Aller au contenu principal
FromNine
Menu

Confiance et conformité

Confiance et conformité pour les organisations réglementées

FromNine est certifiée ISO/IEC 27001. Cette page explique comment nous protégeons vos systèmes et vos données en tant que prestataire, ce que nous apportons à vos obligations au titre de NIS2, de DORA et du règlement européen sur l’IA, et comment obtenir notre documentation de sécurité.

Pour les organisations françaises dont les exigences viennent autant de l’ANSSI, de la CNIL et de l’ACPR que de leurs propres équipes.

Demander la documentation de sécuritéNos engagements

Nos engagements

Cinq engagements dans chaque mission

Des institutions publiques et des entreprises réglementées nous confient des données sensibles et des systèmes qui soutiennent des décisions réelles. Voici ce qu’elles peuvent exiger de nous.

  • Management de la sécurité de l’information

    Certifié

    Notre système de management de la sécurité de l’information est certifié ISO/IEC 27001, la norme internationale en la matière. Mesures de sécurité, gestion des fournisseurs et traitement des incidents suivent ce système dans chaque mission.

    L’accès à vos systèmes et à vos données est convenu avant le début des travaux, limité à ce que la mission exige et revu à chaque changement dans l’équipe.

    Certifié ISO/IEC 27001

  • Données personnelles et RGPD

    Notre pratique

    Finalités, périmètres d’accès et durées de conservation sont convenus avant de construire. Lorsque nous traitons des données personnelles pour votre compte, nous agissons en tant que sous-traitant, dans le cadre d’un contrat conforme à l’article 28 du RGPD.

    Lorsqu’un traitement est susceptible d’engendrer un risque élevé, nous fournissons les éléments techniques de votre analyse d’impact relative à la protection des données (AIPD).

  • Contrôle humain de l’IA

    Notre pratique

    Chaque cas d’usage de l’IA est classé avec vous pendant la phase de cadrage. Étapes de validation, journalisation et documentation technique sont intégrées au système dès la première version, et non ajoutées à la veille d’un audit. Les agents agissent avec des droits délimités et demandent une validation avant toute action lourde de conséquences.

  • Accessibilité

    Notre pratique

    Nous concevons et testons les interfaces selon la norme EN 301 549 et les WCAG 2.2 niveau AA, avec des contrôles automatisés et une revue manuelle à l’aide de technologies d’assistance, et livrons un rapport de conformité mentionnant les problèmes connus.

  • Résidence des données dans l’UE

    Selon la mission

    Régions d’hébergement, maîtrise des clés de chiffrement et lieux depuis lesquels le support peut accéder aux systèmes sont décidés avec vous avant de construire, puis inscrits dans l’architecture, y compris des options souveraines lorsque vos exigences le demandent.

Cette page décrit notre façon de travailler en tant que prestataire. Elle ne constitue pas une déclaration de conformité en votre nom : vos obligations dépendent de votre organisation et de votre cas d’usage, et l’analyse juridique reste du ressort de vos propres conseillers.

NIS2

NIS2 : sécuriser votre chaîne d’approvisionnement

La directive NIS2, directive (UE) 2022/2555, impose aux entités essentielles et importantes de gérer les risques qui menacent la sécurité de leurs réseaux et systèmes d’information. La sécurité de la chaîne d’approvisionnement figure parmi les mesures minimales de l’article 21, paragraphe 2, et l’article 21, paragraphe 3, demande aux entités de tenir compte des pratiques de sécurité de leurs fournisseurs et prestataires de services directs.

En tant que prestataire, nous rendons cette partie de vos obligations plus facile à démontrer. Clauses de sécurité, canaux de notification des incidents et gestion des vulnérabilités sont convenus dans chaque contrat, et les mesures applicables à votre mission sont documentées pour que votre évaluation des risques fournisseurs puisse les examiner. Savoir si et comment les règles nationales issues de NIS2 s’appliquent à votre organisation relève de votre propre analyse.

