.png&w=3840&q=75&dpl=dpl_4WWtFHEr9P8wkcdWCGky2WYKjEiM)
Des réponses claires aux questions GRC.
Chaque page répond à une question de conformité dès ses premières lignes, puis donne le détail, les sources et la façon dont Acuna GRC s’en charge. 91 réponses sur ISO 27001, NIS2, DORA, le RGPD, SOC 2, le Cyber Resilience Act, la gouvernance de l’IA et le droit suisse.
En bref
Les réponses GRC sont des réponses courtes et sourcées aux questions que posent les équipes conformité, sécurité et protection des données sur les référentiels, les réglementations et le pilotage d’un programme GRC. Chacune commence par une réponse directe de quelques phrases, puis donne le détail, les sources juridiques et les liens vers le guide du référentiel et la partie d’Acuna GRC qui le pilote.
Commencez par les questions clés.
- RéférentielsQu’est-ce qu’ISO 27001 ?
- RéférentielsQu’est-ce que NIS2 ?
- RéférentielsQu’est-ce que DORA dans le secteur financier ?
- Cyber Resilience ActQu'est-ce que le Cyber Resilience Act ?
- Protection des donnéesQu’est-ce qu’une AIPD dans le cadre du RGPD ?
- Risques fournisseursQu’est-ce que la gestion des risques fournisseurs (TPRM) ?
- Gouvernance de l’IAQui est responsable de la gouvernance de l’IA dans une entreprise réglementée ?
- PlateformeQu’est-ce qu’un logiciel de gouvernance et de conformité ?
ISO 27001, NIS2, DORA et SOC 2 : les réponses.
Ce que chaque référentiel exige, à qui il s’applique et où ils se recoupent.
Qu’est-ce qu’ISO 27001 ?
ISO 27001 est la norme internationale pour les systèmes de management de la sécurité de l’information (SMSI). Publiée par l’ISO/IEC, elle définit les exigences pour l’établissement, la mise en œuvre, le maintien et l’amélioration continue d’un SMSI. La révision 2022 inclut 93 contrôles répartis sur quatre thèmes : organisationnel, humain, physique et technologique.
Lire la réponseQu’est-ce que NIS2 ?
NIS2 (Directive (UE) 2022/2555) est la directive européenne sur la cybersécurité des entités essentielles et importantes. Elle élargit la première directive NIS, fixe les mesures de gestion des risques de l’article 21, responsabilise l’organe de direction et impose de signaler les incidents significatifs sous 24 heures, 72 heures puis un mois. Chaque État membre la transpose en droit national.
Lire la réponseQu’est-ce que DORA dans le secteur financier ?
DORA, le Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique, s’applique aux entités financières de l’UE depuis le 17 janvier 2025. Il encadre la gestion des risques TIC, le signalement des incidents TIC, les tests de résilience opérationnelle numérique (dont les TLPT pour les entités significatives), les risques TIC liés aux tiers et le partage d’informations sur les cybermenaces.
Lire la réponseQuelle est la différence entre GRC et SMSI ?
La GRC (gouvernance, risques et conformité) est la discipline qui encadre la manière dont une organisation dirige sa stratégie, gère ses risques et respecte ses obligations, dans tous les domaines. Un SMSI (système de management de la sécurité de l’information) applique cette démarche à la sécurité de l’information, généralement selon ISO 27001. Il est une composante du programme GRC.
Lire la réponseQu’est-ce que la cartographie de contrôles inter-référentiels ?
La cartographie de contrôles inter-référentiels identifie les points de recoupement entre les exigences de différents référentiels. Par exemple, ISO 27001 A.5.15 (contrôle d’accès) et NIS2 article 21(2)(i) (gestion des accès) décrivent essentiellement la même pratique. En cartographiant ces recoupements, les organisations mettent en œuvre et prouvent un contrôle une seule fois au lieu de dupliquer l’effort par référentiel.
Lire la réponseQu’est-ce qu’une Déclaration d’applicabilité dans ISO 27001 ?
La Déclaration d’applicabilité (DdA) est un document obligatoire dans ISO 27001 qui liste tous les contrôles de l’Annexe A, indique si chacun est applicable ou non applicable au périmètre du SMSI de l’organisation, fournit une justification pour les exclusions, et référence le statut de mise en œuvre de chaque contrôle applicable.
Lire la réponseQu’est-ce que le test de résilience opérationnelle au sens de DORA ?
Le Chapitre IV de DORA exige que les entités financières maintiennent un programme de test de résilience opérationnelle numérique. Cela inclut les évaluations de vulnérabilités, les tests de sécurité réseau, l’analyse des lacunes et les revues de sécurité des applications.
Lire la réponseQuelle est la différence entre SOC 2 Type I et Type II ?
SOC 2 Type I évalue si les contrôles sont conçus de manière appropriée à un point précis dans le temps. SOC 2 Type II évalue si ces contrôles ont fonctionné efficacement sur une période, généralement de 6 à 12 mois.
Lire la réponseQue sont les critères de services fiduciaires SOC 2 ?
