# NIS2, RGPD, AI Act : état de conformité > Comment NetSenX soutient les articles 21 et 23 de NIS2, le RGPD et l'AI Act. SOC 2 Type I et ISO/IEC 42001 : en préparation, pas encore attestés. Source page: https://netsenx.com/fr/compliance État de conformité La conformité fait partie du produit, ce n'est pas un supplément. NetSenX prépare un rapport SOC 2 Type I, ISO/IEC 42001 pour le management de l'IA et ISO/IEC 27001 pour la sécurité de l'information. Aucun n'est encore obtenu ; cette page indique où en est chacun, à côté des réglementations que NetSenX prend déjà en charge : NIS2, RGPD, Cyber Resilience Act et AI Act. Demander le dossier de preuves Réserver un briefing RSSI ### Trois normes, chacune avec son propre audit externe Normes en préparation SOC 2 rend compte de la façon dont nous opérons nos contrôles, ISO/IEC 27001 de la façon dont nous gérons la sécurité de l'information, ISO/IEC 42001 de la façon dont nous gouvernons l'IA. Chacune sera auditée par un organisme indépendant ; ensemble, elles donnent aux équipes juridique, sécurité et IA de l'acheteur des preuves que chacune peut accepter selon ses propres critères. Ce que cela vous apporte Lire le détail Type I En préparation — pas encore attesté · aucune date d'audit Une attestation indépendante que les contrôles de sécurité, de disponibilité et de confidentialité sont conçus comme décrit : le rapport que demandent la plupart des équipes achats SaaS. Système de management de l'IA En préparation — pas encore de certificat · aucune date d'audit Des contrôles de gouvernance, de risque, de transparence et de cycle de vie pour chaque composant d'IA de NetSenX, selon la norme internationale des systèmes de management de l'IA. Management de la sécurité de l'information Prévu — pas encore de certificat · aucune date d'audit Un système de management de la sécurité de l'information couvrant actifs, accès, cryptographie, fournisseurs, incidents, continuité d'activité et conformité. ### L'ordre des travaux Feuille de route de certification Aucune de ces certifications n'est obtenue et aucun audit n'est planifié : nous montrons donc l'ordre des travaux, pas des dates. Une date n'apparaîtra ici qu'une fois un audit planifié avec un auditeur indépendant. Les équipes achats peuvent demander notre dossier de preuves à tout moment. Étapes de certification #### Audit SOC 2 Type I Étape 1 · en préparation Par un cabinet d'audit indépendant. Trust Services Criteria : sécurité, disponibilité, confidentialité. #### Audit de certification ISO/IEC 42001 Étape 2 · en préparation Par un organisme de certification accrédité. Le système de management de l'IA couvre chaque composant d'IA. #### Audit de certification ISO/IEC 27001:2022 Étape 3 · prévue Par un organisme de certification accrédité. Périmètre prévu : produit, infrastructure et chaîne d'approvisionnement. #### Rapport SOC 2 sur l'efficacité opérationnelle Étape 4 · prévue Seulement après une période d'observation du fonctionnement des contrôles. #### Les trois en place Objectif SOC 2, ISO/IEC 42001 et ISO/IEC 27001:2022. Aucun n'est obtenu aujourd'hui. ### Ce que chaque norme vous apporte Trois normes, trois régimes de gouvernance, trois organismes d'audit. Chacune est utile seule ; ensemble, elles répondent à la plupart des questions qu'une équipe achats pose avant d'approuver un déploiement. Ce que cela apporte à votre équipe AICPA Trust Services Criteria En préparation — Type I · aucune date d'audit SOC 2 répond à la question classique des achats SaaS : les contrôles de ce fournisseur sont-ils vraiment en place comme décrit ? Un rapport Type I porte sur la conception des contrôles à une date donnée. Nous le préparons ; aucune date d'audit n'est encore fixée. Une attestation indépendante des contrôles de sécurité (Trust Services Criteria : sécurité) Un rapport d'un cabinet CPA indépendant à transmettre aux achats et à la sécurité, une fois émis Un périmètre fixe, comparable aux rapports d'autres fournisseurs Une description du périmètre qui nomme précisément les systèmes couverts Système de management de l'IA En préparation — pas encore de certificat · aucune date d'audit ISO/IEC 42001:2023 est la première norme internationale pour les systèmes de management de l'IA. Elle donne à un RSSI une réponse auditable à la question : « comment gouvernez-vous l'IA de votre produit de sécurité ? ». Nous construisons selon elle le système de management de l'IA de NetSenX. Une gouvernance documentée pour chaque composant d'IA de NetSenX Un registre des risques IA avec