Retrouvez-nous à l’Espace Startups, et à notre atelier mercredi 7 octobre à 16h30. Grimaldi Forum, un pitch de dix minutes.
Réserver l’atelierNotre atelier aux AssisesPAR SECTEUR · TECH & SAAS
Vous êtes fournisseur d’entités soumises à NIS2 et à DORA, acheteur de sous-traitants, et fabricant au sens du CRA si vous livrez des produits logiciels. Mindlapse tient un seul référentiel de contrôles vérifié pour ces trois rôles, et nous publions notre propre posture aux conditions que nous demandons aux fournisseurs.
ISO 27001 et SOC 2 · Clauses fournisseur NIS2 · Signalement CRA · Sous-traitants évalués
SecurityScorecard · Bitsight · Scovery
Répondez une fois par le portail ; le plan d’action se synchronise dans votre file quand vous utilisez Mindlapse aussi.
LA SITUATION
SIG, CAIQ, avenants DORA art. 30, clauses fournisseur NIS2 ; les réponses vivent dans le tableur du trimestre dernier.
Sous-traitants, dépendances open source et concentration cloud que vos clients veulent voir à travers vous.
ISO 27001 plus SOC 2 plus les schémas sectoriels, des contrôles qui se recouvrent, audités séparément par des ingénieurs qui les portent à temps partiel.
Lieu d’hébergement, exposition extraterritoriale et endroit où tourne l’IA, demandés dans chaque affaire européenne.
QUI EST CONCERNÉ
Cloud, centres de données, DNS, TLD, CDN, services de confiance, MSP et MSSP relèvent de l’annexe I de NIS2 ; places de marché, moteurs de recherche et plateformes sociales sont des entités importantes ; le règlement d’exécution de NIS2 fixe leurs exigences techniques et leurs seuils d’incident important (détail sur la page NIS2). Le SaaS hors de ces listes est fournisseur d’entités concernées. Le logiciel mis sur le marché relève du CRA, le SaaS généralement non, sauf traitement de données à distance lié à un produit ; les prestataires des entités financières portent les clauses DORA de l’article 30.
Écrite pour
CE QUE MINDLAPSE CHANGE
Surface: Control Atlas
Les référentiels se rapportent à un seul jeu de contrôles ; un contrôle mis en œuvre et vérifié une fois répond à chacun d’eux, avec une preuve datée et revue que l’auditeur lit sur place.
En savoir plus
Surface: Mindlapse Trust Grade
Chaque sous-traitant porte une note calculée depuis son évaluation, l’impact métier du service qu’il opère pour vous et les notations externes, pondérations affichées ; vos clients vous voient noté de la même façon.
En savoir plus
Surface: Security by Design
Une nouvelle fonctionnalité ou un nouveau sous-traitant entre comme une initiative avec des exigences de sécurité rattachées dès la conception, orientée selon sa criticité et son exposition. Mindlapse ne lit aucun dépôt et ne scanne aucun code ; il pilote la décision.
En savoir plus
Surface: Supplier Hub
Narratifs de contrôle et réponses aux questionnaires rédigés depuis ce que la plateforme tient déjà, sourcés ligne à ligne, pour qu’une personne les confirme ; quand le client utilise Mindlapse, la réponse et le plan d’action se synchronisent des deux côtés.
En savoir plus
LA CARTE DES OBLIGATIONS
Les lignes européennes d’abord ; chaque cellule « vérifie » est une affirmation produit au niveau du registre, aucune cellule ne porte de date (les dates vivent sur les pages CRA et NIS2), et la phrase sous le tableau est la seule source datée du site.
| Réglementation | Obligation | Ce que Mindlapse vérifie | Surface |
|---|---|---|---|
| NIS2 | Art. 21(2)(d) · le devoir de chaîne d’approvisionnement de vos clients | Répondre une fois par le portail quand le client utilise Mindlapse ; le Control Atlas vérifié sinon | Supplier Hub |
| NIS2 | Art. 21 et le règlement d’exécution · les prestataires concernés | Les exigences du règlement d’exécution rapportées à un seul jeu de contrôles, chaque contrôle avec une preuve datée et revue | Control Atlas |
| DORA | Art. 30 · dispositions contractuelles avec les clients financiers | Votre contrat TIC tenu en données de registre vivantes côté client (contrats, criticité, dépendances) ; la remédiation en plan d’action conjoint que les deux parties acceptent, refusent ou contre-proposent | Supplier Hub |
| CRA | Art. 14 · obligations de signalement (dates sur la page CRA) | Incidents graves enregistrés et qualifiés ; vulnérabilités activement exploitées en risques et actions avec responsables ; les notifications rédigées par la cascade depuis le dossier et journalisées ; vous les déposez | Risk Register |
| AI Act | Art. 50 et obligations du fournisseur · la transparence et ce qu’un fournisseur doit | Les risques IA dans le même registre que tous les autres ; les obligations portées en contrôles par correspondance inter-référentiels | Risk Register |
| RGPD | Art. 28 · obligations du sous-traitant | Les sous-traitants ultérieurs évalués comme fournisseurs dans le contexte du service qu’ils opèrent ; réévaluation quand les conditions ou les sous-traitants changent | Supplier Hub |
NIS2 devait être transposée dans toute l’UE avant le 17 octobre 2024. En septembre 2026, la loi française de transposition (le projet de loi résilience, qui refond aussi le régime OIV) est encore devant le Parlement, et la Commission européenne a saisi la Cour de justice contre la France en juillet 2026.
