La conformité fait partie du produit, ce n'est pas un supplément.
NetSenX prépare un rapport SOC 2 Type I, ISO/IEC 42001 pour le management de l'IA et ISO/IEC 27001 pour la sécurité de l'information. Aucun n'est encore obtenu ; cette page indique où en est chacun, à côté des réglementations que NetSenX prend déjà en charge : NIS2, RGPD, Cyber Resilience Act et AI Act.
Normes en préparation
Trois normes, chacune avec son propre audit externe
SOC 2 rend compte de la façon dont nous opérons nos contrôles, ISO/IEC 27001 de la façon dont nous gérons la sécurité de l'information, ISO/IEC 42001 de la façon dont nous gouvernons l'IA. Chacune sera auditée par un organisme indépendant ; ensemble, elles donnent aux équipes juridique, sécurité et IA de l'acheteur des preuves que chacune peut accepter selon ses propres critères.
SOC 2
Type I
En préparation — pas encore attesté · aucune date d'audit
Une attestation indépendante que les contrôles de sécurité, de disponibilité et de confidentialité sont conçus comme décrit : le rapport que demandent la plupart des équipes achats SaaS.
Ce que cela vous apporteISO/IEC 42001
Système de management de l'IA
En préparation — pas encore de certificat · aucune date d'audit
Des contrôles de gouvernance, de risque, de transparence et de cycle de vie pour chaque composant d'IA de NetSenX, selon la norme internationale des systèmes de management de l'IA.
Ce que cela vous apporteISO/IEC 27001:2022
Management de la sécurité de l'information
Prévu — pas encore de certificat · aucune date d'audit
Un système de management de la sécurité de l'information couvrant actifs, accès, cryptographie, fournisseurs, incidents, continuité d'activité et conformité.
Ce que cela vous apporteFeuille de route de certification
L'ordre des travaux
Aucune de ces certifications n'est obtenue et aucun audit n'est planifié : nous montrons donc l'ordre des travaux, pas des dates. Une date n'apparaîtra ici qu'une fois un audit planifié avec un auditeur indépendant. Les équipes achats peuvent demander notre dossier de preuves à tout moment.
Étape 1 · en préparation
Audit SOC 2 Type I
Par un cabinet d'audit indépendant. Trust Services Criteria : sécurité, disponibilité, confidentialité.
Étape 2 · en préparation
Audit de certification ISO/IEC 42001
Par un organisme de certification accrédité. Le système de management de l'IA couvre chaque composant d'IA.
Étape 3 · prévue
Audit de certification ISO/IEC 27001:2022
Par un organisme de certification accrédité. Périmètre prévu : produit, infrastructure et chaîne d'approvisionnement.
Étape 4 · prévue
Rapport SOC 2 sur l'efficacité opérationnelle
Seulement après une période d'observation du fonctionnement des contrôles.
Objectif
Les trois en place
SOC 2, ISO/IEC 42001 et ISO/IEC 27001:2022. Aucun n'est obtenu aujourd'hui.
Ce que chaque norme vous apporte
Trois normes, trois régimes de gouvernance, trois organismes d'audit. Chacune est utile seule ; ensemble, elles répondent à la plupart des questions qu'une équipe achats pose avant d'approuver un déploiement.
SOC 2
AICPA Trust Services Criteria
En préparation — Type I · aucune date d'audit
SOC 2 répond à la question classique des achats SaaS : les contrôles de ce fournisseur sont-ils vraiment en place comme décrit ? Un rapport Type I porte sur la conception des contrôles à une date donnée. Nous le préparons ; aucune date d'audit n'est encore fixée.
Ce que cela apporte à votre équipe
- Une attestation indépendante des contrôles de sécurité (Trust Services Criteria : sécurité)
- Un rapport d'un cabinet CPA indépendant à transmettre aux achats et à la sécurité, une fois émis
- Un périmètre fixe, comparable aux rapports d'autres fournisseurs
- Une description du périmètre qui nomme précisément les systèmes couverts
ISO/IEC 42001
Système de management de l'IA
En préparation — pas encore de certificat · aucune date d'audit
ISO/IEC 42001:2023 est la première norme internationale pour les systèmes de management de l'IA. Elle donne à un RSSI une réponse auditable à la question : « comment gouvernez-vous l'IA de votre produit de sécurité ? ». Nous construisons selon elle le système de management de l'IA de NetSenX.