Les critères de services fiduciaires (Trust Services Criteria, TSC) sont les référentiels publiés par l’AICPA sur lesquels un cabinet d’experts-comptables indépendant évalue les contrôles d’une organisation de services. Il existe cinq catégories. La Sécurité (critères communs, CC) est obligatoire et figure dans tout rapport SOC 2.
Lire la réponseQu’est-ce qu’un rapport SOC 2 et qui le consulte ?
Un rapport SOC 2 est le document issu d’une mission d’attestation : un cabinet d’experts-comptables indépendant examine les contrôles d’une organisation de services au regard des critères de services fiduciaires de l’AICPA et émet une opinion formelle. Le rapport est un document privé : contrairement à un certificat ISO 27001, il n’est pas vérifiable publiquement.
Lire la réponseCombien de temps prend une certification SOC 2 ?
La préparation et l’audit SOC 2 prennent généralement six à dix-huit mois selon le point de départ. La période d’observation pour un rapport Type II est d’au minimum six mois : l’auditeur doit constater le fonctionnement effectif des contrôles pendant au moins cette durée.
Lire la réponseSOC 2 ou ISO 27001 : quelle différence ?
SOC 2 et ISO 27001 traitent tous deux des contrôles de sécurité de l’information, mais leur architecture diffère. ISO 27001 produit un certificat délivré par un organisme accrédité, valable trois ans et vérifiable publiquement. SOC 2 produit un rapport d’attestation diffusé de manière privée, émis chaque année par un cabinet d’experts-comptables agréé et devenu la norme sur le marché américain.
Lire la réponseQu’est-ce que le registre des tiers TIC au sens de DORA ?
Le registre d’informations DORA, exigé par l’article 28 du Règlement (UE) 2022/2554, recense tous vos arrangements contractuels portant sur des services TIC fournis par des tiers. Chaque entité financière le tient à jour, au niveau de l’entité et, le cas échéant, du groupe, et le met à disposition de son autorité compétente sur demande.
Lire la réponseComment fonctionne le signalement des incidents TIC au titre de DORA ?
DORA impose aux entités financières de détecter, gérer, classifier et signaler les incidents liés aux TIC. Les incidents majeurs doivent être signalés à l’autorité compétente (en France, l’AMF ou l’ACPR) par étapes : une notification initiale, puis un rapport intermédiaire au fil de l’évolution, et un rapport final une fois la cause racine établie.
Lire la réponseQue sont les tests de pénétration fondés sur les menaces (TLPT) au titre de DORA ?
Les tests de pénétration fondés sur les menaces (TLPT) sont la forme avancée de tests de résilience que DORA impose aux entités financières significatives. Ils simulent les tactiques d’attaquants réels contre les systèmes de production qui soutiennent les fonctions critiques ou importantes. Des testeurs qualifiés (article 27) les conduisent au moins tous les trois ans, avec l’autorité compétente.
Lire la réponseÀ qui s’applique DORA ?
DORA s’applique à un large éventail d’entités financières établies dans l’UE, dont les établissements de crédit, les établissements de paiement et de monnaie électronique, les entreprises d’investissement, les entreprises d’assurance et de réassurance et leurs intermédiaires, les prestataires de services sur crypto-actifs, les sociétés de gestion de fonds, les plates-formes de négociation, et d’autres encore.
Lire la réponseÀ qui s’applique NIS2 ?
NIS2 (Directive (UE) 2022/2555) s’applique aux organisations publiques et privées actives dans un secteur listé dans ses annexes qui atteignent un seuil de taille, en général moyenne ou supérieure. Elles sont classées entités essentielles ou importantes, ce qui détermine l’intensité de la supervision et le niveau des sanctions, et non l’existence des obligations. La transposition nationale fixe le périmètre précis.
Lire la réponseQuelle est la différence entre NIS2 et DORA ?
NIS2 et DORA se recoupent largement, mais ne sont pas interchangeables. NIS2 (Directive (UE) 2022/2555) est une directive de cybersécurité qui couvre de nombreux secteurs ; DORA (Règlement (UE) 2022/2554) est un règlement propre au secteur financier. Pour le risque TIC d’une entité financière, DORA prime généralement en tant que loi spéciale, et NIS2 reste pertinent au-delà.
Lire la réponseComment fonctionne la notification des incidents au titre de NIS2 ?
Selon l’article 23 de NIS2, les entités essentielles et importantes signalent leurs incidents significatifs au CSIRT national ou à l’autorité compétente par étapes : une alerte précoce sous 24 heures après en avoir pris connaissance, une notification plus complète sous 72 heures, puis un rapport final dans le mois qui suit. Ces délais sont identiques dans chaque État membre.
Lire la réponseQue doit contenir une checklist de mise en conformité NIS2 ?
Un programme de conformité NIS2 repose sur quelques éléments bien exécutés : confirmer si vous êtes dans le périmètre et à quel niveau, mettre en place les mesures de gestion des risques de l’article 21, organiser la détection et le signalement des incidents par étapes, traiter la sécurité de la chaîne d’approvisionnement et obtenir l’approbation de l’organe de direction.
Lire la réponsePourquoi NIS2 varie-t-il selon les pays ?