  • Des clauses de sécurité au contrat

    Accès, sous-traitance, notification des incidents et coopération aux audits sont convenus par écrit, et non présumés.

  • Un canal d’incident qui fonctionne

    Des interlocuteurs désignés et des délais convenus, pour qu’un incident de notre côté vous parvienne à temps pour l’alerte précoce que NIS2 attend dans les 24 heures (article 23, paragraphe 4).

  • Gestion des vulnérabilités

    Les analyses des dépendances, du code et de l’infrastructure tournent dans la chaîne de livraison, et les constats sont corrigés ou signalés par le canal convenu.

  • Des preuves sur demande

    Notre certificat ISO/IEC 27001 et une description des mesures applicables à votre mission.

DORA

DORA : le risque lié aux prestataires tiers de services TIC

Le règlement sur la résilience opérationnelle numérique (DORA), règlement (UE) 2022/2554, s’applique depuis le 17 janvier 2025. Banques, assureurs, entreprises d’investissement, établissements de paiement et autres entités financières doivent gérer le risque lié aux prestataires tiers de services TIC dans leur cadre de gestion du risque lié aux TIC, tenir un registre d’informations sur tous les accords contractuels portant sur des services TIC (article 28) et inclure les principales dispositions contractuelles dans ces accords (article 30).

Lorsque nous fournissons des services TIC à une entité financière, nous convenons des dispositions de l’article 30 : une description complète des services, les lieux où ils sont fournis et où les données sont traitées, l’assistance en cas d’incident lié aux TIC, la coopération avec vos autorités compétentes et les droits de résiliation. Pour les services qui soutiennent des fonctions critiques ou importantes, le contrat couvre aussi les stratégies de sortie et notre participation à vos tests de résilience.

Nous fournissons les informations dont votre registre d’informations a besoin et documentons les plans de sortie dès le départ, pour que le changement de prestataire reste une option réaliste.

  • Services financiersIA réglementée, plateformes résilientes et exploitation conçue autour de DORA.

Règlement sur l’IA

Règlement européen sur l’IA : contrôle humain et documentation dès la conception

Le règlement sur l’IA, règlement (UE) 2024/1689, s’applique par étapes. Les pratiques interdites et la maîtrise de l’IA s’appliquent depuis février 2025, les obligations de transparence de l’article 50 depuis août 2026. Tel que modifié en 2026 par le règlement (UE) 2026/1744, le règlement applique à partir du 2 décembre 2027 les règles relatives aux systèmes à haut risque de l’annexe III.

Pour les systèmes à haut risque, le règlement exige une documentation technique (article 11), l’enregistrement automatique des événements (article 12) et une conception qui permet un contrôle humain effectif (article 14). Les déployeurs doivent confier ce contrôle à des personnes disposant des compétences et de l’autorité nécessaires (article 26). Nous en tenons compte dès la première version : étapes de validation et possibilité d’intervenir se trouvent là où les décisions touchent des personnes, et la documentation s’écrit au fil du code.

Votre organisation est-elle fournisseur ou déployeur ? Cela dépend de la manière dont le système est mis en service. La question relève de l’analyse juridique, qui reste du ressort de vos conseillers ; nous fournissons les éléments techniques dont elle a besoin.

En réalisation

La sécurité à chaque étape de la réalisation

Les preuves de conformité naissent de la manière dont le travail est fait, pas d’un document rédigé à la fin.

  • Accès au moindre privilège

    L’accès à vos environnements et à vos données est limité à ce que la mission exige, convenu avant le début des travaux et revu à chaque changement dans l’équipe.

  • Modifications relues et analysées

    Chaque modification est relue par un pair avant sa mise en production. Les analyses des dépendances, du code et de l’infrastructure sont automatiques, et des tests de sécurité sont planifiés à chaque version.

  • Des incidents traités selon un processus convenu

    Classification des incidents, interlocuteurs pour les notifications et collecte des preuves sont convenus au démarrage, puis intégrés au processus d’incident lorsque NIS2 ou DORA s’appliquent à vous.

