l’état des registres à sa date.

• Le rapport automatique est généré le 1er du mois ou du trimestre à 6 h (heure de Paris) et adressé à la direction et au responsable de la sécurité. Sa périodicité se règle dans l’espace Conformité, par les administrateurs de l’organisation.
• Ces rapports sont lus par les propriétaires et administrateurs de l’organisation et par les responsables NIS2 ; les autres membres voient « Réservé à la direction et aux responsables NIS2 ».
• S’il y a plusieurs organisations, un sélecteur permet de passer de l’une à l’autre.

Le détail du contenu et des réglages est dans Conformité NIS2 › Réglages et rapport direction.

Qui peut faire quoi

Action	Lecteur	Analyste	Administrateur	Propriétaire
Voir les rapports de veille des projets et leur aperçu	✓	✓	✓	✓
Générer et télécharger un rapport de veille		✓	✓	✓
Supprimer un rapport de veille du projet (quel qu’en soit l’auteur)		✓	✓	✓

Ce sont les droits par défaut ; ils se règlent membre par membre (voir Équipe, rôles et groupes). Pour les rapports NIS2, voir ci-dessus.

Offre : les rapports de veille sont inclus dans les offres Team (12 mois d’historique), Pro (36 mois) et Business (sans limite). Avec Free, l’onglet Veille présente l’offre et, pour le propriétaire de l’organisation, le bouton Voir les offres.

Questions fréquentes

Je vois un rapport généré par un collègue : qui en est l’auteur dans le PDF ? Le collègue qui l’a généré, et non la personne qui le télécharge : son nom figure dans la liste et sur la couverture. Les alertes y sont comptées « lues » ou non selon la lecture de l’auteur, la lecture étant personnelle.

Puis-je modifier un rapport déjà généré ? Non : il fige les chiffres de sa date. Supprimez-le et générez-en un autre.

Le PDF anglais est-il une traduction du rapport français ? C’est le même rapport, rédigé dans l’autre langue au moment du téléchargement.

Disponible selon votre offre

Le pack de preuves (journal du devoir de conseil, questionnaire d’assureur) a sa propre fonction d’offre, en plus des rapports (Team et plus). Hors offre, ses deux modèles portent un cadenas et le nom de l’offre qui les ouvre ; les choisir ouvre la fenêtre d’abonnement. Un pack déjà généré ne s’exporte plus tant que l’offre ne l’inclut pas. Voir aussi : Abonnement › pages, vues et éléments.

Voir aussi

Statistiques

Tableau de bord

Conformité NIS2 › Réglages et rapport direction

Espace partenaire : équipe, facturation et marque