NIS2 est une directive, et non un règlement, ce qui signifie qu’elle ne s’applique pas directement. Chaque État membre de l’UE doit la transposer en droit national, et c’est ce droit national que vous respectez réellement. Le délai de transposition était fixé au 17 octobre 2024, mais les États membres ont transposé à des rythmes et avec des spécificités différents.
Lire la réponseL’ISO 27001 couvre-t-elle NIS2 ?
En partie. Un SMSI ISO 27001 couvre une grande part des mesures de l’article 21 de NIS2 : analyse des risques, gestion des incidents, continuité, contrôle d’accès. Il ne couvre pas les obligations légales : l’enregistrement, les notifications à 24 heures, 72 heures et un mois, le rôle de l’organe de direction et les règles nationales.
Lire la réponseQuels documents l’ISO 27001 exige-t-elle ?
L’ISO/IEC 27001:2022 impose une liste courte d’informations documentées : le périmètre du SMSI, la politique de sécurité, l’appréciation et le traitement des risques et leurs résultats, la déclaration d’applicabilité, le plan de traitement des risques, les objectifs de sécurité, les preuves de compétence, les résultats de surveillance, d’audit interne et de revue de direction, et les non-conformités.
Lire la réponseRGPD et protection des données : les réponses.
Registres des traitements, analyses d’impact, notification des violations, demandes d’accès, transferts et cookies.
Qu’est-ce qu’une AIPD dans le cadre du RGPD ?
Une Analyse d’impact relative à la protection des données (AIPD) est requise en vertu de l’article 35 du RGPD lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Cela inclut le profilage systématique avec des effets juridiques, le traitement à grande échelle de catégories particulières de données et la surveillance systématique d’espaces publics.
Lire la réponseComment fonctionne Data Privacy dans Acuna GRC ?
Data Privacy, dans Acuna GRC, réunit votre registre des activités de traitement, l’inventaire des données, les analyses d’impact, les accords de sous-traitance, les demandes des personnes concernées et les violations. Un questionnaire en neuf questions indique si une AIPD est requise, les demandes suivent un délai de 30 jours et les violations un compte à rebours de 72 heures.
Lire la réponseQu’est-ce que le Registre des Activités de Traitement (RAT) ?
Le Registre des Activités de Traitement (RAT, ou ROPA en anglais) est le registre interne exigé par l’article 30 du RGPD. Il documente comment votre organisation traite des données personnelles : finalités, catégories de données, destinataires, transferts hors UE ou EEE, durées de conservation et mesures de sécurité.
Lire la réponseQuand une AIPD est-elle obligatoire au titre du RGPD ?
L’AIPD est obligatoire selon l’article 35 du RGPD lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Elle s’impose toujours pour le profilage systématique et étendu produisant des effets juridiques, le traitement à grande échelle de données sensibles et la surveillance systématique à grande échelle d’une zone accessible au public.
Lire la réponseQuelle est la règle de notification des violations de données en 72 heures au titre du RGPD ?
En vertu de l’article 33 du RGPD, le responsable de traitement doit notifier la violation de données personnelles à l’autorité de contrôle compétente (en France, la CNIL) dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si la violation est peu susceptible d’engendrer un risque pour les personnes.
Lire la réponseQuel est le délai de réponse à une demande d’accès aux données personnelles ?
Selon l’article 12(3) du RGPD, le responsable de traitement répond à une demande d’accès dans les meilleurs délais et au plus tard un mois après sa réception. Pour des demandes complexes ou nombreuses, ce délai peut être prolongé de deux mois, à condition d’en informer la personne dans le premier mois. L’unité est le mois civil, pas 30 jours.
Lire la réponseQu’est-ce qu’un Accord de traitement des données (ATD) ?
L’accord de traitement des données (ATD, ou contrat de sous-traitance) est le contrat écrit qu’exige l’article 28 du RGPD dès qu’un responsable de traitement fait traiter des données personnelles par un sous-traitant. Il fixe l’objet, la durée, la nature et la finalité du traitement, ainsi que l’assistance aux droits des personnes, les violations, les sous-traitants ultérieurs et l’audit.
Lire la réponseQu’est-ce qu’une Analyse d’impact sur le transfert (AIT) ?
L’analyse d’impact sur le transfert (AIT) est l’évaluation exigée par le chapitre V du RGPD avant de transférer des données personnelles vers un pays hors UE ou EEE sans décision d’adéquation. Depuis l’arrêt Schrems II, les clauses contractuelles types ne suffisent plus : il faut vérifier que la protection reste essentiellement équivalente, sinon ajouter des mesures ou interrompre le transfert.
Lire la réponseQu’est-ce qui rend une bannière cookies conforme ?
Une bannière cookies conforme ne dépose aucun cookie facultatif avant le choix du visiteur, rend le refus aussi simple que l’acceptation, explique chaque finalité avant le choix et permet de modifier ou de retirer ce choix à tout moment. Dans l’UE, ces règles découlent de l’article 5(3) de la directive ePrivacy et de la définition du consentement du RGPD.
Lire la réponseQu’est-ce qui vaut preuve du consentement aux cookies ?