  • Passation et réversibilité documentées

    Procédures d’exploitation, décisions d’architecture et modèles de données sont remis avec le système, et les plans de sortie rendent visibles dès le départ la restitution des données et le coût d’un changement.

Vérifications préalables

Demandez notre documentation de sécurité

Les équipes achats, sécurité et juridiques ont besoin de preuves avant de signer un contrat. Demandez-nous notre certificat ISO/IEC 27001 et son périmètre, des réponses à votre questionnaire de sécurité fournisseurs et les conditions de traitement des données qui s’appliqueraient à votre mission.

Adressez votre demande via la page de contact en précisant le référentiel au regard duquel vous évaluez vos prestataires, par exemple NIS2, DORA ou un référentiel national de sécurité. Les bonnes personnes reviendront vers vous.

  • Nous contacterPrécisez dans votre message qu’il s’agit de documentation de sécurité.
  • Mentions légalesInformations sur la société et son immatriculation, pour votre dossier fournisseur.

France

Le cadre français : ANSSI, CNIL, ACPR

En France, l’ANSSI est l’autorité nationale en matière de cybersécurité, et la transposition de NIS2 élargit fortement le nombre d’entités régulées par rapport au cadre précédent. La CNIL veille au respect du RGPD, et l’ACPR et l’AMF contrôlent l’application de DORA dans le secteur financier. Pour les données les plus sensibles, la qualification SecNumCloud oriente souvent le choix de l’hébergement. Nous intégrons ces attentes dès la conception et documentons nos mesures de sécurité de façon à alimenter votre propre analyse des risques fournisseurs.

Questions des équipes achats et sécurité

FromNine est-elle certifiée ISO/IEC 27001 ?

Oui. Notre système de management de la sécurité de l’information est certifié ISO/IEC 27001. Nous communiquons le certificat et son périmètre sur demande, dans le cadre de vos vérifications préalables.

Comment nous aidez-vous, en tant que prestataire, à remplir nos obligations NIS2 ?

Nous convenons au contrat des clauses de sécurité, des canaux de notification des incidents et de la gestion des vulnérabilités, documentons les mesures applicables à votre mission et vous fournissons les preuves dont votre évaluation des risques fournisseurs a besoin. Savoir si et comment NIS2 s’applique à votre organisation relève de votre analyse et de celle de vos conseillers.

Acceptez-vous les dispositions contractuelles exigées par DORA ?

Oui. Nous convenons des dispositions de l’article 30 de DORA, notifions les incidents par le canal convenu, documentons les plans de sortie, participons aux tests de résilience et fournissons les informations dont votre registre d’informations a besoin.

Qui est responsable de la conformité au règlement sur l’IA ?

Cela dépend de votre rôle, fournisseur ou déployeur, et de la catégorie de risque du cas d’usage. Nous classons chaque cas d’usage avec vous pendant le cadrage, intégrons contrôle humain, journalisation et documentation au système et fournissons à vos conseillers les éléments techniques nécessaires à l’analyse juridique.

Où nos données seront-elles hébergées et traitées ?

Dans des lieux convenus avec vous avant de construire : votre propre environnement cloud, une région européenne d’un cloud public ou vos propres serveurs pour les charges sensibles. L’hébergement et les services d’IA sont choisis en conséquence, et ce choix est documenté avec ses options de sortie.

Comment obtenir votre documentation de sécurité ?

Via la page de contact. Indiquez les documents dont vous avez besoin et le référentiel au regard duquel vous évaluez vos prestataires : les bonnes personnes reviendront vers vous.

Demandez les preuves

Précisez-nous le référentiel utilisé pour évaluer vos prestataires, guides de l’ANSSI, questionnaire interne ou exigences d’un marché public, et les documents attendus. Nous vous dirons ce que nous pouvons partager, et sous quelle forme.

Demander la documentation de sécuritéÀ propos de FromNine