Conformité numérique : six points à vérifier avant de choisir un logiciel

 RETROUVEZ CET ARTICLE ET PLUS ENCORE DANS NOTRE MAGAZINE - DOCUMENTS, DONNÉES, IA : BÂTIR UNE CHAÎNE DE PREUVE CONFORME

Au sommaire :

- Documents, données, IA : bâtir une chaîne de preuve conforme
- La capture, premier maillon de la preuve
- Ged, ECM, BPM : passer du stockage au pilotage du risque
- La conformité à l’épreuve de l’AI Act
- De la donnée capturée à la preuve opposable
- La fonction archive sous l’angle de la conformité
- La checklist de la conformité

Le secteur numérique a été largement réglementé ces dernières années. "Il n’y a eu aucune règle de sécurité obligatoire dans l’univers du numérique durant cinq décennies", constate Marc-Antoine Ledieu, avocat au barreau de Paris et spécialiste du droit de la cybersécurité et des contrats IT. "Et tout à coup, sont entrés en scène Nis 2, Dora, l’AI Act, ou encore le Cyber Resilience Act (CRA). C’est une révolution culturelle pour les professionnels du domaine."

Maîtriser sa conformité face à ces nouvelles réglementations, ainsi qu’aux référentiels métiers ou qualité peut s’avérer périlleux. Voici une checklist de six points à vérifier ou à réaliser avant de se lancer dans un projet numérique (nouvel outil ou service).

Bien définir le périmètre du projet

"Il faut bien cadrer le périmètre de l’outil et éviter d’en faire un projet uniquement DSI", explique Anne-Solène Daniel, consultante chez Serda Conseil. "Qui va l’utiliser ? Est-il destiné à des métiers en particulier ?" Ce type de question permettra de baliser l’ensemble des choix techniques et réglementaires. "Il faut absolument réaliser des ateliers avec les métiers ou encore avec des profils "qualité"".

Identifier les exigences réglementaires

Les outils numériques doivent répondre à un certain nombre de règles en fonction de l’usage et des utilisateurs. "Lorsqu’un cahier des charges mentionne spécifiquement les référentiels juridiques prérequis, cela permet d’exclure d’emblée des prestataires", remarque Anne-Solène Daniel. Les services juridiques et les métiers sont de précieuses ressources pour lister ces exigences. Par ailleurs, de plus en plus d’éditeurs proposent des solutions en SaaS : la question de l’hébergement des données est primordiale, surtout si l’organisation manipule des données sensibles. On-premise, HDS, SecNumCloud, hébergement européen ou français, etc. Plusieurs solutions sont possibles.

S’assurer de la réversibilité des données

Dans quels délais, selon quelles modalités et à quels coûts l’organisation pourra-t-elle récupérer ses données à la fin du contrat ? "L’un de mes clients a souhaité un jour réinternaliser une fonctionnalité", se souvient Anne-Solène Daniel. "L’éditeur n’était pas du tout transparent sur la façon dont il avait paramétré l’outil et le client ne parvenait pas à récupérer ses données. Si ces critères sont écrits dès le départ dans le cahier des charges, cela permet de se protéger".

Tester la conformité lors de la recette… et après

Une fois le fournisseur choisi, il est important de s’assurer de la conformité de l’outil au moment du "recettage". "Il faut vérifier l’accessibilité de l’outil, mais aussi que les données sont stockées au bon endroit, qu’elles sont véritablement supprimées quand c’est décidé ou encore que la gestion des droits est bien configurée", conseille Anne-Solène Daniel. Et la conformité doit être challengée à chaque mise à jour ou évolution du logiciel.

Questionner l’éditeur sur son IA

Les services et solutions actuels intègrent de plus en plus de fonctionnalités IA. L’hébergement, l’utilisation des données pour entraîner le ou les modèles, la sous-traitance, la possibilité de désactiver l’IA ou encore son cloisonnement avec les informations de l’entreprise sont devenus des critères essentiels.

vérifier la conformité de son fournisseur au Cyber Resilience Act (CRA)

Adopté le 23 octobre 2024, le premier étage du Cyber Resilience Act (CRA) est entré en application le 11 juin 2026 pour une échéance en décembre 2027. Avec ce règlement européen, qui vise à renforcer la cybersécurité des produits comportant des éléments numériques, l’acheteur peut demander contractuellement d’avoir accès au SBOM (Software bill of materials). "Cette nomenclature logicielle devra être tenue à disposition des autorités de contrôle", précise Marc-Antoine Ledieu. Une façon de repérer plus rapidement les composants propriétaires ou open source intégrés à la solution qui pourraient présenter une vulnérabilité. "Avec le CRA, le fabricant devient responsable de la conformité et de la sécurité du produit commercialisé."