La preuve du consentement aux cookies est un enregistrement qui montre ce que le visiteur a choisi, quand, et sous quelle version de la bannière et de la politique cookies, conservé aussi longtemps que vous vous appuyez sur ce consentement. L’article 7(1) du RGPD exige de pouvoir démontrer le consentement.
Lire la réponseFournisseurs et prestataires : les réponses.
Évaluer les fournisseurs, noter leur sécurité et répondre aux questionnaires que vos clients envoient.
Qu’est-ce que le module TPRM d’Acuna GRC ?
TPRM, aussi appelé Supplier Shield, est le module de gestion des risques tiers d’Acuna GRC. Il tient chaque fournisseur dans un registre unique, avec ses contacts, ses contrats, une bibliothèque de preuves réutilisables, l’arborescence de sa chaîne d’approvisionnement et un score d’exposition issu de votre propre modèle.
Lire la réponseComment fonctionne la notation de sécurité des fournisseurs dans Acuna GRC ?
Le module TPRM d’Acuna GRC note de A à F la posture de sécurité publique de chaque fournisseur, grâce à des analyses quotidiennes de son domaine public. Ces analyses couvrent l’hygiène DNS et de la messagerie, la configuration TLS, l’exposition web, l’historique des fuites de données et les sanctions, ces deux derniers points selon l’abonnement.
Lire la réponseComment répondre à un questionnaire de sécurité ?
On répond à un questionnaire de sécurité à partir de faits déjà approuvés : vos politiques, vos mesures en place, vos certifications et vos fournisseurs. Répondez à chaque question dans le fichier du prospect, citez le document ou la mesure derrière chaque réponse, signalez honnêtement les points sans réponse et faites approuver par un relecteur avant l’envoi.
Lire la réponseQu’est-ce qu’un trust center ?
Un trust center est une page où une entreprise montre sa posture de sécurité et de conformité à ses clients et prospects : certifications, politiques, mesures, hébergement et sous-traitants ultérieurs. Les éléments publics sont ouverts à tous, tandis que les documents sensibles sont accessibles sur demande, souvent après signature d’un NDA.
Lire la réponseQu’est-ce que la gestion des risques fournisseurs (TPRM) ?
La gestion des risques fournisseurs, ou TPRM (third-party risk management), consiste à identifier, évaluer et surveiller les risques qui viennent des fournisseurs, des prestataires et de leurs propres sous-traitants : sécurité, protection des données, continuité et conformité. Elle couvre toute la relation, de la due diligence avant la signature aux réévaluations régulières et à la sortie.
Lire la réponseQue contient un questionnaire d’évaluation fournisseur ?
Un questionnaire d’évaluation des risques fournisseurs demande au fournisseur comment il protège le service, les données et les systèmes qu’il touche : gouvernance et certifications, contrôle d’accès, protection et localisation des données, réponse aux incidents, continuité d’activité, ses propres sous-traitants et ses clauses contractuelles.
Lire la réponseGouvernance de l’IA et AI Act : les réponses.
Qui est responsable de la gouvernance de l’IA, ce que l’AI Act demande aux déployeurs et les analyses qu’il impose.
Qu’est-ce qu’une FRIA (droits fondamentaux) ?
L’analyse d’impact sur les droits fondamentaux (FRIA) est l’évaluation que certains déployeurs de systèmes d’IA à haut risque doivent mener avant la première utilisation (article 27 de l’AI Act). Elle vise les organismes publics, les entités privées assurant des services publics et les déployeurs qui utilisent l’IA pour la notation de crédit ou la tarification d’assurances vie et santé.
Lire la réponseQue demande l’AI Act en matière de maîtrise de l’IA ?
L’article 4 de l’AI Act demande aux fournisseurs et aux déployeurs de systèmes d’IA de prendre des mesures pour soutenir la maîtrise de l’IA (culture de l’IA) de leur personnel et des autres personnes qui exploitent ou utilisent des systèmes d’IA pour leur compte, en tenant compte de leurs connaissances, de leur expérience, de leur formation et du contexte d’utilisation.
Lire la réponseQui est responsable de la gouvernance de l’IA dans une entreprise réglementée ?
Le conseil d’administration porte la responsabilité du risque IA et de sa supervision, et un dirigeant nommément désigné pilote le programme de gouvernance de l’IA au quotidien. Le DPO, le RSSI et le responsable métier de chaque système d’IA en portent des parties définies.
Lire la réponseQu’est-ce qu’un système de management de l’IA, et en quoi diffère-t-il d’une politique IA ?
Un système de management de l’IA (SMIA) est l’ensemble des politiques, objectifs, rôles et processus qu’une organisation utilise pour développer, fournir ou utiliser des systèmes d’IA de manière responsable. Selon l’ISO/IEC 42001, la politique IA en est un élément obligatoire. La politique fixe le cap ; le système la met en œuvre et montre qu’elle fonctionne.
Lire la réponseRSSI et DPO externes : les réponses.
Quand un rôle externe ou à temps partiel convient, et ce qu’il couvre.
RSSI externalisé ou RSSI à temps plein ?
Un RSSI à temps plein convient quand la sécurité est un travail quotidien à l’échelle de l’organisation : un système d’information vaste ou complexe, une équipe à diriger et une direction qui veut un responsable interne. Un RSSI externalisé (vCISO) convient quand le rôle doit être tenu toute l’année sans embauche à temps plein. La direction reste responsable.
