Protection des données
Responsabilités, registre, bases légales, minimisation, droits, sous-traitants, sécurité et gestion des violations.
Objectif : des traitements gouvernés et une sous-traitance maîtrisée.
Audit & conformité
Évaluer votre conformité et construire un plan d’action réaliste.
IKNSA intervient sur le RGPD, NIS2, HDS, l’AI Act, DORA, le CRA et les référentiels associés. Nous évaluons votre situation, hiérarchisons les écarts et préparons les éléments attendus lors des contrôles et audits.
Conformité opérationnelle
Des cadres transverses et sectoriels, reliés au fonctionnement réel.
Le diagnostic détermine le périmètre applicable, les écarts prioritaires et les preuves déjà disponibles. Les exigences communes sont mutualisées sans créer d’équivalence artificielle entre les textes.
Résilience cyber
Gouvernance du risque, mesures de sécurité, continuité, chaîne d’approvisionnement, gestion et notification des incidents.
Objectif : préparer le périmètre et les preuves attendues en France.
Données de santé
Qualification du besoin, partage des responsabilités, architecture cible et migration vers des services d’hébergement certifiés HDS.
Objectif : utiliser un périmètre certifié sans ambiguïté de rôle.
Systèmes d’intelligence artificielle
Inventaire, rôle juridique, classification, transparence, maîtrise des fournisseurs, contrôle humain et surveillance.
Résilience du secteur financier
Cadre de risque TIC, incidents, tests, registre des tiers critiques, concentration et stratégies de sortie.
Objectif : démontrer la résilience des fonctions financières.
Cybersécurité des produits numériques
Risque produit, sécurité dès la conception, composants, support, vulnérabilités et dossier de conformité.
Périmètre HDS
Les prestations d’hébergement ou d’infogérance entrant dans le champ HDS sont réalisées sur un périmètre certifié. IKNSA conçoit et accompagne ces architectures en définissant clairement les responsabilités de chaque intervenant.
Notre approche
Du périmètre aux preuves, sans programme parallèle au SI.
La conformité devient durable lorsqu’elle rejoint les décisions d’investissement, les changements, l’exploitation et les contrats fournisseurs.
Qualifier
Entités, activités, données, services critiques, textes applicables et parties prenantes.
Évaluer
Risques, contrôles existants, écarts, dépendances et preuves disponibles.
Transformer
Feuille de route, mesures techniques, processus, contrats et accompagnement.
Démontrer
Dossiers de preuve, exercices, revues de direction et préparation des audits.
Démontrabilité
Une politique n’est pas une preuve d’efficacité.
Les contrôles doivent produire des éléments datés, attribuables et relisibles : décisions, résultats de tests, incidents, dérogations, revues et plans d’action. Nous construisons cette chaîne de preuve avec les équipes qui exploitent réellement le SI.
| Contrôle | Exemples de preuves |
|---|---|
| Gestion des risques | Cartographie, propriétaires, décisions, plans de traitement |
| Identités & accès | Revues, traces d’habilitation, comptes à privilèges, départs |
| Vulnérabilités | Inventaire, scans, délais, exceptions et acceptations |
| Continuité | Plans, tests de restauration, exercices, RPO et RTO observés |
| Fournisseurs | Évaluation, clauses, sous-traitants, niveaux de service, sortie |
Qui fait quoi
Accompagner n’est pas certifier. Préparer n’est pas s’auto-auditer.
Nous définissons les rôles avant l’intervention afin d’éviter toute promesse ambiguë ou conflit d’intérêts. Le pôle Audit & conformité est distinct du pôle Cybersécurité : ils peuvent contribuer à un même programme, mais leurs mandats, intervenants et livrables restent identifiés.
Les organismes certificateurs, auditeurs réglementés, DPO et prestataires techniques conservent leurs responsabilités propres. Lorsqu’une indépendance formelle est nécessaire, la mise en œuvre et l’évaluation ne sont pas confiées au même acteur.
- 1
Votre organisation décide et porte le risque
La direction valide le périmètre, les priorités et les risques résiduels.
- 2
Le pôle Audit & conformité structure
Qualification, diagnostic, feuille de route, coordination et préparation des preuves selon le mandat.
- 3
Le tiers habilité évalue lorsque requis
Organisme certificateur, auditeur qualifié ou conseil indépendant intervient dans son propre cadre.
- 4
Les mesures vivent dans le SI
Le pôle Cyber et les équipes d’exploitation mettent en œuvre, testent et améliorent les contrôles qui relèvent de leur mandat.
Questions fréquentes
Cadrer une démarche de conformité.
Pouvez-vous certifier notre conformité RGPD ou NIS2 ?
Nous pouvons réaliser un diagnostic, accompagner la mise en conformité et préparer les éléments de preuve. Nous ne présentons pas cet accompagnement comme une certification officielle. Lorsqu’un audit qualifié ou une certification est nécessaire, le tiers compétent est mandaté séparément.
Comment savoir si notre entreprise entre dans le champ de NIS2 ?
L’analyse porte sur l’entité juridique, la taille, le secteur, la nature des services et les cas particuliers prévus par les textes. En France, le cadre de transposition et les publications de l’ANSSI doivent être suivis ; nous datons toujours notre analyse et documentons les hypothèses.
Peut-on traiter RGPD, NIS2 et ISO 27001 dans une même trajectoire ?
Oui, en mutualisant la gouvernance des risques, la gestion des actifs, les fournisseurs, les incidents, la continuité et la preuve. Les exigences propres à chaque cadre restent identifiées pour éviter une équivalence artificielle.
Scénario d’intervention
Qualifier les obligations d’un service numérique de santé
Un éditeur traite des données de santé avec plusieurs hébergeurs et sous-traitants, sans vue commune des rôles RGPD, du périmètre HDS et des exigences cyber applicables.
Premières décisions à produire
- 01
Suivre les données et les activités d’hébergement de bout en bout.
- 02
Relier chaque entité, prestataire et contrat à son rôle réel.
- 03
Distinguer les contrôles communs des exigences propres à chaque cadre.
Sortie attendue
Une matrice activités–acteurs–obligations, les hypothèses à confirmer et un plan d’actions attribué plutôt qu’une conclusion générique de conformité.
Périmètres associés
Poursuivre par un sujet concret.
Explorez les missions et approches sectorielles directement reliées à cette expertise.
Audit SI 360°
Stratégie, patrimoine, opérations et risques
Voir le périmètreAudit cybersécurité
Posture, scénarios d’attaque et remédiations
Voir le périmètreAudit cloud & FinOps
Architecture, coûts, sécurité et dépendance
Voir le périmètreAudit du portefeuille applicatif
Valeur, criticité, dette et trajectoire
Voir le périmètreAudit des risques fournisseurs
Criticité, contrats, concentration et sortie
Voir le périmètrePréparation ISO/IEC 27001
Périmètre, risques, contrôles et audit interne
Voir le périmètreAudit d’accessibilité RGAA
Échantillon, tests manuels et plan de correction
Voir le périmètrePréparation PCI DSS
Périmètre carte, segmentation et validation
Voir le périmètreVotre projet
Parlons de vos priorités IT.
Modernisation d’applications, transformation cloud, cybersécurité, conformité ou pilotage de programme : présentez-nous votre contexte et vos objectifs.