GRC : articles et guides.
Tous les articles CloudSoul sur ce thème, du plus récent au plus ancien.
Comment répondre à un questionnaire de sécurité client : CAIQ, SIG, VSA et les trois questions qui se cachent derrière
Répondez une fois aux trois questions derrière chaque ligne, avec une bibliothèque par mesure. Un CAIQ d'environ 260 questions prend alors 2 à 4 jours, pas 2 à 3 semaines. Les formats, pourquoi l'incohérence fait perdre des affaires, ce qu'ISO 27001 couvre et quoi demander.
ISO 27001 vs NIS2 : comment les deux se recoupent, et comment faire les deux en une seule fois
Un SMSI ISO 27001 couvre environ 70 à 80 % de l'article 21 de NIS2 : cinq des dix mesures entièrement, cinq en partie. Le tableau de correspondance, là où « partielle » pèse, les cinq obligations NIS2 qu'aucun SMSI ne contient, et comment mener les deux en un seul programme.
Audit interne et revue de direction ISO 27001 : ce qu'exigent les clauses 9.2 et 9.3, à quelle fréquence, et ce que vérifient les auditeurs
L'ISO 27001 exige audits internes (9.2) et revues de direction (9.3) à intervalles planifiés. Aucune fréquence n'est fixée, mais chaque visite de certification contrôle les deux : en pratique, au moins une fois par an. Exigences, sept éléments d'entrée, constats des auditeurs.
Annexe A ISO 27001 : les 93 mesures en 4 thèmes, regroupées selon la façon dont vous allez vraiment les mettre en œuvre
L'annexe A de l'ISO 27001:2022 compte 93 mesures en quatre thèmes : organisationnelles (37), liées aux personnes (8), physiques (14) et technologiques (34), dont 11 nouvelles. La liste complète, les changements depuis 2013 et un regroupement par type de travail.
Périmètre ISO 27001 et déclaration d'applicabilité : comment les rédiger
Le périmètre ISO 27001 est la frontière de votre système de management et figure sur le certificat. La déclaration d'applicabilité liste les 93 mesures de l'annexe A et sert de base à l'audit. Comment tracer le périmètre, justifier les exclusions et tenir les deux à jour.
NIS2 article 28 : les obligations relatives aux données d'enregistrement des noms de domaine (WHOIS) pour les registres et les bureaux d'enregistrement
Article 28 de NIS2 : registres de TLD, bureaux d'enregistrement et revendeurs doivent tenir des données d'enregistrement exactes et complètes, les vérifier, publier les données non personnelles et répondre aux demandes d'accès sous 72 h. Champ, données, RGPD, liste de contrôle.
NIS2 en Allemagne : ce qu'exigent la loi NIS2UmsuCG et le nouveau BSIG, qui est concerné et les échéances du BSI
NIS2 s'applique en Allemagne depuis le 6 décembre 2025 via la NIS2UmsuCG et un nouveau BSIG. Champ d'application (§ 28), délai d'enregistrement déjà expiré (§ 33), notification (§ 32), mesures (§ 30), obligations de la direction (§ 38) et amendes (§ 65), mis en regard de NIS2.
Formations obligatoires NIS2 : qui doit être formé, sur quoi et à quelle fréquence
NIS2 impose une formation en cybersécurité aux membres de l'organe de direction et fait de la formation du personnel une mesure minimale. Ni durée, ni certificat, ni organisme agréé. Le texte, les règles d'exécution, un plan de formation et un modèle de registre.
NIS2 en Belgique : ce qu'exige la loi du 26 avril 2024, qui est concerné et les échéances du CCB
La loi belge NIS2, la loi du 26 avril 2024, s'applique depuis le 18 octobre 2024, avec le CCB comme autorité nationale. Champ d'application, enregistrement sur Safeonweb@work, notification des incidents, voies CyberFundamentals et ISO 27001, échéances de 2026 et 2027, amendes.