Lire la réponseLe DPO peut-il être externe ?
Oui. L’article 37(6) du RGPD permet que le DPO soit un salarié ou un prestataire sous contrat de service. Il doit être expert en protection des données, indépendant, sans conflit d’intérêts, et rendre compte au plus haut niveau de la direction. Sous la nLPD, le conseiller à la protection des données est facultatif et peut aussi être externe.
Lire la réponsePiloter la GRC dans Acuna GRC : les explications.
Comment fonctionnent les espaces de travail, les contrôles, les preuves, les risques et la continuité dans Acuna GRC.
Quelle est la différence entre une mesure et un contrôle dans la GRC ?
Une mesure est une pratique que votre organisation met en œuvre pour répondre à une ou plusieurs exigences, par exemple la revue trimestrielle des droits d’accès. Un contrôle est une activité de vérification, dotée d’une fréquence, qui s’assure que la mesure fonctionne.
Lire la réponseComment fonctionne le scoring de santé des contrôles dans Acuna GRC ?
Dans Acuna GRC, la santé est un statut calculé (Healthy, At risk, Unhealthy ou Unknown), jamais saisi à la main. Elle naît au contrôle, selon son exécution à temps et ses tâches récurrentes, puis remonte aux mesures et aux exigences selon la règle du plus faible : un bon résultat ne masque jamais un échec ailleurs.
Lire la réponseQu’est-ce qu’Aiko dans Acuna GRC ?
Aiko est l’assistant IA intégré à Acuna GRC, accessible par un bouton sur chaque page. Posez vos questions en langage courant, par exemple quelles tâches sont en retard ou quels risques semblent sous-évalués : Aiko répond à partir des enregistrements que vous êtes autorisé à voir et le signale lorsque votre profil d’accès masque un type d’enregistrement.
Lire la réponseComment fonctionne la gestion du cycle de vie des preuves dans une plateforme GRC ?
Dans Acuna GRC, les preuves sont des enregistrements conservés dans l’espace de travail Assure : la preuve qu’un contrôle a été exécuté ou qu’une tâche a été faite, inchangée une fois créée. Ils naissent du travail réalisé, à la fin d’une tâche ou d’une exécution de contrôle, et sont reliés aux contrôles, mesures, exigences, audits et constats.
Lire la réponseQuelles sont les sources de données KPI dans une plateforme GRC ?
Dans Acuna GRC, un KPI tire ses valeurs de l’une de cinq sources : la saisie manuelle, des valeurs calculées à partir des données d’Acuna GRC en temps réel, un connecteur relié à un service, une API externe qui reçoit des valeurs par webhook, ou l’agrégation des filiales. Les KPI par formule sont recalculés chaque nuit.
Lire la réponseQue fait l’espace de travail Comply dans Acuna GRC ?
Comply est l’espace de travail d’Acuna GRC où vous définissez votre programme de conformité. Les administrateurs adoptent des référentiels depuis la bibliothèque ou importent les leurs, vous cochez les exigences applicables et affectez chaque référentiel à des périmètres, et vous adoptez des mesures de référence de la bibliothèque Common Measures, déjà cartographiées sur les exigences de plusieurs référentiels.
Lire la réponseComment fonctionne le marquage d’applicabilité pour les exigences de référentiel ?
Dans Acuna GRC, l’applicabilité se définit à deux endroits. Dans l’espace de travail Comply, vous cochez les exigences de chaque référentiel adopté qui s’appliquent à votre organisation et affectez le référentiel à des périmètres. Dans Implement, une exigence peut être marquée Non applicable avec une justification : elle porte un discret badge N/A et sort des KPI de conformité.
Lire la réponseQue fait l’espace de travail Implement dans Acuna GRC ?
Implement est l’espace de travail d’Acuna GRC où vous mettez le programme en place. Il contient les exigences de vos référentiels adoptés, la bibliothèque de mesures et la bibliothèque de contrôles, ainsi que le contexte dont dépend le programme : actifs, tiers, processus, personnel, rôles et responsabilités.
Lire la réponseComment les mesures et les contrôles sont-ils reliés aux exigences dans Acuna GRC ?
Dans Acuna GRC, la chaîne va de l’exigence à la mesure, au contrôle puis à la tâche. Une mesure est la pratique qui satisfait une ou plusieurs exigences, et une même mesure peut couvrir à la fois des clauses d’ISO 27001, de NIS2 et de SOC 2.
Lire la réponseQue fait l’espace de travail Operate dans Acuna GRC ?
Operate est l’espace de travail d’Acuna GRC où vous faites vivre le système de management au quotidien. Il contient les risques et opportunités que vous évaluez et approuvez, les sources de menace qui les sous-tendent et les plans de traitement qui ramènent les risques dans l’appétence, ainsi que les objectifs, les tâches et les politiques et procédures de Documents.
Lire la réponseComment les tâches récurrentes pilotent-elles la santé de la conformité dans Acuna GRC ?
