Aller au contenu principal
FromNine
Menu

Confiance et conformité

Sécurité et conformité pour les organisations supervisées

Notre certification ISO/IEC 27001 n’est qu’un début. Cette page explique la protection que nous apportons, comme fournisseur, à vos systèmes et à vos données, notre contribution à vos devoirs issus de NIS2, de DORA et du règlement sur l’IA, et la marche à suivre pour recevoir nos documents de sécurité.

Pour l’État, les communes et les entreprises régulées du Luxembourg, où la CNPD, la CSSF, le CAA et l’ILR précisent les règles européennes.

Demander nos documentsNos engagements

Nos engagements

Cinq engagements, quelle que soit la mission

Administrations, banques, gestionnaires de fonds et assureurs nous remettent des données sensibles et des systèmes qui soutiennent des décisions réelles. Voici les engagements sur lesquels ils peuvent nous tenir.

  • Management de la sécurité de l’information

    Certifié

    La norme internationale ISO/IEC 27001 encadre notre gestion de la sécurité de l’information, et notre certification le confirme. Ce système régit sur chaque mission nos mesures de protection, le suivi de nos propres fournisseurs et le traitement des incidents.

    Qui peut accéder à quoi chez vous est convenu avant que le travail commence, limité aux besoins réels et réexaminé dès que la composition de l’équipe évolue.

    Certifié ISO/IEC 27001

  • Données personnelles et RGPD

    Notre pratique

    Avant tout développement, nous fixons ensemble les finalités, les limites d’accès et la durée de conservation des données. Si nous traitons des données personnelles pour vous, c’est en qualité de sous-traitant au sens de l’article 28 du RGPD, encadré par un contrat dédié.

    Quand un traitement est susceptible d’engendrer un risque élevé, vous recevez de notre part la matière technique nécessaire à l’AIPD, l’analyse d’impact exigée par le RGPD.

  • Supervision humaine de l’IA

    Notre pratique

    Pendant la phase d’analyse, nous classons avec vous chaque usage de l’IA. Approbations, journaux et documentation technique sont présents dès la première version, pas ajoutés quand un audit approche. Un agent n’a que des droits restreints et sollicite une personne avant toute étape qui a des effets.

  • Accessibilité

    Notre pratique

    Les interfaces visent EN 301 549 et le niveau AA des WCAG 2.2. Elles sont contrôlées par des outils automatiques et à la main avec des aides techniques, et un rapport de conformité liste les défauts encore connus.

  • Données hébergées dans l’UE

    Selon la mission

    Où les données sont hébergées, qui garde les clés de chiffrement et d’où le support peut intervenir : tout cela se décide avec vous en amont, s’inscrit dans l’architecture et peut inclure des solutions souveraines.

Nous décrivons ici notre rôle de fournisseur, et non votre conformité. Les obligations qui vous concernent dépendent de votre organisation et de l’usage visé ; leur lecture juridique appartient à vos conseils.

NIS2

NIS2 : vos fournisseurs dans votre analyse de risques

Au Luxembourg, NIS2 (directive (UE) 2022/2555) est transposée par la loi du 5 mai 2026, en vigueur depuis le 10 mai 2026. L’ILR en est l’autorité compétente pour la plupart des secteurs et gère un portail d’enregistrement. Les entités essentielles et importantes doivent maîtriser les risques de leurs réseaux et systèmes ; la directive range la sécurité de la chaîne d’approvisionnement parmi les mesures minimales (article 21(2)) et veut que les pratiques des fournisseurs directs soient prises en compte (article 21(3)).

Notre rôle : rendre ce volet de vos obligations plus facile à démontrer. Chaque contrat règle les clauses de sécurité, les canaux d’incident et le traitement des failles, et nous décrivons les mesures en place sur votre mission pour que vous puissiez les évaluer dans votre gestion des risques fournisseurs. Votre éventuel assujettissement à la loi luxembourgeoise reste votre analyse.

