NIS2 · DORA · RGPD · ISO 27001 · CRA
La conformité n’est plus un audit annuel. C’est un état permanent.
Un diagnostic de positionnement pour savoir si vous êtes concerné, mesurer vos écarts et prioriser. Court, concret, sans jargon inutile.
Ensuite, un programme de conformité qui vit dans la durée — opéré par des agents IA sous la supervision d’un expert.
- NIS2directive (UE) 2022/2555 · transposition en cours
- DORArèglement (UE) 2022/2554 · applicable depuis 2025
- CRArèglement (UE) 2024/2847 · obligations dès 2026
PME soumise à NIS2
Suis-je concerné ? Par où commencer, concrètement.
Par où commencer →RSSI / DSI
La méthode, les livrables, le rôle de l’IA supervisée.
Voir la méthode →Conformité & juridique
Registre, preuves d’audit, traçabilité immuable.
Registre & preuves →Finance — DORA
Périmètre TIC, résilience opérationnelle, chap. III.
Périmètre TIC →L’enjeu
Vous êtes peut-être déjà dans le périmètre — sans pouvoir le prouver.
La responsabilité de la direction est personnelle : NIS2, DORA et le RGPD sanctionnent des faits, pas des intentions. Or la plupart des organisations concernées ne peuvent ni confirmer leur périmètre ni montrer un registre à jour. La conformité n’est pas un projet ponctuel : c’est un état à atteindre, puis à maintenir et à prouver. Prochaine échéance à surveiller : le CRA (2026) pour les produits numériques.
La conformité n’est pas un document. C’est un état vivant — à atteindre, à prouver, et à tenir.
La démarche
Quatre étapes, du diagnostic au pilotage continu.
On commence petit et concret, on monte en puissance à mesure que le besoin se révèle. Chaque étape produit des livrables exploitables, jamais un rapport qui dort dans un tiroir.
2 jours · 2 500 € HT
Diagnostic d’entrée
Un cadre réglementaire au choix — NIS2, DORA ou RGPD. On tranche votre périmètre, on identifie vos 3–4 écarts prioritaires, vous repartez avec un livrable daté. Le diagnostic multi-cadres se chiffre après le premier échange.
1–3 semaines
Audit + feuille de route
Analyse d’écart complète (art. 21 NIS2, Annexe A ISO 27001…), plan priorisé, budget et échéancier. De quoi décider et défendre un budget.
plusieurs mois
Accompagnement à la mise en conformité
Mise en œuvre : politiques, gouvernance, gestion des incidents, sécurité de la chaîne d’approvisionnement, dossier d’homologation. On fait, avec vos équipes.
récurrent
RSSI externalisé — GRC-as-a-Service
La conformité maintenue en continu : veille réglementaire, registre des risques à jour, preuves d’audit, reporting. Le socle prévisible de votre sécurité.
La différence
L’IA supervisée. Souveraine. Permanente.
Un cabinet classique vous audite une fois par an. Nous opérons votre conformité au quotidien — des agents dédiés exécutent, un expert décide et engage sa responsabilité. Une organisation peut faire tourner plusieurs agents (GRC, veille, validation, EASM/BAS…), chacun cloisonné. Que nous portions toute la fonction pour une organisation à taille humaine, ou que nous venions en renfort d’une équipe interne sur un périmètre précis ou plusieurs entités.
Caela Partners est le cabinet. Jienua est la plateforme. Les experts associés interviennent sous mandat Caela — jamais en marque blanche concurrente sur le même vertical.
Permanent, pas ponctuel
Veille réglementaire continue (ANSSI, CERT-FR, textes UE), échéances suivies, registre des risques tenu à jour. La conformité se maintient plutôt que de se dégrader entre deux audits.
Sous contrôle d’expert
L’agent prépare, l’humain décide. Toute affirmation de conformité, toute acceptation de risque, toute communication externe passe par la validation d’un expert. Six garde-fous obligatoires, sans exception.
Souverain
Vos données de conformité restent les vôtres — cloisonnées par organisation, jamais mutualisées, chiffrées (clé de déchiffrement cliente possible). Plateforme opérée chez OVH, France/UE. Modèles IA : OpenRouter par défaut ; Mistral AI (France/UE) sur demande ; ou un modèle local sur votre infrastructure — vos données, votre modèle, votre clé.
Auditable de bout en bout
Chaque décision, chaque utilisation d’outil et chaque action de l’agent est tracée dans un registre immuable, chaîné et horodaté. Rien ne peut être modifié ou supprimé après coup. Le service est lui-même démontrable en audit : vous prouvez non seulement que vous êtes conforme, mais comment.
Les six garde-fous
Aucune communication externe sans signature humaine — l’agent prépare, il n’envoie jamais.
Aucune acceptation de risque par l’agent — toute décision de risque est humaine, motivée et tracée.
