Le blog Komplyo
La sécurité & la conformité, expliquées
Des guides pratiques sur NIST CSF 2.0, ISO 27001, SOC 2, le RGPD et NIS2 pour les PME et scale-ups européennes. Sans jargon.
DORA pour les sous-traitants : quand vos clients banque et assurance vous transfèrent leurs obligations
Le règlement (UE) 2022/2554 s'applique depuis le 17 janvier 2025. Les PME prestataires ne sont pas assujetties, mais leurs clients financiers doivent les inscrire dans un registre d'informations, imposer les clauses de l'article 30 et encadrer la sous-traitance en cascade. Ce qui vous sera demandé, et comment constituer un dossier de réponse unique et réutilisable.
- DORA
- Réglementation UE
- Sous-traitance
- NIST CSF
Votre première notification sur la plateforme de l'ENISA : le pas à pas du CRA pour les PME
La plateforme unique de déclaration de l'ENISA est ouverte depuis le 11 septembre 2026. Un guide opérationnel pour une PME : créer le compte, choisir le bon CSIRT, remplir l'alerte des 24 h, comprendre ce que la prise de connaissance déclenche, et ce que la plateforme fait ou non aujourd'hui.
- CRA
- ENISA
- Réglementation UE
- Réponse à incident
- NIST CSF
Sensibilisation sécurité : un programme crédible quand on n'a ni budget ni équipe dédiée
Un programme de sensibilisation tient avec un référent qui manque de temps : un thème par mois, des formats courts, des ressources publiques gratuites (SensCyber, kit Cybermoi/s, supports ENISA) et des preuves de réalisation. Ce que demandent NIS2, l'AI Act et le NIST CSF (PR.AT), et comment structurer douze mois.
- Sensibilisation
- Cybermoi/s
- NIS2
- NIST CSF
Audit ISO 27001 : les non-conformités les plus fréquentes (et comment une PME les évite)
Les analyses publiées par les organismes de certification DNV et NQA convergent : appréciation des risques, audit interne, périmètre et exploitation courante concentrent les non-conformités en audit ISO 27001. Ce que montrent les données, ce que la norme exige clause par clause et comment préparer chaque zone.
- ISO 27001
- Audit
- Certification
- SoA
Data Omnibus : où en sont les simplifications du RGPD, de NIS2 et de DORA pour les PME
Le volet données du Digital Omnibus propose de simplifier le RGPD, NIS2 et DORA : liste européenne unique des AIPD, refonte du consentement, notification d'incident consolidée. Un état factuel pour les PME, avec ce qui figure dans le texte du Conseil et ce qui en a été retiré. Un dossier en négociation, rien à mettre en œuvre aujourd'hui.
- Data Omnibus
- RGPD
- NIS2
- DORA
- Réglementation UE
- NIST CSF
Politique de sécurité (PSSI) pour PME : ce qu'un auditeur y cherche vraiment
Une PSSI n'est pas un modèle Word rempli en une heure. Ce que la clause 5.2 d'ISO/IEC 27001 et la mesure 5.1 d'ISO/IEC 27002 exigent, ce qu'un auditeur vérifie (approbation, diffusion, revue, cohérence avec l'évaluation des risques) et comment une PME construit une politique proportionnée.
- PSSI
- ISO 27001
- Gouvernance
- ANSSI
AI Act, ISO 42001, NIST AI RMF : trois cadres de gouvernance de l'IA, trois natures différentes
L'AI Act est un règlement contraignant, ISO/IEC 42001 une norme certifiable depuis les premières accréditations de 2026, le NIST AI RMF un cadre volontaire gratuit. Ce que chaque cadre exige et produit, ce qu'aucun ne remplace chez les deux autres, et comment une PME les articule sans créer un chantier isolé.
- AI Act
- ISO 42001
- NIST AI RMF
- Gouvernance
- NIST CSF
AI Act au 2 août 2026 : ce qui s'applique vraiment et ce qui est reporté pour les PME
Le 2 août 2026 marque l'application générale du règlement (UE) 2024/1689, mais le règlement (UE) 2026/1744, publié le 24 juillet 2026, reporte les obligations haut risque de l'annexe III au 2 décembre 2027. Le point vérifié pour les PME : transparence de l'article 50, marquage des contenus IA, échéances reportées, sanctions.
- AI Act
- Réglementation UE
- Gouvernance
- NIST CSF
Votre premier registre des risques : une méthode proportionnée, alignée EBIOS RM et ISO 27005
Registre des risques en PME : ce qu'exigent ISO 27001 (clauses 6.1.2 et 8.2) et NIS2, comment démarrer avec l'atelier 1 d'EBIOS RM (cadrage et socle de sécurité), quelles colonnes tenir et quels pièges éviter. Une méthode itérative alignée sur ISO/IEC 27005:2022.
- Registre des risques
- EBIOS RM
- ISO 27005
- NIST CSF
CRA : l'obligation de notification en 24 h et 72 h s'applique depuis le 11 septembre 2026
L'article 14 du règlement (UE) 2024/2847 s'applique depuis le 11 septembre 2026, quinze mois avant le reste du CRA. Alerte précoce sous 24 h, notification sous 72 h, rapport final sous 14 jours ou un mois, via la plateforme unique de l'ENISA. Ce qu'un fabricant, y compris un éditeur de logiciel PME, doit avoir en place.
- CRA
- Réglementation UE
- Réponse à incident
- NIST CSF
Répondre à un questionnaire de sécurité client sans y passer une semaine : méthode pour PME
CAIQ, SIG, Excel maison de 200 lignes : les questionnaires de sécurité client sont devenus un passage obligé des ventes B2B. Méthode en 5 étapes pour une PME : base de réponses unique alignée NIST CSF 2.0, projection vers chaque référentiel, et preuves prêtes avant la demande.
- Questionnaires clients
- Conformité
- NIST CSF
- Enterprise sales
Divulgation coordonnée des vulnérabilités (CVD) : la politique que le CRA impose, en pratique
L'annexe I, partie II du règlement (UE) 2024/2847 impose aux fabricants une politique de divulgation coordonnée des vulnérabilités (Coordinated Vulnerability Disclosure). Ce que la politique doit contenir, les normes ISO/IEC 29147 et 30111 qui la structurent, le cadre français (L. 2321-4 et L. 2321-4-1) et une mise en œuvre proportionnée pour une PME.
- CRA
- CVD
- Gestion des vulnérabilités
- NIST CSF
Recevoir le modèle de politique de sécurité
Un modèle de politique de sécurité de l'information au format .docx, structuré selon NIST CSF 2.0 et ISO 27001. Envoyé par email, utilisable comme socle documentaire.