Ce que cela apporte à votre équipe
- Une gouvernance documentée pour chaque composant d'IA de NetSenX
- Un registre des risques IA avec des responsables nommés, revu selon un calendrier fixe
- Des contrôles de cycle de vie : introduction, surveillance, retrait
- Une chaîne de preuves directe vers les obligations de transparence de l'article 50 de l'AI Act
ISO/IEC 27001:2022
Système de management de la sécurité de l'information
Prévu — pas encore de certificat · aucune date d'audit
ISO/IEC 27001 est une exigence fréquente dans les achats européens. La révision de 2022 a réorganisé les mesures de l'annexe A en quatre thèmes : organisationnelles, liées aux personnes, physiques et technologiques. Le périmètre prévu couvre le produit, l'infrastructure et la chaîne d'approvisionnement.
Ce que cela apporte à votre équipe
- Une déclaration d'applicabilité couvrant les mesures de l'annexe A
- Des mesures sur les actifs, les accès, la cryptographie, les fournisseurs, les incidents, la continuité et la conformité
- Des preuves d'audit interne, de revue de direction et d'amélioration continue
- Une base que demandent de nombreux processus d'achat dans l'UE
Réglementations européennes
Conçu pour la réglementation européenne, par des gens qui la lisent.
Le Cyber Resilience Act, NIS2, le RGPD et l'AI Act déterminent une grande part de ce qu'un acheteur européen doit vérifier avant de déployer un produit de sécurité. Nous traitons chacun comme une partie du produit, avec les preuves correspondantes.
Cyber Resilience Act (CRA)
Article 13 : obligations du fabricant · article 14 : déclarations
- La chaîne de publication génère une nomenclature logicielle (SBOM) CycloneDX pour chaque version publiée.
- Une politique de divulgation coordonnée des vulnérabilités est publiée, avec une fenêtre de divulgation coordonnée de 90 jours.
- Les versions et les SBOM sont signés avec Sigstore cosign ; les signatures figurent dans le journal de transparence public Rekor et peuvent être vérifiées de façon indépendante.
- Le processus de notification des vulnérabilités et des incidents est conçu autour des obligations de déclaration de l'article 14 du règlement (UE) 2024/2847.
Directive NIS2
Article 21 : mesures de gestion des risques · article 23 : notification
- Les preuves sont organisées selon les familles de mesures de l'article 21 : analyse des risques, gestion des incidents, continuité d'activité, chaîne d'approvisionnement, développement sécurisé, cryptographie, authentification multifacteur, formation, etc.
- Pensé pour les entités essentielles et importantes : l'obligation réglementaire reste la vôtre, NetSenX fournit la détection et la traçabilité.
- Le flux de traitement des incidents suit les délais de l'article 23 — alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois — et prépare chaque rapport pour que vous le transmettiez.
- Les auditeurs voient les mêmes enregistrements que votre direction ; il n'existe pas de version réservée à l'audit.
RGPD dès la conception
Minimisation des données, hébergement dans l'UE, DPO joignable
- Les champs sensibles, comme les identifiants d'intégration, sont chiffrés en AES-256-GCM au niveau applicatif avant d'être stockés.
- La collecte est minimale par défaut : la détection repose surtout sur les métadonnées de flux et quelques champs de protocole lus sur l'hôte surveillé ; les connexions chiffrées ne sont jamais déchiffrées.
- Les données clients sont stockées dans l'UE : la base de données en Irlande (AWS eu-west-1), l'API à Francfort et à Paris. Quelques sous-traitants nommés (paiements, e-mails transactionnels) opèrent aux États-Unis sous clauses contractuelles types de l'UE.
