Une directive, vingt-sept lois nationales, et ce qu’elles exigent de vous.
Cinq niveaux, des fondamentaux en ordre à la défense de tout un groupe.
Chaque mesure exigée, et le service qui la livre.
La détection et la réponse, depuis notre SOC européen.
Postes de travail, cloud et assistance, exploités comme un seul service.
NIS 2, DORA et le RGPD en une seule évaluation.
Les plateformes de nos éditeurs, déployées puis exploitées.
Un RSSI nommément désigné, deux jours par mois.
De l’aide tout de suite, et votre notification transmise dans les délais.
À l’issue de l’entretien, vous disposez d’une liste priorisée de vos écarts et d’une indication de prix pour les combler. Sans frais et sans engagement.
Planifier l’entretienQui nous sommes et comment nous sommes organisés.
Amsterdam, Sofia, Varna et Stara Zagora.
Les plateformes que nous déployons et exploitons.
À quoi ressemble le travail en pratique.
La relation client à Amsterdam, l’ingénierie en Bulgarie, et rien qui sorte de l’Union européenne. Un seul contrat, de droit néerlandais.
Notre organisationConseil en conformité
NIS 2, DORA, le RGPD et le Cyber Resilience Act posent des exigences en partie comparables en matière de gestion des risques, de sécurité et de traitement des incidents. Le champ d’application, les registres, les délais de notification et les responsabilités juridiques diffèrent en revanche d’un texte à l’autre. Nous établissons donc d’abord quelles règles s’appliquent à chaque entité juridique, service et produit. Nous déterminons ensuite quelles mesures peuvent être mises en place une seule fois et quelles obligations doivent être traitées séparément.
Les quatre régimes
Les quatre textes ont chacun leur propre champ d’application. Une organisation peut relever d’un seul d’entre eux, comme elle peut avoir affaire à plusieurs à la fois.
Dix-huit secteurs, la taille décidant de la catégorie. Un secteur de l’annexe I à partir de 250 salariés relève en général de l’entité essentielle ; l’annexe I de 50 à 249 salariés, et toute l’annexe II à partir de 50, relèvent en général de l’entité importante. Les deux portent les mêmes dix mesures au titre de l’article 21(2), et une entité essentielle relève d’une surveillance proactive, ce qui signifie que l’autorité peut la contrôler sans qu’il y ait eu d’incident. Un ensemble bien plus large est atteint indirectement, car une organisation assujettie répond de la sécurité de ses fournisseurs directs.
Les tests de secteur et de taille suivent le droit national : un groupe présent dans cinq États membres est évalué cinq fois.
En vigueur aux Pays-Bas depuis le 15 août 2026Banques, assureurs, entreprises d’investissement, établissements de paiement et de monnaie électronique, prestataires de services sur crypto-actifs, plateformes de négociation et plus d’une douzaine d’autres catégories, avec les prestataires de technologies de l’information et de la communication (TIC) dont elles dépendent. DORA couvre la gestion du risque lié aux TIC, la classification et la notification des incidents, les tests de résilience, et la maîtrise contractuelle des tiers. Les prestataires TIC désignés comme critiques sont supervisés au niveau européen.
Supervisé aux Pays-Bas par De Nederlandsche Bank ou l’Autoriteit Financiële Markten, selon l’entité.
Applicable depuis le 17 janvier 2025Aucun seuil de taille, aucune liste de secteurs. Si vous détenez des données personnelles, il vous faut une base légale par finalité, un registre des traitements au titre de l’article 30, une sécurité adaptée au risque au titre de l’article 32, une notification de violation sous 72 heures lorsque le risque le justifie, une analyse d’impact quand le traitement présente un risque élevé, et une réponse utilisable quand une personne demande ce que vous détenez sur elle.
Le plus ancien des quatre, et toujours celui dont la documentation décrit le plus souvent une pratique que l’organisation a abandonnée depuis longtemps.