UN TRIMESTRE, PUIS LE JOUR OÙ UN CLIENT DEMANDE
Quatre moments d’un trimestre ordinaire dans une entreprise SaaS, et ce que la plateforme avait déjà fait ; puis le jour où l’auditeur d’une banque demande, en trois temps.
Un trimestre normal
SEMAINE 1
Un client qui utilise Mindlapse vous a enrôlé sur son portail.
Ernest a rédigé les réponses depuis vos propres documents, sourcées ligne à ligne ; vous les avez confirmées.
Surface: Supplier Hub
alerte: SEMAINE 4
Les preuves SOC 2 arrivent à revérification.
Revérifiées sur leur cycle ; la dérive d’un contrôle a été signalée avec un verdict daté.
Surface: Control Atlas
SEMAINE 8
Une vulnérabilité activement exploitée dans votre produit.
Enregistrée comme risque avec un responsable ; sa notification CRA ouverte en action, rédigée par la cascade pour que vous la déposiez.
Surface: Risk Register
vérifié: SEMAINE 12
L’auditeur ISO arrive.
Le mode Audit a ouvert une vue cadrée, en lecture seule, des contrôles vérifiés et de leur piste de preuves.
Surface: Control Atlas
Le jour où le client demande
LA DEMANDE
L’auditeur DORA d’une banque demande vos preuves de l’article 30 et votre chaîne de sous-traitants.
Les deux étaient lus depuis le registre : les sous-traitants comme fournisseurs évalués, les données de contrat que le client tient.
Surface: Supplier Hub
CE QUI S’OUVRE
Les sous-traitants comme fournisseurs évalués, les contrôles vérifiés, le plan d’action conjoint convenu avec ce client.
Chaque sous-traitant avec sa note et son contexte ; chaque contrôle avec son verdict daté ; le plan avec ce que les deux parties ont accepté.
Surface: Control Atlas
CE QUI S’EXPORTE
Les narratifs de contrôle et les preuves.
Rédigés par Ernest, sourcés ligne à ligne, confirmés par vous ; synchronisés des deux côtés quand le client utilise Mindlapse.
Surface: Supplier Hub
Trimestre illustratif : les moments sont fictifs, les surfaces sont celles du produit.
RETOURS DU TERRAIN
CYBER COLLECTIVE LAB · Édition 5
Les obligations du CRA telles que la table ronde les a posées pour les éditeurs de logiciels : le signalement d’abord, le dossier produit ensuite, et ce qu’une équipe SaaS peut faire avant les échéances.
CYBER COLLECTIVE LAB · Édition 1
Les retours du Sommet pour l’action sur l’IA, lus du côté du fournisseur : là où les devoirs IA rejoignent le reste des obligations d’un éditeur.
Mesuré avec les RSSI partenaires de conception, chiffres en validation continue.
FAQ
Pas comme flux entrant. Quand votre client utilise Mindlapse, vous répondez une fois par son portail et les plans d’action se synchronisent des deux côtés ; sinon, le Control Atlas vérifié et les narratifs de contrôle qu’Ernest en rédige, sourcés ligne à ligne, sont ce que vous envoyez.
Non. Mindlapse ne lit aucun dépôt, ne lance aucun scanner et ne produit aucun SBOM ; il tient la couche de gouvernance : le dossier produit, son analyse de risque, les actions CRA avec responsables, et ce que votre outillage d’ingénierie produit, gardé en preuve datée et revue.
En général, non. Le CRA couvre les produits comportant des éléments numériques mis sur le marché ; un service délivré en SaaS en reste hors périmètre sauf s’il constitue un traitement de données à distance lié à un tel produit, auquel cas ce traitement est concerné. Vos clients financiers vous atteignent par l’article 30 de DORA, vos clients NIS2 par leur devoir de chaîne d’approvisionnement ; la page CRA porte les dates et le test d’entité.
ISO 27001 est en cours et SOC 2 Type II est planifiée ; ni l’une ni l’autre n’est revendiquée avant d’être obtenue, et le trust center porte les dates. Ce qui tient aujourd’hui : des données clients conservées et traitées uniquement dans l’UE, infrastructure principale en France, isolation complète par tenant, et le dossier d’évaluation, questionnaire, DPA et attestations d’hébergement, sur demande et sous NDA.
En Europe, sur des fondations de modèles open source opérées dans l’UE. Vos données de gouvernance n’entraînent jamais un modèle, de quelque côté que ce soit, chaque inférence est tracée, et Ernest propose pendant qu’une personne confirme ; les sources de chaque brouillon sont affichées.
À lire ensuite
Votre posture du lundi : risques, exceptions, fournisseurs et le pack, depuis un seul registre.
En savoir plus
La sécurité décidée dès le départ, assistée par l’IA, prouvée à la clôture.
En savoir plus
Un référentiel pour tous les cadres ; la preuve à tout moment ; la cascade incident sur un seul dossier.
En savoir plus
Aussi par résultat
GLOSSAIRE
CONFIANCE, VÉRIFIÉE
Une session en direct sur votre stack : référentiels, sous-traitants, la vue auditeur en lecture seule.
La mesure d’audience de notre hébergeur (Vercel) n’utilise aucun cookie et n’est pas concernée par ce choix. Google Analytics et les traceurs marketing restent désactivés tant que vous ne les acceptez pas. Lire la politique de cookies
