Offre · Gouverner
Conformité réglementaire : toutes vos obligations, un seul plan.
NIS2, DORA, RGPD, AI Act, HDS, PCI DSS, exigences de vos clients : les textes s'empilent et se recoupent. Plutôt que de lancer un projet par réglementation, nous identifions celles qui vous concernent vraiment, nous mutualisons les exigences communes et nous construisons un seul plan d'action, mené par des spécialistes certifiés et vérifié sur le terrain par nos experts techniques.
L'enjeu
Une réglementation à la fois,c'est six fois plus de travail.
La plupart des réglementations cyber demandent au fond les mêmes choses : connaître ses risques, protéger les accès, sauvegarder, détecter, réagir aux incidents, maîtriser ses fournisseurs et en apporter la preuve. Traitées séparément, elles produisent des documents en double, des équipes épuisées et des trous entre les projets. Nous partons de vos obligations réelles, nous construisons un socle commun, puis nous ajoutons ce que chaque texte exige en propre.
Les référentiels
Six cadres réglementaires,un seul socle.
Nous commençons par déterminer lesquels s'appliquent à vous, à quel titre et avec quelles échéances. Les normes ISO 27001 et ISO 42001 servent de socle quand c'est pertinent.
-
NIS2
Entités essentielles et importantes : gestion des risques, notification des incidents, responsabilité de la direction, chaîne d'approvisionnement.
Vous anticipez : les contrôles et les obligations de vos dirigeants.
-
DORA
Secteur financier et prestataires informatiques critiques : gestion du risque informatique, incidents, tests de résilience, risques des tiers.
Vous répondez : aux attentes de votre régulateur et de vos clients financiers.
-
RGPD, volet sécurité
Sécurité des traitements, analyses d'impact, violations de données, sous-traitants et transferts.
Vous protégez : les données personnelles avec des mesures prouvées.
-
AI Act
Inventaire et classement des usages d'IA, obligations selon le niveau de risque, articulation avec ISO 42001.
Vous encadrez : l'IA avant qu'elle ne vous expose.
-
HDS
Hébergement de données de santé : exigences du référentiel de certification, périmètre et préparation de l'audit.
Vous hébergez : des données de santé en toute légalité.
-
PCI DSS
Données de cartes de paiement : réduction du périmètre, exigences techniques et organisationnelles, préparation de l'évaluation.
Vous acceptez : les paiements sans exposer les cartes de vos clients.
Le déroulé
De l'analyse d'écartau contrôle réussi.
Un seul projet, un seul interlocuteur, et un planning construit à rebours depuis vos échéances réglementaires.
Applicabilité
Quels textes vous concernent, à quel titre et pour quand.
Analyse d'écart
Votre niveau mesuré face à chaque exigence, sur preuves.
Plan unique
Exigences communes mutualisées, actions priorisées, responsables et budget.
Mise en œuvre
Documents utiles, mesures techniques et organisationnelles appliquées.
Audit blanc
Répétition générale avant le contrôle, l'audit ou la certification.
Les mesures techniques peuvent être vérifiées par nos experts offensifs, pour une conformité qui résiste à une vraie attaque.
Ce que vous recevez
Une matrice de conformitélisible par tous.
Chaque exigence est reliée aux textes qui l'imposent, à la mesure qui la couvre, à sa preuve et à son responsable. Une mesure peut couvrir plusieurs réglementations à la fois.
- Analyse d'applicabilité et d'écart
- Matrice de conformité multi-référentiels
- Plan d'action unique et priorisé
- Rapport d'audit blanc avant le contrôle
Notification des incidents de sécurité non formalisée
Les incidents sont traités au cas par cas, sans circuit de décision ni modèle de notification. Les délais imposés par les trois textes ne pourraient pas être tenus.
Le bon moment
Quand s'ymettre ?
Une mise en conformité prend plusieurs mois. Les organisations qui commencent par l'analyse d'applicabilité gagnent un temps précieux.
-
Une échéance approche
Contrôle, audit de certification ou entrée en application d'un texte.
Vous arrivez : prêt, sans course de dernière minute.
-
Un client l'exige
Banque, santé, industrie ou grand compte qui vous impose ses règles.
Vous gardez : le contrat et en gagnez d'autres.
-
Vous changez d'activité
Nouveau marché, données de santé, paiement en ligne, IA.
Vous démarrez : dans les règles dès le premier jour.
-
Les textes s'accumulent
Plusieurs projets de conformité menés en parallèle.
Vous simplifiez : avec un socle commun.
- Mutualiséune exigence commune traitée une seule fois
- Proportionnél'effort adapté à votre taille et à vos risques
- Vérifiédes mesures testées par nos experts techniques
- Indépendancenous ne sommes ni votre auditeur officiel ni votre certificateur
Questions fréquentes
Vos questions,nos réponses.
Une question qui n'est pas ici ? Écrivez-nous à contact@soya-cyber.fr.
Comment savoir quelles réglementations nous concernent ?
Tout dépend de votre secteur, de votre taille, des données que vous traitez et de vos clients. Notre analyse d'applicabilité le détermine précisément, texte par texte, avant tout autre chantier.
NIS2 et DORA s'appliquent-elles en même temps ?
Pour le secteur financier, DORA s'applique en priorité sur les sujets qu'elle couvre. Certaines organisations relèvent toutefois des deux, directement ou comme prestataires. Nous construisons un dispositif qui répond aux deux sans doublon.
Remplacez-vous notre DPO ?
Non. Nous traitons le volet sécurité du RGPD : mesures de sécurité, violations de données, sous-traitants et analyses d'impact, en lien étroit avec votre délégué à la protection des données.
Délivrez-vous les certifications HDS ou PCI DSS ?
Non. Les certifications et évaluations officielles sont délivrées par des organismes accrédités ou qualifiés. Nous vous préparons, nous menons l'audit blanc et nous vous accompagnons pendant le contrôle.
Combien de temps dure une mise en conformité ?
Quelques semaines pour l'applicabilité et l'analyse d'écart, puis de quelques mois à un an selon le nombre de textes, votre point de départ et vos échéances.