Dans Acuna GRC, les tâches récurrentes se répètent chaque semaine, chaque mois, chaque trimestre ou chaque année, sur des jours de semaine ou un jour du mois, et terminer une tâche crée l’occurrence suivante, à échéance à partir de la date d’achèvement. Chaque achèvement indique qui l’a fait et quand, et permet de relier ou de créer un enregistrement sur-le-champ.
Lire la réponseQue fait l’espace de travail Assure dans Acuna GRC ?
Assure est l’espace de travail d’Acuna GRC où vous prouvez que le système de management fonctionne. Il conserve les enregistrements qui montrent qu’un contrôle a été exécuté, les audits planifiés dans des programmes avec une période qui regroupe leurs enregistrements, les constats comme les non-conformités et les incidents, et les actions correctives qui distinguent mise en œuvre et vérification.
Lire la réponseComment Acuna GRC montre-t-il la préparation aux audits ?
Acuna GRC ne réduit pas la préparation aux audits à un chiffre saisi à la main. Elle se lit dans ce que la plateforme calcule : la santé de chaque contrôle, mesure et exigence, remontée depuis l’achèvement des tâches selon la règle du plus faible, les KPI de conformité du tableau de bord Assure, et les enregistrements derrière chaque contrôle.
Lire la réponseQu’est-ce que l’Analyse d’impact sur l’activité (AIA) dans Acuna GRC ?
Dans Acuna GRC, l’analyse d’impact sur l’activité (AIA) se trouve dans l’espace de travail Operate. Chaque processus du périmètre reçoit des objectifs de reprise (RTO, RPO et DMTA), des scénarios d’impact qui s’aggravent avec la durée de l’interruption et la liste des actifs, du personnel, des tiers et des fournisseurs dont il dépend.
Lire la réponseQuelle est la différence entre RTO, RPO et DMTA ?
Le RTO (objectif de délai de reprise) fixe le délai dans lequel un processus doit être restauré après une perturbation. Le RPO (objectif de point de reprise) fixe la perte de données acceptable, mesurée en temps. La DMTA (durée maximale tolérable d’absence) fixe la durée pendant laquelle un processus peut être indisponible avant que l’impact ne devienne inacceptable.
Lire la réponseComment fonctionne la gestion des risques d’entreprise dans Acuna GRC ?
Dans Acuna GRC, la gestion des risques d’entreprise se fait dans l’espace de travail Operate. Chaque risque ou opportunité porte un impact, une probabilité, une valeur de risque calculée, une stratégie de traitement et des valeurs cibles après traitement. Les risques sont reliés aux actifs, processus, tiers, mesures et contrôles, et suivent un workflow d’approbation avec une revue annuelle.
Lire la réponseQu’est-ce qu’un plan de traitement des risques dans la GRC ?
Un plan de traitement des risques documente la manière dont une organisation traite les risques identifiés. Il repose sur quatre options standards : atténuer par des contrôles qui réduisent la probabilité ou l’impact, accepter le risque avec une validation formelle, le transférer à un tiers par une assurance ou une externalisation, ou l’éviter en supprimant l’activité qui le crée.
Lire la réponseQuelles sont les meilleures alternatives à Vanta pour les programmes multi-référentiels ?
Vanta est conçu pour les entreprises qui obtiennent leur première certification SOC 2. Pour les organisations gérant simultanément plusieurs référentiels (ISO 27001, SOC 2, NIS2, DORA, RGPD), les origines mono-référentiel de Vanta montrent leurs limites. Les meilleures alternatives à Vanta pour les programmes multi-référentiels sont des plateformes conçues pour la conformité continue sur des obligations matures et interdependantes.
Lire la réponseQuelles sont les meilleures alternatives à OneTrust pour les équipes GRC ?
OneTrust se positionne comme une plateforme d’entreprise centrée sur la confidentialité, la plus solide quand la protection des données est au cœur du programme. Les meilleures alternatives pour plus de profondeur GRC intègrent protection des données, sécurité, qualité et audit dans un même rythme. Acuna GRC vise les programmes multi-référentiels où la protection des données est une obligation parmi d’autres.
Lire la réponseQu’est-ce qu’un tableau de bord RSSI ?
Un tableau de bord RSSI est une vue consolidée des indicateurs de sécurité, de risque et de conformité dont un RSSI a besoin pour piloter son programme. Les plus utiles combinent la posture de conformité multi-référentiel, le registre des risques avec scoring et tendances, la maturité des contrôles par domaine et la préparation aux audits à venir.
Lire la réponseQu’est-ce qu’un calendrier de conformité et pourquoi est-ce important ?
Un calendrier de conformité est une vue structurée de chaque revue, audit, évaluation, renouvellement et délai réglementaire qu’un programme de conformité doit respecter. Les organisations gérant plusieurs référentiels (ISO 27001, SOC 2, RGPD, NIS2) font face à des dizaines d’obligations récurrentes par an, des audits internes trimestriels aux audits de surveillance annuels en passant par les revues des fournisseurs.
Lire la réponseQu’est-ce qu’un logiciel de gouvernance et de conformité ?
Un logiciel de gouvernance, risques et conformité (GRC) est une plateforme qui réunit au même endroit les référentiels et exigences d’une organisation, les mesures et contrôles qui y répondent, ses risques, politiques et tâches, et les preuves, indicateurs et audits qui montrent que tout fonctionne.