des responsables nommés, revu selon un calendrier fixe Des contrôles de cycle de vie : introduction, surveillance, retrait Une chaîne de preuves directe vers les obligations de transparence de l'article 50 de l'AI Act Système de management de la sécurité de l'information Prévu — pas encore de certificat · aucune date d'audit ISO/IEC 27001 est une exigence fréquente dans les achats européens. La révision de 2022 a réorganisé les mesures de l'annexe A en quatre thèmes : organisationnelles, liées aux personnes, physiques et technologiques. Le périmètre prévu couvre le produit, l'infrastructure et la chaîne d'approvisionnement. Une déclaration d'applicabilité couvrant les mesures de l'annexe A Des mesures sur les actifs, les accès, la cryptographie, les fournisseurs, les incidents, la continuité et la conformité Des preuves d'audit interne, de revue de direction et d'amélioration continue Une base que demandent de nombreux processus d'achat dans l'UE ### Conçu pour la réglementation européenne, par des gens qui la lisent. Réglementations européennes Le Cyber Resilience Act, NIS2, le RGPD et l'AI Act déterminent une grande part de ce qu'un acheteur européen doit vérifier avant de déployer un produit de sécurité. Nous traitons chacun comme une partie du produit, avec les preuves correspondantes. #### Cyber Resilience Act (CRA) Article 13 : obligations du fabricant · article 14 : déclarations La chaîne de publication génère une nomenclature logicielle (SBOM) CycloneDX pour chaque version publiée. Une politique de divulgation coordonnée des vulnérabilités est publiée, avec une fenêtre de divulgation coordonnée de 90 jours. Les versions et les SBOM sont signés avec Sigstore cosign ; les signatures figurent dans le journal de transparence public Rekor et peuvent être vérifiées de façon indépendante. Le processus de notification des vulnérabilités et des incidents est conçu autour des obligations de déclaration de l'article 14 du règlement (UE) 2024/2847. Lire la politique de divulgation #### Directive NIS2 Article 21 : mesures de gestion des risques · article 23 : notification Les preuves sont organisées selon les familles de mesures de l'article 21 : analyse des risques, gestion des incidents, continuité d'activité, chaîne d'approvisionnement, développement sécurisé, cryptographie, authentification multifacteur, formation, etc. Pensé pour les entités essentielles et importantes : l'obligation réglementaire reste la vôtre, NetSenX fournit la détection et la traçabilité. Le flux de traitement des incidents suit les délais de l'article 23 — alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois — et prépare chaque rapport pour que vous le transmettiez. Les auditeurs voient les mêmes enregistrements que votre direction ; il n'existe pas de version réservée à l'audit. Surveillance réseau NIS2 #### RGPD dès la conception Minimisation des données, hébergement dans l'UE, DPO joignable Les champs sensibles, comme les identifiants d'intégration, sont chiffrés en AES-256-GCM au niveau applicatif avant d'être stockés. La collecte est minimale par défaut : la détection repose surtout sur les métadonnées de flux et quelques champs de protocole lus sur l'hôte surveillé ; les connexions chiffrées ne sont jamais déchiffrées. Les données clients sont stockées dans l'UE : la base de données en Irlande (AWS eu-west-1), l'API à Francfort et à Paris. Quelques sous-traitants nommés (paiements, e-mails transactionnels) opèrent aux États-Unis sous clauses contractuelles types de l'UE. Le DPO est joignable à dpo@netsenx.com, et un accord de traitement des données au titre de l'article 28 du RGPD est publié pour les achats. Lire l'accord de traitement des données #### AI Act (règlement sur l'IA) Article 50 : transparence · système de management de l'IA ISO/IEC 42001 en préparation Une déclaration publique de transparence au titre de l'article 50 recense chaque composant d'IA et ses contrôles de gouvernance. La classification du risque est documentée : nous évaluons NetSenX comme un système à risque limité et appliquons volontairement plusieurs pratiques prévues pour les systèmes à haut risque. Un système de management de l'IA est en cours de construction selon ISO/IEC 42001 ; aucun certificat n'est obtenu et aucune date d'audit n'est fixée. Une explication pour chaque alerte et un journal d'audit de qui a fait quoi font partie du produit, pas d'une demande au support. Lire la déclaration de transparence IA ### Du concret, pas des slogans. Contrôles de sécurité La confiance repose sur les