Il existe une pléthore de réglementations cyber, bien au-delà de celles listées ici. Quelle que soit la vôtre, la méthodologie d’analyse reste la même. La grande majorité reposent réellement sur de l’ISO 27001 augmenté d’un ou deux chapitres spécifiques (analyse de risque → traçabilité → indicateurs) et se recoupent largement, de l’ordre de 70 %. Même une réglementation que nous ne connaissons pas encore, nous savons monter en compétence dessus : nous nous adaptons à la réglementation cyber applicable à votre métier.
NIS2, DORA, SecNumCloud, CRA, RGPD : des exigences qui se recoupent largement. Nous cadrons chaque obligation applicable à votre métier, puis nous mutualisons les chantiers communs plutôt que de multiplier les démarches.
NIS2 impose une obligation de moyens, pas une certification. L’autorité compétente (l’ANSSI en France) peut demander à vérifier vos mesures. Beaucoup d’entreprises pensent ne pas être concernées alors qu’elles le sont, notamment dans la santé, l’énergie, le numérique ou les transports.
Si votre entité est soumise à NIS2 en plus de DORA, les deux textes partagent des exigences : analyse de risques, gestion des incidents, sécurité de la chaîne d’approvisionnement. Nous construisons un programme unique qui répond aux deux, en identifiant les spécificités de chaque texte.
L’obtention de la qualification est un parcours long (6 à 18 mois) qui exige une préparation rigoureuse. L’ANSSI évalue la maturité technique, l’organisation et la résistance aux injonctions étrangères. Un écart non anticipé peut retarder la qualification de plusieurs mois.
Le CRA s’applique aux « produits avec éléments numériques », ce qui inclut les logiciels commerciaux, y compris le SaaS. Les textes d’application sont encore en cours de finalisation : nous suivons les guidance de l’ENISA pour vous donner une interprétation à jour, pas une lecture figée dans le texte de 2024.
Nous prenons en charge la mise en conformité concrète : cartographie des traitements, constitution du registre et mise en place des process associés, avec une gestion temporaire possible du registre avant transfert à vos équipes. Sur le volet strictement juridique, nous travaillons en complémentarité de votre juriste ou DPO.
Quelle que soit la réglementation, la démarche produit les mêmes livrables concrets : de la qualification de vos obligations jusqu’au dossier de preuves, réutilisables d’un texte à l’autre.
Votre statut réglementaire (entité essentielle/importante, entité financière, fabricant…) et les obligations réellement applicables à votre métier.
Écarts entre vos pratiques et les exigences du texte, chiffrés et priorisés, sur la base d’un socle ISO 27001 mutualisé entre réglementations.
Feuille de route avec budget, porteurs et échéances. Les chantiers communs à plusieurs textes sont mutualisés pour ne pas doublonner.
Politiques, procédures, registres (traitements, contrats ICT…) et processus de notification mis en place et adaptés à votre organisation.
Preuves d’application prêtes à présenter à l’autorité compétente (ANSSI, régulateur) ou à un auditeur, et indicateurs de suivi dans le temps.
Détermination de votre statut et des obligations applicables, définition du périmètre.
2–3 sem.Analyse des écarts face aux exigences du référentiel, chiffrés et priorisés.
4–6 sem.Feuille de route priorisée avec budget, porteurs et échéances, chantiers mutualisés.
2–3 sem.Pilotage des chantiers : politiques, registres, process, notifications, mesures techniques.
Sur mesureDossier de conformité, indicateurs et revue dans le temps face aux évolutions des textes.
Continu