Aucune action hors du périmètre d’actifs signé — la limite est imposée par l’infrastructure, pas par une promesse.
Aucune écriture dans vos systèmes sans validation — non-destructif par construction.
Chaque décision, chaque action et chaque usage d’outil est horodaté dans un registre immuable — auditable de bout en bout.
Isolation par organisation et chiffrement — vos données ne sont jamais mutualisées.
Hébergement : OVH (France/UE). Modèles IA : OpenRouter par défaut, Mistral AI (France/UE) sur demande, ou un modèle local sur votre infrastructure. Chiffrement par organisation — clé de déchiffrement cliente possible (BYOK).
Hiérarchie des signatures
Validation de sécurité
Ne présumez pas vos défenses. Prouvez-les — en continu.
La conformité affirme que vos contrôles existent ; la validation prouve qu’ils fonctionnent. Nous éprouvons votre surface d’exposition et vos défenses de façon automatisée et récurrente, et chaque constat alimente votre registre GRC. Sous mandat signé, sur vos seuls actifs.
Autorisée par conception
Chaque action est encadrée par un mandat signé (règles d’engagement) et limitée aux actifs dont vous confirmez la propriété — une limite imposée par l’infrastructure, non par une promesse.
Non destructive, par construction
Un ensemble d’outils figé et vérifié : découverte, analyse de vulnérabilités, validation des contrôles. Aucune exploitation, aucune interruption. Une affirmation vérifiable, pas un espoir.
Continue, pas ponctuelle
La validation s’exécute à un rythme régulier et met à jour votre posture : la conformité cesse d’être une attestation figée pour devenir un état prouvé en permanence.
Externe et interne
Cartographie de la surface d’attaque exposée (EASM) et simulation maîtrisée d’attaques (BAS) pour vérifier que votre détection et votre réponse se déclenchent réellement.
Complémentaire d’un test d’intrusion certifié (PASSI, via partenaire) — jamais un substitut. Réalisée uniquement sous mandat signé, sur des actifs vous appartenant.
L’EASM/BAS est un engagement distinct, avec ses propres règles d’engagement signées : périmètre d’actifs confirmé, outils figés, non-destructif, constats écrits dans votre registre GRC. Jamais sans mandat.
Cadres couverts
Les réglementations qui vous concernent, ancrées à leur texte.
L’expert
Derrière les agents, une expertise humaine.
L’automatisation par agents rend le service abordable et permanent — mais la valeur, et la responsabilité, restent portées par un expert humain. Le programme est piloté par un architecte cybersécurité et cloud fort de plusieurs années d’expérience en environnements exigeants, du terrain industriel aux infrastructures critiques.
Max Pokam — Expert titulaire · Decentreach SAS · Nice, France
Signataire des décisions de risque et des communications externes
Les experts associés interviennent sous mandat Caela : mêmes garde-fous, même registre, même méthode. Chaque dossier porte un expert nommé, signataire dans le registre — pas une marque derrière le logo.
Suis-je concerné ?
Trois questions, une première réponse.
Audit flash NIS2 — répondants
Vous avez reçu un mail de prospection de Caela Partners ? Répondez-y : l’audit flash NIS2 de 45 minutes vous est offert, avec une note de cadrage écrite (périmètre applicable et trois priorités) remise sous 5 jours ouvrés.
FAQ
Ce qu’un dirigeant demande avant de s’engager
Suis-je vraiment concerné par NIS2 ?
Trois critères décident : votre secteur, votre taille, votre type d’entité. La taille se lit en salariés ou en chiffre d’affaires. Le diagnostic tranche en 15 minutes, avec vos chiffres.
Combien ça coûte, et en combien de temps ?
Le diagnostic d’entrée prend 2 jours : 2 500 € HT, un cadre réglementaire, un livrable daté. Un diagnostic multi-cadres (NIS2 + ISO 27001, DORA…) se chiffre après le premier échange. L’audit complet prend 1 à 3 semaines ; la mise en conformité s’étale sur plusieurs mois.
Qui signe, si un agent prépare le travail ?
Un expert nommé. Toute acceptation de risque et toute communication externe portent sa signature. Cette signature figure dans le registre. L’agent prépare, il n’engage rien.
Où sont mes données ?
Cloisonnées par organisation, hébergées chez OVH en France ou dans l’UE. Le chiffrement peut se faire avec votre clé. Les modèles se choisissent : en ligne, Mistral AI en France ou dans l’UE, ou un modèle local chez vous.
Est-ce que cela remplace un test d’intrusion ?
Non. La validation continue complète un test d’intrusion certifié (PASSI, via partenaire). Elle ne le remplace pas. Elle se fait sous mandat signé, sur vos seuls actifs.
Parlons-en
Un diagnostic pour savoir où vous en êtes.
Quinze minutes pour clarifier votre exposition réglementaire et vos priorités. Sans engagement, sans jargon inutile.