Applicable depuis le 25 mai 2018Si vous fabriquez, importez ou distribuez du matériel ou du logiciel mis sur le marché européen, le CRA s’attache au produit et non à l’organisation. Développement sécurisé, processus de traitement des vulnérabilités, nomenclature logicielle, mises à jour de sécurité pendant une période de support définie, documentation technique et marquage CE. Les vulnérabilités activement exploitées et les incidents graves doivent être notifiés.
Les obligations courent sur tout le cycle de vie : ce que vous vendez en 2027 porte encore des obligations des années après la vente.
Obligations de notification à partir du 11 septembre 2026, application complète le 11 décembre 2027Une organisation peut être assujettie aux quatre à la fois. Un fabricant de dispositifs médicaux de 300 salariés qui compte une banque parmi ses clients est le cas ordinaire, pas le cas limite.
Le recouvrement
De nombreuses mesures techniques et organisationnelles reviennent dans plusieurs textes. Nous évaluons ces mesures une seule fois et rattachons les preuves disponibles aux exigences concernées.
L’inventaire des actifs. Le contrôle d’accès et l’authentification multifacteur (MFA). La journalisation et la supervision. Des correctifs à une cadence fixe. Le chiffrement. Une sauvegarde dont les restaurations ont été réellement testées. L’évaluation des fournisseurs. Un processus d’incident avec des rôles nommés et un numéro de téléphone auquel on répond. Chacun de ces points figure à l’article 21(2) de NIS 2, dans le cadre de gestion du risque TIC de DORA, à l’article 32 du RGPD et dans les exigences de développement sécurisé du CRA. Mettez la mesure en place une fois, prouvez-la une fois, et elle répond à quatre endroits.
Cela ne vaut pas pour la documentation. Traiter les quatre textes comme interchangeables est l’erreur qui refait surface dix-huit mois plus tard pendant un audit.
Là où ils divergent vraiment
Une évaluation, un jeu de mesures fusionné, quatre dossiers de preuves distincts. Les obligations qui ne se recoupent pas restent des chantiers séparés au sein de la même mission.
L’évaluation
L’évaluation produit quatre résultats concrets : une classification, une analyse combinée, un plan de mise en œuvre et un rapport pour l’organe de direction.
Nous établissons quels textes s’appliquent à chaque entité, sous quel droit national et sur la base de quelles activités et de quels critères. Dans un groupe présent dans plusieurs pays, le résultat peut différer d’une entité à l’autre.
Nous évaluons l’organisation par rapport à un seul jeu de mesures fusionné. Nous distinguons la mesure réellement absente de la mesure en place dont les preuves sont insuffisantes. Cette distinction compte, car remettre en place une mesure technique absente demande en général plus de travail que compléter un reporting ou des enregistrements.
Chaque constat reçoit un responsable, une priorité, une estimation de coût et ses dépendances. L’ordre est déterminé par le risque et par les conséquences pratiques. Lorsqu’une mesure demande une technologie supplémentaire, nous chiffrons à la fois la mise en œuvre et l’exploitation.
L’organe de direction reçoit un aperçu court des obligations applicables, des principaux risques, des mesures ouvertes, des décisions à prendre et des risques acceptés en connaissance de cause. Les documents sont rédigés de façon à ce que les décisions et la surveillance puissent être portées aux procès-verbaux.
Une classification et une première analyse prennent deux à trois semaines par pays pour une entité. Avec plusieurs entités ou plusieurs textes, il faut davantage de temps. La mise en œuvre des mesures ne rentre pas dans ce délai. Son calendrier dépend de l’installation existante et de la nature des mesures absentes.
La différence
Vous pouvez prendre l’évaluation comme mission distincte et faire exécuter le plan de mise en œuvre par votre propre équipe ou par votre prestataire actuel. Think Smart Europe peut aussi prendre en charge les étapes suivantes. Nous établissons à l’avance ce que nous exécutons et ce qui reste chez vous ou chez d’autres prestataires.
Vous avez un plan, et il vous reste à trouver qui le construira et qui le fera tourner.
Un contrat et un seul responsable, de la classification à l’exploitation quotidienne. Si une mesure que nous avons recommandée ne tient pas, elle reste la nôtre.
