Gouvernance et conformité cyber : NIS2, DORA, ISO 27001
Passez d'obligations réglementaires dispersées à un plan de sécurité piloté, documenté et défendable devant un auditeur ou votre direction générale.
Pourquoi la conformité s'enlise
Plusieurs référentiels, une seule équipe
NIS2, DORA, ISO 27001, exigences clients : les obligations se recoupent, mais chacune arrive avec ses propres questionnaires.
Un RSSI souvent seul
Le RSSI porte la stratégie, l'opérationnel et le reporting. Les sujets de fond prennent du retard.
Des preuves difficiles à produire
Les mesures existent parfois, mais elles ne sont ni tracées ni mesurées. L'audit le révèle trop tard.
Une conformité mesurable
Ce que vous obtenez
- Analyse d'écart par référentiel, avec un niveau de maturité par domaine
- Plan d'action priorisé selon le risque, l'effort et les échéances réglementaires
- Politiques et procédures rédigées ou mises à jour
- Analyse de risques selon EBIOS Risk Manager
- Tableau de bord de conformité pour le comité de direction
- Dossier de preuves prêt pour l'audit
Comment nous intervenons
En mission de conseil cadrée sur un livrable, ou en assistance technique avec un consultant GRC ou un RSSI de transition intégré à votre organisation.
Pour une entité concernée par plusieurs textes, nous construisons un référentiel commun de contrôles. Une mesure documentée une fois répond à plusieurs exigences.
Quatre étapes jusqu'à l'audit
Diagnostic
Entretiens, revue documentaire et analyse d'écart sur le ou les référentiels concernés.
3 à 4 semainesPriorisation
Plan d'action chiffré, validé avec la direction et les métiers.
1 à 2 semainesMise en œuvre
Rédaction, déploiement des mesures, sensibilisation des équipes.
Selon le planPréparation d'audit
Revue des preuves, audit à blanc, plan de correction des derniers écarts.
2 à 3 semaines
Les experts mobilisés
- RSSI de transition
- Consultant GRC
- Auditeur ISO 27001 Lead Auditor
- Risk manager EBIOS RM
- Chef de projet conformité
Les organisations que nous accompagnons
Entités essentielles et importantes au sens de NIS2, établissements financiers soumis à DORA, entreprises qui visent la certification ISO 27001 ou qui doivent répondre aux exigences de sécurité de leurs propres clients. Dans tous les cas, l'objectif est le même : une gouvernance qui fonctionne au quotidien, et pas seulement le jour de l'audit.
Nous travaillons avec le RSSI, la direction des risques, la DSI et les métiers. Le plan d'action est construit avec eux, pour que chaque mesure ait un responsable et une échéance réaliste.
Vos questions
Mon entreprise est-elle concernée par NIS2 ?
NIS2 vise les entités essentielles et importantes de nombreux secteurs, selon leur taille et leur activité. Un premier échange permet de vérifier votre statut et les obligations qui en découlent.
Quelle différence entre NIS2 et DORA ?
DORA s'applique au secteur financier et porte sur la résilience opérationnelle numérique, y compris la gestion des prestataires TIC. NIS2 couvre un champ sectoriel plus large. Une entité financière doit souvent articuler les deux.
Pouvez-vous fournir un RSSI à temps partiel ?
Oui, en assistance technique sur quelques jours par semaine. C'est une solution fréquente pour les organisations qui n'ont pas besoin d'un RSSI à temps plein.
Un audit ou une échéance réglementaire en vue ?
Faisons le point sur votre niveau de conformité et les priorités des prochains mois.