contrôles qui résistent aux questions d'un auditeur. Voici les nôtres. #### Chiffrement des champs en AES-256-GCM Les champs sensibles sont chiffrés au niveau applicatif avant d'être stockés. FIPS 197 / NIST SP 800-38D #### Versions signées Les artefacts de version et leurs SBOM sont signés avec Sigstore cosign (sans clé, liés à une identité), et chaque signature est inscrite dans le journal de transparence public Rekor, où chacun peut la vérifier. Sigstore · Rekor #### Journal d'audit en ajout seul Les actions d'administration, les alertes influencées par l'IA et les accès aux données sont inscrits dans un journal d'audit en ajout seul, disponible dans toutes les offres, Free compris. Altération détectable, chaînage par hachage #### Hébergement des données dans l'UE Les données clients sont stockées dans l'UE : la base de données en Irlande (AWS eu-west-1), l'API à Francfort et à Paris. Chaque sous-traitant, avec sa localisation et sa garantie de transfert, figure dans l'accord de traitement des données. Base de données : AWS eu-west-1 #### Divulgation coordonnée des vulnérabilités Les chercheurs signalent à security@netsenx.com. Nous accusons réception sous 2 jours ouvrés, décidons du tri sous 5 et coordonnons la divulgation publique sous 90 jours. Politique de divulgation publiée #### security.txt publié Un fichier security.txt conforme à la norme sous /.well-known/security.txt, avec les champs contact, politique, langue préférée et date d'expiration. RFC 9116 ### Programme bêta ouvert Partenaires de conception Nous n'affichons pas de logos clients que nous n'avons pas le droit d'afficher. Lorsque des partenaires de conception accepteront d'être nommés, ils apparaîtront ici, avec leur accord explicite. Rejoindre le programme bêta Partenaire bêta ### Besoin d'un dossier de preuves pour votre auditeur ? Pour votre auditeur Avant même la fin de toute certification, nous tenons à jour un dossier de preuves aligné sur les contrôles SOC 2, ISO/IEC 42001, ISO/IEC 27001, CRA, NIS2, RGPD et AI Act. Demandez-le sous NDA et nous vous l'envoyons directement. Demander le dossier de preuves Réserver une démo Qui développe NetSenX L'entreprise espagnole d'Alicante qui développe et exploite NetSenX. Lead implementer ISO/IEC 42001 dans notre équipe Une qualification personnelle pour mettre en œuvre un système de management de l'IA. TriStiX S.L. ne détient elle-même aucun certificat ISO/IEC 42001 ; son système de management de l'IA est en préparation. Recherche de l'entreprise sur arXiv Prépublication de recherche de TriStiX S.L. arXiv:2603.28558v1 — logique multivaluée pour des applications de conformité Développé en interne Le moteur de détection, l'agent, le tableau de bord et ce site sont écrits et relus par TriStiX S.L. ; aucun moteur tiers en marque blanche Entreprise européenne TriStiX S.L. — Av. Maisonnave 41, 3º, 03003 Alicante, España · NIF B-26925016 Les équipes sécurité des ETI européennes voient le même schéma se répéter : la pile de détection devient plus bruyante chaque trimestre, le budget plus serré chaque année, et le retard d'alertes grandit plus vite qu'une petite équipe ne peut le traiter. Les éditeurs appellent cela de la couverture. Les équipes qui le vivent parlent d'une usine à alertes. NetSenX existe parce que davantage d'alertes n'apporte pas davantage de sécurité. La borne de faux positifs provient de la prédiction split-conformal, une méthode statistique publiée, appliquée au trafic légitime étiqueté par vos propres analystes : elle est dérivée, pas ajustée. Sa finesse sur votre réseau dépend de la quantité de trafic étiqueté calibré ; c'est pourquoi le produit affiche la borne que vos données permettent et dit clairement quand elles n'en permettent pas encore. Le reste de NetSenX rend cela opérationnel : un AI Analyst Core qui rédige les notes d'analyste, un journal d'audit qui résiste à l'auditeur, et un système de management de l'IA construit selon ISO/IEC 42001 pour résister au régulateur. Les équipes sécurité des ETI et PME européennes méritent une détection réseau qu'elles peuvent financer et expliquer. C'est cela, l'entreprise. Ce que nous construisons ensuite SOC 2, ISO/IEC 42001 et ISO/IEC 27001 — en préparation ; les dates suivront une fois les audits planifiés. Une candidature à l'EIC Accelerator au T4 2026 pour développer la commercialisation auprès des ETI et PME européennes. Premiers recrutements en ingénierie et en customer success, à Alicante et à distance dans toute l'UE. Prépublication de recherche de TriStiX S.L. sur arXiv