Audit RGPD et de sécurité du système d'information (Directive NIS 2)
Une vision argumentée et traçable de la protection des données et de la sécurité, présentable à la direction, au DPO et aux autorités de contrôle.
En bref
- Résultat
- Une vision argumentée et traçable de la protection des données et de la sécurité, présentable à la direction, au DPO et aux autorités de contrôle.
- Idéal pour
- Directeur d'établissement, délégué à la protection des données ou responsable de la sécurité des systèmes d'information d'une association gestionnaire.
- Ce que vous obtenez
- Rapport d'audit avec écarts constatés aux textes et référentiels applicables, niveau de risque par écart et plan d'actions priorisé.
- Prérequis de votre côté
- Registre des traitements, schéma du système d'information, politiques et procédures existantes, entretiens avec la direction, le DPO et les référents métiers. Un contrat de sous-traitance (article 28 du RGPD) est signé avant toute consultation de données réelles.
- Durée et charge
- 6 à 12 jours
- Format
- Forfait
Exemple de situation
Avant un contrôle de la CNIL. Une association gestionnaire de plusieurs établissements apprend qu'un contrôle sur le thème Directive NIS 2 est possible. L'audit relit le registre, les durées de conservation, la gestion des accès au dossier usager et les contrats de sous-traitance. Il identifie les écarts à traiter en priorité et prépare les pièces à présenter.
Nous auditons votre organisation sous l'angle du thème Directive NIS 2 : gouvernance et rôles, registre des traitements, information des personnes accompagnées et des professionnels, gestion des accès, sauvegardes, traitement des sous-traitants, gestion des incidents et des violations de données, conditions d'hébergement des données de santé. Les constats reposent sur la lecture des documents, des entretiens et des échantillons de dossiers anonymisés ou fictifs.
Les écarts sont confrontés au RGPD (règlement général sur la protection des données), au référentiel de la CNIL pour le suivi social et médico-social et aux obligations de votre structure, puis classés par niveau de risque pour les personnes concernées. Le rapport propose un plan d'actions ordonné et sert de base à votre dialogue avec le DPO. Nous ne rendons pas de consultation juridique : les points de droit sont à valider avec vos conseils. La restitution, centrée sur l'objectif de maîtriser la directive NIS 2 pour renforcer la sécurité des infrastructures critiques, est présentée à la direction et aux gestionnaires de risques.
Déroulé de la prestation
Cadrage
Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité et d'accès au site.
Lecture documentaire
Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème Directive NIS 2, avant toute rencontre, pour arriver sur le terrain avec des questions précises.
Entretiens et observation
Nous rencontrons les responsables et les intervenants, et nous observons les pratiques sur le terrain lorsque l'accès est possible.
Analyse des écarts
Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.
Restitution
Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre gouvernance, à votre financeur ou à l'autorité de contrôle.
- Rapport d'audit avec écarts au RGPD, au référentiel de la CNIL et aux politiques internes de la structure
- Revue du registre des traitements, des accès, des sauvegardes et des contrats avec les sous-traitants
- Plan d'actions priorisé présenté à la direction et au délégué à la protection des données
Format et charge : forfait, 6 à 12 jours. Idéal pour : directeur d'établissement, délégué à la protection des données ou responsable de la sécurité des systèmes d'information d'une association gestionnaire. Prérequis de votre côté : registre des traitements, schéma du système d'information, politiques et procédures existantes, entretiens avec la direction, le DPO et les référents métiers. Un contrat de sous-traitance (article 28 du RGPD) est signé avant toute consultation de données réelles.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Avant un contrôle de la CNIL
Une association gestionnaire de plusieurs établissements apprend qu'un contrôle sur le thème Directive NIS 2 est possible. L'audit relit le registre, les durées de conservation, la gestion des accès au dossier usager et les contrats de sous-traitance. Il identifie les écarts à traiter en priorité et prépare les pièces à présenter.
Harmoniser des pratiques entre plusieurs sites
Une association exploite plusieurs sites dont les pratiques diffèrent sur le thème Directive NIS 2. L'audit compare les organisations, relève les bonnes pratiques et propose un référentiel commun de règles d'accès et de conservation des dossiers, que la direction valide avec le DPO avant diffusion.
Questions fréquentes sur cette prestation
Combien de temps dure l'audit et qui le réalise ?
La charge indicative est de 6 à 12 jours, format forfait, répartie entre la lecture documentaire, les entretiens, l'observation sur site et la rédaction. L'auditeur est choisi pour sa connaissance du thème Directive NIS 2 et du fonctionnement des structures sociales et médico-sociales, présenté avant la signature, indépendant de vos équipes, et il signe les engagements de confidentialité demandés. Nous fixons le calendrier avec vous pour que la restitution précède votre échéance, évaluation, inspection ou contrôle, d'au moins quelques semaines, afin de laisser le temps de traiter les écarts les plus importants.
Quelle différence avec une formation sur ce thème ?
La formation transmet des compétences ; l'audit vous dit où vous en êtes. Sur le thème Directive NIS 2, l'audit produit un rapport étayé, avec des constats rattachés à des exigences identifiées et un plan d'actions chiffré, présentable à votre financeur ou à votre autorité de contrôle. Il met souvent en évidence des besoins de formation, que nous pouvons ensuite couvrir, mais il ne remplace pas la formation, et inversement. Il ne remplace pas non plus l'évaluation d'un organisme accrédité ni le contrôle d'une autorité, que nous ne réalisons pas. Les deux prestations se combinent dans un même plan lorsque l'échéance le justifie.
Intervenez-vous sur les données réelles des personnes accompagnées ?
Seulement lorsque la prestation l'exige, et jamais sans cadre. Toute intervention touchant des données réelles de personnes accompagnées est précédée d'un contrat de sous-traitance au titre de l'article 28 du RGPD, d'un cadrage des accès (comptes nominatifs, périmètre minimal, journalisation) et d'une vérification que l'hébergeur de ces données est certifié lorsque son activité entre dans le champ de l'article L. 1111-8 du code de la santé publique. Sur le thème Directive NIS 2, une grande partie du travail se fait sur documents, schémas et environnements de test avec des données fictives. Le devis précise ce qui se déroule sur vos données réelles, le cas échéant.
Demander un devis
Indiquez l'établissement, les équipes concernées et l'échéance : nous revenons vers vous sous 48 h ouvrées avec un cadrage et un devis.
Les autres déclinaisons d'audit et diagnostic sur le thème Directive NIS 2
Les autres types de prestation sur le thème Directive NIS 2