Compétence NIS2 : quel État membre vous supervise, et comment fonctionne la règle de l'établissement principal
Selon NIS2, l'État membre où vous êtes établi vous supervise. Les télécoms relèvent de chaque pays desservi ; le cloud, les MSP et autres fournisseurs numériques, de leur établissement principal. Règles, test de cet établissement, acteurs hors UE, assistance mutuelle, groupes.
NIS2 et DORA dans les services financiers : quand DORA s'applique à la place de NIS2, et où s'inscrit CER
NIS2 et DORA : NIS2 ne vise que banques, plateformes de négociation et contreparties centrales, et même là DORA remplace ses règles de risque et d'incident. Assureurs, entreprises d'investissement, établissements de paiement, gestionnaires de fonds : DORA seul. Délais et CER.
NIS2 et RGPD : les différences, les recoupements et comment gérer un même incident au titre des deux textes
Le RGPD protège les données personnelles, NIS2 les systèmes des services essentiels et importants. Un incident peut déclencher les deux : alerte précoce NIS2 sous 24 heures, notification RGPD sous 72 heures. Tableau comparatif, amendes, exemple concret et procédure commune.
Qui contrôle le respect de NIS2 ? Autorités compétentes, CSIRT et organes de l'UE en arrière-plan
Les autorités compétentes nationales appliquent NIS2 ; les incidents se notifient à un CSIRT national ou à l'autorité. Rôle des organismes nationaux et européens, ceux avec qui une entreprise traite, comment les trouver et ce que la proposition de 2026 changerait pour l'ENISA.
Amendes et sanctions NIS2 : combien, pour quels manquements et ce que les autorités peuvent faire d'autre
Pour l'article 21 ou 23, le droit national doit prévoir des amendes NIS2 d'un montant maximal d'au moins 10 millions d'euros ou 2 % du chiffre d'affaires mondial (essentielles), 7 millions ou 1,4 % (importantes). Déclencheurs, groupe, RGPD, pouvoirs, responsabilité personnelle.
Entités essentielles et importantes NIS2 : comment votre entité est classée et ce qui change pour vous
Les grandes entités de l'annexe I et quelques catégories désignées sont essentielles ; les autres entités des annexes I et II visées sont importantes. Les deux suivent les mêmes articles 20, 21 et 23. Supervision, exécution et amendes diffèrent. Classement et conséquences.
Obligations de la direction au titre de NIS2 : ce qu'exige l'article 20 et quand la responsabilité des dirigeants peut être engagée
Selon l'article 20 de NIS2, l'organe de direction approuve les mesures de l'article 21, supervise leur mise en œuvre et peut être tenu responsable ; ses membres doivent suivre une formation. Chaque devoir, la délégation, la responsabilité et un modèle de dossier.
Article 21 de NIS2 : les 10 mesures de gestion des risques en matière de cybersécurité expliquées
L'article 21 de NIS2 impose des mesures appropriées et proportionnées pour gérer les risques de cybersécurité, fondées sur une approche « tous risques », et fixe dix mesures minimales. Leur sens en pratique, la notion de proportionnalité et les preuves qu'une autorité demandera.
Champ d'application NIS2 : NIS2 s'applique-t-elle à votre entreprise ? La vérification en quatre étapes
NIS2 s'applique aux entités d'un type visé à l'annexe I ou II, au moins de taille moyenne et actives dans l'UE, et à une courte liste d'entités couvertes quelle que soit leur taille. Quatre étapes, un tableau de décision, les règles de taille, les exclusions, l'enregistrement.
Conformité NIS2 : les obligations de la directive, qui est concerné et par où commencer
NIS2, c'est quoi ? Une directive pour les moyennes et grandes entités de 18 secteurs. Conformité NIS2 : enregistrement, approbation et formation des dirigeants, dix mesures minimales, incidents notifiés sous 24 heures. Champ, obligations, amendes, droit national, plan à 90 jours.