  • Des clauses de sécurité écrites

    Accès, recours à des sous-traitants, signalement des incidents et audits : tout est écrit dans le contrat, rien n’est sous-entendu.

  • Un canal d’incident opérationnel

    Des interlocuteurs désignés et des délais fixés à l’avance : un incident de notre côté vous parvient assez tôt pour l’alerte précoce à 24 heures prévue par NIS2 (article 23(4)).

  • Gestion des vulnérabilités

    La chaîne de livraison analyse dépendances, code et infrastructure ; tout constat est corrigé ou remonté par le canal prévu.

  • Des preuves sur demande

    Notre certificat ISO/IEC 27001, avec la liste des mesures qui couvrent votre mission.

DORA

DORA : vos prestataires TIC sous le regard de la CSSF et du CAA

Depuis le 17 janvier 2025, DORA, le règlement (UE) 2022/2554, est applicable. Au Luxembourg, la CSSF et le Commissariat aux Assurances (CAA) en assurent la supervision, et les entités supervisées par la CSSF déclarent leurs incidents par son eDesk, selon la circulaire CSSF 25/893. Les banques, assureurs, gestionnaires de fonds, établissements de paiement et autres entités visées intègrent le risque de tiers TIC à leur gestion du risque TIC. Elles tiennent un registre d’informations sur tous leurs contrats de services TIC (article 28) et y font figurer des clauses obligatoires (article 30).

Si nous fournissons des services TIC à une entité financière, nous signons les clauses énumérées à l’article 30 : description complète du service, lieux d’exécution et de traitement des données, aide en cas d’incident TIC, coopération avec la CSSF ou le CAA, droits de résiliation. Quand le service appuie une fonction critique ou importante, le contrat prévoit en plus la stratégie de sortie et notre participation à vos tests de résilience.

Vous recevez de nous les données de votre registre, et un plan de sortie existe dès le premier jour : changer de prestataire doit rester possible en pratique.

  • Secteur financierIA encadrée, plateformes résilientes, exploitation conçue avec DORA en tête.

Règlement européen sur l’IA

Règlement sur l’IA : contrôle humain et documentation dès la conception

Le règlement (UE) 2024/1689 s’applique progressivement. Interdictions et obligation de maîtrise de l’IA valent depuis février 2025, transparence au sens de l’article 50 depuis août 2026. Modifié en 2026 par le règlement (UE) 2026/1744, il rend applicables au 2 décembre 2027 les exigences relatives aux systèmes à haut risque de l’annexe III. Côté luxembourgeois, le projet de loi n° 8476 prévoit la CNPD comme autorité de surveillance du marché par défaut ; il n’est pas adopté à ce jour.

Un système à haut risque doit disposer d’une documentation technique (article 11), journaliser automatiquement ses événements (article 12) et se prêter à une supervision humaine réelle (article 14). Le déployeur confie cette supervision à des personnes compétentes, qui ont l’autorité pour agir (article 26). Chez nous, cela commence à la première version : approbation et reprise en main là où une décision concerne des personnes, et documentation écrite au rythme du code.

Fournisseur ou déployeur : votre qualité découle des conditions de mise en service du système. C’est un point d’analyse juridique, confié à vos conseils ; nous leur apportons les faits techniques.

Pendant la réalisation

La sécurité tout au long du projet

La conformité se prouve par la manière de travailler, pas par un rapport écrit après coup.

  • Le moindre privilège

    Vos environnements et vos données ne sont accessibles qu’à hauteur du besoin. Ces accès sont fixés d’entrée et réexaminés lors de chaque arrivée ou départ.

  • Modifications relues et analysées

    Rien n’est livré sans relecture par un pair. Des analyses automatiques couvrent dépendances, code et infrastructure, et des tests de sécurité sont prévus pour chaque version.