Lire la réponseLe Cyber Resilience Act : les réponses.
Champ d’application, dates, délais de signalement, SBOM, open source et sanctions du règlement (UE) 2024/2847.
Le Cyber Resilience Act impose-t-il le marquage CE ?
Oui. À compter du 11 décembre 2027, les produits comportant des éléments numériques doivent porter le marquage CE au titre du Règlement sur la cyberrésilience, et la conformité au RCR devient une condition préalable à ce marquage.
Lire la réponseQue signifie « aucune vulnérabilité exploitable connue » dans le Cyber Resilience Act ?
Le Règlement sur la cyberrésilience exige que les produits soient mis sur le marché sans vulnérabilité exploitable connue (annexe I). Il s'agit d'une exigence de qualité à la mise en circulation, distincte de l'obligation séparée de signaler les vulnérabilités activement exploitées par la suite.
Lire la réponseComment le Cyber Resilience Act traite-t-il les logiciels open source (FOSS) ?
Les logiciels open source non commerciaux développés en dehors d'une activité commerciale échappent largement au Règlement sur la cyberrésilience. La monétisation peut changer la donne : réserver des fonctionnalités au paiement ou percevoir des dons supérieurs aux coûts de développement peut rendre le projet commercial. Un fabricant commercial qui intègre de l'open source reste pleinement responsable du produit final.
Lire la réponseQuelles sont les sanctions prévues par le Cyber Resilience Act (CRA) ?
Les manquements aux exigences essentielles ou aux obligations des fabricants exposent à des amendes pouvant atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial total, selon le montant le plus élevé. Des plafonds inférieurs s'appliquent aux autres infractions et aux informations incorrectes fournies.
Lire la réponseQuelles sont les catégories de produits selon le Cyber Resilience Act ?
Le Règlement sur la cyberrésilience classe les produits en quatre groupes selon le risque : par défaut (autoévaluation), important classe I et important classe II (parcours renforcés), et critique (certification obligatoire). La classification suit la fonction principale du produit, et lorsque plusieurs classes sont possibles, la plus stricte s'applique.
Lire la réponseQu'est-ce qu'une solution de traitement des données à distance (RDPS) au sens du RCR ?
Une solution de traitement des données à distance est un logiciel conçu par le fabricant pour fonctionner à distance, dont l'absence empêcherait le produit connecté d'assurer une fonction essentielle.
Lire la réponseQuels sont les délais de signalement au titre du Cyber Resilience Act ?
À compter du 11 septembre 2026 (art. 14), les fabricants signalent via la plateforme unique ENISA les vulnérabilités exploitées activement et les incidents graves en trois étapes : alerte précoce sous 24 h après prise de connaissance, notification sous 72 h, rapport final sous 14 jours après correction d'une vulnérabilité ou sous un mois pour un incident grave.
Lire la réponseQuel est le calendrier du Cyber Resilience Act ?
Le Règlement sur la cyberrésilience est entré en vigueur le 10 décembre 2024. Les obligations de signalement débutent le 11 septembre 2026 et l'essentiel des exigences — conception sécurisée, gestion des vulnérabilités, SBOM, marquage CE — s'applique à partir du 11 décembre 2027.
Lire la réponseQuelle est la différence entre le Cyber Resilience Act (CRA) et DORA ?
DORA régit le risque TIC des entités financières — banques, assureurs, sociétés d'investissement — et de leurs fournisseurs tiers critiques. Le Règlement sur la cyberrésilience régit la sécurité des produits comportant des éléments numériques mis sur le marché. Une entité financière qui fabrique aussi un produit connecté relève des deux.
Lire la réponseQuelle est la différence entre le Cyber Resilience Act et NIS2 ?
NIS2 régit la cybersécurité des entités essentielles et importantes dans 18 secteurs ; le Règlement sur la cyberrésilience régit la sécurité des produits comportant des éléments numériques mis sur le marché. De nombreuses organisations relèvent des deux textes. Les obligations ne se doublonnent pas : NIS2 couvre ce que fait votre organisation ; le RCR couvre ce qu'est votre produit.
Lire la réponseLe Règlement sur la cyberrésilience s'applique-t-il au SaaS ?
Le logiciel en tant que service (SaaS) autonome et l'infrastructure cloud générique ne relèvent pas du Règlement sur la cyberrésilience en tant que tels.
Lire la réponseLe Cyber Resilience Act impose-t-il un SBOM ?
Oui. Le Règlement (UE) 2024/2847 sur la cyberrésilience impose aux fabricants d'identifier et de documenter les composants du produit, notamment en établissant un inventaire logiciel (SBOM) dans un format courant et lisible par machine. Le SBOM figure dans la documentation technique interne ; il n'a pas à être publié publiquement.
Lire la réponseQuel impact le Cyber Resilience Act a-t-il sur les PME ?
Les petites entreprises qui fabriquent des produits comportant des éléments numériques relèvent du Règlement sur la cyberrésilience, mais le texte prévoit des mesures de proportionnalité : les microentreprises et petites entreprises peuvent utiliser une documentation technique simplifiée, et la Commission ainsi que les États membres doivent fournir des orientations et un accompagnement. Les obligations de fond restent applicables.