Où notre travail s’arrête
Think Smart Europe conseille sur la cybersécurité, les mesures techniques, les processus et les preuves. Nous ne donnons pas de conseil juridique et nous ne signons pas d’avis juridiques.
Nous pouvons préparer les politiques, les procédures d’incident, les documents destinés à l’organe de direction et les parties techniques ou organisationnelles de la documentation. Votre organisation les adopte.
Un avocat, un juriste en protection des données ou un délégué à la protection des données reste responsable des interprétations juridiques, des conclusions formelles sur le champ d’application, des bases légales et des textes contractuels. Savoir si une entité relève de la Cyberbeveiligingswet, la loi néerlandaise de cybersécurité, si un traitement repose sur une base légale valable, et si une clause porte les exigences contractuelles de DORA, sont des positions juridiques. Si vous n’avez pas de juriste, nous le disons dès le départ et nous travaillons aux côtés du cabinet que vous désignez.
Cette répartition des rôles est établie avant le début de la mission.
Questions fréquentes
Non. Un seul jeu de mesures couvre l’essentiel de NIS 2, l’essentiel des exigences DORA sur le risque TIC et l’article 32 du RGPD : une évaluation unique porte donc ces trois textes.
Ce qui ne se recoupe pas devient un chantier séparé au sein de la même mission : le registre d’informations de DORA, les obligations produit du CRA, ainsi que les bases légales et les durées de conservation sous le RGPD.
En général non. L’évaluation peut être menée par-dessus le service existant. Le travail que votre prestataire actuel exécute bien peut rester chez lui.
Il faut en revanche savoir qui répond des éléments manquants et des preuves. Si un prestataire exploite les postes, un autre le réseau et un troisième le cloud, les preuves n’appartiennent souvent à personne. Mieux vaut régler cette question avant qu’un auditeur ne la pose.
Oui. DORA s’applique aussi à d’autres organisations financières désignées : assureurs et intermédiaires, entreprises d’investissement, établissements de paiement et de monnaie électronique, prestataires de services sur crypto-actifs et plateformes de négociation.
DORA peut aussi atteindre les prestataires TIC par leurs clients financiers. Si une entité financière vous demande de signer des clauses sur la sous-traitance, les plans de sortie, les droits d’audit et la notification des incidents, DORA est à votre porte.
Non. La Bulgarie est membre de l’Union européenne. Le travail qui y est réalisé n’est pas en soi un transfert vers un pays tiers.
Nos équipes d’ingénierie et de supervision travaillent depuis Sofia, Varna et Stara Zagora sous le même RGPD, les mêmes conditions contractuelles et les mêmes systèmes de management que le bureau d’Amsterdam. Les flux de données exacts et les accès éventuels d’autres prestataires sont évalués service par service.
Parce que l’organisation technique derrière elle ne l’est pas. Think Smart Europe est une coentreprise entre des fondateurs néerlandais et Think Smart en Bulgarie, immatriculée depuis décembre 2019, qui apporte les certifications ISO, les partenariats éditeurs et la profondeur technique.
Le travail de conformité est délivré sous les systèmes de management certifiés de notre maison mère. Nous vous montrons ces certificats et leur périmètre. Il y a un seul contrat et un seul point où se situe la responsabilité.
Oui. Vous pouvez ensuite faire exécuter le rapport et le plan de mise en œuvre par votre propre équipe ou par un autre prestataire.
Si l’issue raisonnable est que vous portiez le plan de mise en œuvre au prestataire que vous avez déjà, nous le disons également.
La classification et la première analyse sont en général disponibles en deux à trois semaines par pays. Elles vous permettent de répondre factuellement aux questions et d’indiquer quelles mesures sont encore en cours de mise en œuvre.
Un dossier de preuves complet suit une fois les améliorations nécessaires terminées.
Lors du premier entretien, nous examinons votre structure juridique, vos activités, vos produits et les pays où vous opérez. Nous indiquons ensuite quels textes sont probablement pertinents, ce que couvre l’évaluation et ce qu’elle coûtera vraisemblablement.