- Le DPO est joignable à dpo@netsenx.com, et un accord de traitement des données au titre de l'article 28 du RGPD est publié pour les achats.
AI Act (règlement sur l'IA)
Article 50 : transparence · système de management de l'IA ISO/IEC 42001 en préparation
- Une déclaration publique de transparence au titre de l'article 50 recense chaque composant d'IA et ses contrôles de gouvernance.
- La classification du risque est documentée : nous évaluons NetSenX comme un système à risque limité et appliquons volontairement plusieurs pratiques prévues pour les systèmes à haut risque.
- Un système de management de l'IA est en cours de construction selon ISO/IEC 42001 ; aucun certificat n'est obtenu et aucune date d'audit n'est fixée.
- Une explication pour chaque alerte et un journal d'audit de qui a fait quoi font partie du produit, pas d'une demande au support.
Contrôles de sécurité
Du concret, pas des slogans.
La confiance repose sur les contrôles qui résistent aux questions d'un auditeur. Voici les nôtres.
- Chiffrement des champs en AES-256-GCM
- Les champs sensibles sont chiffrés au niveau applicatif avant d'être stockés.
- Versions signées
- Les artefacts de version et leurs SBOM sont signés avec Sigstore cosign (sans clé, liés à une identité), et chaque signature est inscrite dans le journal de transparence public Rekor, où chacun peut la vérifier.
- Journal d'audit en ajout seul
- Les actions d'administration, les alertes influencées par l'IA et les accès aux données sont inscrits dans un journal d'audit en ajout seul, disponible dans toutes les offres, Free compris.
- Hébergement des données dans l'UE
- Les données clients sont stockées dans l'UE : la base de données en Irlande (AWS eu-west-1), l'API à Francfort et à Paris. Chaque sous-traitant, avec sa localisation et sa garantie de transfert, figure dans l'accord de traitement des données.
- Divulgation coordonnée des vulnérabilités
- Les chercheurs signalent à security@netsenx.com. Nous accusons réception sous 2 jours ouvrés, décidons du tri sous 5 et coordonnons la divulgation publique sous 90 jours.
- security.txt publié
- Un fichier security.txt conforme à la norme sous /.well-known/security.txt, avec les champs contact, politique, langue préférée et date d'expiration.
FIPS 197 / NIST SP 800-38D
Sigstore · Rekor
Altération détectable, chaînage par hachage
Base de données : AWS eu-west-1
Politique de divulgation publiée
RFC 9116
Qui développe NetSenX
TriStiX S.L.
L'entreprise espagnole d'Alicante qui développe et exploite NetSenX.
- Lead implementer ISO/IEC 42001 dans notre équipeUne qualification personnelle pour mettre en œuvre un système de management de l'IA. TriStiX S.L. ne détient elle-même aucun certificat ISO/IEC 42001 ; son système de management de l'IA est en préparation.
- Recherche de l'entreprise sur arXivPrépublication de recherche de TriStiX S.L. arXiv:2603.28558v1 — logique multivaluée pour des applications de conformité
- Développé en interneLe moteur de détection, l'agent, le tableau de bord et ce site sont écrits et relus par TriStiX S.L. ; aucun moteur tiers en marque blanche
- Entreprise européenneTriStiX S.L. — Av. Maisonnave 41, 3º, 03003 Alicante, España · NIF B-26925016
Partenaires de conception
Programme bêta ouvert
Nous n'affichons pas de logos clients que nous n'avons pas le droit d'afficher. Lorsque des partenaires de conception accepteront d'être nommés, ils apparaîtront ici, avec leur accord explicite.
Besoin d'un dossier de preuves pour votre auditeur ?
Avant même la fin de toute certification, nous tenons à jour un dossier de preuves aligné sur les contrôles SOC 2, ISO/IEC 42001, ISO/IEC 27001, CRA, NIS2, RGPD et AI Act. Demandez-le sous NDA et nous vous l'envoyons directement.
Les demandes arrivent à dpo@netsenx.com, l'adresse de notre délégué à la protection des données.