  • Incidents traités selon une procédure convenue

    Niveaux de gravité, personnes à prévenir et conservation des preuves sont décidés au lancement, et repris dans votre processus d’incident lorsque NIS2 ou DORA s’appliquent.

  • Passation et sortie documentées

    Le système est remis avec ses procédures, ses décisions d’architecture et ses modèles de données. Le plan de sortie montre dès le début comment récupérer les données et ce que coûterait un changement.

Diligence raisonnable

Recevoir nos documents de sécurité

Avant de signer, vos équipes achats, sécurité et juridique veulent des preuves. Sur demande, nous transmettons le certificat ISO/IEC 27001 avec son périmètre, nos réponses à votre questionnaire de sécurité et les conditions de traitement des données prévues pour votre mission.

Écrivez-nous via la page de contact et indiquez votre cadre d’évaluation des fournisseurs : loi NIS2 luxembourgeoise, DORA et attentes de la CSSF, ou politique de sécurité interne. Les bonnes personnes prendront contact avec vous.

  • Nous contacterMentionnez la documentation de sécurité dans votre message.
  • Mentions légalesDonnées d’identification de la société pour votre fichier fournisseurs.

Luxembourg

Règles européennes, autorités luxembourgeoises

Le RGPD, DORA et le règlement sur l’IA sont des règlements directement applicables dans toute l’Union. NIS2 est une directive : au Luxembourg, la loi du 5 mai 2026 la transpose, l’ILR est compétent pour la plupart des secteurs et les incidents se notifient dans les 24 heures.

Le contrôle reste national. La CNPD veille au RGPD, la CSSF et le CAA appliquent DORA à la place financière, l’ILR supervise NIS2 pour la majorité des entités. Pour un groupe présent aussi en France, en Belgique ou en Allemagne, nous définissons un seul ensemble de mesures et relions chaque canal d’incident à l’autorité dont relève l’entité concernée.

Les questions des achats et de la sécurité

FromNine détient-elle la certification ISO/IEC 27001 ?

Oui. Notre gestion de la sécurité de l’information est certifiée ISO/IEC 27001 ; certificat et périmètre vous sont communiqués à la demande, pour votre évaluation du fournisseur.

Comment nous aidez-vous à respecter la loi NIS2 en tant que fournisseur ?

Le contrat règle les clauses de sécurité, la notification des incidents et la gestion des failles. Nous décrivons les mesures en place pour votre mission et vous donnons les preuves attendues par votre évaluation des fournisseurs. Vous et vos conseils déterminez si, et comment, la loi du 5 mai 2026 vous concerne.

Acceptez-vous les clauses contractuelles exigées par DORA ?

Oui. Les clauses de l’article 30 de DORA sont reprises, nos incidents vous sont signalés assez tôt pour votre déclaration à la CSSF ou au CAA, les plans de sortie sont écrits, nous prenons part aux tests de résilience et alimentons votre registre d’informations.

Qui répond de la conformité au règlement sur l’IA ?

Tout dépend de votre qualité, fournisseur ou déployeur, et du niveau de risque de l’usage. Pendant la phase d’analyse, nous classons chaque usage avec vous ; supervision, journaux et documentation sont intégrés au système, et vos conseils reçoivent les faits techniques utiles à leur analyse.

Où nos données seront-elles stockées et traitées ?

Là où nous en convenons avant le développement : votre propre environnement cloud, une région européenne d’un fournisseur de cloud public, ou vos serveurs pour les données sensibles. Hébergeur et services d’IA en découlent, et la décision est consignée avec la manière d’en sortir.

Comment recevoir vos documents de sécurité ?

Via la page de contact : précisez les documents voulus et le cadre selon lequel vous évaluez vos fournisseurs. Une personne compétente vous répondra.

Demandez les preuves

Indiquez-nous votre référentiel d’évaluation des fournisseurs et les documents attendus. Nous vous dirons ce que nous pouvons transmettre, et sous quelle forme.

Demander nos documentsÀ propos de FromNine