Lire la réponseQu'est-ce que le Cyber Resilience Act ?
Le Règlement sur la cyberrésilience (Règlement (UE) 2024/2847) est la première loi européenne horizontale en cybersécurité pour les produits comportant des éléments numériques — matériel et logiciel — sur tout leur cycle de vie.
Lire la réponseQu'est-ce que la plateforme unique de signalement ENISA (SRP) du Cyber Resilience Act ?
La plateforme unique de signalement est le système central qu'ENISA doit mettre en place en vertu de l'article 16 du Règlement sur la cyberrésilience pour que les fabricants signalent, à compter du 11 septembre 2026, les vulnérabilités exploitées activement et les incidents graves.
Lire la réponseÀ partir de quand le Cyber Resilience Act s'applique-t-il ?
Le Règlement sur la cyberrésilience est déjà en vigueur. L'obligation de signalement — alerte précoce sous 24 heures, notification sous 72 heures et rapport final sous 14 jours à l'ENISA — s'applique à partir du 11 septembre 2026.
Lire la réponseÀ qui s'applique le Cyber Resilience Act ?
Le Règlement sur la cyberrésilience s'applique aux fabricants, importateurs et distributeurs de produits comportant des éléments numériques disposant d'une connexion directe ou indirecte. Les fabricants portent les obligations principales. Le règlement est extraterritorial : une entreprise hors UE qui commercialise sur le marché européen est concernée.
Lire la réponseEntreprises suisses et règles européennes : les réponses.
Comment la nLPD, les règles de la FINMA et les lois européennes comme le RGPD, NIS2 et DORA s’appliquent aux organisations suisses.
NIS2 s’applique-t-elle aux entreprises suisses ?
Pas directement. NIS2 vise les organisations établies dans l’UE : une entreprise établie uniquement en Suisse n’est pas elle-même dans son champ. Elle touche pourtant les entreprises suisses de trois façons : par une filiale européenne d’un secteur couvert, par le représentant dans l’UE que doivent désigner les fournisseurs numériques suisses, et par les exigences que répercutent les clients européens.
Lire la réponseDORA s’applique-t-il à la finance suisse ?
Pas à un établissement suisse en tant que tel. DORA (règlement (UE) 2022/2554) s’applique aux entités financières agréées dans l’UE : une banque, un assureur ou un gestionnaire d’actifs suisse relève de la FINMA. Le règlement s’applique en revanche pleinement à leurs filiales dans l’UE et atteint les prestataires TIC suisses par les contrats de leurs clients européens.
Lire la réponseDORA et circulaire FINMA 2023/1 : différences
DORA est un règlement européen d’application directe, avec des règles détaillées et des normes techniques pour les entités financières de l’UE. La circulaire FINMA 2023/1 fixe des attentes fondées sur des principes pour les banques et maisons de titres suisses, appliquées selon leur taille.
Lire la réponseCheck-list de conformité nLPD : que vérifier ?
Une check-list nLPD reprend les obligations de la loi révisée : savoir ce que vous traitez, informer les personnes, tenir un registre des traitements, évaluer les traitements à risque élevé, sécuriser les données, encadrer les sous-traitants, vérifier les communications à l’étranger, répondre aux demandes d’accès sous 30 jours et annoncer au PFPDT les violations à risque élevé.
Lire la réponseLe RGPD s’applique-t-il en Suisse ?
Parfois. Le RGPD s’applique à une entreprise suisse lorsqu’elle a un établissement dans l’UE, ou lorsqu’elle offre des biens ou des services à des personnes dans l’UE ou suit leur comportement dans l’UE (article 3(2)). Elle peut alors devoir désigner un représentant dans l’UE selon l’article 27. Une entreprise suisse qui n’a que des clients en Suisse suit la nLPD.
Lire la réponsePourquoi la résidence des données compte-t-elle en GRC ?
La résidence des données désigne le pays ou la région où vos données sont stockées. Elle compte en GRC, car la plateforme contient des informations très sensibles : registres des risques, vulnérabilités ouvertes, incidents, constats d’audit, évaluations de fournisseurs et données personnelles. Le lieu de stockage détermine le droit applicable, l’accès des autorités et les règles de transfert.
Lire la réponseComment la Suisse réglemente-t-elle l’IA ?
La Suisse n’a pas de loi sur l’IA. En février 2025, le Conseil fédéral a décidé de ratifier la Convention du Conseil de l’Europe sur l’IA et de la mettre en œuvre surtout par des adaptations ciblées et sectorielles du droit existant, complétées par des mesures non contraignantes, avec un projet mis en consultation annoncé pour fin 2026.
Lire la réponseAu-delà d’une seule question.
Les guides couvrent une loi ou une norme entière, le glossaire définit les termes et le hub ressources liste tout le reste.
Une question à laquelle nous n’avons pas encore répondu ?
Posez-la-nous, ou découvrez comment Acuna GRC pilote le programme derrière ces réponses.
Hébergé en Suisse, dans l'UE ou aux États-Unis